WordPressの脆弱性は1日36件の更新——AIでサイトを作れる今、新しくWordPressを選ぶ理由はあるのか

名古屋でAIシステムの開発をしている小嶋です。

最近、WordPressから静的なサイトに乗り換える方法を紹介する投稿が、大きく広がっていました。Cloudflareに置いて、移行はClaude Codeに相談して作業してもらう。ちょっとしたサイトなら半日もかからない、という内容です。

その一方で、いまも新しく作られるサイト、それも組織の公式サイトのような大事なサイトが、WordPressで作られ続けています。違和感があったので、整理してみました。

WordPressの脆弱性は、毎日出ている

WordPressの制作を専門にしている会社が、毎日「WordPressセキュリティ更新情報」を出しています。11月8日の分は、こうでした。

1日で36件です。WordPressを使っている限り、自分のサイトに入っているプラグインがこの中にないかを、毎日確かめ続けることになります。「緊急」のものは、公表された日のうちに攻撃の道具が出回ることもあります。

それでもWordPressが選ばれる理由

新しく作るサイトにWordPressが選ばれるのには、それなりの理由がありました。

• 社員が自分で更新できる：ブラウザの管理画面から記事を書き、画像を差し替えられる
• 制作会社が慣れていて早い：テーマを当てれば早く納品でき、更新・保守の月額契約も付けやすい
• プラグインで機能を足せる：問い合わせフォームも予約もSEOも、入れるだけで使える
• みんな使っていて安心：世界中で使われているので、選んでおけば間違いないと思われやすい

その理由は、AIでほぼなくなった

AIエージェントでサイトを作る（バイブコーディング）ようになって、この理由を一つずつ見直すと、こうなります。

• 社員が更新できる：AIに「この文を直して」「お知らせを1件足して」と頼めば済みます。管理画面にログインして操作する必要すらありません
• 制作会社が慣れていて早い：AIを使えば、テーマを当てるより速く、その会社専用のサイトが作れます。移行が半日というのも誇張ではありません
• プラグインで機能を足せる：問い合わせフォームも検索も、AIに作らせれば、その会社に必要な分だけの小さなコードで済みます。他人が作った大きなプラグインを入れる必要がなくなりました
• みんな使っていて安心：みんなが使っているからこそ、攻撃の道具がそろっていて、自動で狙われます

残るのは「制作会社が保守契約で稼げる」という理由です。これは、発注する会社の得ではありません。

「WordPressだから危ない」は、少し違う

ここで気をつけたいのは、「WordPressだから危ない」「PHPだから危ない」と、道具のせいにしてしまうことです。影響力のある人が「〇〇を使っていないから安全」と発信して、専門家との間にずれが出ることがありますが、それと同じ勘違いになります。

WordPressの本体は、更新さえしていれば手堅い作りです。今回調べた中にも、本体もプラグインも最新版で、脆弱性が公表されてから1週間ほどで直しているサイトがありました。きちんと手入れをしているところは、ちゃんと守れています。

正しい言い方は、こうだと思います。

AIで何でも作れる今、WordPressを選ぶと、要らない攻撃の入口と、要らない保守の手間を背負うことになる。

危ないから避けるのではなく、背負う理由がなくなった、という話です。当社自身、ほとんどのシステムをPHPで作っています。問題は言語や道具ではなく、使っていない機能まで抱え込んで、更新を放置することです。

本当に危ないのは「放置」

当社は10月に、愛知の中小企業21社のホームページを、外から見える範囲で診断しました。

• 21社のうち14社がWordPressで作られていました
• 1社は、本体が5系の古い版のままでした（いまは7系）
• 作ったあとの更新が、だれの仕事にもなっていないサイトが多く見られました

WordPressは、本体もプラグインもサーバーのPHPも、作ったあとに更新し続けないと、時間とともに穴が増えていきます。中小企業のサイトは、だれも更新しないまま何年も放置されがちで、その条件ではWordPressはいちばん狙われやすい形になります。

これはAIで作ったサイトでも同じです。ログイン画面やデータベースを持てば、手入れが要ります。だから大事なのは、動くものを最小にすることです。

• 基本は静的なページにする（ログイン画面もデータベースもプラグインもない）
• 問い合わせフォームなど、本当に要るところだけを小さく作る
• 作ったあとに、改ざんされていないかを見張る仕組みを最初からセットにする

それでもWordPressが合う場面

何人もの社員が毎日記事を書くメディアや、会員の機能やネットショップをプラグインで足したいサイトでは、WordPressが合うこともあります。その場合は、次を「最低限の運用」として決めておく必要があります。

• 本体とプラグインの自動更新、使っていないプラグインは消す
• 毎日出るセキュリティの更新情報を、だれが確かめるかを決める
• 本体やプラグインの版をページに出さない、セキュリティヘッダーを付ける
• 改ざんされていないかを見張る

当社でできること

• WordPressを「激安で安心」に置き換える——ヘッドレスCMSへの移行の道筋
• 中小企業21社のホームページを、SEO・AEO・GEOと安全面で診断して分かったこと
• 改ざん検知をレンタルサーバーで。17万ファイルを2秒で見張る「Kurage Security Watch」
• Decap CMS 日本語導入キット：静的なサイトのまま、社員がブラウザから記事を書ける仕組み
• Kurage Security Check：URLを入れるだけで、ホームページのセキュリティを外から診断

WordPressの更新情報の数字は、WordPressの制作を専門にしている株式会社mgnが毎日公開している「WordPressセキュリティ更新情報」（2026年11月8日分）によるものです。