ミニこれしり「ウェブサイト制作の現場から」より
出演：大串肇（めがね／mgn代表） × かねきよ（mgn）
📺 動画で観る：https://www.youtube.com/live/IQD1DuPhOYI
この回で話していること（約200文字）
情報漏洩のニュースが続くなか、WordPressのサイトはどこまで守れば安心なのか。保守を担当するかねきよの不安をきっかけに、mgn代表のめがねと話しました。AIで攻撃も脆弱性の発見も加速している現状、防犯にたとえた「どこまでやるか」の考え方、個人情報を持たない設計、脆弱性の報告が急増している背景、そして自動更新をどこまで任せるかまで話しています。
結論
①「これで大丈夫かな」という不安は、持っていて正しい。 脆弱性がまったくないシステムはまずありません。サーバー、PHP、WordPress、プラグインがそれぞれ更新されていくなかで、誰も想定していなかった組み合わせが穴になることもあります。
②対策は防犯と同じで、終わりはない。 鍵を二重にしても、監視カメラを付けても、入られるときは入られる。だからこそ、漏れて困る情報をそもそも持たない設計と、戻せるバックアップが効いてきます。
③脆弱性の報告が増えているのは、悪いことばかりではない。 見つかって塞がれる量が増えたということです。ただし公開された瞬間から、更新していないサイトは「攻撃方法が分かっている状態」になります。
そのうえで現実的な線引きは、自動更新にできるところは自動にしてしまうこと。WordPressのマイナーアップデートはもちろん、信頼できる作者のプラグインや見た目に影響しにくいプラグインは積極的に自動更新へ。よく分からない方であれば全部自動更新にして、多少表示が崩れてもハッキングされるよりはまし、と考えるのも一つの判断です。
特徴的だった会話
1. 「どこまでやればいいんだろう」という不安
かねきよ：普通のテレビのニュースやネットのニュースでも、こういう情報がいっぱい出てきていて。私たちはお客様のサイトの保守をしているので、最低限、私たちの知識で分かることは対応しているつもりなんですけど、それで大丈夫なのかな、どこまでやればいいんだろうっていう不安があると思いました。
めがね：いや、もう今で言うと、その不安を持っていることの方が正しいと私は思っています。
2. 悪意も善意もなく、命令に忠実なAI
めがね：普段使うClaudeやChatGPTだと、「A社のサイトにハッキングを仕掛けてください」と言っても、そういうのは良くないのでできません、というガードレールが設定されているはずなんですよね。ただ、オープンソースで提供されているものや、自分のパソコンで動かすAIにもすごく賢いものが出てきていて、そういったものにはガードレールがない。言われたことに純粋に忠実に働くAIが、結果として漏洩につながることがあり得るそうです。
めがね：聞いた話だと、AIに「この日に予約しといて」とお願いしたら、AIがサイトに行って予約しようとした。そしたらその時間には他の人の予約が入っていた。ここでAIは諦めるのではなく、よし頑張ろうとなって、予約システムの中に入り込んで、同じ時間の他の人の予約を削除して、依頼された人の予約を入れた、みたいなこともあるそうです。意図せずですけどね。
3. 防犯設備をどこまで付けるか、と同じ話
かねきよ：今は、WordPressのマイナーアップデートを自動化してセキュリティアップデートは自動で当たるようにしていることと、セキュリティ系のプラグインを入れておくこと。プラグインもセキュリティアップデートが来たらなるべく早く更新して、不正ログインを防ぐためにIP制限や二要素認証を付けたり。基本的なことですけど、やってはいます。
めがね：まずそこからやりましょう、って感じですよね。どこまでやったらいいかは、非技術者の方にも伝わるように言うなら、家の空き巣対策の防犯設備をどこまでやったらいいか、とほぼ同じだと思うんですよね。
めがね：最初は玄関の鍵をディンプルキーにする。ディンプルキーを2個にする。窓のロックも二重にする。でも窓を割られたら仕方ないから窓にフェンスを付ける。フェンスは物々しいから監視カメラを付けよう、セコムを入れよう。じゃあそこまでしたら大丈夫かと言うと、それでも入られるときは入られそうじゃないですか。
4. 漏れて困る情報を、そもそも持たない
