WordPress運営者なら知っておきたい重要なセキュリティ用語まとめ

WordPressでWebサイトを運営していると、「脆弱性」「XSS」「SQLインジェクション」「RCE」など、さまざまなセキュリティ用語を目にすることがあります。

特に、WordPress本体やプラグイン、テーマのアップデート情報を確認していると、上記以外の見慣れない横文字言葉等が頻繁に登場します。これらの意味をまったく知らないままだと、「危険そうだけれど、実際に何が問題なのか分からない」という状態になりがちです。

一方で、基本的な用語をある程度知っておけば、脆弱性情報を見たときに、「これはかなり危険なのか」「ログインしていない攻撃者でも悪用できるのか」「すぐにアップデートした方がよいのか」といった判断もしやすくなります。

この記事では、WordPress運営者が知っておきたい代表的なセキュリティ用語を、できるだけ分かりやすく紹介します。

セキュリティ情報を理解するための基本用語

脆弱性（Vulnerability）とセキュリティホール

脆弱性（Vulnerability）

脆弱性とは、簡単にいえば、ソフトウェアやシステムに存在する「安全上の弱点」のことです。

WordPressでは、次のようなものに脆弱性が見つかることがあります。

• WordPress本体
• プラグイン
• テーマ
• PHP
• Webサーバー
• データベース
• 外部ライブラリ

ただし、「脆弱性が見つかった」というだけで、すでにサイトが攻撃されたという意味ではありません。脆弱性は、あくまで攻撃に利用される可能性がある弱点です。

その弱点を攻撃者に実際に悪用されて初めて、改ざんや情報漏えいなどの被害につながります。

セキュリティホール

「セキュリティホール」も、脆弱性とほぼ同じ意味で使われることがあります。

厳密には文脈によって意味合いが異なる場合もありますが、一般的なニュースや解説では、「攻撃に利用される可能性があるプログラム上の欠陥」くらいに理解しておけば問題ありません。

CVEとCVSS｜脆弱性の識別番号と深刻度

CVE

CVEは「Common Vulnerabilities and Exposures」の略で、公開された脆弱性を識別するために付けられる番号です。「CVE-2026-12345」のような形式で表されます。

WordPress本体だけでなく、プラグインやテーマの脆弱性にもCVE番号が付けられることがあります。

CVE番号が分かれば、その脆弱性について検索しやすくなり、以下のような情報を素早く確認できるようになります。

• どの製品に影響するのか
• どのバージョンが危険なのか
• 修正版が公開されているか
• どのような攻撃が可能なのか

CVSS

CVSSは「Common Vulnerability Scoring System」の略で、脆弱性の深刻度を数値で表すための仕組みです。基本的には0～10の範囲で評価されます。

目安としては次のようになります。

CVSSスコア	深刻度
0.0	None
0.1～3.9	Low
4.0～6.9	Medium
7.0～8.9	High
9.0～10.0	Critical

例えば、CVSSが9.8となっていれば、非常に重大な脆弱性である可能性があります。

ただし、CVSSの数字だけで危険度を判断するのはおすすめできません。実際には、以下のような条件の確認も重要です。

• ログインが必要か
• 管理者権限が必要か
• 特定の設定でのみ発生するか
• インターネットから直接攻撃できるか

ゼロデイ脆弱性・ゼロデイ攻撃

ゼロデイ脆弱性とは、一般的には修正版が公開される前から攻撃に利用されている脆弱性を指します。

通常であれば、以下のような流れになります。

1. 脆弱性が発見される
2. 開発者が修正する
3. アップデートが公開される
4. 利用者が更新する

しかし、修正版がまだ存在しない段階で攻撃が始まってしまう可能性があります。これを「ゼロデイ攻撃」と呼びます。

この場合、利用者はアップデートだけでは対応できません。そのため、以下のような対応が必要になることもあります。

• WAF
• アクセス制限
• 一時的な機能停止
• プラグインの無効化

昨今話題の「PHP2Shell」に関わる騒動においては、この「ゼロデイ」懸念が大きな要因となっておりました。

ExploitとPoC：脆弱性を悪用・検証する仕組み

Exploit

Exploit（エクスプロイト）とは、脆弱性を実際に悪用するための方法やプログラムを指します。

例えば、あるプラグインに脆弱性が見つかったあと、その脆弱性を利用する攻撃コードが公開される場合があります。すると、技術的な知識が少ない攻撃者でも悪用しやすくなり、攻撃が増えることがあります。

