プラグインを更新すると不具合が出るのが怖くて、更新を止めています。危険ですか？

危険な状態です。脆弱性の多くは「更新で直せる既知の問題」を狙われます。更新で不具合が出るのが不安なら、テスト環境で確認してから本番に適用する、または保守契約で更新作業を任せる方法があります。更新しないまま放置するより、はるかに安全です。

使っていないプラグインは、無効化しておけば大丈夫ですか？

無効化だけでは不十分なことがあります。無効でもファイルはサーバーに残っており、脆弱性を突かれる場合があります。使わないプラグイン・テーマは「削除」するのが安全です。

乗っ取られた形跡がある場合、自分でプラグインを消して直してもいいですか？

おすすめしません。攻撃者は複数の裏口を仕込むことが多く、見えている1つを消しても再発します。また、証拠が消えて原因特定が難しくなります。まず現状（画面・URL・気づいた日時）を記録し、バックアップの有無を確認してから、専門の対応を検討してください。

WordPressの脆弱性、うちのサイトは大丈夫か。2026年の状況と確認手順

「WordPressが危ないと聞いた」「取引先からうちのサイトは大丈夫かと聞かれた」——2026年はPHP本体の重大な脆弱性（PHP2Shell）も重なり、WordPressサイトの安全性への不安が高まっています。

WordPressは世界のサイトの大きな割合で使われている定番のCMSです。便利な反面、利用者が多い＝攻撃者にとって効率がよい標的でもあります。この記事では、2026年の実際の状況と、専門家でなくてもできる確認手順を整理します。

結論を先に

WordPressが危険なのではなく、古いまま放置されたWordPress・プラグイン・テーマが危険です。攻撃の多くは「更新すれば直る既知の脆弱性」を自動で狙います。
2026年も、認証なしでプログラムを実行できる重大な欠陥（例：プラグインBricksforgeのCVSS 10.0、悪用が確認済み）や、配布元が乗っ取られて裏口が仕込まれる供給網（サプライチェーン）型の事例が報告されました。
基本対策は4つ：(1)本体・テーマ・プラグインを最新に保つ (2)使っていないものは削除する (3)管理者のパスワードを強くし二段階認証を入れる (4)バックアップを取っておく。
すでに異常が出ている場合は、推測で消す前に現状を記録し、ひとつ消して直したつもりが再発する、という事態を避けてください。

WordPressが狙われる3つの入口

プラグイン・テーマの脆弱性 — 最も多い入口です。WordPress本体より、追加したプラグインやテーマの欠陥が狙われます。2026年はCVSS 10.0（最高レベル）の欠陥が実際に悪用されました。
ログインの突破 — 弱いパスワード・使い回し・二段階認証なしの管理者アカウントが、総当たりや漏えいパスワードで破られます。
供給網（サプライチェーン） — プラグインの配布元アカウントが乗っ取られ、正規の更新に見せかけて裏口が配られる事例が報告されています。「正規のプラグインを入れていたのに」というケースです。

自社サイトの状態を確認する手順

公開範囲（URLだけ）でできる確認

当社のホームページ安全設定の無料診断にURLを入れると、WordPressかどうかの推定、バージョン情報の露出、管理者ユーザー名の露出、基本的な安全設定を、サイトを触らずに確認できます。
ブラウザで自社サイトを開き、見覚えのない文章・画像・リンクが出ていないか、検索で自社名を調べて知らないページが出ていないかを確認します。

管理画面でできる確認（ログインできる場合）

「更新」画面に、未適用の更新（本体・プラグイン・テーマ）がたまっていないか。
身に覚えのない管理者ユーザーが増えていないか（「ユーザー」一覧を確認）。
「プラグイン」一覧に、インストールした覚えのないものがないか。
最終更新日が何年も前のプラグイン＝開発が止まった危険なプラグインがないか。

最低限やっておく対策

優先	対策	補足
1	本体・テーマ・プラグインを最新に更新	不安なら保守契約で任せる／テスト環境で確認
2	サーバーのPHPも修正版に更新	PHP2Shell対策。別問題なので両方必要
3	使っていないプラグイン・テーマを削除	無効化では不十分
4	管理者パスワードを強くし、二段階認証を入れる	使い回しをやめる
5	バックアップを自動で取る	万一のとき戻せる状態にしておく

よくある誤解

「有名なテーマ・プラグインだから安全」 — 利用者が多いものほど、脆弱性が見つかったときの被害は広がります。2026年の事例も有名プラグインで起きています。
「一度作ってもらってから触っていない」 — これが最も危険です。更新が何年も止まったWordPressは、既知の穴が開いたままの状態です。保守している人がいないWordPressの記事も参考にしてください。

異常がすでに出ている場合

改ざん・不正な転送・管理画面に入れない・サーバーから勝手にメールが送られている、といった症状が出ている場合は、緊急対応窓口でご相談ください（法人・個人事業主向け）。安全な範囲で状況を確認し、壊さず復旧する手順をご案内します。まだ確証がなく「大丈夫か見てほしい」という段階でも構いません。

平時の備えとしては、WordPress保守（月額）、攻撃を手前で止める設定（WAF・Cloudflare等）、更新の少ないサイトなら狙われる部品そのものを無くすWordPressから静的サイトへの載せ替えもご用意しています。