WordPressはWebのほぼ半分を支えており、インターネット上で最も狙われるプラットフォームです。2025年、脅威の状況は従来のセキュリティ戦略の多くでは対応しきれない形で変化しました。脆弱性の件数は急増し、悪用までの時間は数時間にまで短縮され、マルウェアは駆除を生き延びる能力を高めました。
この概要では、2025年のセキュリティデータをもとに、WordPressとWooCommerceのサイト所有者が直面する現実のリスクと、その穴をふさぐ実践的な対策を紹介します。
2025年、WordPressの脆弱性はどれほど深刻化したのか
11,334+42%
新たな脆弱性
2025年にWordPressエコシステム全体で発見された件数で、前年から増加しました。
4,124対応が必要
緩和策が必要
積極的な緩和策が必要なほど深刻なもの。
1,966高深刻度
大規模悪用のリスク
高深刻度の問題は、過去2年間の合計を上回りました。
これは緩やかな傾向ではありません。攻撃者がWordPressへの注目を大きく加速させているのです。
脆弱性はどこから来るのか
プラグイン91%
新たに報告されたすべての脆弱性のうちの割合。
テーマ9%
新規報告の残り。
WordPressコア6件
すべて低優先度です。問題はコアではなく、その上に重なるサードパーティのレイヤーです。
プレミアムプラグインは本当に安全なのか
いいえ。プレミアムコンポーネントのほうが大きな盲点になっていることがよくあります。Envatoで販売されているものを含む、プレミアムマーケットプレイスのコンポーネントに焦点を当てた調査では、次のことが判明しました。
- 約2,000件の有効な報告 がプレミアムまたはフリーミアムのコンポーネントに関するもので、全報告の29%を占めます。
- 76% プレミアムコンポーネントの脆弱性のうち、実際の攻撃で悪用可能だった割合。
- 3× 無料コンポーネントより多い、既知の悪用された脆弱性。
- 33件の重大なゼロデイ がプレミアムコンポーネントで見つかり、無料のものでは12件でした。
プレミアムプラグインがより雑に作られているわけではありません。研究者が有料のコードにアクセスできる機会は限られており、レビューする目が少ないのです。精査が少ないということは、リスクが低いのではなく、リスクへの認識が低いということです。
公開前に修正されたのはどれくらいか
わずか54%です。残りの46%は開発者が修正をリリースする前に公開され、サイト所有者がインストールできるものを手にする前に、攻撃者に詳細を渡してしまうことがよくありました。公開された欠陥のほぼ半数にまだパッチがない状況では、プラグインのアップデートだけをセキュリティ戦略にすることはできません。
公開後、攻撃者はどれほど速く動くのか
ほとんどのアップデートスケジュールより速く動きます。最も集中的に狙われた脆弱性では、公開から実際の悪用までの加重中央値は5時間で、影響の大きい脆弱性の約半数は24時間以内に悪用されました。これは、ほとんどの管理者がまだ気づいていないか、パッチを適用していないタイミングにちょうど重なります。
最も悪用されているもの
2025年のリストの首位はアクセス制御の不備でした。攻撃が通常のログインユーザーの操作のように見え、従来のファイアウォールが検知できるような明らかなインジェクション文字列がないため、防御が困難です。その他、頻繁に悪用されている種類は次のとおりです。
- 認証不要の格納型クロスサイトスクリプティング
- 認証不要のファイルアップロード
- 認可のバイパス
- 権限昇格
- PHPオブジェクトインジェクション
WooCommerceプラグインは標的上位10のリストに入り、その中には、パッチ未適用のストアで今も攻撃されている2023年のWooCommerce Paymentsの権限昇格の脆弱性も含まれます。
標準的なホスティングの防御はどこまで通用するのか
十分ではありません。複数のホスティングプロバイダーを対象にした侵入テストでは、内部WAFやCloudflareを含む標準的な構成でブロックできたWordPressの悪用の試みはわずか26%で、既知の悪用された脆弱性に対してはわずか12%でした。汎用的なWAFルールは汎用的な攻撃にはそれなりに対応できますが、実際の悪用の大半を占めるWordPress特有の種類は見逃してしまいます。
