本当の問題は脆弱性ではなく23%でございます — 直しても直らないサイト

セキュリティの記事は、いつも最後が同じでございます。「最新版に更新してください」。正しいご指摘なのですが、不思議なことに事故は起き続けます。修正版はすでに出ているのに、でございます。

2026年の数字を見ますと、その理由が見えてまいります。

1. 三つの数字

• WordPressプラグインの脆弱性公開 — 週250件以上
• そのうち認証なしで悪用できるもの — 43%
• 公開から30日が過ぎても修正されていないもの — 23%

まず一つ目から。週250件ということは1日あたり35件以上でございます。サイト一つにプラグインが10〜20入るのが普通でございますので、ある週に自社サイトのプラグインが一覧に載る確率は、決して低くございません。

二つ目、43%はログインすら必要ございません。 管理者のパスワードをどれほど複雑にしても意味をなさない種類でございます。パスワードを尋ねずに入ってまいります。

そして三つ目の数字が、この記事の主題でございます。

2. 23%という数字の意味

脆弱性が公開されるということは、攻撃の方法も一緒に知られるということでもございます。実際、7月のコアの脆弱性（wp2shell）でも、公開された実証コードが出た途端に大規模なスキャンが始まりました。

ですから、公開日から更新日までの期間は「知られている扉を開けたまま過ごす時間」でございます。その時間が、4件に1件で30日を超えます。

脆弱性は、見つかればたいてい数日で直ります。直らないのはサイトのほうでございます。

3. なぜ30日経っても更新されないのか

怠慢ではございません。実際の現場には、こうした事情がございます。

誰も担当ではございません

ホームページを作るときには制作会社がおりました。納品が終われば、その関係も終わります。以後サイトは「問題が起きたらそのとき連絡するもの」になります。脆弱性は、問題が起きたという合図を出しません。静かに開いているだけでございます。

更新が怖くなります

一度でもプラグインを更新して画面が崩れた経験がおありですと、その後は手を触れなくなります。「いま動いているのだから触らないでおこう」となります。この判断は、実のところ理にかなっております。目の前の損（サイトが崩れる）は確実で、セキュリティの危険は目に見えないからでございます。

何を更新すべきか分かりません

管理画面に「更新3件」と出ていても、そのどれがセキュリティ修正で、どれが機能追加なのかは分かりません。全部押すのは怖く、押さないのも気にかかります。

4. 自動更新は答えになるか

半分はなります。WordPressはコアのセキュリティリリースを自動で適用いたしますし、2026年7月には深刻度の高さから強制的な自動更新まで発動いたしました。これは明らかに良いことでございます。

ただし自動更新には限りがございます。

• テーマやプラグインと衝突すると画面が崩れます。 そして崩れたことに誰も気づかないまま数日が過ぎます。夜間に適用されることが多いためでございます
• 開発が止まったプラグインには、自動更新すべき修正版そのものがございません。 この場合に必要なのは更新ではなく、置き換えるか外すかという判断でございます
• 設定が原因の脆弱性は、更新では解決いたしません。 決済プラグインのWebhook署名の未設定などがそれにあたります

つまり自動更新は「押す作業」を代わってくれるだけで、「判断する作業」と「確認する作業」は残ります。

5. そこで必要になること

まとめますと、必要な作業は三つでございます。難しくはないのですが、続ける必要がございます。

• 週に一度、脆弱性の一覧を自社サイトのプラグインと突き合わせる
• 更新の前に戻せる状態を用意し、更新の後に画面を確認する
• 開発が止まったプラグインは、更新ではなく整理の対象として判断する

この三つを事業主様がご自身でなさるのは難しいことと存じます。本業が別にございますためです。かといって社内にウェブのご担当者を一名置くとなりますと、年間の人件費がホームページの制作費の何倍にもなってまいります。

6. THEVOSのやり方

弊社はホームページをお作りしたあと、1年間は無償で保守をお引き受けしております。上の三つはその中に含まれております。作って終わりにしない理由は単純でございます。作ったあとのほうが長いからでございます。

また弊社の自社CMSであるVosCMSは、機能を外部プラグインではなく自社モジュールとしてコアの中で作ります。更新すべき対象が方々に散らばらず、修正が必要になれば他社の修正版を待ちません。

WordPressが良くないという話ではございません。世界でもっとも使われているのには理由があり、きちんと運用すれば見事に動きます。ただ「きちんと運用する」の中に毎週くり返す作業が含まれていること、そしてその作業を誰が担うのかを最初に決めておく必要があること — これが23%という数字の伝えている内容でございます。

参考 — 2026年のWordPressプラグイン脆弱性統計、IPA注意喚起（2026年7月22日）、WordPress.orgによる強制自動更新の発動（2026年7月）