WordPressセキュリティ診断

WordPressを更新したのに、安全とは限りません

2026年10月に公表されたPHPの脆弱性（PHP2Shell）は、WordPress本体やプラグインの更新では直りません。土台のPHPから、プラグイン、管理者、乗っ取りの兆候まで、WordPressサイトをまとめて診断します。

診断を申し込む 料金を見る

どの更新が、PHP2Shellに効くのか

更新したものPHP2Shellへの効果
WordPress本体・プラグイン・テーマ直らない
PHP（修正版）直る
WAF（Cloudflareなど）一部の経路を止める補完策
設定による暫定策一部の経路を減らすだけ

まず、WordPressの管理画面で見る4か所

  1. PHPのバージョン：「ツール → サイトヘルス → 情報 → サーバー」で、修正版（8.5.12／8.4.27／8.3.36／8.2.35 以降）かを見ます。
  2. プラグインの一覧：使っていないものは「停止」ではなく「削除」まで行います。停止しただけでは、ファイルはサーバーに残ります。
  3. 管理者ユーザー：「ユーザー」で権限が管理者の人を確認します。覚えのない名前があれば、乗っ取りを疑います。
  4. ログインの守り：管理者全員のパスワードを見直し、二段階認証を設定します。

WordPress向けの診断項目

01

PHPのバージョンとサポート期限

修正済みか、年内にサポートが終わる系統ではないかを確認します。

02

WordPress本体

本体の版と、更新が止まっていないかを確認します。

03

プラグイン・テーマ

更新が止まった部品、使っていない部品、公開されている脆弱性との照合を行います。

04

管理画面と認証

管理者の数、ログイン画面の公開状態、二段階認証の有無を確認します。

05

公開ファイル・設定

バックアップ、phpinfo、画像フォルダ内の不審なPHPファイルを確認します。

06

乗っ取りの兆候

知らないページやリンク、検索結果の異常、不審な管理者を確認します。

乗っ取りを疑うサイン

どれか1つでも当てはまれば、まずバックアップを取り、サーバー会社に連絡してください。当てはまらなくても、被害がない証明にはなりません。

サイン見る場所意味すること
覚えのない管理者がいる管理画面の「ユーザー」侵入後に足場として作られた可能性
書いた覚えのないページ・リンクがある投稿・固定ページ、本文中のリンク不正なコンテンツの挿入
知らない商品名や外国語のページが並ぶGoogleで site:自分のドメイン を検索検索結果を悪用される改ざん
知らない所有者が増えているGoogle Search Console の「ユーザーと権限」サイトの管理権限が奪われた可能性
画像フォルダに身に覚えのないPHPファイルがあるファイル管理（アップロード用フォルダ）不正なプログラムの設置

WordPressを続けるか、PHPを使わない形に移すか

診断のレポートに、サイトごとのおすすめもあわせて記載します。

サイトの種類おすすめの方向理由
会員・ショップ・予約が中心WordPressのまま守る機能の多くをプラグインが担っており、移すとほぼ作り直しになるため
会社案内・店舗・作品集で、更新は年に数回静的サイト化も選択肢PHPやデータベースがなくなり、攻撃される場所が減るため
ブラウザから、複数人が頻繁に書くCMSは維持し、更新と監視を仕組みにする書く人の運用を変えずに、安全性を上げられるため

料金プラン

ライト診断

¥29,800（税別）

まず現状を知りたい方

  • URLのみで外部から診断
  • PHP・CMS・プラグインのバージョン、公開されているファイル、HTTP・SSLの確認
  • 優先順位つきのレポート
  • 結果の説明（オンライン30分）
ライト診断を申し込む
おすすめ

標準診断

¥98,000（税別）

自社で更新まで進めたい方

  • ライト診断の全項目
  • Webで動いているPHPの版と設定の確認（読み取り専用の権限をお預かり）
  • 不審なファイル・管理者・ログの確認
  • 更新計画書（手順・戻し方つき）
  • 報告会（オンライン60分）
標準診断を申し込む

