AIがゼロデイを自動発見する時代に中小企業のWordPressは何をすべきか

ゼロデイが「例外」でなくなった

生成AIによる脆弱性の自動発見が進み、これまで人間が見落としていた欠陥が短時間で見つかるようになったと報告されています。2026年4月のAnthropic「Claude Mythos Preview」発表（外部サイト）はその象徴的な出来事で、Anthropicは、利用者の指示を受けたこのモデルが、主要なOSと主要なWebブラウザのすべてで未知の脆弱性を見つけ、悪用までできたと報告しています。Anthropicは発表の時点で、Mythos Previewを一般には公開せず、Project Glasswingという防御側の連合に参加する組織やオープンソースの開発者に限って提供するとしていました。Mythos Previewも次に挙げるCodexの事例も、防御側が自ら探して開発元へ知らせたもので、攻撃に使われたという報告ではありません。それでも運用側から見ると、修正が出るまでのあいだ手の打ちようがない期間は、以前より起きやすくなります。

実際、2026年6月には、セキュリティ企業Califの研究者がOpenAIのコーディングエージェント「Codex」にコードを読ませ、nginxやApache httpdなど主要なWebサーバーソフトウェアの既定のHTTP/2設定で成り立つ、サーバーを止める未知の攻撃の手口（通称「HTTP/2 Bomb」。Apache httpdではCVE-2026-49975）を見つけたことが公表されています。組み合わせた2つの手法はどちらも10年前から公開されていましたが、Califが確認できた限り、これらのサーバーに対して組み合わせた人はいませんでした。WordPressを支える基盤ソフトウェアの側でも、AIによる脆弱性の発見はすでに起きています。

中小企業がすべての脆弱性を先回りで塞ぐのは現実的ではありません。攻撃の対象になる部分そのものを減らす方向に、考え方を切り替える必要があります。

まず削るべきもの

• 使っていないプラグイン・テーマ：有効・無効を問わず、使っていないものは削除する。導入数が多いほど攻撃の入り口が増える。
• 不要な公開範囲：管理画面へのアクセス元を制限し、公開しなくてよい機能を閉じる。
• 放置されたアカウント：使われていない管理者アカウントを整理し、パスワードを見直す。

攻撃の入り口を構造的に減らす

攻撃の入り口そのものを取り除く方法は、公開側でプログラムを動かさない構成にすることです。WordPressのページを事前に作り置きする“表示専用”の構成（WordPress静的移行）にすれば、WordPress本体とプラグインに由来する未知の脆弱性は、公開側から外れます。ただし公開側にはWebサーバーと配信の仕組みが残り、そちらの脆弱性は残ります。実際、2026年6月に公表された、nginxやApache httpdなどの既定の設定で成り立つ攻撃の手口は、WordPressの有無に関わらず影響します。減らせるのは入り口の数であって、ゼロにはなりません。

記事の編集は管理画面で続けられるため、日々の運用は大きく変わりません。攻撃の対象になる部分だけを公開側から切り離す、という発想です。

機能ごとに、どこまで適用できるかが分かれる

どこまで適用できるかは、いま動いている機能ごとに分かれます。次の表を、自社のサイトで動いているものに当てはめてください。

フォームとサイト内検索は、別の仕組みへ預けられることが多い部分です。方式ごとの違いと、選ぶ前に確かめる項目はフォームや検索を公開側の処理なしで動かす方法にまとめています。

行き先が「作り替えの検討へ回す」になった機能があるなら、静的移行では届きません。閲覧の部分は作り置きのページで配信し、会員、購入、予約の処理はサーバー側のプログラムで作り直す、作り替えの構成を検討することになります。

段階的な実行計画

• 棚卸し：現在のプラグイン・動的機能・公開範囲を洗い出す。
• 優先度づけ：攻撃の入り口になりやすい部分を洗い出し、静的移行に収まる機能と、作り替えに回す機能を切り分ける。
• 移行と引き継ぎ：作り替えに回す機能が無ければ、置き換える機能を用意してから公開側をまとめて静的移行に切り替え、運用手順を引き継ぐ。作り替えに回す機能があれば、サイト全体を作り替えとして計画する。

費用対効果の考え方

静的移行には初期費用がかかります。月々の保守作業（更新確認・バックアップ・監視）は、公開側から外した範囲にかかっていた分だけ減ります。侵害が起きたときの復旧費用と機会損失は、避けられると約束できるものではありません。入り口が減る分だけ、起こる可能性が下がります。継続してかかる費用と、事故が起きたときの損失の両方を並べて比べてください。

具体的な費用の目安と変動要因は、料金・見積の考え方を確認するページにまとめています。