WordPressは、企業サイトやブログ、ECサイトなど、さまざまなWebサイトで使われているCMSです。便利で拡張性が高い一方、適切な更新や管理を行わなければ、不正ログイン、サイト改ざん、情報漏えいなどのリスクが高まります。
「ピンバック・トラックバックは無効にしたほうがいい？」「プラグインの更新だけで十分？」「古いWordPressを使い続けても大丈夫？」という疑問をお持ちの方に向けて、2026年時点で確認しておきたいセキュリティ対策を整理しました。
特に、以前からお問い合わせの多いピンバック・トラックバックの無効化方法は、具体的な設定手順もご紹介します。
WordPressのセキュリティ対策、まず確認したい6項目
次の項目にひとつでも心当たりがある場合は、サイトの設定や運用方法を見直すことをおすすめします。
- WordPress本体・テーマ・プラグインを長期間更新していない
- 使っていないプラグインやテーマを残したままにしている
- ピンバック・トラックバックや不要な外部連携を有効にしている
- 管理者アカウントのパスワードやログイン対策を見直していない
- バックアップの取得・復元方法を確認していない
- サーバーのPHPのバージョンが古いままになっている
以下、それぞれの対策を解説します。
1. WordPress本体・テーマ・プラグインを適切に更新する
WordPress本体だけでなく、テーマやプラグインにもセキュリティ修正が提供されます。管理画面の「ダッシュボード」→「更新」で更新状況を確認し、修正を適切に反映しましょう。
特に注意したいのは、「WordPress本体は更新しているものの、テーマやプラグインは何年も前のまま」というケースです。古いプラグインなどに脆弱性が残っていると、そこが攻撃の入口になる可能性があります。
ただし、更新ボタンを押せば必ず安全というわけではありません。 独自開発のテーマや古いプラグインを利用しているサイトでは、更新後に表示や機能が壊れる場合もあります。事前にファイルとデータベースをバックアップし、可能であればテスト環境で確認してから本番に反映してください。
2. ピンバック・トラックバックを無効にする
ピンバック・トラックバックとは？
ピンバック（Pingback） は、自分の記事が別のブログからリンクされた際などに、サイト間で自動的に通知をやり取りする仕組みです。トラックバック（Trackback） は、他のブログに記事の引用や紹介を通知する、主に従来のブログ文化で使われてきた仕組みです。
いずれも記事同士のつながりを知らせるための機能ですが、現在の一般的な企業サイトでは、必要としないケースも多くあります。不要なまま受け付けていると、スパム通知への対応が増えるほか、ピンバックに関連する機能が悪用されるリスクも考えられます。
ピンバック・トラックバックを利用していないサイトであれば、受信を無効にすることをおすすめします。 ただし、この設定だけでWordPress全体のセキュリティが確保されるわけではありません。
新しく公開する記事のピンバック・トラックバックを無効にする方法
- WordPressの管理画面へログインします。
- 「設定」→「ディスカッション」を開きます。
- 「デフォルトの投稿設定」にある「新しい投稿への他のブログからの通知（ピンバック・トラックバック）を許可する」といった項目のチェックを外します（表記はバージョンや翻訳によって異なります）。
- 画面下部の「変更を保存」をクリックします。
この設定は、基本的に今後新しく作成する投稿に対するものです。既存の記事については、次の確認も必要です。
すでに公開済みの記事はどうする？
「投稿」→「投稿一覧」から対象記事を選択し、「一括操作」→「編集」を実行します。編集項目に「トラックバック／ピンバック」などが表示される場合は「許可しない」に変更して更新してください。管理画面の表示や利用しているエディターによって操作方法が異なる場合は、各記事のディスカッション設定も確認します。
なお、記事内でリンクした相手先へ通知を送る「リンクしたブログへの通知を試みる」機能も、使わない場合は同じディスカッション設定から停止を検討できます。
XML-RPCも無効にすべき？
ピンバックとあわせて話題になるのが、WordPressの xmlrpc.php です。XML-RPCは外部ツールとの通信などに使われる仕組みで、サイト構成によっては不要な場合があります。
ただし、ピンバック・トラックバックの設定変更と、XML-RPC全体の停止は別の対策です。また、XML-RPCを停止すると、利用している外部連携や一部の機能に影響することがあります。実際の利用状況を確認したうえで、不要な機能を制限してください。
3. 使っていないテーマ・プラグインを整理する
「現在は無効化しているから大丈夫」と思っていても、古いプラグインやテーマのファイルがサーバーに残っていることがあります。
利用していないものは削除し、利用中のものについては提供元の更新状況を確認しましょう。長期間更新されていない、またはサポートが終了しているプラグインは、代替手段や改修を検討することが重要です。
4. 管理画面への不正ログインを防ぐ
管理者アカウントを守ることも、WordPressの基本的なセキュリティ対策です。
- 長く使い回したパスワードを避け、十分に強く固有のパスワードを設定する
- 可能であれば多要素認証（2FA）を導入する
- 管理者権限を必要な人だけに与え、不要なアカウントは整理する
- ログイン試行回数の制限やWAFなどを、利用環境に応じて検討する
ログインURLの変更だけに頼るのではなく、認証と権限管理を組み合わせることが大切です。
