WordPress ユーザーのみなさん、こんにちは！
先日公開されました Wordfence による 2024 年 WordPress セキュリティレポートの内容を、WordPress 初心者〜中級者向けにできるだけ分かりやすく紹介します。
原文は英語ですが、ブラウザで翻訳することで誰でも読むことができます。ご自身で確認しながら読みたい方は、上記リンクを参照下さい。
さて、今回取り上げるのは Wordfence という WordPress プラグインを開発・公開されている組織から毎年発表されるセキュリティレポートの内容を翻訳をした上で皆さんに紹介します。
この記事を読むことで、
- 2024年の WordPress セキュリティに関する概要を知れる
- どんな方法で・どんな点を攻撃されているのか知れる
- WordPress ウェブサイトの安全性を高める最新の方法を知れる
これらの内容を知ることができます。
そして、最後に「WordPress セキュリティ対策〜これだけはやっておけ2025〜」リストも添えています。
そちらの内容を確認して、ご自身の取り組みと照らし合わせることで、現状と改善点を簡単に確認できるでしょう。ぜひ最後までお読みいただき、活用いただけるとうれしいです。
はじめに
Wordfence社が公開した「2024年 年次WordPressセキュリティレポート」によれば、2024年におけるWordPressの脆弱性や攻撃の動向には、重大な変化が見られました 。
ここでは、そのレポート内容をもとに、WordPressサイトを運営する初心者から中級者の方が押さえておくべき重要ポイントを紹介します。
2024年に公開された脆弱性の動向
公開されたWordPressの脆弱性件数が前年より68%増加
脆弱性とは、コンピュータやネットワークにおいて、サイバーセキュリティ上の問題となる可能性がある弱点のこと。
脆弱性の報告件数が大幅に増えたことは、見方によっては潜在的な血すくが拡大している可能性を感じることもできます。
しかし、報告がしやすい環境が近年整備されてきたという背景もあり、一概に報告件数が増えたから、WordPress の危険度が高まったと解釈するとは言い切れないと考えます。
これらを踏まえて、WordPress ウェブサイト管理者は、より頻繁なアップデートの実施やセキュリティ対策の強化に取り組みましょう。
報告された脆弱性の81%は深刻度「中程度」
大半の脆弱性は、中程度の深刻度であり、必ずしもウェブサイト全体が即座に危険にさらされるものではありません。
といっても、中程度とはいえ放置すれば悪用される可能性があるため、油断せず適切に対処をしていく必要があります。
深刻度が高い「高リスク」脆弱性は全体の7.4%のみ
影響が大きく悪用されやすい重大な脆弱性は一部に限られますが、その数は前年より大幅に増えています（前年より149%増）。
高リスクの脆弱性が見つかったプラグインやテーマなどを使っている場合には、早急な対策を施す必要があり、WordPress ウェブサイト運営者は最新情報に注意を日常的に払いつつ、迅速に対応することが求められます。
多くの脆弱性は悪用に「投稿者」レベル以上のユーザー権限が必要（投稿者権限要件が34%で最多）
攻撃者が脆弱性を突くには、ウェブサイト上で何らかの権限を持つ必要があるケースが多いということが言えます。
言い換えれば、不特定多数にユーザー登録を許可しない運用にしていたり、ユーザー権限を最小限に留めていれば、多くの脆弱性リスクを自然と提言させることができると考えられます。
全体の約68%の脆弱性は「多くのサイトにとって低リスク」と評価
公開された脆弱性のうち、約３分の２は、攻撃に高い権限やユーザー操作を必要とするため、直ちに大多数のサイトで深刻な被害につながるものではありません。
脆弱性の件数の増加＝全ウェブサイトの危険度情報 ではないという点においては安心材料となりますが、だからといって対策を怠って良いわけではありません。
適切な防御策があってこと低リスクに収まるという点はしっかりと理解しておきましょう。
主な脆弱性の種類とその特徴
最多の脆弱性タイプはクロスサイトスクリプティング（XSS）
攻撃者が送り込んだ悪意のコードをそのページを閲覧した不特定多数のユーザーに、スクリプト（簡易的なプログラム）として実行させる可能性があることを指します。
クロスサイトスクリプティング（XSS）脆弱性は、2024年で最も多く報告されています。
