Search Consoleを見ていたら、「クロール済み - インデックス未登録」の一覧に wp-emoji-release.min.js?ver=7.1.3 のようなURLがずらりと並んでいました。調べていくと、末尾の「ver=」がWordPressのバージョン番号そのもので、しかもプラグインの readme.txt を開けば、どのプラグインの何番のバージョンを使っているかまで誰でも見られる状態だとわかりました。
自分のサイトだけならまだしも、私はクライアントのWordPressサイトを10個ほど管理しています。「全部のサイトが最新になっているか」を毎回1つずつ管理画面にログインして確かめるのは、正直かなりの手間です。
今回は、外からバージョンがどこまで見えるのかを確かめたうえで、複数のWordPressサイトの本体とプラグインを、手間をかけずに最新に保つ方法を整理します。
この記事でわかること
- WordPress本体とプラグインのバージョンが、外からどこまで見えるか
- バージョンを「隠す」対策の効果が限られる理由
- WPScanなど外部スキャンツールのリスクと正しい使いどころ
- 1サイトならWordPress標準の自動更新で足りる理由
- 10サイト前後をまとめて管理するManageWP・MainWP・WP-CLIの選び方
- 脆弱性の通知を受け取る方法と、安全に回すための運用ルール
先に結論
- WordPressのバージョンも使っているプラグインも、外から簡単にわかる。隠すより「常に最新に保つ」ほうが効く。
- 外から調べるより、管理者として中から確認するほうが正確で安全。1サイトなら標準の自動更新で十分。
- 10サイト前後なら、まずManageWPの無料版で一元管理し、脆弱性の通知はPatchstackで補うのが手軽。
目次
1. WordPressのバージョンとプラグインは、外から簡単にわかる
WordPressは標準設定のままだと、本体のバージョン番号を複数の場所で公開しています。私のサイト（murakami.pro）で実際に確かめたところ、RSSフィード（/feed/）に <generator>https://wordpress.org/?v=7.1.3</generator> という1行がそのまま出ていました。
| 見える場所 | わかること |
|---|---|
| RSSフィード（/feed/） | WordPress本体のバージョン |
| ページのHTML（metaタグ generator） | WordPress本体のバージョン |
| JS・CSSのURL（?ver=7.1.3 など） | 本体やプラグインのバージョン |
| /wp-content/plugins/プラグイン名/readme.txt | プラグインの名前とバージョン |
readme.txtを開けば、プラグインのバージョンまでわかる
プラグインのフォルダーにある readme.txt は、レンタルサーバーの標準設定では誰でも開けます。エックスサーバーで運用している私のサイトでも、WP StatisticsとWP-Optimizeの readme.txt がそのまま表示され、インストールしているバージョンまで読み取れました。
ページのソースに出てくる「/wp-content/plugins/○○/」のパスや、Search Consoleに残るプラグイン固有のURLからも、使っているプラグインは推測できます。停止中のプラグインも、ファイルが残っている限り、フォルダー名を総当たりで試すツールで見つかります。
2. バージョンを隠すより「最新に保つ」ほうが効く
generatorの表示を消したり readme.txt へのアクセスを拒否したりしても、バージョンを完全に隠すことはできません。JSやCSSのURLに付く「?ver=」や、ファイルの中身の違いからも推測できるためです。
しかも「?ver=」には、更新後にブラウザが古いキャッシュを使わないようにする役割があります。「?ver=」を消すと、更新直後に古いJSやCSSが読み込まれて表示が崩れる原因になります。
攻撃ツールの多くは、バージョンを確認せずに既知の脆弱性を片っ端から試してきます。相手が知りたいのは「何を使っているか」より「脆弱性のある古い版が残っていないか」です。最新に保っていれば、名前やバージョンを知られても困ることはありません。
補足：隠す対策はやっても損はない
generator表示の削除や readme.html の削除は、余計な情報を出さない「身だしなみ」としては有効です。ただし、それだけで安全になるわけではないので、優先順位は「更新」のほうが上です。
3. 外部スキャンツールは確認用。日常の管理には向かない
WPScanやSucuri SiteCheckは、外からサイトの弱点を調べる定番ツールですが、使い方を誤るとトラブルになります。ウイルスが入ってくる心配はほぼありませんが、注意すべき点は別のところにあります。
| ツール | 使い方 | 注意点 |
|---|---|---|
| WPScan | パソコンにインストールして使うコマンドラインツール | 大量のアクセスを送るため、相手のWAFにブロックされることがある。入手は公式（GitHub・RubyGems・Docker Hub）から |
| Sucuri SiteCheck | WebでURLを入れるだけのオンラインスキャン | 外から見えるページしか調べない。「問題なし」でもサーバー内部まで安全とは限らない |
他人のサイトを了承なくスキャンすると、攻撃と区別がつかず、内容によっては不正アクセス禁止法などに触れるおそれがあります。WPScanにはパスワードを総当たりで試す機能まであるため、クライアントのサイトであっても必ず事前に了承を取ってください。
