AI時代のWordPressはこんなにも簡単に乗っ取られる！？ — 放置した脆弱性が呼ぶ最悪のシナリオ

対象読者: 自社サイトをWordPressで運用しているが、ここ1〜2年メンテナンスをしていない経営者・担当者

この記事で分かること: AIの登場で攻撃側がどう変わったか、放置WordPressがどれだけ短時間で乗っ取られるか、明日から減らせる被害

はじめに — 「うちみたいな小さい会社が狙われるわけがない」は、もう通用しない

ひと昔前まで、サイバー攻撃は「狙われるほどの価値がある企業」のものでした。
それは2025年で終わりました。 AIによって攻撃のコストが劇的に下がり、いまや価値の有無ではなく、脆弱性の有無だけが標的選びの基準になっています。

「うちは小さいから狙われない」と言いながら2年前のWordPressをそのままにしている会社は、防御していないことだけが理由で、いつ乗っ取られても不思議ではない状態にあります。

または、ホームページ制作を依頼した結果、何もわからないうちにWordPressで作られていた。自社のホームページがWordPressで作られているのか、何なのかも把握できていない。というケースも実はあるあるです。

この記事では、AI時代に攻撃がどう変わったか、放置されたWordPressがどれくらい簡単に乗っ取られるかを、現実の事例と数字で示します。

1. AIが攻撃側の "コスト" を破壊した

数年前まで、サイト攻撃は「ある程度の技術力」が必要な仕事でした。
脆弱性を探す・コードを書く・痕跡を消す — それぞれに専門知識が要りました。
AIはこの3つをほぼ全自動にしました。

1-1. 脆弱性探索の自動化

かつて数日かかっていた「公開サイトのプラグイン特定 → 既知CVEとの突合」が、いまや AI 連携の自動スキャナーで数秒で済みます。

• WordPress のバージョン番号
• 使っているテーマ・プラグインの一覧
• それぞれの最終更新日

これらは、サイトのHTMLソースとレスポンスヘッダから機械的に特定できます。AIスクリプトは1万サイトを数十分で舐めて、「攻撃可能なリスト」を生成します。

1-2. exploit コードの即時生成

公開された脆弱性情報(CVE)を入力すれば、AIは数秒で 動く攻撃コード を出力します。
本来は防御研究のためのPoCコードを参考に、攻撃に転用するのは技術的に困難ではなくなりました。

1-3. 攻撃ボットの大量化

クラウド上に攻撃用VMを並べ、AIが標的を選び、自動でPOSTし、成功すれば即ペイロードを設置する。
人間の介入なしに、24時間休まず、無差別に走り続けます。

つまり、攻撃側にとって「小さなサイトを狙うコスト」は、ほぼゼロになりました。

2. "放置WordPress" がどれだけ危険か — 数字で見る

仮にあなたのサイトにプラグインが15個入っていて、それぞれの平均更新が2年前だとします。
ざっくり計算するだけで、過去2年で公開された数百件の脆弱性のうちいくつかは確実に該当します。攻撃側が "刺さるかどうか" を試すコストはゼロなので、刺さるまで全て試されます。

3. シナリオ: 古いWordPressサイトが乗っ取られるまで

ここからは、ある中小企業の架空のサイトを題材に、攻撃が成功するまでの典型的な流れを示します。
（具体的な攻撃手法・コードは記載しません。経営判断のための解像度を上げる目的です）

Step 1: フィンガープリント（所要時間 〜1秒）

公開HTMLから「WordPress 5.7、テーマ Storefront 3.x、プラグイン15個（うち更新2年以上停止が4個）」と特定。

Step 2: 既知CVEとのマッチ（〜数秒）

プラグイン名 × バージョンを CVE DBに問い合わせ。
「このプラグインのこのバージョンは管理者権限取得の脆弱性あり」がヒット。

Step 3: 攻撃実行（〜数十秒）

該当エンドポイントに特定のPOSTを送る。多くの場合、認証なしで管理操作が通る。

Step 4: バックドア設置（〜1分）

管理画面に潜り込み、無害な名前のプラグインに偽装したWebshellを設置。
以降、管理画面のパスワードを変えても、サーバーに直接コマンドを送れる状態が維持される。

Step 5: 収益化（数日〜数週間）

• SEOスパム埋め込み: ページ末尾に大量のリンクが挿入され、海外のスパムサイトを上位表示させる
• 暗号通貨マイニング: 訪問者のCPUを使ってこっそりマイニング
• メール踏み台: 大量スパム送信、ドメインがブラックリスト入り
• 顧客情報の収集: フォームから送信される情報をリアルタイム横流し