PoC

PoCは「Proof of Concept」の略です。日本語では「概念実証」などと訳されます。

脆弱性の世界では、「本当にこの脆弱性を利用できることを示す実証コード」という意味で使われることが多いです。

PoCは研究や検証のために公開されることもありますが、公開後に実際の攻撃へ転用される可能性もあります。

WordPressで注意したい主な脆弱性・攻撃手法

SQLインジェクション（SQLi）：データベースを狙う攻撃

SQLインジェクションは、データベースへ不正な命令を送る攻撃です。

WordPressでは、投稿やユーザー情報などの多くがMySQLやMariaDBといったデータベースに保存されています。そのためSQLインジェクションが成立すると、以下のような攻撃・悪用等が実行される可能性があります。

• データの読み取り
• データの改ざん
• ユーザー情報の取得
• サイト設定の変更

WordPress本体では対策が進められていますが、プラグインやテーマの処理に問題があると、SQLインジェクション脆弱性が発生する場合があります。

XSS（クロスサイトスクリプティング）：不正なスクリプトを実行させる攻撃

XSSは「Cross-Site Scripting」（クロスサイトスクリプティング）の略です。Webページ上で、本来実行されるべきではないJavaScriptなどを実行させる攻撃です。

WordPressには、「投稿本文」「コメント」「設定画面」「ウィジェット」「カスタムフィールド」など、文字列を入力する場所が多数あります。

そのため、入力内容の処理が不適切だとXSSにつながることがあります。

また、WordPress関連の脆弱性情報では「Stored XSS」という言葉もよく登場します。日本語では「保存型XSS」などと呼ばれます。悪意のあるコードがデータベースなどに保存され、そのページを開くたびに実行されるタイプです。

例えば、悪意のあるコードがコメント欄に保存され、管理者がコメント管理画面を開いたときに実行される、といったケースが考えられます。

CSRF：ログイン中の利用者に意図しない操作をさせる攻撃

CSRFは「Cross-Site Request Forgery」（クロスサイトリクエストフォージェリ）の略です。ログインしている利用者に、意図していない操作を行わせる攻撃です。

例えば、WordPress管理者がログインしたまま悪意のあるWebサイトを閲覧し、その結果として、「設定変更」「ユーザー追加」「投稿削除」などの操作が勝手に実行されてしまう、といった攻撃が考えられます。

RCE（リモートコード実行）：外部からプログラムを実行される危険性

RCEは「Remote Code Execution」の略です。日本語では「リモートコード実行」や「遠隔コード実行」などと呼ばれます。

これは非常に危険な脆弱性です。攻撃者が遠隔からサーバー上で任意のプログラムを実行できる可能性があるためです。

RCEが成立すると、「ファイル改ざん」「マルウェア設置」「管理者アカウントの追加」「バックドア設置」「サーバー上のデータ取得」など、深刻な被害につながる可能性があります。

WordPress 7.0.4 のアップデートでは、まさにこのような脆弱性を防ぐための対応がなされました。

Arbitrary File Upload：任意ファイルアップロード

Arbitrary File Uploadは「任意ファイルアップロード」と呼ばれます。本来アップロードできないファイルまで、自由にアップロードできてしまう脆弱性です。

WordPressでは通常、アップロードできるファイル形式などに制限があります。しかし脆弱性によってPHPファイルなどをアップロードできてしまうと、攻撃者がそのファイルを実行し、サーバーを操作できる可能性があります。

