WordPressプラグインに脆弱性が見つかったときの対応｜確認・更新・停止の手順
「使っているプラグインに脆弱性が見つかった」というニュースを見て、何をすればいいのか分からず手が止まった経験はありませんか。
WordPressの脆弱性は、本体よりもプラグインで見つかるものがほとんどです。この記事では、ニュースや通知を見たときに何から確認して、どの順番で動けばいいかを、実際に画面で確認できる範囲で整理します。
先にポイント
- まず「自分のサイトで使っているか」「影響を受けるバージョンか」を確認します。
- 更新の前にバックアップを取ります。
- 修正版があれば更新、なければ使うのをやめることも選択肢に入れます。
- 普段から自動更新と、使っていないプラグインの整理をしておくと慌てずに済みます。
脆弱性は、どこで多く見つかっているのか
セキュリティ会社のPatchstackが公表している「State of WordPress Security in 2026」によると、2025年に見つかったWordPress関連の脆弱性は11,334件で、前年より42％増えました。
| 項目 | 内容 |
|---|---|
| 脆弱性の見つかった場所 | プラグインが91％、テーマが9％。WordPress本体は6件（いずれも優先度は低） |
| 公開時点で修正版がなかった脆弱性 | 46％ |
| 悪用までの速さ | 影響が大きい脆弱性の約半数が、24時間以内に悪用された |
Patchstackは脆弱性対策の製品を販売している会社なので、数字はその調査にもとづくものです。それでも、「プラグインがいちばん狙われやすい」「公開されてから悪用までが早い」という点は、日ごろの備えを考える材料になります。
見つかったときの対応の流れ
手順1：自分のサイトで使っているか確認する
管理画面の「プラグイン」→「インストール済みプラグイン」で、話題のプラグイン名を探します。無効化していても、インストールされていれば一覧に出ます。
手順2：影響を受けるバージョンか確認する
脆弱性の情報には、影響を受けるバージョンの範囲（例：「1.2.10以下」）と、修正されたバージョンが書かれています。プラグイン一覧に表示されている自分のバージョンと見比べて、該当するかを確認します。
確認先として、Patchstackの脆弱性データベースがあります。プラグイン名で検索でき、一覧には影響を受けるバージョンの範囲、リスクの点数（CVSS）、公開時期が表示されます。料金については、ページに明記されていませんでした。
手順3：バックアップを取る
更新の前に、いまの状態を保存します。WordPress公式のバックアップガイドでは、データベースとファイル（本体・テーマ・プラグイン・アップロード画像・wp-config.phpなど）の両方が必要で、「更新の前には必ず取る」とされています。やり方はWordPressの変更前に取りたいバックアップで解説しています。
手順4：修正版があれば更新する
「プラグイン」→「インストール済みプラグイン」で、対象のプラグインの「今すぐ更新」を押します。複数をまとめて更新したいときは、「ダッシュボード」→「更新」からでも更新できます。
更新後は、サイトの表示と、そのプラグインが関係する機能（問い合わせフォームなど）を、実際に動かして確認しましょう。
手順5：修正版がないときは、停止・削除も検討する
Patchstackの調査では、公開された時点で修正版がなかった脆弱性が46％ありました。修正版がない場合は、そのプラグインを使い続けるかどうかを判断することになります。
- 代わりになるプラグインがあるなら、乗り換えを検討します。
- 機能がなくても困らないなら、無効化したうえで削除します。
- どうしても使い続けたいなら、開発元の対応状況を確認しながら、様子を見ます。
なお、「無効化だけでなく削除まで行うほうが安心」という考え方は、私の運用上の方針で、公式のドキュメントで確認できた情報ではありません。
WordPress公式ディレクトリでプラグインが「閉鎖（closed）」になると、ダウンロード用のzipが作られなくなり、新しくインストールできなくなります。閉鎖から60日がたつと、プラグインのページには、ガイドライン違反やセキュリティ上の問題といった大まかな理由が表示されますが、詳しい内容までは示されません。
普段からできる備え
自動更新を有効にする
WordPress 5.5からは、プラグインごとに自動更新をオンにできます。管理画面の「プラグイン」を開き、右端の「自動更新」欄のリンクを押すだけです。
複数のプラグインにチェックを入れて、一括操作で切り替えることもできます。公式のドキュメントによると、自動更新はデフォルトで1日2回、WP-Cronによって実行され、成功や失敗の通知メールがサイトの管理者に届きます。
ただし、公式でも自動更新でサイトが壊れる可能性があると注意されています。自動のバックアップを用意し、元に戻せる状態にしてから有効にしましょう。WP-Cronが動いていないと自動更新も実行されないため、「ツール」→「サイトヘルス」でエラーが出ていないか確認することもすすめられています。
私のサイトでは、「Rinker」というプラグインだけ、この「自動更新」のリンクが表示されませんでした。更新の確認は「アップデートを確認」というリンクから行う形で、理由までは確認できていません。リンクが出ないプラグインは、更新の有無を自分で確認する必要があります。
使っていないプラグインを整理する
使わなくなったプラグインは、一覧から削除しておきましょう。脆弱性のニュースが流れたときに、確認する対象が減ります。
バックアップを定期的に取る
公式のガイドでは、記事が少ない小さなサイトで週1回程度、更新頻度が高いサイトでは毎日、また、直近の3〜5世代を、サーバー・クラウド・手元のパソコンなど別々の場所に保管することがすすめられています。
他の対策とあわせて
プラグインの更新は、サイトを守る対策の一部です。ログイン画面を守る2段階認証や、スパム対策のCloudflare Turnstile、サーバー側の対策をまとめたPHPの攻撃を受けたときの対策もあわせて確認してみてください。
よくある質問
プラグインを無効化していれば安全ですか？
この記事で参照した公式ドキュメントでは、無効化したプラグインの安全性について確認できませんでした。使わないプラグインは、無効化にとどめず、削除しておくほうが整理しやすく、確認の手間も減ります。
更新したらサイトの表示が崩れました。どうすればいいですか？
更新の前に取ったバックアップがあれば、そこから元の状態に戻せます。公式のドキュメントでも、更新前のバックアップは「万一のときに復元できるように」するものと説明されています。戻したあとは、開発元のサポートで同じ症状の報告がないか確認しましょう。
自動更新は全部オンにしたほうがいいですか？
公式ドキュメントでは、自動更新でサイトが壊れる可能性があるため、バックアップと、元に戻す手段を用意してから有効にするよう案内されています。サイトの重要度に応じて、プラグインごとにオン・オフを選べます。
まとめ
脆弱性のニュースを見たら、「使っているか」「該当バージョンか」を確認し、バックアップを取ってから更新するのが基本の流れです。修正版がなければ、乗り換えや削除も検討します。
普段から、自動更新、使っていないプラグインの削除、定期的なバックアップをしておけば、いざというときに慌てずに済みます。
