Wordfenceの2026年第2四半期レポートは、公開されたWordPress脆弱性2,073件、うち高脅威182件、ブロックしたブルートフォース攻撃182億回、感染サイト57万3,000件と報告しました。中小企業がまず見るべきは、プラグイン更新の滞留・管理者アカウント・ログイン試行回数の3点です。
セキュリティ企業Wordfenceが2026年9月30日に公開した第2四半期の脅威レポートによると、この3か月間だけでWordPress関連の脆弱性が2,073件公表され、うち182件が「高脅威」に分類されました。同社のWAFは104億回の攻撃を、ログインの総当たり（ブルートフォース）は182億回をブロックし、57万3,000件の感染サイトを検出しています。自社サイトが小さいから狙われない、という前提はもう成り立ちません。
Wordfenceの四半期レポートは何を示しましたか？
2026年9月30日に公開された「Quarterly WordPress Threat Intelligence Report – Q2 2026」の主な数字は次のとおりです。いずれも1四半期（3か月）分の集計です。
| 公表された脆弱性 | 2,073件 |
| うち高脅威に分類 | 182件 |
| WAFでブロックした攻撃 | 104億回 |
| ブロックしたブルートフォース | 182億回 |
| 検出された感染サイト | 57万3,000件 |
1日あたりに直すと、脆弱性は約23件が新たに公表され、ログインの総当たりは2億回規模で発生している計算になります。攻撃は特定の企業を狙うのではなく、インターネット上のWordPressサイトを機械的に総当たりする形で行われているとみられます。
なぜ中小企業のサイトが標的になるのですか？
脆弱性の大半はWordPress本体ではなく、プラグインやテーマ側で見つかります。攻撃者は「どのプラグインのどのバージョンに穴があるか」を公開情報から把握し、その条件に合うサイトを自動で探します。会社の規模や知名度は判定条件に入っていません。
そのうえで、更新が止まっているサイトは条件に合致し続けます。パッチが出た脆弱性ほど攻撃コードが出回りやすく、公開から数時間〜数日で攻撃が始まる例も珍しくありません。57万3,000件という感染サイト数は、更新が追いつかないサイトがそれだけ残っていることを示しています。
182億回のブルートフォースは何を意味しますか？
ブルートフォースは、脆弱性がなくても成立する攻撃です。ログインページに対してIDとパスワードの組み合わせを機械的に試し続けるだけなので、サイトの作りに関係なく実行されます。管理者IDが「admin」のままだったり、パスワードが他サービスと使い回しだったりすると、突破される可能性が高まります。
対策は単純で、二要素認証の有効化、ログイン試行回数の制限、管理者アカウントの棚卸しの3点です。いずれも無料のプラグインや多くのレンタルサーバーの標準機能で実現できます。乗っ取られた後の復旧費用と比べれば、作業時間は圧倒的に短く済みます。
中小企業は今日何をすべきか
- 管理画面「ダッシュボード > 更新」を開く。本体・プラグイン・テーマに更新通知が出ていないか確認し、まずバックアップを取ってから更新します。更新できない古いプラグインは、使っていなければ停止ではなく削除してください。
- 「ユーザー」一覧で管理者権限のアカウントを数える。退職者・元制作会社・見覚えのない名前が残っていないかを確認し、不要なものは削除または権限を下げます。ここが増えていた場合は侵入の痕跡である可能性があります。
- ログインの保護を確認する。二要素認証が有効か、ログイン試行回数の制限がかかっているか、管理者のパスワードが他サービスと使い回しでないかを点検します。判断がつかない場合はWP守るの無料WordPress安全診断で現状を確認できます。
よくある質問
小さな会社のサイトでも本当に狙われますか？
狙われます。Wordfenceが1四半期で182億回のブルートフォースをブロックしている通り、攻撃は人が選んで行うのではなく、脆弱なバージョンを自動で探す仕組みで行われます。規模や業種は選ばれません。
プラグインは全部すぐ更新して大丈夫ですか？
原則は早く更新するほど安全ですが、表示崩れの可能性があるため、必ず先にバックアップを取得してください。決済やフォームなど重要機能がある場合は、検証環境で確認してから本番に反映するのが安全です。
すでに改ざんされているか、どうすれば分かりますか？
管理者ユーザーが増えていないか、ログイン後のダッシュボードに見覚えのないプラグインがないか、Google検索で自社名を検索して無関係なページが出ていないかの3点をまず確認してください。1つでも該当したら、サイトを止めて専門業者に相談することをおすすめします。
出典
