見出し画像

WordPressはAI時代に使うべきか

となおじ

最初に書いておきます。

僕はセキュリティ専門家ではありません。

この記事も「WordPressは安全です」「WordPressは危険です」と専門家の立場から断定するものではなく、普段Web制作をしている僕が最近気になったことを調べて、自分なりに考えてみたものです。

なので、最後に書いている「僕ならこうする」も、あくまで個人の感想です。

その前提で読んでもらえたらと思います。

最近、WordPressについて少し気になる話を耳にすることが増えました。

「WordPressはセキュリティが弱い」

「AIで脆弱性を見つけられるようになって、攻撃までがものすごく速くなっている」

「サイトを書き換えられたり、いたずらされたりするケースが増えている」

そんな話です。

僕自身、Web制作をしているのでWordPressはかなり身近な存在です。

クライアント側で更新できる。プラグインが豊富。情報も多い。困ったときには検索すれば大抵のことは出てくる。

長い間、「Webサイトを作るならWordPress」はかなり自然な選択肢でした。

でもAIでWebサイトそのものを作れるようになってきた今、ふと思ったんです。

「これからも、とりあえずWordPressでええんじゃろうか？」

今回は、そこをちゃんと調べてみることにしました。

先に結論だけ書くと、調べる前と調べた後で、僕の考えは少し変わりました。

WordPressが危険だから、もう使わない。

そんな単純な話ではありませんでした。

でも同時に、

「Webサイトなら、とりあえずWordPress」

という考え方は、そろそろ見直してもいい気がしています。

まず、本当にWordPressの脆弱性は増えているのか

WordPressのセキュリティを調べていて、最初にちょっとギョッとする数字を見つけました。

WordPress専門のセキュリティ企業Patchstackによると、2025年にWordPressエコシステムで確認された新しい脆弱性は11,334件。前年から42％増加しています。

「いや、多すぎん？」

最初に見たときは普通にそう思いました。

これだけ見ると、

「やっぱりWordPressって危ないんじゃない？」

となります。

でも、そこで止めずに内訳を見ると、かなり印象が変わりました。

Patchstackによると、確認された脆弱性の91％はWordPressプラグインで見つかっています。つまり「WordPress」という一言でまとめていますが、その大部分はWordPress本体ではなく、後から追加しているプラグイン側です。

ここはかなり大事だと思いました。

WordPress本体をインストールする。

フォームを入れる。

SEO系のプラグインを入れる。

バックアップを入れる。

ページビルダーを入れる。

便利そうな機能を見つけて、またプラグインを入れる。

こうして便利になっていく一方で、別々の開発者が作ったコードを自分のサイトへどんどん追加していることになります。

考えれば当たり前なんですが、WordPressはそれが簡単にできるので、つい忘れてしまいます。

でも、ちょっと待って。Windowsだって脆弱性あるよね？

ここまで調べたところで、もう一つ思いました。

「いや待って。WindowsもMacもiPhoneもAndroidも、ずっとセキュリティアップデートしとるじゃん」

そうなんです。

脆弱性が見つかること自体は、WordPressだけの特殊な現象ではありません。

Microsoftには現在もSecurity Update Guideがあり、Windowsを含むMicrosoft製品の脆弱性について継続的にセキュリティ更新を公開しています。2026年8月分のセキュリティリリースも公開されています。

Macも同じです。

Appleのセキュリティリリースを見ると、2026年もmacOS、iOS、iPadOS、Safariなどへ継続的にセキュリティ更新が出ています。たとえば2026年7月にはiOS 26.6やmacOS Tahoe 26.6、8月にはmacOS Tahoe 26.6.1などが公開されています。

Appleの更新内容を実際に見ると、メモリ処理、権限、Kernel、WebKitなど、いろいろな部分の脆弱性が修正されています。

AndroidにもAndroid Security Bulletinがあり、GoogleはAndroid端末へ影響するセキュリティ問題について継続的に修正情報を公開しています。