所要時間の合計は、初回スキャンから最短で5分以下。
攻撃者は人間ではなく、AIに指示された自動ボットです。

4. PHP も同じです — 古いPHP = セキュリティパッチなし

WordPressだけ最新でも、土台のPHPが古ければ意味がありません。

「サポート終了」とは 新しい脆弱性が見つかっても、もう修正パッチが出ない ということです。
PHP 7.4 で動いているサイトは、丸3年分の未修正脆弱性を抱えたまま稼働している計算になります。

レンタルサーバーの管理画面で 「使用中PHP: 7.4」と表示されているサイトは、本記事の意味で全部該当します。今すぐ確認してください。

5. 乗っ取られた "後" のコストは想像以上

攻撃自体は無音で進みます。気づくのは、たいていの場合、被害が顕在化してからです。

• 検索順位の急落: Googleが「ハッキングされた可能性」を検知し、検索結果から外す（回復には数週間〜数ヶ月）
• ブラウザの警告: Chrome/Safariが「危険なサイト」と表示するようになり、訪問者がそもそも入ってこなくなる
• メール不達: ドメインがブラックリスト入りすると、取引先へのメールが届かなくなる
• サーバー停止: ホスティング会社から「他サイトに迷惑をかけている」として一方的に停止される
• 個人情報漏洩の届出義務: 個人情報保護委員会への報告と本人通知が必要になり、対応費用は数十万〜数百万
• 復旧コスト: 専門業者によるフォレンジック調査・クリーンアップで数十万〜100万円超

「サーバー代をケチって月数千円浮かせていた会社が、被害発覚後の対応で数百万円払う」は、よくある話です。

6. 今日からできる、被害を10分の1にする5つの行動

完璧を目指す必要はありません。やっていないよりやってあるほうが、攻撃ボットの自動フローから除外されやすくなります。

6-1. PHPバージョンの確認と更新

レンタルサーバーの管理画面でPHPバージョンを確認。8.2以上でなければ即更新の検討を。
多くのサーバーは管理画面のクリック1つで切り替わります（互換性確認は必要）。

6-2. WordPress 本体の自動更新を有効化

wp-config.php に1行 (define('WP_AUTO_UPDATE_CORE', 'minor');) で、セキュリティパッチが自動で当たるようになります。

6-3. 使っていないプラグイン・テーマの削除

無効化だけでは攻撃対象になります。「削除」まで実行してください。
「いつか使うかも」は、最も狙われる残し方です。

6-4. 2要素認証の導入

管理画面ログインに2要素認証を付けるだけで、ブルートフォース系の攻撃の8割が無効化されます。
Wordfence WP 2FA などの定番プラグインで数分で導入できます。

6-5. バックアップと「復元手順の検証」

バックアップを取っているだけでは不十分です。実際に別環境に戻してみることで初めて「本当に復元できる」と確認できます。
攻撃を受けた当日、復元できないバックアップに気づくと、最悪のパターンになります。

7. nanogram からの提案

ここまで読んで「うちのサイト、たぶん危ない」と感じた方へ。

当社では WordPressサイトのセキュリティ健康診断 を無料で受け付けています。

• 現在のWordPress / PHP / プラグインの脆弱性スキャン
• 推定リスクレベルと、優先的に対応すべき項目のリストアップ
• 「アップデートテストと実際のアップデート実施」「自社で運用継続」「メンテナンス委託」「軽量CMS / 静的サイトへ移行」のどれが現実的かの判断材料

「とにかく一度、現状を客観的に見てもらいたい」というご相談で歓迎です。
お問い合わせフォームから、サイトURLと簡単な状況（更新頻度・運用体制）を添えて送ってください。

WordPressそのものを否定するつもりはありません。
ただ、運用コストを払えないなら、WordPressを使い続けるべきではない、というのが私たちの正直な意見です。

まとめ

• AIは攻撃側の コスト を破壊した。「価値ある標的」ではなく「脆弱な標的」が狙われる時代
• 放置WordPressは、平均的に5分以内に乗っ取り可能な状態にある
• PHPの古いバージョンも同じくらい危険。サポート終了 = 修正パッチなし
• 被害発覚後のコスト（SEOダウン・対応費用・信用喪失）は、防御コストの100倍以上
• 完璧でなくていい。PHPと本体の更新、不要プラグインの削除、2要素認証の3点だけでも、攻撃ボットの自動フローから外れやすくなる

更新サボっていた1〜2年は、攻撃側にとって1〜2年分の弾薬として蓄積されています。
今日、管理画面を開いて、まずバージョン番号を確認するところから始めてください。