外から調べる方法は、停止中のプラグインや正確なバージョンを取りこぼすこともあります。日常の管理は管理者として中から確認し、外部スキャンは「攻撃者から何が見えているか」を知りたいときに、たまに使う程度で十分です。
4. 1サイトなら、WordPress標準の自動更新で足りる
管理するのが1サイトだけなら、追加のプラグインは要りません。管理画面の「ダッシュボード」→「更新」に、本体・プラグイン・テーマ・翻訳の更新待ちがすべて表示されます。
WordPress 5.5からは、プラグインとテーマも個別に自動更新を有効にできるようになりました。初期設定で自動更新されるのは本体のマイナーリリースと翻訳ファイルだけで、プラグインとテーマは自分でオンにする必要があります。
プラグインの自動更新をまとめて有効にする手順
- 管理画面の「プラグイン」→「インストール済みプラグイン」を開く
- 一覧の左端のチェックボックスで、自動更新したいプラグインを選ぶ
- 上部の「一括操作」から「自動更新を有効化」を選んで「適用」
- テーマは「外観」→「テーマ」で各テーマを開き、「自動更新を有効化」をクリック
自動更新は便利な反面、まれにテーマや他のプラグインとの相性で表示が崩れることがあります。サーバーの自動バックアップなど、元に戻せる仕組みがあることを先に確認しておきましょう。
5. 10サイト前後なら、ManageWPかMainWPで一元管理する
複数のサイトを見るなら、1つの画面で全サイトの更新状況をまとめて確認できる管理ツールが一番手間を減らせます。各サイトに接続用のプラグインを入れ、管理画面から「どのサイトに更新待ちがいくつあるか」を一覧表示し、そのまま一括更新できます。
| 項目 | ManageWP | MainWP |
|---|---|---|
| 方式 | クラウド型（登録するだけで使える） | 自分で立てたWordPressに管理画面を置く |
| 無料で管理できるサイト数 | 無制限 | 無制限 |
| 各サイトに入れるプラグイン | ManageWP Worker | MainWP Child |
| 有料部分 | バックアップ、死活監視、脆弱性対策などをサイト単位で月額課金 | Pro版の拡張機能 |
| 向いている人 | とにかく手軽に始めたい人 | クライアント情報を外部のクラウドに置きたくない人 |
ManageWPは無料版だけで更新管理ができる
ManageWPは、更新管理・セキュリティチェック・月1回のクラウドバックアップなどが、サイト数無制限で無料です。有料アドオンは「1サイト×1機能」単位の後払いで、公式の料金ページではバックアップが1サイト月2ドル、死活監視が1サイト月1ドルとなっています。
なお、更新前に自動でバックアップを取り、表示が崩れたら元に戻す「Safe Updates」は、有料のバックアップアドオンが前提です。まずは無料版で一覧管理を始め、必要なサイトだけ有料機能を足す使い方ができます。
MainWPは管理画面を自分の手元に置ける
MainWPは管理画面を自分のサーバーに置くため、管理情報を第三者のクラウドに預けずに済みます。公式は、管理画面用に新しいWordPressを用意することを強く勧めており、サブドメインで立てる方法を案内しています。
管理画面のWordPressが乗っ取られると、つながっている全サイトを操作されるおそれがあります。MainWPには管理画面へのアクセスを特定のIPに限定する機能もあるので、二段階認証とあわせて必ず設定してください。
6. SSHが使えるなら、WP-CLIでまとめて確認できる
サーバーにSSHで接続できるなら、プラグインを増やさずにコマンドで更新状況を確認できます。WP-CLIはWordPressをコマンドで操作する公式のツールで、管理画面を開かずに本体やプラグインの状態を確かめられます。
# 本体の更新があるか
wp core check-update
# 更新待ちのプラグイン・テーマ
wp plugin list --update=available --fields=name,version,update_version
wp theme list --update=available --fields=name,version,update_versionこれを全サイト分くり返すスクリプトにすれば、1回の実行で10サイトの更新待ちを一覧できます。たとえば、接続先とWordPressの設置場所を1行ずつ書いた sites.txt を用意して、次のように回します。
#!/bin/bash
# sites.txt の例：user@example.com:/home/user/example.com/public_html
while read -r line; do
host="${line%%:*}"
path="${line#*:}"
echo "===== ${host} ${path} ====="
ssh -n "$host" "cd ${path} && wp core check-update && wp plugin list --update=available --fields=name,version,update_version"
done < sites.txtただし、サーバーごとにSSHの設定やWP-CLIの準備が必要です。クライアントが自分で契約しているサーバーが混ざっている場合は、SSH接続の許可を取る手間がかかるため、管理ツールのほうが現実的です。
7. 脆弱性の通知は、Patchstackの無料プランで補える