そのため、「任意ファイルアップロード → RCE」という形で深刻な攻撃につながることがあります。

Arbitrary File Delete：任意ファイル削除

Arbitrary File Deleteは「任意ファイル削除」です。攻撃者が、本来削除できないファイルを削除できてしまう問題です。

重要な設定ファイルなどが削除されると、サイトが正常に動作しなくなる可能性があります。

Path Traversal・LFI・RFI｜ファイルやフォルダを狙う攻撃

Path Traversal

Path Traversalは「パストラバーサル」と呼ばれる攻撃です。本来アクセスできない場所にあるファイルへアクセスしようとする手法です。

代表的には、../のような記述を使って、上位のディレクトリへ移動しようとします。

WordPressの場合、重要な設定情報を含むファイルへアクセスされれば、被害が拡大する可能性があります。

LFI

LFIは「Local File Inclusion」の略です。サーバー内部に存在するファイルを、不正に読み込ませる脆弱性です。

Path Traversalなどと組み合わされる場合もあります。

RFI

RFIは「Remote File Inclusion」の略です。外部にあるファイルを不正に読み込ませる攻撃です。

PHPを利用したWebアプリケーションで問題になることがあります。

SSRF：サーバーに不正な通信を行わせる攻撃

SSRFは「Server-Side Request Forgery」の略です。攻撃者が、Webサーバー自身に別のURLへアクセスさせる攻撃です。

WordPressには、「REST API」「OEmbed」「Webhook」「外部APIとの連携」など、外部へ通信する仕組みが多く存在します。

そのため、外部通信処理に問題があるとSSRFにつながる場合があります。

DoS・DDoS：Webサイトのサービスを妨害する攻撃

DoS

DoSは「Denial of Service」の略で、サービス妨害攻撃を意味します。

大量の処理を発生させることで、Webサイトを利用できない状態にする攻撃です。

DDoS

DDoSは「Distributed Denial of Service」の略です。多数の端末から一斉にアクセスして、サーバーへ大きな負荷を与えます。

WordPressのデータを直接盗まなくても、「CPU」「メモリ」「PHP」「データベース」「ネットワーク回線」などへ負荷をかけ、サイトを停止させることができます。

ログイン・ユーザー権限に関係するセキュリティ用語

AuthenticationとAuthorization：認証と認可の違い

この2つは似ていますが意味が異なります。

Authentication

Authenticationは「認証」です。簡単にいえば、「あなたは誰ですか？」を確認する仕組みです。

WordPressでいえば、ユーザー名やパスワードによるログインが代表例です。

Authorization

Authorizationは「認可」や「権限確認」を意味します。こちらは、「あなたはこの操作をしてよい人ですか？」を確認します。

WordPressでは、「管理者」「編集者」「投稿者」「寄稿者」「購読者」といった権限グループによって、利用できる機能が異なります。

ログインできることと、その操作を実行する権限があることは別問題です。

補足：Unauthenticatedとは？

WordPressの脆弱性情報では「Unauthenticated」という単語を頻繁に見かけます。これは、「認証されていない」、すなわち「ログインしていない状態」という意味です。

例えば、「Unauthenticated RCE」と書かれていた場合、「ログインしていない第三者でも遠隔コード実行が可能」という意味になります。

一般的には、ログインが必要な脆弱性よりも危険性が高くなりやすいです。

Authentication Bypass：認証を回避する脆弱性

Authentication Bypass（認証回避）とは、本来必要なログインなどの認証手続きを回避し、保護された機能へアクセスできてしまう脆弱性です。

WordPressでは、ログインしていない第三者が管理者として認証され、サイトの設定変更や投稿の改ざんなどを行えるようになる場合があります。

なお、似た用語に「Authorization Bypass（認可の回避）」があります。こちらは、ログイン後の権限チェックを回避し、本来許可されていない操作を行うことを指します。