となると、

「脆弱性がある＝危険だから使わない」

で判断すると、

Windowsも使えない。

Macも使えない。

iPhoneも使えない。

Androidも使えない。

それはさすがに違いますよね。

ここで一度、

「じゃあ、WordPressだけ危険っていうのも変じゃない？」

と、最初に持っていた印象が少し戻りました。

ただし、脆弱性の「件数」をそのまま比べるのも違う

ここも注意が必要でした。

「WordPressは11,334件。じゃあWindowsはいくつ？iPhoneはいくつ？」

とランキングにしたら分かりやすそうです。

僕も最初ちょっとやりたくなりました。

でも、これはあまり正しい比較ではありません。

WordPressの11,334件という数字は、WordPress Coreだけではなく、世界中で作られている大量のプラグインやテーマまで含めた「WordPressエコシステム」の数字です。

一方で、Windows、macOS、iOS、Androidでは製品の範囲も脆弱性の数え方も違います。

だから、

「WordPressはWindowsより脆弱性が多いから危険」

とは、この数字だけでは言えません。

むしろ比較していて僕が気になったのは、件数とは別のところでした。

誰が管理するのか。

ここです。

iPhoneとWordPress、同じ「アップデート」でもちょっと違う

iPhoneなら、基本的にはAppleがOSを作って、Appleがセキュリティ更新を出します。

MacもApple。

WindowsならMicrosoft。

Androidは端末メーカーなども関係するので少し複雑ですが、AndroidのセキュリティBulletinという仕組みがあり、Googleやメーカー側から更新が提供されます。

ではWordPressはどうでしょう。

WordPress Core。

テーマ。

フォーム。

SEO。

バックアップ。

ページビルダー。

EC。

予約。

セキュリティ。

その他いろいろなプラグイン。

実際のWordPressサイトは、こうした部品を組み合わせて作られています。

しかも全部同じ会社が作っているとは限りません。

開発者も違う。

更新頻度も違う。

セキュリティへの考え方も違う。

開発が止まるプラグインだってあります。

ここを見たとき、

「ああ、WordPressの怖さって、こっちなんか」

と思いました。

WordPressそのものだけを管理すれば終わりではない。

自分が組み合わせた部品まで含めて管理し続ける必要がある。

これがiPhoneなどとはかなり違います。

しかもPatchstackによると、2025年には公開時点までに修正が間に合っていなかった脆弱性も46％あったと報告されています。

「更新ボタンを押せば全部解決」という話でもないんですよね。

そして今回、一番気になったのが「5時間」でした

ここまでは、

「WordPressは昔からプラグイン管理が大事だよね」

という話にも見えます。

僕もそう思いました。

不要なプラグインを消しましょう。

最新版にしましょう。

バックアップしましょう。

強いパスワードを使いましょう。

昔から言われています。

だったらAI時代になったからといって、急にWordPressをやめる必要はないんじゃないか。

ここで終わるなら、僕もそう考えます。

ただ、さらに調べていて、一つかなり気になる数字がありました。

Patchstackが2025年に観測したデータでは、影響の大きい脆弱性のおよそ半分が公開後24時間以内に悪用され、特に攻撃が集中した脆弱性では、初回攻撃までの加重中央値が5時間だったとしています。

5時間。

これを見たときは、

「そりゃ対応追いつかんじゃろ」

と思いました。

朝、脆弱性の情報が出る。

仕事をしている間に攻撃が始まる。

夕方にWordPress管理画面を見たころには、もう攻撃対象になっている可能性がある。

そういう時間感覚です。

「今度のメンテナンス日に更新しよう」

では間に合わないケースが出てきます。

そしてこれは、古い脆弱性だから攻撃されないという話でもありません。

Patchstackの実際の攻撃観測では、2025年に多く狙われた上位の脆弱性の中に、2023年や2024年に公開された古いものも残っていました。つまり攻撃者は、今でも更新されずに残っているサイトを探しています。