更新待ちが多いときは、「既知の脆弱性があるもの」から優先して更新すると効率的です。Patchstackは、WordPressの脆弱性データベースを運営する会社のサービスで、各サイトに入れたプラグイン・テーマ・本体のバージョンをデータベースと照合し、該当があればメールで知らせてくれます。
無料プランは「検知と通知」だけで、攻撃を止めるファイアウォール機能は含まれません。公式ドキュメントでは、無料のPersonalプランは3サイトまでで、攻撃をブロックする保護機能は1サイト月5ドルで追加できるとされています。10サイトすべてを無料で見るのは難しいため、重要なサイトから登録するのが現実的です。
補足：管理ツールと組み合わせる
MainWPはPatchstackとの連携を案内しており、ManageWPにも有料の脆弱性対策アドオン（1サイト月2ドル）があります。管理ツールを決めてから、脆弱性の通知をどうするかを考えると、道具が増えすぎません。
8. 安全に回すための運用ルールは5つ
管理ツールを入れても、運用の決まりがなければ更新漏れや事故は起きます。クライアントのサイトを預かる立場として、私が守っているルールは次の5つです。
複数サイトを安全に管理する5つのルール
- 使っていないプラグインは「停止」ではなく「削除」する：停止中でもファイルが残っていれば、直接アクセスで脆弱性を突かれることがある
- 更新の前に、戻せるバックアップがあることを確認する：サーバーの自動バックアップや管理ツールのバックアップを用意しておく
- 管理用プラグインも常に最新にする：WorkerやChildは外から操作を受け付ける入口なので、それ自体が狙われうる
- 管理画面への入口を固める：管理ツールのアカウントは二段階認証、MainWPの管理画面はIP制限をかける
- 導入前にクライアントへ一言伝える：「保守のために管理ツールを入れます」と説明し、了承を得てから接続する
特に見落とされやすいのが、停止したまま放置されたプラグインです。停止中のプラグインは更新の通知にも気づきにくく、古いまま残りがちです。設定はデータベースに残ることが多いので、使う予定がなければ削除し、必要になったら入れ直せば十分です。
よくある質問
Q. WordPressのバージョンを外から見えないようにすべきですか？
A. generator表示の削除などは「余計な情報を出さない」対策として有効ですが、完全には隠せません。それより、本体とプラグインを常に最新に保つほうが効果は大きいです。
Q. WPScanやSucuri SiteCheckを使うと、ウイルスが入ってきませんか？
A. 公式から入手したものであれば、その心配はほぼありません。注意すべきなのは、了承のないスキャンによるトラブルや、相手のWAFに自分のIPをブロックされることのほうです。
Q. 自動更新を全部オンにしても大丈夫ですか？
A. 多くのサイトでは問題なく動きますが、まれに表示が崩れることがあります。バックアップから戻せる状態を確認したうえで、まずは影響の小さいプラグインから自動更新を有効にすると安心です。
Q. ManageWPとMainWPは併用できますか？
A. 技術的には可能ですが、各サイトに入れる管理用プラグインが2つになり、外部からの入口も増えます。どちらか一方に絞るのがおすすめです。
Q. 停止中のプラグインも外から見つかりますか？
A. ページのソースには出てきませんが、ファイルがサーバーに残っていれば、フォルダー名を総当たりで試すツールで見つかります。使わないプラグインは削除しておきましょう。
まとめ
まとめ
- WordPress本体とプラグインのバージョンは、フィードや readme.txt から外に見えている
- バージョンを隠しても効果は限られる。大事なのは常に最新に保つこと
- 外部スキャンは了承を取ってたまに使う程度にし、日常の管理は中から行う
- 1サイトなら標準の自動更新、10サイト前後ならManageWPかMainWP、SSHが使えるならWP-CLI
- 脆弱性の通知はPatchstackなどで補い、使わないプラグインは削除する
Search Consoleに並んだ見慣れないURLをきっかけに調べてみると、WordPressの情報は思っていた以上に外から見えていました。ただ、それを知ったうえで出た答えはシンプルで、「隠す」より「最新に保つ」ことです。複数のサイトを預かっている方は、まずManageWPの無料版に1サイト登録して、更新状況が一覧で見える便利さを試してみてください。
参考リンク
- WordPress.org 日本語：プラグインとテーマの自動更新
- ManageWP：Pricing
- WordPress.org：MainWP Dashboard
- MainWP：Free vs. Pro
- Patchstack Docs：Does Patchstack have a free version?
- WP-CLI：公式サイト
※ バージョン情報やreadme.txtの表示は、2026年10月14日に私のサイト（エックスサーバーで運用）で確認した結果です。サーバーやセキュリティ設定によって、見え方は異なります。
※ ManageWPの料金は公式の料金ページ、Patchstackの無料プランのサイト数は公式ドキュメントの記載に基づきます（2026年10月時点）。Patchstackの無料プランのサイト数は時期によって記載が異なるため、利用前に最新の条件を確認してください。
※ WP-CLIのスクリプトは一般的な例です。サーバーによってはWP-CLIのインストールやPHPのパス指定が必要になります。
※ 各ツールの機能や料金は変更される場合があります。導入前に公式サイトで最新情報をご確認ください。