Broken Access Control：アクセス制御の不備

Broken Access Controlは「アクセス制御の不備」を意味します。本来アクセスできないページや機能にアクセスできてしまう状態です。

例えば、「購読者が管理者専用設定を変更できる」「他人のデータを編集できる」「権限確認なしで管理機能を呼び出せる」といった問題が該当します。

Privilege Escalation：権限昇格

Privilege Escalationは「権限昇格」を意味します。本来持っていない、より高い権限を取得できてしまう問題です。

「購読者 → 管理者」のように変更できてしまう脆弱性が該当します。

特に、「Unauthenticated Privilege Escalation」であれば、ログインしていない第三者が管理者権限を取得できる可能性があります。

非常に危険度が高いタイプの脆弱性です。

ブルートフォース攻撃

ブルートフォース攻撃とは、パスワードなどを大量に試してログインしようとする攻撃です。いわゆる「総当たり攻撃」です。

WordPressでは、wp-login.phpなどのログイン画面が標的になることがあります。

対策としては、「強力なパスワード」「2段階認証」「ログイン試行回数制限」「WAF」などが有効です。

パスワードリスト攻撃（Credential Stuffing）

Credential Stuffingは、日本では「パスワードリスト攻撃」などと呼ばれることがあります。

過去に別のサービスから流出した、「メールアドレス」「ユーザー名」「パスワード」などを利用して、WordPressへのログインを試す攻撃です。

そのため、パスワードの使い回しは避けることが重要です。

WordPressが侵害されたときに登場する用語

マルウェア：悪意のあるプログラムの総称

マルウェアとは「Malicious Software」を短くした言葉です。悪意のあるプログラム全般を指します。

WordPressサイトが侵害されると、「不正な広告を表示する」「他サイトへリダイレクトする」「個人情報を盗む」「スパムを送信する」といったマルウェアが設置される場合があります。

バックドア：攻撃者が再侵入するための裏口

バックドアは「裏口」を意味します。一度サイトへ侵入した攻撃者が、あとから簡単に再侵入できるように設置する仕組みです。

このため、WordPressが改ざんされた場合、「問題のプラグインを削除したからもう大丈夫」とは限りません。すでにバックドアが設置されている可能性があるためです。

重大な侵害が発生した場合は、WordPress本体やプラグインだけでなく、サーバー内のファイル全体を確認する必要があります。

Webシェル：サーバーを不正に操作するプログラム

Webシェルは、ブラウザなどからサーバーを操作するためのプログラムです。

攻撃者がWebシェルを設置すると、ファイルの作成および削除・コマンドの実行・データベース操作などが可能になる場合があります。

PHPで作成されたWebシェルがWordPressサイトに設置されるケースもあります。

Information Disclosure：意図しない情報漏えい

Information Disclosureは「情報漏えい」を意味します。

WordPressでは、「ユーザー情報」「サーバー情報」「設定値」「API情報」「ファイルパス」などが、本来閲覧できない第三者へ表示される問題が該当します。

直接サイトを乗っ取られなくても、漏れた情報が次の攻撃に利用される場合があります。

サプライチェーン攻撃：プラグインやテーマの配布経路を狙う攻撃

Supply Chain Attackは「サプライチェーン攻撃」と呼ばれます。攻撃対象そのものではなく、その製品を提供する仕組みや関係者を狙う攻撃です。

WordPressでは、以下のようなケースが考えられます。

1. プラグイン開発者のアカウントが乗っ取られる
2. 正規プラグインへ不正コードが追加される
3. 正規アップデートとして配布される
4. 多数のWordPressサイトへ広がる

そのため、「公式サイトから入れたプラグインだから絶対安全」とは限りません。以下の記事のとおり、過去に実例もございます。

WordPressのセキュリティ対策に関係する用語

WAFとファイアウォール：不正なアクセスを防ぐ仕組み

WAFは「Web Application Firewall」の略です。Webサイトへの不正なリクエストを検知・遮断する仕組みです。

WordPressでは、「レンタルサーバーのWAF」「CDNやセキュリティサービス」「セキュリティプラグイン」などによって導入できます。

WAFでは、「SQLインジェクション」「XSS」「Path Traversal」「不審なアクセス」などを遮断できる場合があります。

ただし、WAFがあるからアップデートしなくてもよいわけではありません。

基本は、「脆弱性そのものをアップデートで修正し、WAFは補助的な防御として使う」という考え方が大切です。

2FA・MFA：二要素認証と多要素認証

2FAは「Two-Factor Authentication」の略です。日本語では二要素認証と呼ばれます。一方、MFAは「Multi-Factor Authentication」の略で、多要素認証を意味します。

