登録不要・無料・URLだけ
30秒でわかる
WordPressサイト診断
いま使っているプラグインに、修正済みのまま放置されている脆弱性がないかを確認します。
狙われているのは、大きなサイトだけではありません
攻撃は「価値のあるサイト」を選んで行われるのではなく、 既知の脆弱性が残っているサイトを機械的に探して行われます。 規模も業種も条件になりません。
「実際に悪用が確認されたもの」が少ないのは、悪用が少ないからではありません。 CISA KEV は米国政府が悪用の事実を確認したものだけを載せる目録で、 WordPress のプラグインが登録されること自体がほとんどありません。 つまりこの数は「WordPress で確認された悪用の総数」ではなく、 米国政府が把握して公表した分にすぎません。 狙われやすさの推定は、各脆弱性ページの EPSS（今後30日以内に悪用される確率）で確認できます。
つまり被害の大半は、未知の攻撃ではなく 「修正版が出ているのに更新していないプラグイン」から起きています。
サイトの改ざん
ページに不正なコードやリンクが埋め込まれ、訪問者が危険なサイトへ誘導されます。 自分では気づきにくく、検索結果から警告表示されて初めて分かることが多い。
マルウェアの配布元にされる
サイトを経由してウイルスが配布され、訪問者の端末に被害が及びます。 ブラウザやセキュリティ製品にブロックされ、流入が止まります。
情報の漏えい
問い合わせフォームの送信内容や会員情報など、 預かっているデータが外部に流出します。
復旧には調査・駆除・再構築が必要で、多くの場合 事前に更新しておくより高くつきます。 まず「いま該当しているか」を確かめるところから始められます。
登録も設定もなし。URLを入れるだけで診断できます
アカウント作成、プラグインのインストール、管理画面へのログイン情報 — どれも必要ありません。入力するのは診断したいサイトのURL 1つだけです。
URLだけ・30秒
公開ページを読み取って、使われているプラグイン・テーマとそのバージョンを特定します。 メールアドレスの入力も任意です（結果は画面に出ます）。
CVE番号まで名指しで表示
「危険です」で終わらせません。どの拡張のどのバージョンが、 どの脆弱性（CVE）に該当し、どのバージョンに上げれば解消するかまで出します。
分からないものは「不明」と表示
バージョンが特定できない拡張は判定しません。危険と決めつければ問い合わせは増えますが、 確認したときに嘘だと分かる指摘は信用を失います。
診断内容
外部から見える情報だけを使って、2つの方向から確認します。
既知脆弱性の突合
検出した拡張のバージョンを、公的データベースの脆弱性情報と1件ずつ照合します。 該当した場合は、CVE番号・深刻度・悪用の実績・修正版を表示します。
外部からの見え方
攻撃の下調べに使われる情報が、公開状態になっていないかを確認します。 見えている時点でリスクという位置づけです。
できないことも書いておきます
外部から見える情報のみを使うため、以下は検出できません。
- 管理画面でのみ動作し、フロントに出力されないプラグイン
- バージョンを意図的に隠している場合の正確な版数（この場合は「不明」と表示し、判定しません）
- サーバ内部の設定、PHP・データベースのバージョン、すでに侵入されているかどうか
判定に使っているデータ
独自の判定基準ではなく、公開されている一次情報を毎日取り込んで使っています。 どのデータで何を言っているかは、各ページで出典まで辿れます。
NVD（米国国立脆弱性データベース）
脆弱性本体の情報と影響バージョン。CVE番号の一次情報です。
Wordfence Intelligence
WordPress専門の脆弱性データ。CVE未採番のものや、修正版バージョンを補完します。
CISA KEV ／ EPSS
「実際に悪用されているか」と「今後30日で悪用される確率」。 深刻度だけでは分からない優先順位を判断します。
WordPress.org
プラグイン・テーマの実在確認、最新版、最終更新日、利用サイト数。
診断してから、直るまで
診断だけで終わっても構いません。自分で直せる内容はそのまま対処してください。 手が足りない場合だけ、こちらで引き受けます。
- URLを入力する登録不要。30秒ほどで結果が画面に出ます。控えをメールで受け取ることもできます。
- 結果を見る該当した脆弱性・上げるべきバージョン・露出しているファイルが一覧で出ます。
- 自分で直す、または相談する更新だけで解消するものが大半です。壊れるのが不安な場合はご相談ください。
- 状態を保つ脆弱性は毎日新しく公開されます。一度直しても放置すればまた溜まります。
脆弱性データベース
診断の判定に使っているデータは、そのまま閲覧できます。 毎日更新しているので、公開されたばかりのものも含まれます。
最近公開された脆弱性
| CVE | 対象 | 深刻度 | 修正版 | 公開日 |
|---|---|---|---|---|
| CVE-2026-18983 | One User Avatar | User Profile Picture | 高 | 2.5.5 |
2026年8月27日 |
| CVE-2026-18978 | LiteSpeed Cache | 高 | 7.9 |
2026年8月27日 |
| CVE-2026-18324 | Forminator Forms – Contact Form, Payment Form & Custom Form Builder | 高 | 1.57.0.2 |
2026年8月27日 |