診断＋対応一式

¥198,000〜（税別）

更新作業も任せたい方

  • 標準診断の全項目
  • バックアップ、PHPの切り替え、動作確認の実施
  • WAFや暫定策の設定
  • 復旧テストと、更新後の再診断1回
診断＋対応一式を申し込む

料金はサイトの規模・構成によって変わる場合があります。お申し込み後、担当者が内容とお見積もりを確認するご連絡をしてから開始します（この時点で料金は発生しません）。

診断の範囲と、お約束しないこと

できること

  • 外部から確認できる範囲の診断（公開されているバージョン情報、CMS・プラグイン、公開ファイル、HTTP・SSL）
  • 公開されている脆弱性情報との照合
  • 優先順位つきのレポートと、更新・対策の計画づくり
  • ご希望のプランでの、更新作業と暫定策の設定

できないこと・お約束しないこと

  • 「攻撃を受けていない」ことの保証（痕跡がないことは、被害がないことの証明にはなりません）
  • バージョンが外部に公開されていないサイトの、外部診断だけでの断定（その場合は管理画面での確認をご案内します）
  • ご自身が管理していないサイトの診断
  • 未公表の脆弱性の発見。攻撃的な侵入テストや負荷試験も行いません

ご利用の流れ

  1. お申し込み：診断するURLと、サーバーの種類（レンタルサーバー・VPSなど）をお知らせください。診断できるのは、ご自身が管理するサイトのみです。
  2. 内容とお見積もりの確認：担当者からご連絡し、管理者であることと、作業の範囲・料金を確認します。
  3. 診断：ライト診断はURLだけで外部から確認します。標準以上は、読み取り専用の権限をお預かりし、Webで動いているPHPの版や設定まで確かめます。
  4. レポートと対策の相談：要対応・注意・良好の3段階で、優先順位つきのレポートをお渡しし、更新の手順と戻し方まで説明します。

よくある質問

プラグインを全部最新にしました。それでも診断は必要ですか？

必要です。PHP2Shellは、プラグインではなくPHP本体の脆弱性です。プラグインを最新にしても直りません。PHPのバージョンの確認が先です。

WordPressのバージョンが古くても、診断できますか？

できます。外部から確認できる範囲で、本体・プラグイン・PHPの状態を診断します。古い場合は、更新の順番と、動かなくなるリスクへの備えまで提案します。

WAFを入れていれば、更新は不要ですか？

不要にはなりません。WAFは既知の攻撃経路を止める補完策で、Cloudflare自身も修正版への更新を求めています。PHP公式も、設定による暫定策は安全にはならないとしています。

更新して、サイトが崩れたらどうなりますか？

「診断＋対応一式」では、バックアップを取ってから切り替え、動作確認と復旧テストまで行います。問題があれば、元に戻せる形で進めます。

すでに乗っ取られているかもしれません。

標準診断以上で、不審なファイル、管理者、ログを確認します。痕跡がなくても被害がない証明にはならない点はご了承ください。被害が疑われる場合は、サーバー会社への連絡とバックアップの保全を先に行ってください。

WordPress以外にも対応していますか？

はい。PHPで動くサイトであれば、CMSの種類を問わず対象です。「PHPサイト診断」のページもご覧ください。

まずは無料で確認できますか？

できます。Web攻守診断（トップページ）でURLを入れると、外から見えるPHP・WordPress・プラグインの状態をその場で無料診断できます。結果を見てから、有料の診断をご検討ください。

診断を申し込む

お申し込み後、担当者から内容とお見積もりを確認するご連絡をします。料金はご確認いただいてから発生します。

あわせて読みたい

脆弱性に関する情報は2026年10月23日時点の公式情報・報道に基づきます。最新の情報は PHP公式 をご確認ください。診断はご自身が管理するサイトのみが対象で、診断結果はサイトの安全を保証するものではありません。運営：デジタルーツ株式会社