めがね：データのバックアップは絶対必須でしょうし、特にWordPressの場合は、個人情報を持たなければならない状態ってそれほどないはずなんですよね。ユーザー情報もIDとパスワードが主ですから、IDを個人名じゃなくしておけばメールアドレスだけ。パスワードは基本ハッシュ化されています。記事は公開されている情報なので、漏洩とは言いません。
めがね：ありえそうなのは、メールフォームで受信した内容をWordPressに保存するタイプのプラグインですよね。情報が漏洩したときには、それが漏れてしまいました、ということになり得ますから。そうはせずに、送信先のメール側でスプレッドシートに書き移す仕組みを作るなどして、WordPressはあくまで送信するだけにする方が安全かなという気がします。
5. 「脆弱性って、なんで埋まらないんだ」
めがね：脆弱性って、なんで埋まらないんだって思いません？ お客様は言われた通りに難しいパスワードを使って、何の問題もなく運営している。にもかかわらず脆弱性が発表されて、対応しないとハッキングされてしまう。なんか不良品を納品されているような気持ちになりません？
かねきよ：いわゆるバグみたいなイメージ。
めがね：そうそう。でも、納品されたWordPressのサイトで動くプラグインのすべてを、その開発者が作ったわけではまずないですよね。WordPress自体もオープンソースで、さらにそれを動かすサーバーやPHP、MySQLといったものも、これまでの人類の積み重ねでできあがったものを使っている。
めがね：納品したときには問題がない状態だとしても、1か月、2か月と経つと、それらが順々にアップデートされていく。それぞれの人が想像しない組み合わせで、それとそれが組み合わさったら脆弱性になった、ということもあり得るわけです。なので、脆弱性がない状態というのは多分ない、と思った方がいいのかなと。
6. 報告が増えたのは、見つかって塞がれる量が増えたということ
めがね：AIと一緒に調べたレポートなんですけど、2026年の春に脆弱性の報告者全体が65%増えていて、初めて報告した人も290人。2025年は89人から136人だったので、すごく増えました。WordfenceやPatchstackといった会社が報告を受け取って、開発者に連絡して直してもらう仕組みが、WordPressの周りには整えられているんです。
めがね：さらに驚いたのは、Wordfence自身が「Wordfence Prism」という名前で、この第3四半期にいちばん多く報告していて、累計186件。これはWordfenceが自分で作って回している、自律したAIエージェントだそうです。
めがね：今ハッキングされているサイトは、AIによって脆弱性を見つけられて、AIによって突破されていることが多いんじゃないかと言われています。そんな中で、逆に先んじてAIが見つけて、作者に報告して直してもらおうという試みがある。ないのがいちばんいいんですけど、あった以上は見つかった方がいいわけです。
7. 発表された瞬間から、攻撃方法が分かっている状態になる
めがね：脆弱性が発表されてアップデートのバージョンが出ると、皆さんのサイトでそれをアップデートするまでの間は、攻撃者からすると攻撃の手法が分かっている状態になります。具体的な攻撃方法はある程度ぼやかして発表されるんですが、前のファイルとアップデート後のファイルを見比べれば、どこが問題だったかが分かる。それをAIにかけると、古いバージョンで試して「これで攻撃できるよ」と教えてくれる可能性がある。
めがね：なので、なるべく早くアップデートが必要です。WordPressのマイナーアップデートはもちろん、プラグインも信頼のある作者やたくさんの人が使っているもの、見栄えにあまり影響がないものは積極的に自動アップデート。よく分からない利用者の方であれば、もう全部自動アップデートで、表示が崩れたとしてもハッキングされるよりはましと考えるのもいいかなと思っています。
かねきよ：悩ましいですけどね。
めがね：本当に真っ白になるのは最近なくなっていて、プラグインのアップデートでPHPのエラーになるケースは、自動でロールバックしてメールが届くようにWordPressもなっていますから。それに、コアのマイナーアップデートも日本だと夜中に発表されることが多いし、なぜか連休の直前も多かった。連休中はアップデートできません、となると、そこを突かれてしまうこともありますからね。
