WordPress は GPLv2 (またはそれ以降) のライセンスで配布されるオープンソースの CMS。公式サイトは、プラグインとテーマも派生物として GPL を引き継ぐ、という立場を取っている。ただし派生物の範囲には法的に曖昧な部分があることも、公式が認めている。
公式のプラグインディレクトリは「無料でオープンソースのプラグインの最大のディレクトリ」と名乗る。公式 API (api.wordpress.org) に問い合わせた登録数 (取得日 2026-10-25) は、プラグイン 72,513 件、テーマ 8,768 件だった。
どちらも同じ WordPress のソフトウェアで動く。違いはホスティング。
| 項目 | wordpress.org | wordpress.com |
|---|---|---|
| 形態 | 無料のソフトウェアをダウンロードして使う | 管理付きのホスティング |
| 運用 | ホスティング事業者を選び、設定・保守・安全対策を自分で行う | 更新・安全対策・バックアップを提供側が行う |
| 自由度 | 独自コードや PHP の変更ができる | プラグインと独自テーマは有料プラン (Personal 以上) が必要 |
どちらでも、内容は自分のものとして、あとから移せる (wordpress.com の説明)。本資料の調査対象は wordpress.org のソフトウェア。
公式の要件ページ (取得日 2026-10-25) の記載は次のとおり。
| 項目 | 推奨 |
|---|---|
| PHP | 8.3 以上 |
| データベース | MariaDB 10.11 以上、または MySQL 8.0 以上 |
| Web サーバ | Apache または Nginx (最も堅牢で機能が揃うとして推奨) |
| 通信 | HTTPS 対応 |
WordPress は PHP とリレーショナル DB で動く構成である。
ホスティングチームの互換性の一覧 (WordPress 7.1、2026-08-19 公開) は、安全に対応する版として次を挙げる。
| 項目 | 7.1 の一覧に載る版 |
|---|---|
| PHP | 8.2 〜 8.5 |
| MySQL | 8.4 / 9.7 |
| MariaDB | 10.11 / 11.4 / 11.8 / 12.3 |
MariaDB 10.6 は 7.0 の行には載るが 7.1 の行には無く、10.11 は両方に載る。このため、要件ページの下限は 10.11 が正しい。10.6 とする記述は 7.0 以前の古い値とみられる。
互換性の一覧は「推奨」とは書いていない。載っているのは、公開時に対応していた版。一覧の PHP の下限は 8.2 で、要件ページの 8.3 以上とは食い違う。導入前は要件ページを優先する。
公式のリリース一覧 (取得日 2026-10-25) から、直近の版を抜き出した。
| 版 | 日付 | 内容 |
|---|---|---|
| 7.2 Beta 1 | 2026-10-20 | 試験用。本番には使わない |
| 7.1.3 | 2026-10-06 | セキュリティ修正 7 件、不具合修正 4 件 |
| 7.1.2 | 2026-09-22 | 重大度が critical の脆弱性の修正 |
| 7.1.1 | 2026-09-17 | 不具合修正 36 件、セキュリティ修正 11 件 |
| 7.1 "Mary Lou" | 2026-08-19 | レスポンシブなスタイル制御、媒体エディタの刷新、メンション付きの注釈 |
| 7.0.2 | 2026-07-17 | critical 1 件・high 1 件の修正。対象サイトへ自動更新を強制 |
| 7.0 "Armstrong" | 2026-05-20 | AI 機能 (abilities) の集中管理、新しい管理画面テーマ、新ブロック、開発者向け機能 |
7.0 から 7.1 までの約 3 か月に、セキュリティ修正だけの版が 4 本 (7.0.2・7.0.3・7.0.4・7.1.2) 出ている。更新を止められない運用が前提になる。
W3Techs の集計 (2026-10-25 時点) は次のとおり。
| 指標 | 値 |
|---|---|
| 全ウェブサイトに占める割合 | 39.6% |
| CMS が判別できるサイトに占める割合 | 58.3% |
| メジャー版 | WordPress サイトに占める割合 |
|---|---|
| 7 | 67.1% |
| 6 | 26.1% |
| 5 | 4.7% |
| 4 | 2.0% |
| 3 | 0.2% |
約 33% のサイトが 6 以前の版で動いている。
二次情報のブログは同じ集計について 40.2% (2026-10-01) や 41.9% (2026-06) など別の数字を挙げていた。分母 (全サイトか、CMS 判別済みか) と日付を揃えて引用する。
Patchstack の「State of WordPress Security in 2026」(2025 年のデータ) の要点。
| 項目 | 値 |
|---|---|
| 新たに見つかった脆弱性 | 11,334 件 (2024 年比 +42%) |
| 内訳 | プラグイン 91%、テーマ 9%。コアは 6 件で、すべて重大度が低い |
| 公開時に修正が無かった割合 | 46% |
| 大量悪用までの時間の中央値 | 5 時間 (広く悪用された脆弱性)。影響の大きいものの約半数が 24 時間以内に悪用された |
⚠️ 注意 リスクの大半はコアではなくプラグインにある。入れるプラグインの数と、保守が続いているかが、安全性を左右する。
報告書の数字は直接取得して確認した。「公開から悪用まで 5 時間」を一般の脆弱性に広げて読まない。対象は「広く悪用された脆弱性」だけ。