特に投稿者程度の権限があれば成立する XSS が多く（XSS 全体の56%）含まれています。
認証不要でユーザー操作も不要な深刻な XSS は全体の約 5.7 % と少数ですが、発見が遅れるとウェブサイトに悪意のあるスクリプトを埋め込まれかねません。
XXS は件数が多いため管理者は内容を理解し、該当するアップデートがリリースされたら速やかに適応することが重要です。
クロスサイトリクエストフォージェリ（CSRF）の脆弱性報告は減少傾向
ログインした利用者からのリクエストについて、その利用者が意図したリクエストであるかどうかを識別する仕組みを持たないウェブサイトは、外部サイトを経由した悪意のあるリクエストを受け入れてしまう場合があります。このようなウェブサイトにログインした利用者は、悪意のある人が用意した罠により、利用者が予期しない処理を実行させられてしまう可能性があります。
過去に多かった CSRF 脆弱性は相対的に少なくなってきています。
これは、開発者側で nonce の導入など対策が進んでいる表れで、WordPress 全体のセキュリティ成熟度が向上している兆候とも言えるでしょう。
しかし、依然として CSRF はゼロではないため、開発者はフォームや重要処理に CSRF 対策を実施し続ける必要があります。
「任意ファイルアップロード」や「権限昇格」は深刻な脆弱性で目立つ
これらの脆弱性は、攻撃者にファイルを自由にアップロードされたり、管理者権限を奪われたりする可能性があり、ウェブサイト乗っ取りに直結します。
実際に、2024年に報告された高リスク脆弱性の中で、任意ファイルアップロードが最も多く、次いで権限昇格が多かったことが確認されています。
このような重大な脆弱性が自分のウェブサイトで発見・公開された場合、直にパッチ対応（アップデート実施）や該当プラグインの無効化などの緊急措置を講じることが不可欠です。
プラグインとテーマのセキュリティリスク
WordPress本体(Core)は堅牢で、報告された脆弱性の約96%はプラグインに起因（残りは主にテーマ）
2024年に公開された脆弱性のうち、WordPress 本体に影響したものは５件のみと報告されています。ほとんどがプラグイン由来でした。
これはウェブサイトのセキュリティ上、プラグイン管理が最も重要なポイントであることを示しています。
WordPress コア自体は成熟して比較的安全性が高いため、ウェブサイト運営者は導入するプラグイン選びや、その後の管理（更新や削除）に特に注意を払う必要があるでしょう。
報告された脆弱性の35%は2025年になっても未修正のまま
３割以上の脆弱性は、開発者から修正アップデートが提供されておらず、放置されています。
これは一部のプラグイン/テーマ開発者が脆弱性報告に対応していないことを意味しており、利用者側での注意が必要となります。
未修正の脆弱性が公表された場合は、WAF（Web Application Firewall）で防御策を講じつつ、問題のプラグインを他の安全なものに置き換えるなど、ウェブサイト管理者が対処しなければなりません。
プラグイン選定時には、開発者が定期的に更新しているか、サポートが継続されているかといった点も確認するようにしましょう。
脆弱性の58%はインストール数1万未満のプラグイン/テーマで発見、一方でインストール数5万以上の人気プラグイン由来も約19%存在
脆弱性の過半数は、比較的利用者の少ないプラグインで見つかっています。
利用者が極めて少ないプラグインでは、開発の目が行き届かず、脆弱性が潜んでいることが多い反面、影響範囲は限定的です。
一方、利用者の多い有名プラグインにも２割程度の脆弱性が含まれており、数は少なくても影響は広範囲に及ぶ可能性があります。
ウェブサイト運営者は「知名度が低いから安全」でも「有名プラグインだから安心」でもないことを認識して、どんなプラグインでも更新の有無や脆弱性情報に注意を払う必要があることを理解してください。
2024年に観測された攻撃トレンド
Wordfenceは2024年に約540億件の悪意あるリクエストと約550億回のパスワード攻撃をブロック
世界中の WordPress ウェブサイトに対する攻撃（特に自動化されたボットによる攻撃）が桁違いの頻度で発生しています。
