ゼロデイAI攻撃とは何ですか？

これにAIの自動化・最適化が加わったのが「ゼロデイAI攻撃」です。AIが標的に応じた攻撃を自律的に生成できるため、従来のパターン検知型セキュリティでは見逃しやすく、防御がより難しくなっています。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2025」においても、ゼロデイ攻撃は組織に対する脅威の上位にランクインしています※1。

なぜWordPressが狙われやすいのか？

WordPressは2025年時点で全Webサイトの約43%を占めており、世界で最大シェアを持つCMSです※2。シェアが高いということは、それだけ攻撃者にとって「効率的なターゲット」になります。

Patchstackの調査によると、2025年にWordPressエコシステムで発見された新規脆弱性は11,334件（前年比42%増）。そして成功した侵害の92%はプラグインやテーマが原因であり、WordPress本体ではありません※3。つまり「プラグインを更新していない」だけで、攻撃の入口を開けたままにしている状態です。

Fortinetの2025年版グローバル脅威レポートによると、自動スキャンは前年比16.7%増の毎秒約36,000件に達したと報告されています※6。こうした自動スキャンは規模を問わず行われるため、小規模サイトも例外ではありません。

実際に起きた：サーバー異常とサーバー会社からの警告

ENVY DESIGNのお客様のサイトが実際に攻撃を受けたケースがあります。WordPressプラグインの脆弱性を突かれ、サーバーが異常に重くなり、サーバー会社から「ファイルを削除するか改善しないとアカウントを停止する」という警告が届きました。

「うちは中小企業だから狙われない」という認識は危険です。AIは規模を問わず自動でスキャンし、脆弱性があれば攻撃します。ENVY DESIGNがお付き合いしている中小企業を見ていても、セキュリティを後回しにしているケースは少なくありません。だからこそENVY DESIGNでは、WordPressのアップデートを定期的にお客様へ促すようにしています。

具体的なゼロデイ事例

Ultimate Member プラグインの権限昇格（WordPress）

WordPressの人気プラグイン「Ultimate Member」に発見された脆弱性（CVE-2023-3460）では、攻撃者が管理者権限を持つアカウントを不正に作成可能となり、多数のサイトが被害を受けました※4。

Royal Elementor Addons プラグインの任意ファイルアップロード

「Royal Elementor Addons and Templates」には、未認証ユーザーが任意のファイルをアップロードできる脆弱性（CVE-2023-5360）が存在し、約20万以上のサイトに影響しました※5。

AIが防御側に立った成功事例

AIは攻撃だけでなく、防御にも使われ始めています。GoogleのProject ZeroとDeepMindが共同開発したAIエージェント「Big Sleep」は、2024年11月、SQLite（広く使われるオープンソースのデータベース）のリリース前バージョンに含まれるメモリ破壊の脆弱性を発見しました。Googleはこれを「実際に使われているソフトウェアで、未知の悪用可能な脆弱性をAIエージェントが見つけた初めての公開事例」と説明しています※7。

さらに2025年には、同じBig Sleepが脅威インテリジェンスと組み合わさり、攻撃者だけが把握していたSQLiteの脆弱性（CVE-2025-6965）を悪用される直前に発見し、修正に至りました。Googleはこれを「AIエージェントが実環境での脆弱性悪用を直接未然に防いだ初めてのケース」と位置づけています※7。

ただし、AIによる脆弱性発見はまだ実験段階にあり、用途を絞った高性能なファジングツールの方が有効な場面もあるとGoogle自身が認めています。AIによる防御が万能というわけではなく、後述する基本対策の積み重ねが引き続き重要だと考えられます。攻撃側のAIが自動で広く脆弱性を探す一方、防御側のAI活用はまだ一部の先進事例にとどまります。一般的なサイトにとっては、最新化・監視・バックアップという基本の徹底が、引き続き費用対効果の高い防御になると考えられます。

中小サイトが攻撃を受けると実際に何が起きる？

「乗っ取られても、すぐ気づいて直せばいい」と考えがちですが、WordPressサイトへの侵害は気づきにくい形で進むことが多く、放置されたまま被害が広がるケースが少なくありません。セキュリティ専門企業Sucuriの調査では、侵害されたサイトの傾向として次のような実態が報告されています。

バックドアの設置：侵害サイトの49.21%が、修復時点で少なくとも1つのバックドア（再侵入用の裏口）を抱えていました。表面上の不具合を直しても、バックドアが残っていれば何度でも再侵入されます※8
SEOスパムの注入：侵害サイトの42.22%でSEOスパムが検出されています。とくに日本語スパムでは、検索エンジンには大量の不正ページを見せ、訪問者には通常ページを見せる「クローキング」が使われ、管理者本人がアクセスしても異常に気づきにくい構造になっています※8
リダイレクト・マルウェア配布：プラグインやテーマの脆弱性を突く大規模キャンペーン（Balada Injectorなど）では、訪問者を多段リダイレクトで詐欺・スパムサイトへ送り込む手口が確認されています※8