8. 表示崩れより怖い、「気づかないハッキング」
めがね：コメントをいただきました。「クラッキングされると被害者だけでなく加害者にもなっちゃうので、表示崩れの方がよし」。そうですね。ハッキングされてもサイトに変な映像が出るタイプはもうあまり多くなくて、気づかずにずっとハッキングされていたりします。
めがね：レンタルサーバーだとメールも付いていたりするので、そこからスパムメールをずっと送信されたり、JavaScriptを追加されて、閲覧してきた人をブラウザ経由で別のサイトに誘導しようとしたり。自社だけではなく、閲覧者にとって被害が起こることもあります。それだったら表示崩れの方が、ちょっと傾いてるな、ぐらいですから。
9. 勇者と魔王。守る側はどうしても不利
めがね：ゲームの勇者と魔物のボスみたいに考えてください。勇者側は、最初にやられて失敗しても何回もリトライして、偶然はめる方法を見つけたり、サイコロを転がしたらうまい目が出て、1回だけ魔王をやっつけられたら、それでゲームクリアじゃないですか。
めがね：同じことが起こっています。ハッキングする側は何度も何度もメールアドレスやパスワードを入れ替えてログインを試みたり、様々なプラグインの脆弱性を突いたりしていて、そのうちの99%を守れたとしても、100回目の攻撃で倒されたらハッキングされたことになる。どうしても不利な立ち位置なので、お互いになんとか頑張って取り組んでいきましょう。
いま、あなたのサイトで確認してほしいこと
- WordPressのマイナーアップデートが自動で当たる状態か確認する。セキュリティの修正はここで入ります。
- プラグインの自動更新を検討する。信頼できる作者のもの、利用者が多いもの、見た目に影響しにくいものから始めるのが目安です。
- ログインを固める。パスワードはサービスごとにバラバラで長いものにし、二要素認証を付ける。可能ならIP制限も。
- お問い合わせの内容をWordPressに保存していないか確認する。送信するだけにしておけば、漏れて困る情報を持たずに済みます。
- バックアップが取れているか、そして実際に戻せるかを試しておく。
サイトのセキュリティ・保守に不安がある方へ — mgnからのご案内
めがね：今の段階で言うと、どんなに頑張っても何かしらハッキングされてしまう可能性はある。保守している側が言うのはちょっとおかしいですけど、あり得る可能性だと思っています。じゃあそれに対して、個人情報に類するデータをなるべく持たないように設計するとか、もしそうなった場合でもダメージを最小限にできるように、定期的にバックアップを取って、それが戻せることを自分たちでも試しておくとか。そういうことがすごく重要かなと思います。
🏢 こんな状態になっていませんか
- 情報漏洩のニュースを見るたびに、自社のサイトは大丈夫なのか不安になる
- WordPressやプラグインの更新が溜まっていて、何から手をつければいいか分からない
- 脆弱性が発表されても、自社のサイトに関係があるのか判断できない
- お問い合わせフォームの内容がサイトの中に溜まり続けている
- バックアップはあるはずだが、本当に戻せるかは試したことがない
mgnは、WordPressを利用したWebサイト制作を通して、企業のビジネスが成功するためのお手伝いをしています。保守運用の引き受けはもちろん、脆弱性情報の日々のキャッチアップ、自動更新とバックアップの体制づくり、個人情報を持たないフォームの設計まで、サイトの規模と体制に見合った守り方をご一緒に考えます。
📮 お問い合わせ
- mgn ウェブサイトのお問い合わせフォームから
- X（旧Twitter）@megane9988 へのDMでも構いません
「まだ相談できる段階じゃないかも」という状態でも構いません。まずはお気軽にお声かけください。
番組について
ミニこれしり「ウェブサイト制作の現場から」 は、Web制作を続けていく中で現場で出てくる疑問・質問に回答を試みる番組です。mgn代表の大串肇（めがね）とmgnのスタッフでお送りしています。毎週水曜日ごろ、30分程度で配信中。
必ずしも正解ではないかもしれませんので、コメント・ご感想もぜひお寄せください。フォロー・いいね・高評価もお願いします。