膨大な量の総当たりログイン試行や脆弱性スキャンが日常的に行われているため、自分のウェブサイトも例外ではなく、常に攻撃対象になり得ると考えておかなければなりません。
適切なセキュリティプラグインやファイヤーウォール設定で、このような大量攻撃からサイトを防御することが重要です。
最も多くブロックされた攻撃はXSS攻撃（約90億件）、次いでSQLインジェクション（約11億件）
実際に観測された攻撃では、クロスサイトスクリプティング（XSS）を狙った悪質なリクエストが最も多く検出されています。
これは XSS 脆弱性が依然として攻撃者にとって魅力的な標的であることを意味し、サイト運営者は XSS の脆弱性情報に注意して、速やかに対策する必要があります。
また、SQL インジェクション攻撃も依然多いため、データベースに関わるプラグインなどの更新や対策（プレースホルダの使用など）も引き続き必要でしょう。
特定プラグインの脆弱性が集中的に狙われる例も発生
例えば、2024年に最も攻撃の標的となった既知の脆弱性は「LiteSpeed Cache <= 6.3.0.1」の未承認権限昇格脆弱性でした。
非常に普及しているキャッシュプラグインに深刻な脆弱性が見つかったため、世界中の攻撃者がこれを集中的に悪用しようとしました。
幸いこの脆弱性は悪用の難易度も高かったものの、人気プラグインで重大な脆弱性が見つかると、一気に攻撃が拡大することがわかります。
ウェブサイトで利用中のプラグインに脆弱性が報告された場合、例えば、まだ攻撃が起きていなくても油断せず、直ちにアップデートや対策を行うことが肝要です。
パスワード攻撃は減少傾向、一方で脆弱性を突く攻撃が増加
単純なパスワード総当たりなどログイン攻撃の割合が以前より減り、代わりにプラグインやテーマの脆弱性を悪用する攻撃が増えています。
これは、WordPress 全体のセキュリティ意識向上（強力なパスワードやログイン保護の普及）により、簡単な攻撃が効きづらくなり、攻撃者が別の手口にシフトしていることを示しています。
ウェブサイト管理者は、引き続きログイン対策（強固なパスワードや二要素認証のド運輸など）を怠らないと同時に、テーマやプラグインの脆弱性対策（迅速なアップデートや WAF の導入など）にも重点をおく必要があります。
2025年に向けたセキュリティ対策チェックリスト
脆弱性報告の増加傾向は今後も続くと想定し備える
バグを見つける取り組みの活性化や CNA による報告体制の整備により、2025年も引き続き多くの脆弱性が発見・公開される見込みです。
膨大な脆弱性情報に戸惑うかもしれませんが、数が増えても大半は適切な防御策を講じていれば深刻な脅威とならないことが、このレポートでも強調されています。
最新情報にアンテナを張りつつも、過度に恐れず基本的なセキュリティ対策を着実に実行しましょう。
WordPress本体・プラグイン・テーマのアップデートを怠らない
攻撃者は公開された脆弱性情報を元に、迅速に攻撃を仕掛けてきます。
実際、人気プラグインの脆弱性が報告された途端に攻撃が集中するケースもありました。
開発元からセキュリティ修正アップデートが出たら、速やかに適用することが、ウェブサイトを守る最前線の防御策となります。
特に重大な脆弱性の場合、アップデート提供前でも一時的にプラグインを無効化することも検討が必要でしょう。
多層防御（Defense in Depth）を実践する
単一の対策だけで全ての攻撃を防ぐことは困難です。
この Wordfence のレポートでも「レイヤードセキュリティ（多層防御）は2025年以降も効果的である」と指摘されています。
具体的には、WAF の導入、信頼できるセキュリティプラグインの活用、定期的なマルウェアスキャン、重要データのバックアップ、不要な機能の無効化など、複数の対策を組み合わせましょう。
こうした多層的な防御により、一つの層が突破されても他の層で被害を食い止められる可能性が高まるからです。
セキュリティプラグインのファイアウォール＆スキャナー機能を活用する
調査から未修正の脆弱性が残るケースが少なくないことがわかっています。
そうした脆弱性からウェブサイトを守るためには、WAF で外部からの攻撃を遮断し、脆弱性スキャナーで問題のあるプラグインを検知することが効果的です。
攻撃トレンドの変化に備え、常に学習と情報収集を続ける
攻撃者の手口は WordPress 全体のセキュリティ向上に伴い、日々変化しています。