なぜ中小サイトは気づくのが遅れるのか？

専任のセキュリティ担当がいない、管理画面に毎日ログインするわけではない、アクセスログを監視していない——中小規模のサイトでは、こうした体制上の理由から侵害の発見が遅れがちです。上記のクローキングのように、管理者がアクセスしても異常が見えない手口もあり、サーバー会社やGoogleからの警告で初めて気づくケースは珍しくありません。発見が数週間から数か月遅れれば、その間にSEOスパムや改ざんが蓄積し、復旧の手間も大きくなりがちです。

侵害が事業に与える影響は？

中小企業にとって痛いのは、技術的な被害そのものより、その先で起きる事業への影響だと考えられます。

Google Safe Browsingにブロックリスト登録され、ブラウザに「このサイトは安全ではありません」と警告が表示される
サーバー会社からアカウント停止の警告が届く（前述のENVY DESIGNのお客様のケースがこれにあたります）
検索順位の下落や、顧客・取引先からの信用低下につながる
復旧と原因調査に、想定外の時間とコストがかかる

「攻撃をゼロにする」より「受けても早く気づき、すぐ戻せる」体制づくりが現実的だと考えられるのは、こうした被害が静かに進むためです。次章の3つの基本対策は、この考え方に沿ったものです。

今すぐできる3つの対策

1. 最新化を徹底する

WordPress本体、テーマ、プラグインを常に最新化する
不要なテーマやプラグインは削除する
自動更新やカレンダー管理を活用し、更新忘れを防ぐ

2. 監視を強化する

サイト挙動チェック：表示速度の低下、エラーメッセージ、フォーム送信の不具合などを定期確認
ログ監視：WordfenceやiThemes Securityなどのセキュリティプラグイン、またはサーバー管理画面からアクセスログ・エラーログを確認し、不審な動きがあれば即対応

3. バックアップと復元体制を整える

攻撃を完全に防ぐことは困難です。だからこそ「攻撃をゼロにする」ではなく、「攻撃を受けてもすぐ復元できる体制」を設計することが重要です。

UpdraftPlus：日常的な自動バックアップに最適。Google DriveやDropboxなどクラウドに自動保存でき、1クリックで復元可能
All-in-One WP Migration：サイト全体を1ファイルにまとめてバックアップ。移設・大規模リニューアル時に有効

攻撃を受けた場合の初動対応は？

直ちにサイトをメンテナンスモードに切り替える
管理者パスワードを即時変更
サーバーログを確認し、不審IPを遮断
バックアップからの復元を検討
必要に応じて専門業者に連絡

ENVY DESIGNの取り組み

ENVY DESIGNでは、デザイン性とセキュリティの両立を重視し、WordPressの更新・保守を専門チームで対応しています。

定期バックアップと監視体制を整備
トラブル時も短時間で復旧対応可能
東京港区麻布十番・六本木周辺のお客様には、直接訪問によるサポート（BASE 10）も提供

まとめ

ゼロデイAI攻撃は、AIの自動化によって従来より速く・広く・精巧になっています。WordPressサイトの担当者が今すぐ取り組むべきは次の3点です。

最新化の徹底（プラグイン・テーマ・本体）
監視の強化（ログ・挙動チェック）
復元できる安心感の設計（バックアップ体制）

「自分たちは狙われない」という認識が、大きなリスクです。

WordPressの保守・セキュリティ対策についてはホームページ保守・運用サポートをご覧ください。保守契約の必要性については保守契約は必要か？費用と判断基準もご参照ください。

ENVY DESIGNが実施しているWordPressのセキュリティ設定の具体的な内容はWordPressのセキュリティ対策の内容もあわせてご覧ください。

セキュリティ上の問題からホームページのリニューアルを検討する際はホームページの耐用年数は3〜5年｜リニューアル時期の見極め方もあわせてご覧ください。

出典

※1 IPA｜情報セキュリティ10大脅威 2025
※2 W3Techs｜CMS Market Share
※3 Patchstack｜State of WordPress Security 2025
※4 NVD（CVE-2023-3460）
※5 SISA Infosec｜WordPress plugin zero-day
※6 Fortinet｜2025 Global Threat Landscape Report（FortiGuard Labs）
※7 Google｜AIセキュリティに関する最新情報（Big Sleep / CVE-2025-6965）
※8 Sucuri｜2023 Hacked Website & Malware Threat Report

WordPressのセキュリティ対策・保守についてご相談がある方は、お気軽にお問い合わせください。
無料相談はこちら

制作会社・広告代理店様へ｜コーディングやWordPress実装のリソースが不足している場合、ENVY DESIGNの外注パートナーサービス「KUROCO コーディング外注」でご相談を承っています。14年・50社以上の協業実績があり、NDA対応も可能です。

実際の脆弱性対応の事例は、WordPressの緊急脆弱性「wp2shell」の概要と対応手順で解説しています。

株式会社ENVY DESIGN

代表取締役／ディレクター／デザイナー

岡野優太

Web業界歴14年。これまでに 500件以上のWeb制作プロジェクトに携わり、企業サイト、採用サイト、ECサイトなど幅広い領域を手がけてきました。ディレクションだけでなく、デザイン・コーディングまで一貫して対応できるのが強みです。近年はAIO（AI Optimization）・GEO領域に注力し、ChatGPTやPerplexity、Google AI Overviewなど生成AI検索からの引用獲得を支援しています。

ゼロデイAI攻撃とは？WordPress担当者が取るべき3つの基本対策

ゼロデイAI攻撃とは何か？