古い WordPress を放置すると何が起きる？　改ざん・乗っ取りと今日できること

古い WordPress のサイトでは、何が起きることがありますか？

公的機関と公式の文書に書かれている被害は、大きく 4 つです。どれも「必ず起きる」ものではありません。起きうることとして知っておくための一覧です。

JPCERT/CC の注意喚起は 2013 年のものです。改ざんの手口の説明として載せています。いまの件数を示すものではありません。

なぜ、古いプラグインや本体が攻撃に使われるのですか？

理由は、弱点（脆弱性）が見つかって直した版が出ると、その弱点の情報も世の中に出るからです。WordPress 公式の「Hardening WordPress」は、脆弱性が見つかり新しい版で直されたとき、それを突くための情報はほぼ確実に公開されている、と書いています。そのため古い版ほど攻撃に弱く、古い版にはセキュリティの更新も出ません。

• 個人情報保護委員会の資料：攻撃を企てる者は、公開された脆弱性の情報を集め、セキュリティの修正やアップデートを当てていないサイトに攻撃を仕掛ける、と説明しています。事例として、修正を速やかに当てなかったために不正アクセスを受け、個人データを盗まれた例を挙げています。
• WordPress 公式：よくある攻撃の 1 つは、古いプラグインやソフトの特定の脆弱性を狙った細工した通信です。もう 1 つは、パスワードの総当たりです。多くの攻撃は、悪意のあるプログラム（ボット）が自動で行う、とも書いています。
• IPA：「情報セキュリティ10大脅威 2026」の組織向けでは、「システムの脆弱性を悪用した攻撃」が 4 位です。

本体も同じです。IPA は 2026-07-22 に、WordPress 本体の脆弱性（wp2shell と呼ばれる 2 件）の注意喚起を出しました。影響を受けるのは 6.8 系から 7.0.1 までの一部の版です。IPA は、環境や設定によっては自動更新が有効でない、または失敗していることも考えられるとして、管理画面（ダッシュボード）で版が上がっているかを確かめ、上がっていなければ手で更新するよう案内しています。

「小さな店だから狙われない」とは言えません。個人情報保護委員会の資料は、こうした不正アクセスは企業の規模や業種に関係なく仕掛けられている、と書いています。警察庁の「令和８年上半期におけるサイバー空間をめぐる脅威の情勢等」も、ランサムウェアの被害企業の約 6 割が中小企業だとしています（サイトの改ざんとは別の攻撃の数字です）。

放置して被害が出たら、店は何を負いますか？

店が負うことは、主に 3 つです。個人情報の漏えいの報告と本人への通知、見た人への被害、検索結果の警告です。

個人情報が漏れたとき：報告と本人への通知

個人情報保護法の「個人情報取扱事業者」は、個人情報のデータベース等を事業に使う者です。個人情報保護委員会のガイドラインは、人数の多い少ないに関係なく、個人であっても当たる、としています。問い合わせや予約の記録を、名前で探せる形で持っているかが、確かめる目安になると考えられます。当たるかどうかは、ガイドラインか個人情報保護委員会の窓口で確かめてください。

個人情報保護委員会の案内では、民間の事業者が報告を義務づけられるのは、次の 4 つのどれかに当たる漏えい（そのおそれを含む）です。

• 報告の期限：知ってから速やかに速報します。ガイドラインは目安を「概ね 3〜5 日以内」としています。そのあと確報を、知った日から 30 日以内（不正の目的のおそれがある事案は 60 日以内）に出します。
• 本人への通知：報告の対象になる事態を知ったら、状況に応じて速やかに、本人に通知する義務があります（法第 26 条第 2 項）。通知が難しい場合は、本人を守るための代わりの措置をとります。
• 管理を頼んでいるとき：ガイドラインでは、扱いを委託している場合、原則として委託元と委託先の両方に報告の義務があります。委員会の資料は、委託元には委託先を監督する義務がある、とも書いています。

高度な暗号化などで個人の権利利益を守る措置がとられている場合は、報告は要らない、とガイドラインにあります。自分の店が当たるかの判断は、委員会のページとガイドラインの本文で確かめてください。

