TesujiWordPressの保守では、本体の更新情報、プラグイン・テーマの配布元、導入済みの版、脆弱性情報を結びつけます。このページは、それぞれを調べる入口と運用ツールをまとめたものです。2026年10月29日時点の公式情報に基づき、運用上の提案はその旨を明記しています。
まず、情報源の役割を整理する
| 何を知りたいか | 主な入口 | 使い方 |
|---|---|---|
| 本体のセキュリティ更新 | WordPress公式ニュース | リリース日、修正内容、更新の案内を確認 |
| プラグイン・テーマの配布情報 | 公式プラグインディレクトリ、公式テーマディレクトリ | 正式な名前・slug・配布元と、個別の更新情報を照合 |
| 導入済みの構成 | WP-CLI・管理画面 | サイトごとの版と有効化状態を記録 |
| Composerでのパッケージ管理 | WPackagist | 公式ディレクトリのプラグイン・テーマをComposerから扱う |
| 脆弱性情報 | Patchstack、Wordfence Intelligence、WPScan | 影響する版、条件、修正版、開発元の案内を確認 |
配布元に新しい版があること、既知の脆弱性が報告されていること、自分のサイトへ反映済みであることは、それぞれ確認する事実です。
WP-CLI：導入済みの一覧を保守の起点にする
WP-CLIはWordPressをコマンドラインで管理するツールです。wp plugin list は、導入プラグインの名前、状態、版、利用可能な更新などを取得できます。既にWP-CLIを使える自分の管理環境で、構成を確認する例です。公式コマンド仕様
wp plugin list --fields=name,status,version,update,update_version --format=csv
CSVの保存先・閲覧権限は社内で決めてください。この一覧をサイトの台帳と対応づけ、使っていないプラグインや、更新の担当が不明なものを確認することを編集上の運用として提案します。WP-CLIを入れただけで、全脆弱性の判定や更新後の動作確認まで自動で完了するわけではありません。
また、wp core verify-checksums は本体ファイルをWordPress.orgのチェックサムと照合します。用途は本体ファイルの整合性確認であり、プラグイン・DB・ホストまで含めた侵害有無を一つの結果で断定するものではありません。チェックサム照合の公式仕様
WPackagist：WordPressのプラグイン・テーマをComposerで扱う
WPackagistはWordPress.orgのプラグイン・テーマディレクトリをComposerリポジトリとして提供します。wpackagist-plugin/名前、wpackagist-theme/名前 の形式で依存関係に指定します。商用・独自配布のものを含む、すべてのWordPress用ソフトが自動で揃うわけではありません。WordPress本体のComposer導入についても、別の方法が案内されています。WPackagist公式
Composerでは、composer.json に依存関係を定義し、composer.lock に解決した版を記録できます。lockfileがある状態の install と、版を再解決する update の役割を区別し、レビューした構成を配布する運用にできます。Composerの基本
Tesuji編集上の提案は、管理画面からの直接更新とComposerでの配布を併用するなら、どちらを構成の基準にするかを決めることです。本番だけ変更してリポジトリに記録がない、といった食い違いを防ぎます。WPackagistはパッケージ取得・管理の入口であり、その利用だけで安全性が保証されるわけではありません。
脆弱性を調べる三つの入口
Patchstack
公開データベースから、対象ソフトウェアと脆弱性の詳細をたどれます。名前だけで判断せず、導入しているものと対象の版が一致するかを確認します。修正が公開済みか、未修正か、開発元の案内が何を求めるかを確認する入口です。Patchstackの公開データベース
Wordfence Intelligence
本体・プラグイン・テーマを対象とする公開データベースです。CVE番号、ソフトウェア名、slugなどから調べられます。同名の製品を取り違えないよう、正式なslugも台帳に残すと照合しやすくなります。Wordfenceのプラグインを導入することと、データベースで情報を読むことは用途を分けて考えます。Wordfenceの公開データベース
WPScan
WordPress本体・プラグイン・テーマの脆弱性情報に加え、CLIスキャナーやAPIも提供しています。公開アドバイザリを読む用途から、自分が管理するサイトの確認へ進めます。スキャナー・APIの商用利用、上限、ライセンス・プラン条件は、採用時点の公式案内を確認してください。WPScan公式
三つのデータベースは、収録範囲や公開時点が常に一致するとは限りません。検索結果がないことだけで安全と判断せず、開発元の告知・更新履歴と、実際の利用構成を照合します。
保守を一回の更新で終わらせないために
以下はTesuji編集上の運用提案です。
- サイト、本体、テーマ、プラグイン、PHP、ホスティング先と担当者を台帳にする。
- DBとファイルのバックアップを取り、復元手順を確認する。公式バックアップガイド
- 告知された影響条件と自社の利用版を照合し、未修正の場合も含めて対応と担当を記録する。
- 更新後は版と主要機能の動作を確認し、配布記録・台帳を更新する。
- 認証情報の変更や侵害調査が必要な事案では、それぞれの完了を別に記録する。
WordPress本体の操作は公式更新ガイドを参照できます。復旧手段の考え方は、Tesujiのバックアップの確認事項にもまとめています。
確認日：2026年10月29日。特定サービスの契約や一括更新を推奨するものではなく、自分のサイトに合う情報源と保守方法を選ぶための入口です。