ここまで来ると、

「作ったあと放置してあるWordPress」

がかなり怖く見えてきます。

では「AIがWordPressをクラッキングしている」は本当なのか

今回の記事を書こうと思ったきっかけの一つがこれです。

最近、

「AIによって攻撃の速度が上がっている」

「AIが脆弱性を見つけて、そのまま攻撃するようになる」

という話を聞くことがあります。

ここはかなり慎重に見ました。

調べた範囲では、

AIがWordPressサイトを片っ端から自動的にクラッキングしている、と一般化して言えるところまでは確認できませんでした。

なので、

「最近WordPressが改ざんされるのは全部AIのせいです」

みたいな書き方はしません。

それは話を盛りすぎです。

ただし、

AIがサイバー攻撃の能力や自動化を高めている

こと自体は、もう想像だけの話ではありません。

Anthropicは2026年6月、2025年3月から2026年3月までに悪意あるサイバー活動で停止した832アカウントを調査し、AIが実際のサイバー攻撃のさまざまな工程で利用されていることを報告しています。

さらに2025年には、AIを単なる相談役としてではなく、実際のサイバー攻撃を実行する工程に大きく利用した活動もAnthropicによって報告されています。

つまり僕は、

「AIがWordPressを攻撃する時代になった」

というより、

攻撃者がAIを使うことで、調査、分析、攻撃準備、自動化などのスピードがさらに上がる可能性がある時代になった。

と考えるほうが自然だと思っています。

そしてWordPressは大量に使われている。

プラグインも多い。

公開されたWebサイトなのでインターネットから常に触れられる。

だったら狙われる対象の一つになるのは不思議ではありません。

ちょっと怖くなったけど、AIは攻撃側だけのものでもなかった

ここまで調べると、だいぶ嫌な感じになります。

攻撃まで5時間。

AIで攻撃側も効率化。

プラグインも大量。

「もうWordPressやめたほうがええんじゃない？」

と一瞬思います。

でも、AIを使っているのは攻撃側だけではありません。

防御側も同じです。

Anthropicも2026年に、AIを使って重要なソフトウェアの脆弱性を見つけ、修正する取り組みを発表しています。AIによって攻撃能力が上がるリスクがある一方、同じ能力を防御にも利用できるという考え方です。

ここは少し面白いところです。

AIによって攻撃が速くなる。

でもAIによって脆弱性を見つけるのも速くなる。

防御も速くなる。

今後は、

「人間 vs ハッカー」

というより、

攻撃側もAI。

防御側もAI。

みたいな世界になっていくのかもしれません。

ただ、そこで僕ら普通のWeb制作者やサイト運営者に一つ問題があります。

セキュリティ企業が見つけても、サイトを放置していたら意味がない

どれだけ優秀なセキュリティ企業が脆弱性を見つけても、

修正版が公開されても、

WordPress側が警告しても、

そのサイトが何年も更新されていなければ意味がありません。

実際、2026年7月17日にはWordPress 7.0.2が緊急のセキュリティリリースとして公開され、WordPress.orgは1件のCriticalと1件のHighの問題を修正しました。

