WordPressの脆弱性診断のやり方｜無料チェックと専門診断の違い

WordPress セキュリティ 2026年8月25日読了 5分

「うちの WordPress は大丈夫か」を確かめる方法が脆弱性診断です。ただ、無料でできる範囲と専門業者による診断では、見ている対象がまったく違います。この違いを理解しないまま「スキャンして問題なしだったから安全」と判断してしまうのが、最も危険なパターンです。

この記事でわかること

脆弱性が生まれる4つの層
無料でできるチェックの具体的手順
無料チェックでは分からないこと
専門診断で実際に何を見るのか
自社サイトにどちらが必要かの判断基準

脆弱性が生まれる4つの層

WordPress の脆弱性は、大きく4つの層に分かれます。どの層を見ているかで、診断の意味が変わります。

WordPress 本体

本体そのものに脆弱性が見つかることがあります。頻度は高くありませんが、見つかった場合の影響は最も広く、プラグインを入れていない標準構成のサイトでも対象になります。修正版が公開されたら速やかに更新するしかありません。

プラグイン・テーマ

実際の被害で最も多いのがこの層です。本体を最新にしていても、更新の止まったプラグインが1つあれば侵入されます。特に危険なのは、開発が終了して長期間更新されていないプラグインです。

サーバー環境

PHP のバージョン、SSL の設定、ファイルの権限などです。サポートの終了した PHP を使い続けている場合、脆弱性が見つかっても修正が提供されません。

設定・運用

管理画面のURL、パスワードの強度、ユーザー権限の設計、不要なアカウントの放置などです。技術的な脆弱性ではありませんが、実際の侵入経路としては非常に多い層です。

無料でできるチェック

1. 管理画面の「サイトヘルス」

「ツール」→「サイトヘルス」で、PHP バージョン、SSL、更新状況などの基本項目が確認できます。まずここが「良好」でない場合、それ以前の問題です。

「改善が必要」と表示された項目は、内容を開いて具体的に何を指摘されているかを確認してください。多くは対処方法まで書かれています。

2. 使っていないプラグイン・テーマの棚卸し

ここは見落とされがちですが重要です。停止中のプラグインも攻撃対象になります。ファイルがサーバー上に存在する限り、直接アクセスされれば動いてしまうためです。

「いつか使うかもしれない」と残しているものは、削除してください。必要になれば再度インストールできます。テーマも同様で、使用中のもの以外は既定テーマを1つ残して削除するのが安全です。

3. 公開されている脆弱性情報との突き合わせ

WPScan などの脆弱性データベースで、使用中のプラグイン名とバージョンを検索すれば、既知の脆弱性の有無が分かります。使用しているプラグインが10個あれば、10個分を確認する作業になりますが、確実な方法です。

4. セキュリティプラグインのスキャン

Wordfence Security などには、公式ファイルとの差分を検出する機能があります。本体やプラグインが書き換えられていないかを確認できます。

ただし検出できるのは既知のパターンと、公式ファイルとの差分に限られます。この点が次章の限界につながります。

無料チェックの限界

ここまでで分かるのは、「既知の脆弱性が残っていないか」までです。次のような点は、無料の範囲では判定できません。

自作・独自開発のコード

オリジナルテーマや、制作会社が独自に作った機能は、公式ファイルとの比較ができません。そこに問題があっても、差分検出では絶対に見つかりません。独自開発の比率が高いサイトほど、無料チェックの網から漏れる範囲が広くなります。

実際に攻撃が通るかどうか

「このプラグインに脆弱性がある」と分かることと、「自社サイトの構成で実際に攻撃が成立する」ことは別です。設定次第で成立しない場合もあれば、組み合わせによって想定外に成立する場合もあります。

すでに侵入されている場合

巧妙に仕込まれたバックドアは、既知のパターンに一致しないため検出されないことがあります。さらに、すでに侵入されている場合は検出用のプラグイン自体が無効化されていることすらあります。

サーバー環境に起因する問題

同一サーバー内の他サイトからの侵入経路や、権限設定の不備は、WordPress の管理画面からは見えません。

専門診断で見る範囲

依頼して行う診断では、実際に攻撃リクエストを送って通るかどうかを確認します。主な項目は次のとおりです。

SQL インジェクション — データベースを不正に操作できないか
クロスサイトスクリプティング — 不正なスクリプトを埋め込めないか
ファイルアップロードの検証 — 画像以外のファイルを送り込めないか
認証・権限の迂回 — 権限のない操作が実行できないか
設定不備 — 公開すべきでない情報が見えていないか

特に自社で開発した機能がある場合、無料ツールでは判定できないため、診断の価値が大きくなります。フォーム、検索、絞り込み、会員機能など、ユーザーの入力を受け取る箇所が主な確認対象です。

どちらを選ぶべきか

無料チェックで十分なケース

公式プラグインと配布テーマのみで構成された会社案内サイト
個人情報を扱うフォームが問い合わせのみ
独自開発の機能がない

この場合、無料チェックを定期的に行い、更新を欠かさない運用の方が、単発の診断より効果的です。

専門診断を検討すべきケース

会員登録・ログイン機能がある
EC サイト、決済がある
自作のプラグイン・テーマを使っている
過去に改ざん被害を受けたことがある
取引先から診断結果の提出を求められた
官公庁・医療・金融など、事故時の影響が大きい分野

診断のあとにやるべきこと

診断は「その時点」の状態を見るものです。診断した翌日に新しい脆弱性が公表されれば、その時点で結果は古くなります。

したがって、診断以上に重要なのは継続的な運用です。

本体・プラグイン・テーマを更新し続ける
脆弱性が公表されたときに、自社サイトが対象か判断できる状態にしておく
復元できるバックアップを維持する

特に2番目は、管理サイトが複数ある場合に効いてきます。「どのサイトがどのバージョンか」を一覧で把握できていないと、緊急時の初動で数時間を失います。

まとめ

脆弱性は本体・プラグイン・サーバー・運用の4層で発生する
無料チェックで分かるのは「既知の脆弱性が残っていないか」まで
独自開発の機能は、無料ツールでは検証できない
診断は時点の確認。継続的な更新運用の方が重要

WordPressレスキューでは、無料チェックの範囲を一緒に確認するところから対応しています。「どこまでやるべきか分からない」という段階でもご相談ください。