そのため、ウェブサイト運営者の最新の脅威トレンドやセキュリティ情報に継続的に目を配ることが重要です。
セキュリティ教育と意識向上が、今後の WordPress セキュリティ改善の鍵であると、レポートでも強調されています。
具体的には、信頼できる情報源（WordPress 公式ブログなど）をフォローし、新たな脆弱性や攻撃キャンペーンの情報を得たら、ウェブサイトに適応可能な対策を見当しましょう。
知識をアップデートし続けることで、未来のリスクに対しても一歩先手を打つことができます。
ログイン周りの基本セキュリティも引き続き徹底する
パスワード攻撃の総数は減少傾向であるとはいえ、2024年だけで 550 億回以上ものログイン攻撃がブロックされており、依然として虫できない脅威です。
強力なパスワードを設定し、可能であれば二要素認証（2FA）を導入することで、不正ログインによる被害リスクを大幅に下げることができます。
また、ログイン試行回数制限プラグインの利用や管理画面 URL の秘匿化なども有効です。
これらは古典的な対策ですが、依然として重要であり、基本を固めておくことで自動ボットによる大半の攻撃を防ぐことができます。
要点まとめ – WordPress セキュリティ対策〜これだけはやっておけ2025〜
ここまで「Wordfence2024年次セキュリティレポート」の内容を分かりやすく紹介してきました。
ここまで紹介してきた内容から、2025年において WordPress ウェブサイトを安心して運用するために必要なことを以下にまとめます。
プラグインとテーマは「信頼できるものだけ」に絞る
- 公開されている脆弱性の 96% 以上がプラグインやテーマ由来
- 選ぶ際には…
- レビュー数や更新履歴を確認
- 数ヶ月以上更新されていないものは避ける
- 無名プラグインより実績のあるものを選ぶ
すべてのアップデート（WordPress本体・プラグイン・テーマ）をこまめに確認して適用する
- せっかく脆弱性対応が施されていても、適用しなければ意味がない
- 更新通知があれば早期対応を意識する
- 自動更新設定の活用も検討する
不要なプラグイン・テーマは削除する（停止ではなく削除）
- 無効化されていても、脆弱性のあるプラグインは攻撃対象になる可能性がある
- 使用していないものは「無効化」ではなく「削除」を
- 使い勝手が良くても、サポートが終了していれば別の選択肢を検討する
セキュリティプラグイン（WAFやスキャナー機能つき）を導入する
- 未修正の脆弱性からウェブサイトを守るには人の目だけでは不十分な場合がある
ログイン保護を徹底する（強固なパスワード・2段階認証）
- 2024年だけで 550 億回以上のログイン攻撃が観測され、多くは自動化された総当たり攻撃
- パスワードが強固なものを設定
- ２要素認証の導入を検討
- ログイン試行回数制限も有効
ユーザー権限の管理を厳格に行う
- 脆弱性の多くが「投稿者以上」の権限を必要とするもの
- ユーザーが多いとリスクも増す
- ウェブサイトに登録できるユーザーを制限（誰でも登録可能は避ける）
- 権限は必要最小限に
- 管理者アカウントは極力１つに、使い回しがダメ絶対
定期的なバックアップを忘れずに
- 万が一、被害を受けた場合でもバックアップデータがあれば復旧できる
- プラグインで自動バックアップを設定
- 保存先は外部（クラウドやPC）にも確保
不審な動きがないか「定期的に管理画面やログを確認」する
- 攻撃されても気づかないケースが多い。早期発見で被害を最小化する。
- セキュリティプラグインの導入
- 不審なログイン履歴、管理者以外のアカウント増加などに注意
知らない脆弱性にも備える「多層防御」を意識する
- １つの対策だけでは万全ではない。複数の対策を施して、突破されても他の層で食い止める
- WAF + 強固なパスワード + 定期的なスキャン + 最小限のプラグイン構成など
「セキュリティの情報を仕入れる」習慣を持つ
- 攻撃手法は日々進化する。古い知識だけでは守れない。
- できるだけ一次情報に触れよう
- 信頼できる日本語メディア・専門家の SNS も有用
2025年の執筆時に最適と考えられる方法をまとめました。
これまで作り上げ・育て上げてきた WordPress サイトを、ちょっとしたことで失ったり被害を受けるのはとても悲しいですよね。
できるだけの対策を行って、安心・安全にウェブサイト運営を続けていきましょう！
