お知らせNEWS

公益法人のWordPressサイト653件の外部確認記録を集計しました（2026年11月）

エンジョインスタイル（Enjoyn Style株式会社）は、2026年10月27日から11月9日にかけて、公益法人のWEBサイトを外部から確認しました。WordPressで作られていると確認できたサイトのうち、結果を記録した653件を集計しましたので、その傾向をご紹介します。

本集計は、当社が公益法人向けに行っている無料診断のご案内に伴う確認記録をもとにしています。個別の法人名やURLなど、対象を推測できる情報は掲載しません。

確認の方法

公開されているページと、サーバーの応答情報（HTTPヘッダーなど）を、通常の閲覧と同じ方法で確認しました。ログインの試行、アクセス制御の回避、脆弱性の実証、データの変更は行っていません。

結果の概要（WordPressサイト653件）

上の項目のうち2つ以上の記録があったサイトは354件（54.2%）でした（1サイトで複数の項目に該当するため、合計は100%になりません）。また、WordPress以外で作られていると判断したサイト523件のうち、常時SSLに対応していないと記録したサイトは122件（23.3%）でした。

数字を見るときの注意

• 割合は、653件の記録を項目ごとに分類した値です。653件には詳しい内容を記録していないサイト283件が含まれ、また判定の誤差もあるため、実際の該当率より低い場合も高い場合もあります。
• 対象は公益法人の一覧から確認したサイトで、無作為に選んだものではありません。公益法人全体や日本のWEBサイト全体の傾向を示すものではありません。
• いずれも外部から確認した設定や応答の記録であり、実際に侵入できるかどうかや、認証の保護状態は確認していません。

それぞれの項目が意味すること

ログイン画面が標準の場所のまま／利用者名が外部から確認できる

標準のログイン画面のURLは、それ自体が脆弱性ではありません。ただ、誰でも同じURLで開けるため、IDとパスワードの組み合わせを機械的に試すログイン試行の対象になりやすくなります。公開されている利用者名がログインIDと同じとは限りませんが、手がかりになる場合があります。試行回数の制限や多要素認証、利用者名を表示しない設定などで、リスクを下げられます。

WordPress本体が最新系列より前／PHPがサポート終了の版

古い系列や公式サポートが終わったバージョンでは、見つかった脆弱性の修正が提供されない場合があります（古い系列でも修正が提供されることはあり、該当するだけで脆弱性があるとは限りません）。更新すると表示や機能が動かなくなることもあるため、テスト環境で確認してから本番に反映するのが安全です。

外部連携用の機能（XML-RPC）が有効

スマートフォンアプリなどからの投稿に使う機能です。使っていない場合は、ログイン試行の経路になりうるため、無効にするのが一般的です。

常時SSLへの転送がない・証明書に不備

暗号化されていない通信（http）では、やり取りする内容が暗号化されません。今回の確認だけでは、お問い合わせフォームなどの入力内容が保護されているかどうかまでは判断できないため、個別の確認をおすすめします。

無料の簡易診断について

当社では、今回と同じ方法での簡易診断を無料で行っています。結果は報告書（PDF）でお渡しします。WordPress以外のサイトや、他社が制作したサイト・システムも対象です。対策が必要な場合の料金目安（税別）は10万円〜です。お申し込みは、お問い合わせフォームからサイトのURLを添えてご連絡ください。

詳しくは「セキュリティ対策・脆弱性診断」のページをご覧ください。

https://enjoynstyle.com/service/security/

調査の概要

• 期間：2026年10月27日〜11月9日
• 対象：公益法人のWEBサイト。確認日を記録した2,318件の内訳は、WordPressと確認できた837件、WordPress以外と判断した523件、未判定958件（共同のシステムや管理型サービスなどで確認を保留したもの）。WordPress 837件のうち、確認結果の記録がない184件（メールの宛先がない等、ご案内の対象外としたものを含む）を除いた653件を集計（詳しい内容を記録していない283件を含む）
• 方法：公開ページとサーバーの応答情報の確認（ログインの試行、アクセス制御の回避、脆弱性の実証、データの変更は行っていません）
• 実施：Enjoyn Style株式会社（東京都新宿区）