1. なぜ WordPress が狙われるのか
全 Web サイトの 約 43% が WordPress で動いています (W3Techs 統計)。 これは圧倒的なシェア。 攻撃者にとっては 1 つの脆弱性を見つけると数百万サイトを攻撃できる ターゲットになります。
さらに WordPress の特性が攻撃を容易にしています:
- プラグイン文化: 平均 20+ のプラグインを入れるサイトが多く、 1 つでも古いと侵入経路に
- 個人運営サイトの多さ: セキュリティ知識のない運営者が多く、 更新を放置しがち
- 管理画面 URL が標準化:
/wp-admin,/wp-login.phpで誰でも特定可能 - 古いテーマ / プラグインの放置: メンテナンス停止された製品が現役で使われている
2. 過去の重大脆弱性事例 5 件
バージョン 5.3.2 未満で 無制限ファイルアップロード脆弱性。 攻撃者は PHP シェルをアップロードしてサイト乗っ取り。 500 万サイト以上がインストール、 影響が国内中小企業の WP サイトに広範に及んだ。
バージョン 6.9 未満で 認証なしのリモートコード実行。 攻撃者は管理者権限なしでサーバー上の任意ファイルを操作。 数百万サイトが マルウェア配布の踏み台 に。
人気ページビルダー Elementor Pro の脆弱性で、 攻撃者が 管理者アカウント作成 可能に。 他プラグインとの組み合わせ攻撃で 1 ヶ月で 30 万サイト被害。
500 万サイト超で利用される高速化プラグインの 権限昇格脆弱性。 ハッカーが管理者として任意操作可能、 世界中で大規模なサイト改ざんキャンペーンが発生。
WordPress 本体の REST API 脆弱性で 認証なしのコンテンツ書き換え。 攻撃者が記事を改ざんし、 150 万件以上のページが書き換えられる大規模事件に発展。
重要なのは これらすべて「修正パッチがリリースされていた」 こと。 更新を当てていなかったサイトだけが被害に遭いました。
3. 攻撃の典型パターン 4 つ
サイトに 悪意ある JS を埋め込み、 訪問者にウイルス感染や偽ソフトインストールを誘導。 Google は 「危険サイト」マーク を付け、 訪問者は警告画面で離脱。
サイトに 偽の銀行ログイン画面 や偽 EC を埋め込み、 訪問者のパスワード / カード情報を盗む。 自社サイトが 犯罪インフラに。
訪問者には見えない隠しテキストで 違法商品 / アダルト系のリンクを大量に埋め込み、 攻撃者のサイトの SEO 評価を上げる。 結果あなたのサイトの Google 評価が悪化。
訪問者のブラウザで 仮想通貨マイニングスクリプトを実行、 攻撃者の収益化。 訪問者の PC が重くなり、 即離脱 + 悪評につながる。
4. 最低限の自衛策
- 自動更新を ON: WordPress 本体 + プラグイン + テーマで自動更新を有効化。 重大セキュリティパッチは自動適用。
- 不要プラグインを削除: 使ってないプラグインも 脆弱性の温床。 完全に削除 (無効化だけでなく)。
- 管理画面の URL 変更:
/wp-adminを別 URL に。 WPS Hide Login プラグイン等で対応。 - 強い管理者パスワード + 2FA: 12 文字以上のランダム + 2 段階認証。 Brute force 攻撃の主要防御。
- 定期バックアップ: 週次でフルバックアップ + 別サーバー保管。 ハッキング後の復旧の鍵。
- セキュリティプラグイン導入: Wordfence / iThemes Security 等で侵入検知 + ログイン試行制限。
5. プラグイン選びの目利き
新規プラグイン導入時のチェックポイント:
- 最終更新日: 6 ヶ月以内に更新されているか (放棄プラグインは避ける)
- インストール数: 1 万以上は信頼の指標 (少数派は人柱リスク)
- レビュー評価: 4.0 以上 + 直近のネガティブレビューが無いか
- WordPress.org 公式ディレクトリ: 公式以外からのインストールは慎重に
- 過去の CVE 履歴: WPScan で過去脆弱性を確認
- 開発元の素性: 個人開発か企業開発か、 メンテ体制の強さ
6. ハッキング後の復旧フロー
万一ハッキングされた場合の対応:
- 即座にメンテナンスモード: 訪問者の二次被害を防ぐため、 サイトを公開停止
- 全パスワード変更: WordPress / FTP / DB / レンタルサーバー管理画面
- 侵入経路の特定: アクセスログ / WordPress ログ / プラグインの脆弱性履歴
- マルウェア除去: Wordfence Scan / Sucuri SiteCheck で侵入物検出 + 削除
- バックアップから復元: 侵入前の正常バックアップから戻すのが最も確実
- Google Search Console から再審査: 「危険サイト」マークの解除申請
- 侵入経路を塞ぐ: パッチ適用 + 不要プラグイン削除 + 設定見直し
- 専門家への相談: 自力で難しい場合は IT インフラ専門家へ
復旧には通常 1-2 週間。 ただし Google の警告マーク解除 はさらに数週間。 売上 / 信用への影響は数ヶ月続きます。 だからこそ 予防が圧倒的に重要 です。
7. まとめ
- WordPress は シェアが大きいからこそ攻撃者の主要ターゲット
- 過去の重大脆弱性 (Contact Form 7 / File Manager / Elementor 等) はすべて パッチ済 だった
- 攻撃パターンは マルウェア配布 / フィッシング / SEO スパム / マイニング
- 自衛は 自動更新 + 不要削除 + 強パスワード + 2FA + バックアップ + セキュリティプラグイン
- 本ツール (Chrome 拡張) で WP / PHP / 主要プラグインのバージョンを 1 クリック照合