WordPressのセキュリティ対策｜狙われる理由と守り方

定義

WordPressのセキュリティ対策とは、世界でもっとも使われているCMSであるWordPressサイトを、改ざん・乗っ取り・情報漏えいから守るための一連の取り組みです。利用者が多いぶん攻撃の自動化がもっとも進んでいる領域で、「本体・プラグインの更新」と「入口の保護」が対策の中心になります。

仕組み

WordPressが狙われる最大の理由は、シェアの高さです。攻撃者は特定のサイトを狙うのではなく、既知の脆弱性を持つバージョンのWordPress・プラグイン・テーマを、自動スキャンで世界中から探します。

侵入経路は、プラグイン・テーマの脆弱性が最多で、次いで管理画面（wp-login.php）へのパスワード総当たり、XML-RPC経由の攻撃、設定ファイルの露出などが続きます。プラグインを増やすほど、攻撃対象面積は広がります。侵入後に何が起きるかはWeb改ざんの解説記事にまとめています。

実被害の傾向

改ざんによるマルウェア配布・スパムページの大量生成（SEOスパム）・フィッシングページの設置、管理者アカウントの乗っ取り、会員情報の漏えいが典型です。保守担当者の不在や制作会社との契約終了で更新が止まったWordPressサイトは、時間の経過とともに既知の脆弱性が蓄積し、被害の確率が上がり続けます。

対策

• 本体・プラグイン・テーマの更新：もっとも重要。使っていないプラグイン・テーマは削除する。
• 管理画面の保護：強固なパスワード、ログイン試行の制限、可能なら接続元IPの制限。
• 不要な入口を閉じる：XML-RPCの無効化（利用していない場合）、ユーザー名列挙への対処。
• WAF・仮想パッチ：更新が追いつかない期間の攻撃リクエストを手前で遮断する。
• バックアップ：改ざん時にクリーンな状態へ戻せる備え。

いま自分のサイトがどうなっているかは、WordPressの安全性の確認方法の手順で確認できます。

サイトドックでの扱い

サイトドックの月次の定期診断は、WordPressと判定されたサイトに対して、本体・プラグインのバージョンを専用の脆弱性データベースと照合し、該当する既知の脆弱性を確認します（WordPress以外のサイトでは実行しません）。

月額の自動修復は、WAF・仮想パッチによる攻撃遮断、管理画面まわりの保護、改ざん検知などをDNS切り替えだけで導入でき、WordPress本体には手を入れません。プラグイン更新の作業そのものはエッジでは代行できないため、必要な更新は診断結果で明示します。

対策の実施と運用まで任せる場合の仕組み・料金はサイトドックのご案内をご覧ください。

よくある質問

このページの要点

• WordPressはシェアの高さゆえに攻撃の自動化がもっとも進んでいる。狙いは「既知の脆弱性を放置したサイト」
• 侵入経路はプラグイン・テーマの脆弱性が最多。更新と不要プラグインの削除が対策の中心
• セキュリティプラグインには「同じWordPress上で動く」構造的限界がある。エッジでの遮断と併用する
• サイトドックはWordPress判定サイトのみ専用DB照合を実施。自動修復は本体無改修で入口を守る