【緊急】WordPressに重大な脆弱性。あなたのサイトは大丈夫ですか？今すぐ確認したいセキュリティ対策

2026年9月、WordPressに「重大（Critical）」とされるセキュリティ脆弱性が確認され、修正版となる「WordPress 7.1.2」が公開されました。

「うちのサイトは、それほどアクセス数も多くないから大丈夫」

「制作会社に作ってもらってから特に触っていない」

「WordPressの更新通知は来ているけれど、よく分からないのでそのままにしている」

もし一つでも当てはまる場合、一度WordPressの管理状況を確認しておくことをおすすめします。

今回の問題は、企業規模やサイトへのアクセス数にかかわらず、WordPressを利用しているサイトであれば無関係とは言い切れないためです。

今回発表されたWordPressの脆弱性とは？

2026年9月22日、WordPressはセキュリティリリース「WordPress 7.1.2」を公開しました。

今回修正されたのは「CVE-2026-87902」と呼ばれる脆弱性です。

WordPress公式によると、特定の条件下において、認証されていない攻撃者がWordPress内の本来意図しないPHPファイルを読み込ませることができる可能性があります。

さらにサーバー環境や使用しているテーマなど一定の条件が揃った場合には、リモートコード実行（RCE）につながる可能性も指摘されています。

そのため、WordPress公式でも今回の脆弱性を重大な問題として扱い、速やかなアップデートを呼びかけています。

WordPress 7.1.2 Release｜WordPress.org

「まだ攻撃されていないから大丈夫」ではありません

今回、特に注意したいのが脆弱性情報が公開されてからのスピードです。

WordPressのセキュリティ企業Patchstackは、今回の脆弱性について、修正版が公開された当日のうちに、脆弱なWordPressサイトを探しているとみられるアクセスを観測したと報告しています。

セキュリティ上の問題が公表されると、その情報はサイト運営者だけでなく、当然攻撃者も知ることになります。

そしてインターネット上には、WordPressを利用しているサイトを機械的に探し、脆弱性が残っていないか確認する攻撃も存在します。

WordPressを放置すると、どんなことが起こる？

WordPressの脆弱性を放置していると、状況によっては次のようなトラブルにつながる可能性があります。

• Webサイトを改ざんされる
• 意図しないページや広告を表示される
• 不正なプログラムを設置される
• サイトから別のサイトへ転送される
• 管理者権限を不正に取得される
• サーバーを不正利用される
• サイトが正常に表示されなくなる
• 復旧のために予定外の費用が発生する

企業サイトの場合は、単純に「ホームページが見られなくなる」だけでは済まないケースもあります。

取引先やユーザーから、

「この会社のサイト、大丈夫なの？」

と思われてしまえば、企業としての信用にも影響します。

また、被害が発生してから原因調査・マルウェア除去・データ復旧・サーバー会社とのやり取りなどを行うと、通常の保守以上に時間とコストがかかることもあります。

「では今すぐ更新すればいい？」にも注意が必要です

今回の脆弱性について、WordPress公式は速やかなアップデートを推奨しています。

ただし、ここでも一つ注意があります。

WordPressサイトでは、次のような複数のシステムが組み合わさって動作しています。

• WordPress本体
• テーマ
• プラグイン
• PHP
• サーバー環境

そのため、WordPress本体だけを不用意にアップデートすると、

• ページのレイアウトが崩れた
• お問い合わせフォームが動かなくなった
• 管理画面でエラーが発生した
• 使用していたプラグインが動かなくなった

といった別のトラブルが発生するケースもあります。

特に、長期間アップデートを行っていないWordPressサイトほど注意が必要です。

バックアップを取り、必要に応じて検証環境で動作を確認したうえで、安全にアップデートすることが大切です。

あなたのWordPress、こんな状態になっていませんか？

一度、自社サイトの管理状況を確認してみてください。

一つでも当てはまる場合は、今回を機会にWordPressの保守体制を見直しておくことをおすすめします。

WordPressは「作って終わり」のシステムではありません

ホームページは公開した瞬間が完成ではありません。

特にWordPressは継続的にアップデートされるシステムです。

WordPress本体だけでなく、テーマやプラグインにも新しい脆弱性が発見されることがあります。

今回も、2026年9月17日に11件のセキュリティ修正を含む「WordPress 7.1.1」が公開されたわずか5日後、9月22日には重大な脆弱性を修正した「WordPress 7.1.2」が公開されています。

サイト公開後も継続して、

• 現在どのバージョンなのか
• 新しい脆弱性が発表されていないか
• アップデートして問題ないか
• バックアップが正常に取得できているか

を確認していく必要があります。

WordPressの管理に不安があるなら「MARUTTO WP保守」へ

とはいえ、

「社内にWordPressに詳しい人がいない」

「毎回脆弱性情報をチェックするのは難しい」

「更新してサイトが壊れる方が怖い」

という企業様も多いのではないでしょうか。

そんなWordPressサイトの運用・保守をまとめてサポートするのが、ジェイ・ライン株式会社の「MARUTTO WP保守」です。

MARUTTO WP保守では、WordPressサイトを安心して運用していただくために、さまざまな保守・セキュリティ対応を行っています。

WordPress本体のメジャーアップデートやプラグイン更新についても、必要に応じて検証環境で確認したうえで本番環境へ反映します。

そんな状態を放置し続ける必要はありません。

「うちのWordPress、大丈夫？」と思ったら一度ご相談ください

今回の脆弱性をきっかけに、

• 自社サイトは今回の脆弱性の影響を受けるのか知りたい
• WordPressが何年も更新されていない
• 今の制作会社では保守してもらっていない
• サイトの管理状況が分からない
• アップデートしても問題ないか判断できない

という方は、一度現在のWordPress環境を確認してみてください。

WordPressのアップデートやセキュリティ、バックアップ、保守についてお困りでしたら、MARUTTO WP保守までお気軽にご相談ください。

「まず何を確認すればいいのか分からない」という段階からでもご相談いただけます。

---