| CVE-2026-76053 | TranslatePress – Translate Multilingual sites with AI Translation | 高 | 3.3.4 |
2026年8月27日 |
| CVE-2026-77365 | Optimole – Optimize Images | Convert WebP & AVIF | CDN & Lazy Load | Image Optimization | 高 | 4.2.11 |
2026年8月27日 |
| CVE-2026-6286 | Booking for Appointments and Events Calendar – Amelia | 高 | 2.2.1 |
2026年8月27日 |
| CVE-2026-5097 | wpForo Forum | 高 | 3.0.0 |
2026年8月27日 |
| CVE-2026-6176 | Customer Reviews for WooCommerce | 高 | 5.107.0 |
2026年8月27日 |
| CVE-2026-18080 | ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce | 緊急 | 1.17.9 |
2026年8月26日 |
| CVE-2026-75977 | Mang Board WP | 高 | 2.3.8 |
2026年8月26日 |
| CVE-2026-18331 | Formidable Forms – WordPress Form Builder for Contact Forms, Calculators, Quizzes & More | 高 | 6.34 |
2026年8月26日 |
| CVE-2026-19760 | WP Fastest Cache – WordPress Cache Plugin | 高 | 1.5.1 |
2026年8月26日 |
利用サイト数の多いプラグイン
- Yoast SEO – Advanced SEO with real-time guidance and built-in AI
- Elementor Website Builder – more than just a page builder
- Contact Form 7
- LiteSpeed Cache
- WooCommerce
- All-in-One WP Migration and Backup
- WPForms – AI Form Builder for WordPress – Contact Forms, Payment Forms, Survey Form, Quiz & More
- Site Kit by Google – Analytics, Search Console, AdSense, Speed
- Wordfence Security – Firewall, Malware Scan, and Login Security
- Akismet Anti-spam: Spam Protection
- Rank Math SEO – AI SEO Tools to Dominate SEO Rankings
- WP Mail SMTP by WPForms – The Most Popular SMTP and Email Log Plugin
よくある質問
本当に無料ですか？登録は必要ですか？
無料です。アカウント登録もクレジットカード登録も不要で、入力するのは診断したいサイトのURLだけです。メールアドレスは、結果の控えを受け取りたい場合の任意入力です。
診断でサイトに負荷がかかりませんか？
公開ページへの通常のアクセス（GET）だけを行います。1回の診断で対象サイトに送るリクエストは最大40件、同時実行は4件までに制限しています。通常の閲覧者が数ページ見るのと同程度で、認証の突破・総当たり・脆弱性の実際の悪用は一切行いません。
自分が管理していないサイトも診断できますか？
ご自身が管理するサイトに対して実行してください。行っているのは公開ページの閲覧のみですが、他人のサイトを無断で検査する目的での利用は想定していません。
30秒で具体的に何が分かりますか？
使用中のプラグイン・テーマとそのバージョン、それが既知の脆弱性に該当するか（該当する場合はCVE番号と修正版）、更新が止まっている拡張、debug.log などの露出、HTTPSの状態です。
特定のレンタルサーバーで運用していないと使えませんか？
サーバーは問いません。公開されているURLであれば、どこで運用しているサイトでも診断できます。WordPress以外のサイトの場合は、検出できる項目が限られます。
脆弱性データはいつのものですか？
NVD と Wordfence Intelligence から毎日自動で取り込んでいます。現在 5,212件の脆弱性、4,310件のプラグイン・テーマを掲載しています。悪用の実績（CISA KEV）と悪用確率（EPSS）も併せて更新しています。
入力したURLやメールアドレスはどう扱われますか？
診断ログにIPアドレスとメールアドレスは保存しません（ホスト名のみ記録します）。メールアドレスはレポート送信とその後のご連絡にのみ使用し、第三者への提供・販売は行いません。
見つかった問題の修正を頼めますか？
対応しています。溜まった更新の一括適用から、以降の継続的な更新・監視までを代行します。更新前のバックアップと更新後の表示チェックを含めているので、「更新したら壊れた」を避けられます。