AIによる攻撃高速化と、WordPress静的化という備え

攻撃のスピードは、人間の運用サイクルを超えつつある

2025年11月、AI開発企業のAnthropicは、自社のAIコーディングツールが中国系のハッカー集団に悪用され、世界約30組織への侵入活動に使われていたことを公表しました。偵察から侵入、情報の持ち出しに至る一連の工程のうち、80〜90%は人の判断をほとんど介さずAIが自律的に実行していたと報告されています。大規模なAI自律型サイバー攻撃として、史上初めて公式に確認された事例です。

これは特殊な事件というより、傾向の先頭にすぎません。Google Cloud（Google Threat Intelligence）の調査によれば、新しく見つかった脆弱性が実際に悪用され始めるタイミングは、2018年には「パッチ公開から平均63日後」でしたが、2026年には「パッチ公開の平均7日前」にまで前倒しになっています。パッチが世に出る前から、すでに攻撃が始まっているということです。CrowdStrikeの2026年版脅威ハンティングレポートでは、攻撃コード（PoC）の公開から48時間以内に悪用が確認された脆弱性が88%にのぼるとされています。

WordPressに何が起きているか

この傾向は、WordPress関連でも顕著です。セキュリティ企業Patchstackの調査では、WordPress関連の新規脆弱性は2025年に11,334件と過去最多を記録し、前年（2024年・7,966件）から42%増加しました。うち91%がプラグイン由来で、WordPress本体に起因するものはわずか6件です。

WordPressの運用では本体・テーマ・プラグインのすべてを適切に更新する必要がありますが、本体は専任のセキュリティチームが継続的に対応している一方、テーマやプラグインの対応は個々の開発会社・個人開発者の裁量に委ねられています。開発力や対応スピードはベンダーによって大きく異なり、脆弱性が実際に修正されるかどうかは、それぞれの任意の対応に依存しているのが実情です。脆弱性の91%がプラグイン由来である背景の一つです。

セキュリティ企業Sucuriの調査では、侵害されたサイトのうち39.1%は感染当時CMSが最新版に更新されておらず、13.97%は既知の脆弱なプラグイン・テーマをそのまま使用していたことが分かっています。更新の遅れが実害に直結することは、データとしても裏付けられています。

すでに自動更新を有効化されている場合、それは今も正しい判断です。ただし、AIによって「パッチが公開される前に攻撃が始まる」ケースが常態化しつつあること、そして修正の質・速度がベンダー任せである以上、「更新を頑張る」という運用防御だけでは、構造的に追いつけない場面が出てきます。

WordPressをバックエンドへ、静的ページをフロントへ

自動更新は「脆弱性が見つかってから、パッチが適用されるまで」を守る仕組みです。しかしAIによって、その前提自体が揺らぎ始めています。攻撃がパッチより先に来るのであれば、更新が間に合うかどうかの競争に居続けること自体がリスクです。静的化は、その競争から降りる選択肢です。

仕組みはシンプルです。WordPressの管理画面はこれまで通り「編集環境」として裏側に残し、閲覧者に公開されるのは、あらかじめ組み立て済みのシンプルなHTMLファイルだけにします。記事を保存すると差分検知が自動的に走り、数分以内に公開側へ反映されます。記事の編集も、本体・プラグインの更新も、今までと全く同じWordPress管理画面・同じフローのまま行えます。サイトを一から作り直す必要はなく、デザイン・コンテンツ・URL構成もそのまま維持されます。

公開側にPHPの実行環境もデータベースへの接続経路も存在しないため、AIがどれだけ高速に脆弱性を見つけ、攻撃コードを組み立てたとしても、公開面から悪用できる箇所がほとんど残りません。ただしこれは、WordPressを狙う攻撃の主な経路が無くなるという意味であり、裏側の編集環境やサーバー・DNSなど周辺環境の対策まで不要になる「絶対の安全」を意味するものではありません。自動更新（既存の備え）と静的化（新しい備え）を組み合わせることで、現実的にリスクを大きく下げるという考え方です。

副次的な効果として、データベース処理が無くなることで、Googleが検索評価に用いるCore Web Vitals（LCP・INP・CLS）の改善にも直結します。軽く安定した応答は、AI検索エンジンやAIエージェントによる巡回・引用のされやすさにもプラスに働きます。

対応できる範囲・できない範囲

静的化がすべての機能をカバーできるわけではありません。通常のブログ記事・固定ページ、主要ページビルダー（Elementor / Gutenberg / Bricks / Beaver Builder / Divi）、主要SEOプラグイン（Yoast SEO / Rank Math / AIOSEO / SEOPress）は対応可能で、メタ情報・サイトマップ・構造化データも維持されます。一方、お問い合わせフォームやサイト内検索、コメント機能は静的サイト単体では動作しないため、外部サービスとの連携や仕組みの切り替えが必要になります。ECサイトの決済・カート機能や会員制コンテンツなど、動的な処理が前提の機能には、この手法自体が適さない場合もあります。

現在お使いのプラグイン・テーマの構成によって対応可否は変わるため、着手前の個別診断が欠かせません。

---

WordPressをそのまま残す「静的化」と、構造から作り替える「Astro化」、どちらが自社に合うかは、更新頻度や現状の課題によって変わります。WordPressを、守りながら残す。 では静的化の詳しい仕組みと対応範囲を、WordPressを残すか、作り替えるか では両者の比較をご覧いただけます。

出典

1. Anthropic, Disrupting the first reported AI-orchestrated cyber espionage campaign
2. Google Cloud（Google Threat Intelligence）, Adversaries Leverage AI for Vulnerability Exploitation, Augmented Operations, and Initial Access
3. CrowdStrike, 2026 Threat Hunting Report
4. Patchstack, State of WordPress Security in 2026
5. Sucuri, 2023 Hacked Website & Malware Threat Report
6. Simply Static, 公式プラグインページ／readme
7. Google Search Central, Understanding Core Web Vitals and Google search results