WordPressの脆弱性・改ざんの兆しを毎日点検し、タイムラインで報告　『NUSEEK Security Scanner』提供開始

── 止めたままのプラグインや、サーバーに残ったファイルまで点検

NUSEEK株式会社

2026年11月5日 11時10分

NUSEEK株式会社（本社：滋賀県犬上郡、代表取締役社長：市川晴英、以下「当社」）は、2026年11月5日、当社が提供する『Nuseek AIRA』（以下「AIRA」）と連携するWordPress用プラグイン『NUSEEK Security Scanner』の提供を開始しました。AIRAをご利用のお客様は、フリープランを含むすべてのプランで、追加の費用なくご利用いただけます。

『NUSEEK Security Scanner』は、公開ページからは見えないサイトの中の状態を毎日点検し、結果をAIRAに届けるプラグインです。これまでAIRAがお伝えしてきたお客様やブランドの動きに加え、お店のサイトそのものの安全も、同じアプリの中で確認できるようになります。社内に担当者がいなくても、次に何をすればよいかが分かります。

NUSEEK Security Scannerの詳細：https://nuseek-aira.com/wordpress-plugin

■開発の背景:「作ってもらったきり」のサイトの中は、誰が見ているのか

WordPressでECサイトやブランドサイトを運営するお店の多くは、サイトの制作を外部に任せています。公開後は日々の商品更新や受注対応に追われ、サイトの中にどんなプラグインやファイルがあり、どれを更新すればいいのかが分からないまま、ということも少なくありません。保守契約が終わっている、当時の担当者がもういないなど、「誰も中を見ていない」サイトもあります。

一方、WordPressに関わる脆弱性は2025年に11,334件見つかり、前年より42%増えました。その91%はプラグインのものです※1。2026年9月にはWordPress本体の重大な脆弱性が、修正版が公開されたその日から攻撃に使われ始めました※2。10月21日にはPHP自体の重大な脆弱性の修正版が公開され、同じ日に攻撃が観測されています※3。
ネットショップとは別のサーバーで動くWordPressでも、ネットショップと同じドメインで記事を出している場合や、ネットショップのページに記事を取り込んでいる場合は、WordPressへの不正アクセスの影響がネットショップのお客様にも及ぶことがあります。止めたままのプラグインや、サーバーに残ったバックアップは侵入の入り口になりえますが、外から公開ページを見ても分かりません。そこで当社は、プラグインを使ってサイトの中から確かめられるようにしました。

※1 Patchstack「State of WordPress Security in 2026」

※2 CrowdSec「CVE-2026-87902」観測報告（2026年9月28日公開）

※3 watchTowr「PHP CVE-2026-109618 FAQ」、米CISA「Critical Vulnerabilities in PHP Require Immediate Patching」（2026年10月21日）

■『NUSEEK Security Scanner』でできること

1. WordPress・プラグイン・テーマのバージョンを、脆弱性情報と照合

WordPress本体・プラグイン・テーマのバージョンを、Defiant社が公開するWordPressの脆弱性データベース「Wordfence Intelligence」と照合します。データベースは毎日取り込み、新しい脆弱性が載った日には、次の点検を待たずに照合し直します。停止中のプラグインも対象で、見つかった場合は「使っていないなら削除してください」と添えてお知らせします。PHPは公式のサポート期限と照らし、修正の配布が終わったバージョンで動いている場合もお知らせします。

2. 公式ディレクトリに載っていないプラグインを見つける

WordPress公式プラグインディレクトリに載っていないプラグインを見つけます。こうしたプラグインには、有料のものや開発元が独自に配布するもののほか、開発の終了や未修正の不具合などで一覧から外されたものも含まれます。一覧から外されたものには、今後修正版が届かないことがあります。使っていないものは削除を、使っているものは開発元への保守状況の確認をおすすめします。

3. ファイルが書き換えられていないかを確認

WordPress本体と、公式プラグインディレクトリに掲載されているプラグインのファイルを、公式の配布物と照合します。書き換えられたファイルや後から追加されたプログラムのファイルを見つけ、確かめ方と元に戻す手順を添えてお知らせします。外からは気づきにくい不正なプログラムの埋め込みや、意図しないファイルの変更に、早い段階で気づくことができます。(有料・独自配布のプラグインは公式の配布物がないため照合できず、その旨を表示します。）

4. 置かれるはずのないファイル・残ったままのファイルを確認

画像やPDFなど、アップロードしたファイルを保存するフォルダに、本来置かれるはずのないプログラムのファイルがないかを確認します。あわせて、外部から取得されるおそれのあるバックアップや設定ファイルの控え、開発用のファイルがサーバーに残っていないかも確認します。不正なプログラムの設置や、情報が持ち出されるきっかけになるファイルに気づくことができます。

5. 不正なログインの兆しを確認

ログインに失敗した回数と、管理者の人数の増減を確認します。管理者が増えた場合はその変化をお知らせしますので、心当たりがあるかをご確認ください。
点検は毎日、深夜3時〜5時 (サイトの時刻) に自動で行うほか、連携後はWordPressの管理画面 (ツール) の「いますぐしらべる」からいつでも行えます。結果はAIRAの「サイトの守り」でご覧いただけるほか、AIRAにチャットで聞くこともできます。

本プラグインの点検は確認のみで、ファイルの書き換え・移動・削除は一切行いません (プラグイン自身の更新は、当社の署名を確かめたうえで自動で行います。WordPressのプラグイン画面でオフにできます)。AIRAへ送信する情報は、バージョン、ファイルの場所・サイズ・更新日時、ログインに失敗した回数や管理者の人数などです。ファイルの内容、ユーザー名・メールアドレス・IPアドレス、顧客・注文に関する情報は送信しません。

※WordfenceはDefiant, Inc.の商標です。WordPressはWordPress Foundationの商標です。