WordPressの安全性の確認方法とチェックポイント（プラグイン・テーマ・ユーザー名列挙）
WordPressは世界で最も使われるCMSで、その分だけ攻撃対象になりやすく、特にプラグインやテーマの既知脆弱性が侵害の入口になります。管理画面に入れるなら自分で点検できる項目も多いため、優先順位とあわせて整理します。
確認すべき項目
- 本体・プラグイン・テーマのバージョンと更新状況
- 使っていないプラグイン・テーマが残っていないか
- ログインユーザー名の列挙可否（author アーカイブ／REST API）
- 設定ファイル・バックアップ・debug.log の露出
- セキュリティヘッダ・Cookie保護・HTTPS など共通の基本項目
なぜ重要か
WordPress侵害の多くは本体ではなく、古い・脆弱なプラグインやテーマの既知脆弱性が原因です。公開された脆弱性は自動化ボットに一斉に狙われ、放置すると乗っ取り・改ざん・スパムやフィッシングの配信踏み台にされます。使用中の拡張を棚卸しし、優先度順に更新することが重要です。
自分で確認する手順
- 拡張を棚卸しする：管理画面のプラグイン・テーマ一覧で、**停止中のものも含めて**バージョンと最終更新日を確認する。停止中でもファイルは残っており、脆弱性の影響を受けることがある。
- 更新が止まっているものを洗い出す：最終更新から年単位で放置されているプラグインは、脆弱性が見つかっても修正されない。代替を検討する。
- ユーザー名の露出を見る：
https://example.jp/?author=1やhttps://example.jp/wp-json/wp/v2/usersを開き、ログインIDが表示されないかを確認する。表示される場合はパスワード総当たりの的が絞られる。 - 露出しやすいファイルを確認する：
/wp-config.php.bak・/debug.log・/backup.zipのような命名のファイルが公開領域に残っていないかを見る。 - ログインまわりを固める：管理者アカウントの二要素認証、ログイン試行回数の制限、
adminのような推測されやすいIDの回避を確認する。
よくある質問
プラグインの脆弱性はどこで調べられますか？
WordPress専用の脆弱性データベース（Wordfence Intelligence 等）が公開されており、プラグイン名とバージョンから既知の脆弱性を調べられます。ただし対象が多いと手作業での突き合わせは現実的でないため、継続的に照合する仕組みを用意することをおすすめします。
更新すれば安全ですか？
更新は最も効果の大きい対策ですが、更新前に侵害されていた場合、設置されたバックドアは更新では消えません。改ざんの痕跡がある場合は、更新とは別に侵害調査と復旧が必要です。
ひとつずつ確認し続けるのが難しいときは
ここで挙げた検査は、サイトドックの月次の定期診断に含まれます。見つかった弱点のうちエッジで治せるものはその場で自動修復し、実施した対策は毎月のレポート（PDF）でお届けします。