サイトが侵害された後に何が起きるのか
マルウェアの除去が難しくなった理由
攻撃者は、独立した悪意のあるファイルを置くのではなく、正規のコア、プラグイン、テーマのファイルにコードを注入するケースが増えています。元のファイルは正規のものであるため、削除ベースのスキャナーは検出にばらつきがあったり見逃したりします。また、ファイルを削除するとサイトが壊れてしまいます。現在の駆除では、正常なファイルから該当部分だけを外科的に取り除く必要があります。
季節的なパターンがある
悪意のあるファイルのアップロードは、2025年11月と12月にほぼ3倍になりました。第4四半期はトラフィックのピークと手薄な人員体制が重なるため、攻撃者はすぐに検出されるリスクが低くなります。ホリデープロモーションを行っているストアは、対応できる人員が最も少ない中で、1年で最もリスクの高い時期を迎えているのです。
2025年に最も活発だったマルウェアファミリー
回避のパターンタップして開く
選択的なコンテンツ配信
Japanese SEO spam、jgalls、Parrot TDSなどのキャンペーンは、訪問者ごとに異なるコンテンツを表示します。検索クローラーにはスパムを、人間にはフィッシングへのリダイレクトを、所有者やスキャナーには正常なページを見せるのです。Parrot TDSは現在、AIの学習用クローラーも検出します。顧客からの苦情やオーガニックトラフィックの激減で初めて気づくことも少なくありません。
メモリ常駐型の持続性
Lock360はファイルではなくサーバーのメモリ上で動作します。index.phpや.htaccessを駆除しても、プロセスが悪意のあるコードをすぐに書き戻します。このサイクルはメモリ上のプロセスが停止されるまで続きますが、ほとんどの標準的なスキャナーにはそれができません。
アップローダーのインフラ
アップローダースクリプトは2025年6月にほぼ倍増し、その後も高い水準が続きました。攻撃者はこれを使って新たなペイロードを自由に展開できるため、ある感染を駆除したサイトでも、生き残った休眠中のアップローダーを通じて再感染する可能性があります。
2026年に向けた脅威の状況
AIを活用した開発によってカスタムプラグインの制作が加速しており、代理店はオンデマンドで機能を生成し、AIで構築したReactのフロントエンドとWordPressのバックエンドを組み合わせています。これにより、攻撃対象領域はコア、プラグイン、テーマを超えて、標準的なWordPressスキャナーが評価するように作られていないカスタムコンポーネント、JavaScriptパッケージ、PHPの依存関係にまで広がっています。
サイトを速く構築できる同じAIツールは、攻撃者が自力で弱点を見つけて悪用する手助けにもなっています。
さらに、EUサイバーレジリエンス法により、商用プラグインのベンダーは正式な脆弱性開示プログラムの運用を求められています。ほとんどのベンダーはまだ大量の報告に対応するリソースを持っておらず、欠陥の発見からパッチの提供までのギャップが広がるおそれがあります。
ストア運営者が今すぐやるべきこと
2026年のWordPressセキュリティの結論
基本は変わっていません。ソフトウェアを最新に保ち、プラグインの増えすぎを抑え、強力な認証情報を使うことです。変わったのは、それだけではもはや十分ではないという点です。
悪用は数時間以内に起きます。マルウェアは標準的な駆除を生き延びるよう作られています。プレミアムプラグインには隠れたリスクがあります。そしてAI生成のコンポーネントが攻撃対象領域を広げ続けています。
2026年の効果的なセキュリティとは、公開から最初の数時間で作動する自動化された緩和策、注入された脅威やメモリ常駐型の脅威を発見するサーバーレベルの検出、そしてサイト上のすべてのコンポーネントに対する明確な可視性を意味します。セキュリティは、問題が起きた後の後始末ではなく、継続的なプロセスとして扱いましょう。