5. バックアップ・HTTPS・サーバー設定を見直す
万が一、サイトの改ざんや更新時の不具合が発生した場合に備え、WordPressのファイルとデータベースの両方を定期的にバックアップしてください。バックアップを取るだけでなく、復元できる状態かどうかも確認しておくと安心です。
あわせて、サイト全体のHTTPS化、サーバー側のWAF、不必要なファイルへのアクセス制限、セキュリティ監視なども、運用環境に応じて見直しましょう。
6. 古いPHPを使い続けない
WordPressの動作には、サーバー側で実行されるプログラミング言語「PHP」が必要です。そのため、WordPress本体を更新していても、PHPが古いままでは十分とはいえません。
PHPにはバージョンごとのサポート期限があります。サポートを終了したPHPでは、新たに見つかった脆弱性への修正が提供されなくなります。例えば、2026年10月時点ではPHP 7.4、8.0、8.1はすでに公式サポートを終了しています。
サーバー管理画面でPHPのバージョンを確認し、サポートされているバージョンへの移行を検討してください。ただし、古いWordPressやテーマ、プラグインが新しいPHPに対応していない場合、PHPだけを先に切り替えるとサイトが動かなくなることもあります。
古すぎてアップデートできないWordPressを、そのまま放置していませんか？
「更新すると画面が真っ白になる」「PHPを新しくするとエラーが出る」「制作会社がなくなり、誰も管理できない」――こうした理由で、WordPressの更新を何年も見送っているサイトはありませんか？
古いWordPressやPHPを放置すると、既知の脆弱性が修正されないまま残る可能性があります。その結果、不正なプログラムの設置、ページの改ざん、迷惑メールの送信への悪用、訪問者への被害などにつながるおそれがあります。
一方で、長年運用しているサイトを無理に一括更新すると、独自テーマ・プラグイン・PHPコードの互換性が原因で不具合が起こる場合があります。そのため、状況に応じた手順で進めることが大切です。
古いWordPress・PHPのアップデートで行うこと
- 現状調査：WordPress・PHP・テーマ・プラグインのバージョンと依存関係を確認
- バックアップ：ファイル・データベースを保全し、復元手段を確認
- 検証環境での動作確認：新しいバージョンとの互換性やエラーを調査
- 必要な改修と段階的な更新：古いPHPコード、独自テーマ、プラグインを必要に応じて修正・置換
- 本番反映と確認：表示、フォーム、管理画面、主要機能を確認して切り替え
すべてのサイトでそのまま最新環境に移行できるとは限りませんが、現状を調査することで、既存のデザインや機能をできるだけ活かしながら更新する方法を検討できます。
古すぎてアップデートできない場合は、RGBデザインへご相談ください
RGBデザインでは、古いWordPressやPHPの更新が難しいサイトについてもご相談を承ります。「どこから手を付ければよいかわからない」「更新したら壊れそうで不安」という段階でも構いません。
サイトのURL、現在わかっているWordPress・PHPのバージョン、発生しているエラーなどをお知らせください。対応方法を検討いたします。
WordPressの新規制作やセキュリティを考慮したサイト構築については、WordPressサービスのご案内もご覧ください。すでに不具合が起きている場合は、WordPressトラブル対応のページもご利用いただけます。
WordPressのセキュリティに関するよくある質問
Q. ピンバック・トラックバックを無効にするとSEOに影響しますか？
ピンバック・トラックバックを有効にすること自体が、検索順位の直接的な対策になるわけではありません。これらの機能を使っていない企業サイトであれば、不要な通知の受信を停止する判断は合理的です。通常のページ間リンクは、そのまま利用できます。
Q. セキュリティ対策プラグインを入れれば安心ですか？
プラグインは対策の一つですが、それだけでは十分ではありません。本体・PHPの更新、ログイン管理、サーバー設定、バックアップなどを組み合わせることが重要です。
Q. 何年も更新していないWordPressでも修復・更新できますか？
サイトの状態によりますが、更新が難しい原因を調査し、テーマやプラグインを改修・置換することで対応できるケースがあります。最初から本番環境を更新せず、バックアップと検証環境を用意したうえで進めることをおすすめします。
まとめ：WordPressは「作って終わり」ではなく、安全に運用し続けることが重要
WordPressは、適切に構築・運用すれば、企業サイトから複雑なWebシステムまで幅広く利用できるCMSです。大切なのは、ピンバック・トラックバックのような不要な機能を見直すことに加え、本体・プラグイン・PHPの更新やバックアップを継続することです。
古いWordPressの更新でお困りの場合も、問題が起きる前にご相談ください。
参考資料
- WordPress公式：Trackbacks and Pingbacks
- WordPress公式：ディスカッション設定
- WordPress公式：WordPressの更新
- WordPress公式：セキュリティ強化（Hardening WordPress）
- PHP公式：サポート対象バージョン
※本記事は2026年10月時点の情報をもとに内容を見直しています。管理画面の表記や利用可能な対策は、WordPressのバージョン・テーマ・サーバー環境によって異なる場合があります。