重要度が高かったため、影響を受けるサイトに対して強制自動アップデートまで有効化しています。

WordPress側も当然、何もしていないわけではありません。

だから、

「WordPressは危険だから運営元が何とかしろ」

というだけでも違う。

結局、サイト側の運用も必要になります。

ここまで調べて、僕が一番危ないと思ったWordPressがあります。

僕が一番怖いと思うのは「作って終わりのWordPress」

WordPressで作ること自体より、今はこっちのほうが怖いです。

数年前に制作会社へ作ってもらった。

担当者はもういない。

何のプラグインが入っているか分からない。

WordPressを最後に更新したのがいつか分からない。

バックアップが動いているかも分からない。

プラグインに脆弱性が出ても誰も見ていない。

でもサイト自体はインターネット上でずっと公開されている。

こういうサイトです。

攻撃までの時間が「数日」ではなく「数時間」になっているケースがあるなら、

「何かあったら直せばいい」

では少し厳しくなってきます。

WordPressを使うなら、

作る。

公開する。

終わり。

ではなく、

運用まで含めてWordPress。

僕は今回調べて、ここをかなり強く感じました。

じゃあ、AI時代にWordPressは使うべきなのか

ここまで調べたうえでの、僕個人の答えです。

使います。

ただし、

何にでもWordPressはやめます。

これです。

更新頻度が高い。

ブログやお知らせを社内で更新する。

複数人でコンテンツを管理する。

WordPressのプラグインや既存資産を利用する明確な理由がある。

WordPressを運用できる担当者や保守体制がある。

こういう場合なら、今後も普通にWordPressを選ぶと思います。

WordPressには長年積み上げてきたエコシステムがあり、豊富なプラグインやテーマで機能を拡張できること自体が大きな強みです。WordPress公式も、標準機能を多数のプラグインで拡張できることを特徴として案内しています。

でも逆に、

会社案内。

数ページ。

ほとんど更新しない。

問い合わせフォームくらいしかない。

そんなサイトまで、

「WebサイトだからWordPress」

にする必要が本当にあるのか。

ここは以前より考えるようになると思います。

AIでサイトを作れるようになったからこそ「CMSが必要か」から考えたい

ここが今回、僕の中ではセキュリティとは別に面白かったところです。

昔は、

Webサイトを作る。

↓

クライアントが更新するかもしれない。

↓

じゃあWordPress。

という流れがかなり自然でした。

でも今は、AIがコードを書くところまでかなり手伝えるようになっています。

静的なサイトを作るハードルも下がりました。

別のCMSを選ぶこともできる。

ヘッドレスCMSという選択もある。

場合によってはCMS自体いらない。

そうなってくると、最初に聞く質問が変わります。

「WordPressにしますか？」

ではなく、

「そもそもCMS必要？」

その次に、

「必要なら、なぜWordPress？」

です。

僕はこの順番のほうが、これからは自然な気がしています。

WordPressが危険なのではなく、「なんとなくWordPress」が危ない

今回調べる前は、

「AI時代になったらWordPressは危ないんじゃないか」

という方向に少し気持ちが寄っていました。

調べてみると、そこまで単純ではありませんでした。

Windowsにも脆弱性はある。

Macにもある。

iPhoneにもある。

Androidにもある。

WordPressにもある。

ソフトウェアである以上、脆弱性が見つかること自体はWordPressだけの話ではありません。Microsoft、Apple、Googleも継続的にセキュリティ更新を公開しています。

WordPress Core側も重大な問題に対してセキュリティアップデートを出しています。

だから、

「WordPress＝危険」

と決めつけるのは違うと思います。

ただ、WordPressには大量のプラグインやテーマがあり、その管理をサイト運営側も担わなければならない。

さらに、実際の攻撃観測では脆弱性公開から数時間で攻撃が始まるケースもある。

そしてAIによって、攻撃も防御もさらに速くなる可能性がある。

そう考えると、

WordPressを使うか使わないか。

より先に、

「なぜこのサイトをWordPressで作るのか」

を説明できるかどうか。

僕はこっちのほうが大事だと思いました。

これから僕が新しいWebサイトを作るときも、WordPressを選択肢から外すことはありません。

必要なら普通に使います。

でも、

「いつものWordPressでお願いします」

と言われたら、一回考えると思います。

「ほんまにWordPressじゃないといけんの？」

便利だから使う。

みんな使っているから使う。

昔から使っているから使う。

ではなく、

更新するのは誰なのか。

保守するのは誰なのか。

何の機能が必要なのか。

もし脆弱性が出たら誰が対応するのか。

そこまで含めて選ぶ。

AI時代になってWordPressが終わるのではなく、

「とりあえずWordPress」の時代が終わり始めている。

今回いろいろ調べてみて、僕はそんなふうに感じました。

みなさんが今から新しくWebサイトを作るなら、それでもWordPressを選びますか？

それとも、一度「そもそもWordPressが必要なのか」から考えてみますか？

いいなと思ったら応援しよう！