例えば、「パスワード」「スマートフォンの認証アプリ」「メールアドレス宛に送付される認証コード」といった、2つ以上の異なる要素を組み合わせて認証します。WordPress管理者アカウントの乗っ取り防止には非常に有効な対策です。

Nonce：WordPressで使われるCSRF対策

WordPressでは、CSRF対策としてNonceと呼ばれる仕組みがよく利用されます。

Nonceは簡単にいえば、「この操作が正規の画面から行われたものか確認するための値」です。WordPressプラグインやテーマを開発するときにも、非常に重要な仕組みです。

なお、一般的なコンピューター用語としてのNonceは「一度だけ使う値」という意味合いがありますが、WordPressのNonceは必ずしも一度しか使えないわけではありません。

そのため、「WordPress独自のCSRF対策用トークン」くらいに考えると理解しやすいでしょう。

Sanitize / Validation / Escape：入力と出力を安全に扱う仕組み

Sanitize（サニタイズ）

Sanitize（サニタイズ）とは、入力されたデータを安全な形に整える処理です。

WordPressでは、sanitize_text_field()などの関数が用意されています。

Validation（バリデーション）

Validation（バリデーション）とは、入力された値が正しいか確認する処理です。

たとえば数字を入力する欄に文字列が入っていないか確認する、といった処理が該当します。

Escape（エスケープ）

Escape（エスケープ）とは、Webページへ出力するときに危険な文字を安全な形へ変換する処理です。

WordPressでは、esc_html()やesc_attr()、esc_url()などの関数が利用されます。

大まかには、入力時には Sanitize / Validation、出力時には Escape と覚えると分かりやすいでしょう。

Capability：WordPressの権限管理

WordPressではユーザー権限を細かく管理するために「Capability」という仕組みがあります。例えば、edit_posts upload_files manage_optionsなどがあります。

WordPress開発では、current_user_can()などを使って、「このユーザーにこの操作を実行する権限があるか」を確認します。

このチェックが不足していると、本来操作できないユーザーが管理機能を利用できる脆弱性につながる可能性があります。

Attack Surface「攻撃対象領域」を減らす考え方

Attack Surfaceは「攻撃対象領域」などと訳されます。簡単にいえば、「攻撃者が狙える場所がどれくらい存在するか」という考え方です。

WordPressで攻撃対象になるのは、「プラグイン」「テーマ」「ログイン画面」「REST API」「XML-RPC」「FTP」「SSH」「外部API連携」など、多岐にわたります。

使っていない機能やプラグインを減らすことで、攻撃対象領域も小さくできます。このため、不要なプラグインは「無効化したまま放置」するのではなく、今後使わないのであれば削除することも重要です。

Nulled Plugin・Nulled Theme：非公式の改変版に潜む危険性

残念ながら、有料で販売されているプラグインやテーマを非公式に改変し、配布している場合があります。こうした配布物には、「マルウェア」「バックドア」「広告コード」「不正な外部通信」などが追加されている可能性があります。そういった場合「Nulled Plugin」「Nulled Theme」などと呼ばれることがあります。

出所が分からないテーマやプラグインは、基本的には使用しない方が安全です。

なお、GPLライセンスに基づいて再配布されていること自体と、「不正コードが仕込まれた改変版」であることは別の話です。単純に「公式販売元以外から配布されている＝必ずマルウェア」というわけではありませんが、安全性を確認できない配布元は避けるのが無難です。

WordPressの脆弱性情報を正しく読み解く方法

どのような被害が発生する可能性があるか

WordPressの脆弱性が悪用されると、次のような被害が発生する可能性があります。

• 情報漏えい：個人情報や非公開データなどが第三者に取得される
• データ改ざん：投稿内容やサイト設定などが不正に変更される
• アカウント乗っ取り：管理者などのアカウントが不正に利用される
• マルウェア感染：悪意のあるプログラムが設置される
• サービス停止：Webサイトが正常に利用できなくなる

