先に結論：危ないのは WordPress ではなく、更新が止まること
WordPress は、いまも世界で広く使われている、よくできた仕組みです。更新を続けられるなら、使い続けてかまいません。私たちは「WordPress をやめるべきだ」とは言いません。
危ないのは、更新が止まったまま置かれている WordPress です。制作会社に作ってもらったあと、誰も更新していないサイト。プラグインを10個も20個も入れて、どれが何をしているのか分からないサイト。サーバーの PHP が古いままのサイト。こうしたサイトでは、新しい弱点が見つかっても、直す人がいません。
このページでは、何がどう危ないのかを、公開されている数字と公式の告知をもとに説明します。「必ずやられる」と断定する書き方はしません。弱点が残っていると、悪用される「おそれ」がある、という事実を、順に書きます。
更新が要る部品は5段ある
WordPress のサイトは、5つの部品が積み重なってできています。どの段も、作った人や会社が更新を出し続けないと、弱点が残ります。
- プラグイン（何十個も入っていることがあります）作者ごとに更新
- テーマ（サイトの見た目）作者か制作会社が更新
- WordPress 本体管理画面で更新
- PHP（WordPress を動かす言語）サーバーの設定で更新
- サーバー契約先が更新
- サーバー
- サイトのデータを置いて動かす機械です。契約している会社が、土台のソフトを更新します。
- PHP
- WordPress を動かす言語です。版ごとに、公式の更新が続く期間が決まっています。期間が終わった版には、新しい弱点が見つかっても修正版が出ません。
- WordPress 本体
- 管理画面や記事の仕組みそのものです。管理画面の「更新」から新しい版に上げます。
- テーマ
- サイトの見た目を決める部品です。作者や制作会社が更新をやめると、そのまま古くなります。
- プラグイン
- フォームや SEO など、機能を足す部品です。数が多いほど、更新を見る手間が増えます。使っていないのに残っているものも、弱点になりえます。
2025年の数字：弱点は1万1,334件、約9割がプラグイン
セキュリティ会社の Patchstack は、「State of WordPress Security 2026」で、2025年に見つかった WordPress まわりの弱点を数えています。その数は1万1,334件でした。そのうち約9割が、プラグインの弱点です。
ここで、ひとつ断っておきます。件数が多い、ということは、被害が増えた、ということと同じではありません。弱点を探す人が増えれば、見つかる件数も増えます。見つかって、直された弱点も、この数に入っています。
それでも、この数字から言えることがあります。WordPress のサイトで、弱点が見つかる場所の大半は、プラグインです。プラグインを何十個も入れ、更新を止めたサイトほど、直されていない弱点を抱えやすくなります。
2026年10月の PHP の欠陥
2026年10月21日、PHP の公式サイトが、PHP そのものに見つかった欠陥を告知しました。ログインなしで、第三者にプログラムを実行されるおそれがある、という内容です。
修正版は、PHP 8.2.35・8.3.36・8.4.27・8.5.12 です。いっぽう、8.1 以前の PHP は、公式の更新がすでに終わっています。新しい版番号での修正版は、出ません。
ここで大事なのは、これが PHP 側の欠陥だという点です。WordPress 本体やプラグインを最新にしても、PHP の欠陥は直りません。直すには、サーバーの PHP の版を上げる必要があります。サーバーの会社が、独自に修正を当てている場合もあるので、いま使っている PHP がどう扱われているかを、契約先に確かめる必要があります。
PHP の版を上げると、古いテーマやプラグインが動かなくなることがあります。更新が止まったサイトほど、「PHP を上げたいが、上げると壊れるかもしれない」という状態に陥りやすく、手が付けられないまま残ります。
いちばんの弱点：更新を見る人がいない
ここまでの話は、ひとつの結論にまとまります。いちばんの弱点は、特定の部品ではなく、更新を見る人がいないことです。
- サイトを作った制作会社と、連絡が取れなくなった
- 更新のお知らせは届くが、押してよいのか判断できない
- サーバー代と保守費を払っているが、誰が何を更新しているのか分からない
- 担当者が代わって、管理画面に入れる人がいなくなった
小さな会社やお店では、更新を見る専任の担当者を置けないのがふつうです。だからこそ、更新を続ける手間そのものを減らす、という選択に意味があります。
自分のサイトを確かめる手順
次の5つは、管理画面に入れる方なら、10分ほどで確かめられます。
- PHP の版を見る
管理画面の「ツール」から「サイトヘルス」を開き、「情報」の「サーバー」の欄に PHP の版が出ます。8.1 以前なら、公式の更新が終わった版です。
- 更新のお知らせの数を見る
管理画面の「ダッシュボード」から「更新」を開きます。本体・プラグイン・テーマの更新が、何件たまっているかを見ます。
- プラグインの一覧を見る
使っていないのに入っているプラグインがないか、確かめます。使っていないものは、削除します。
- テーマの作者が更新を続けているか見る
テーマの配布元のページで、最後の更新がいつかを見ます。何年も止まっていたら、赤信号です。
- 控え（バックアップ）から戻せるか見る
控えがあるだけでは足りません。実際に戻せるかが、更新の前に要る確認です。
管理画面に入れない場合でも、外から見える手がかりがあります。私たちの無料診断では、公開されているページだけを見て、PHP の版・テーマ・プラグインの痕跡・ページの本数を確かめます。管理画面やログイン画面には入りません。
EmDash に移すと、何が減るのか
EmDash は、Cloudflare の上で動く、新しい CMS（サイトの管理の仕組み）です。移すと、次のことが変わります。
- サーバーと PHP の更新を、自分で見る必要がなくなります（Cloudflare 側に任せる形になります）。
- プラグインを何十個も入れて、更新を追い続ける形から離れられます。
- 攻撃される入口が少なくなり、更新で確かめる所も減ります。
いっぽうで、EmDash 自体の更新は残ります。できて間もない仕組み（安定版 1.0 は2026年9月28日）なので、版を固定し、控えを取ってから当てる形にします。「移せば何も要らなくなる」とは言いません。手入れの種類が変わる、ということです。
PHP の古い版のまま移せずにいるサイトも、移行なら、PHP を上げる作業そのものが要らなくなります。
出典
- PHP 公式サイトのお知らせ（2026年10月21日）：php.net/archive/2026.php
- Patchstack「State of WordPress Security 2026」：patchstack.com/whitepaper/state-of-wordpress-security-in-2026
- EmDash 公式ドキュメント：docs.emdashcms.com