セキュリティ
【セキュリティ】WordPressが狙われる理由と、最低限の防御
2026年8月17日
この記事はAIが下書きを作成しています。内容に誤りに気づいた場合はお問い合わせよりお知らせください。
レン
VPSにWordPress入れたよ！これでブログが書ける！
ウィルスン
WordPress…ワタシにとって最も『効率の良い』標的だ。世界のサイトの相当な割合がWordPressで動いている。つまり、1つの攻撃手法を用意すれば、それが無数のサイトに通用するのだよ。だから狙う価値がある。
レン
人気だからこそ狙われるのか…！
プロクラ
その通り。WordPress自体が脆弱なわけじゃなくて、利用者が多いから攻撃の対象になりやすいんだ。逆に言えば、基本的な対策をしておけば、狙われても弾ける。
守りは「重ねる」のが基本
攻撃
ファイア ウォール
不要な入口を塞ぐ
SSH 鍵認証
総当たりを無効化
OS更新
既知の穴を埋める
サーバー
1つ破られても次の層で止まる。どれか1つでは不十分
1. ログイン画面を守る
- 管理者のユーザー名を admin にしない（総当たりの第一候補）
- 強固なパスワード + 二段階認証プラグインの導入
- ログイン試行回数を制限する（Fail2banのwordpress jailも有効）
- 可能なら wp-login.php へのアクセスをIP制限する
2. プラグイン・テーマの管理
プロクラ
実は、WordPress本体よりもプラグイン経由の侵入の方がずっと多いんだ。使っていないプラグインは無効化ではなく削除する。更新が長期間止まっているプラグインは、脆弱性が放置されている可能性が高いから避けよう。
ウィルスン
そう、ワタシが探すのは本体ではなくプラグインの穴だ。『3年前から更新されていないプラグイン』を見つけたときの喜びといったら…！
3. その他の基本
- 本体・プラグイン・テーマを常に最新に保つ（自動更新の有効化）
- wp-config.php の権限を絞る（600）
- 定期バックアップ（改ざんされたときに戻せる状態にしておく）
- SSL/TLSを必ず有効化する