ただし、脆弱性が存在するからといって、必ずしも被害が発生しているわけではありません。

脆弱性の種類や攻撃条件によって、想定される被害は異なります。

影響を受けるバージョンと攻撃成立条件を確認する

脆弱性が公表された場合、まず自分のWordPressサイトが影響を受けるか確認しましょう。

特に重要なのは、次の3点です。

• 対象バージョン：現在利用しているWordPress本体・プラグイン・テーマが該当するか
• 必要な権限：ログイン不要なのか、特定のユーザー権限が必要なのか
• その他の条件：特定の機能や設定が有効な場合に限られるのか

例えば「Unauthenticated（認証不要）」と記載されていれば、ログインしていない第三者でも攻撃できることを意味します。

脆弱性の深刻度だけでなく、実際の攻撃条件も確認することが大切です。

修正版の公開状況と必要な対応を確認する

自分のサイトが脆弱性の影響を受ける場合は、修正版が公開されているか確認しましょう。修正版が存在する場合は、必要なバックアップを取得したうえで、速やかにアップデートすることが基本です。

一方、修正版が公開されていない場合は、開発元の案内に従い、次のような暫定対策を検討します。

• 問題のあるプラグインや機能を一時的に停止する
• WAFやアクセス制限で攻撃のリスクを減らす
• 必要に応じて代替プラグインなどへ切り替える

なお、すでに攻撃を受けていた場合、アップデートだけでは不正なファイルやバックドアが残る可能性があります。

脆弱性の修正と、すでに発生した被害への対応は別であることも覚えておきましょう。

セキュリティ用語を知る目的は「怖がること」ではない

WordPressのセキュリティ情報を見ていると、「重大」「Critical」「サイト乗っ取り」「リモートコード実行」など、強い言葉が並ぶことがあります。

しかし、必要以上に不安になる必要はありません。重要なのは、「どのバージョンが影響を受けるのか」「自分の環境も該当するのか」「どのような条件で攻撃できるのか」「修正版が公開されているのか」など、影響と状況を冷静に確認することです。

WordPressは世界中で利用されているため、脆弱性情報も数多く公開されています。そのため、問題が発見・公表され、アップデートによって修正されていくこと自体は、ソフトウェアを安全に運用していくうえで重要な仕組みです。

英語の脆弱性情報を読み解いてみよう

本記事で紹介した用語を知っておくと、英語で書かれた脆弱性情報も理解しやすくなります。

例えば、「Unauthenticated Arbitrary File Upload leading to Remote Code Execution」という説明があったとします。

それぞれ分けて考えると、以下のような意味となっています。

• Unauthenticated＝ログイン不要
• Arbitrary File Upload＝任意のファイルをアップロード可能
• Remote Code Execution＝遠隔からコードを実行可能

つまり、「ログインしていない第三者が任意のファイルをアップロードでき、その結果としてサーバー上でコードを実行できる可能性がある」という非常に危険な脆弱性だと分かります。

用語を知っておくだけでも、セキュリティニュースの理解度は大きく変わります。

まとめ：セキュリティ用語を理解してWordPressを安全に運用しよう

WordPressを安全に運用するために、すべてのセキュリティ技術を専門家レベルまで理解する必要はありません。

しかし、この記事で紹介した基本用語を知っておくだけでも、アップデート情報やセキュリティニュースを理解しやすくなります。

特にWordPressでは、プラグインやテーマを含めて頻繁にアップデートが行われます。「セキュリティアップデートだから、とりあえず更新する」だけでなく、「どのような問題があり、なぜ更新する必要があるのか」まで理解できるようになると、WordPress運営者として一段深い判断ができるようになります。

難しい言葉が出てきたときも、まずは「誰が攻撃できるのか」「何ができてしまうのか」「自分の環境は影響を受けるのか」「修正版はあるのか」の4点から確認してみるとよいでしょう。