見た人への被害と、検索の警告

改ざんされたサイトは、見た人を攻撃サイトや不正なソフトウェアへ運ぶことがあります（JPCERT/CC・Google）。お客さまの端末に害が及ぶおそれがあります。

Google 検索ヘルプによると、既存のページが改ざんされた、またはスパムのページが足されたと思われるサイトには、検索結果に「このサイトは第三者によってハッキングされている可能性があります」と出ます。この表示は、サイトの持ち主が対処しない限り消えません。Search Console のヘルプには、検索結果に警告のラベルが付いたり、ブラウザに警告のページが出たりすることもある、と書かれています。直したあとは、Search Console の［セキュリティの問題］で再審査を求めます。

今日、何から手を付ければよいですか？

下の 5 つを、上から順に進めます。どれも WordPress 公式の文書か、個人情報保護委員会の資料に書かれていることです。

1. バックアップを取る。WordPress 公式は、データベースを含めて定期的に取るよう勧めています。ファイル一式とデータベースの両方を、決まった間隔で残す例も挙げています。たとえば週ごとに残していれば、5 月 1 日に侵入され 12 日に気づいても、侵入の前の状態が手元に残ります。更新の前にも取ります。
2. 本体・プラグイン・テーマを更新する。本体は 3.7 から自動更新があります。プラグインとテーマは 5.5 から、1 つずつ自動更新を選べます（プラグインの画面の「自動更新を有効化」など。画面の名前は変わることがあります）。自動更新が行われると、初期設定では持ち主にメールが届きます。PHP の版が古いと本体を上げられないことがあります。その場合はPHP の案内の記事を見てください。
3. 使っていないプラグインを削除する。WordPress 公式は、プラグインは常に更新し、使っていないなら削除するよう書いています。止める（無効化する）だけでなく、消します。
4. 管理者のパスワードと 2 段階認証。WordPress 公式は、推測されにくい強いパスワードに加え、2 段階の認証を使うのがよいと書いています。管理者の名前に admin のような推測しやすい語を使わないこと、も挙げています。
5. 誰が管理しているかを確かめる。個人情報保護委員会の資料は、まず、どんな仕組みを使い、誰が管理し、どんな対策をしているかを確かめるよう書いています。作った会社や知人に任せたままなら、ログインの情報・サーバーの契約・保守の契約の中身を確かめます。名義の確かめ方はドメインとアカウントの名義の記事、月額の保守契約の見直しは月額の契約の記事にまとめています。

何年も更新していないサイトを一度に上げると、表示が崩れたり、プラグインが動かなくなったりすることがあります。WordPress 公式の更新の手引きも、まずバックアップを取るよう書いています。自分で進めるのが不安なら、更新の前に、管理している人かサーバー会社に相談してください。

制作を頼んだ相手と話すときは、IPA の「安全なウェブサイトの作り方」（改訂第 7 版）が共通の資料になります。作る側と運営する側に向けて、よくある脆弱性と、運用での対策を解説しています。

被害に気づいたら、どこに相談しますか？

まず、サイトを管理している人とサーバー会社に連絡し、バックアップを確保します。そのうえで、次の公的な窓口に相談や報告ができます。名前と URL は、2026-11-03 に各公式ページで確かめたものです。

検索結果に警告が出ているときは、Search Console にサイトを登録し、［セキュリティの問題］で、ハッキングされた可能性のある URL の例を確かめます。Google 検索ヘルプは、原因を直さないと繰り返しハッキングされるおそれがある、と書いています。

乗り換えないと、安全にならないのですか？

いいえ。乗り換えは選択肢の 1 つです。WordPress のまま、管理する人を決めて、バックアップと更新を続ける道もあります。ブログを頻繁に書く店や、予約のプラグインを使う店は、WordPress のままが合うことも多いです。どちらが合うかは続けるか乗り換えるかの記事で、5 つの問いにしています。

ページを前もって作っておく静的なサイトにしても、ドメインやサーバー、アカウントの管理は残ります。「乗り換えれば何もしなくてよい」わけではありません。乗り換えるときの手順は乗り換えの手順の記事にまとめています。

ご自分で進める方は、この手順で大丈夫です。乗り換えを選んで作り直しを任せたい場合は、WordPress からの乗り換えのページに条件と範囲を書いています。新しいサイトの制作は 5万円です。今のサイトの更新や復旧、被害の調査、ドメイン代、ドメインの移管・メールの切り替え・旧サーバーの解約といった乗り換えの作業は、この 5万円に含みません。