WordPressをやめればサイトは安全になる？Next.jsで変わること

WordPressからNext.jsに載せ替えるとサイトのセキュリティで狙われる入口は大きく減ります。残る手入れは本体の更新と合鍵の管理の2つで、ここを続ければ守りやすいサイトになります。

WordPressの安全を調べているPatchstackの報告では、2025年に見つかったWordPressまわりの弱点の91%がプラグインにありました（Patchstackの2026年版の報告）。Next.jsで作るサイトにはこのプラグインがありません。

この記事ではまず最近の大きな漏えいがどこで起きているかを確かめます。そのうえでNext.jsにすると何が無くなり何が残るのかを順に説明し、載せ替えると守りやすくなる会社と今のままでよい会社の分かれ目をお伝えします。

最近の大きな漏えいは会員の情報を溜めたシステムで起きている

2026年の秋は大きな不正アクセスの発表が続きました。上司が心配しているのもこうしたニュースだと思います。

たとえばタイムズカーは2026年9月29日の第3報で「タイムズカーWebシステム」への不正アクセスの調査結果を出しました（タイムズカーの第3報）。本人確認書類の画像が漏れたアカウントは約160万件です。運転免許証や住所を確かめる書類の画像がその中に入っていました。

ここで見ておきたいのは何が漏れたかです。漏れたのは会員がシステムに預けた書類の画像でした。お知らせと会社案内を載せているだけのホームページには、こうした会員の情報は溜まっていません。

会社のホームページで多いのは別の被害です。サイトを乗っ取られて書き換えられたり、訪問者を別のサイトへ飛ばされたりする被害です。

守る順番を決めるには御社のサイトが何を預かっているかを先に確かめます。会員の情報を溜めていないなら、まず防ぐのは乗っ取りです。

WordPressの入口の9割はプラグイン

では乗っ取りはどこから入るのでしょうか。WordPressでいちばん多い入口はプラグインです。プラグインは本体とは別の開発者が作る機能を足す追加の部品です。

先ほどのPatchstackの報告では、2025年に見つかった弱点は11,334件でした。そのうち91%がプラグインでテーマが9%です。プラグインを1つ足すたびに、更新を見張る部品が1つ増えることになります。

もう1つの入口はログインの画面です。WordPressのログインの画面は誰でも開けるアドレスに置かれています。WordPress公式の説明でも、ログインの画面（/wp-login.php）に回数の制限をかけることがすすめられています（WordPress公式のパスワードの総当たり攻撃への説明・2026年10月14日更新）。このページはパスワードを何度も試す攻撃への備えを説明したものです。

プラグインの手入れで続けていいかを見分ける表は別の記事に載せています。

WordPressの入口はプラグインと誰でも開けるログインの画面に集まっています。

Next.jsにするとプラグインと公開の管理画面が無くなる

Next.jsは訪問者が見るページを作るための道具です。記事を入れる場所にはmicroCMSのような別のサービスを使います。

お店にたとえると、売り場と事務所を別の建物に分けるようなものです。WordPressは売り場の奥に事務所があり、お客さまと同じ入口から事務所に入れます。Next.jsとmicroCMSの組み合わせでは、事務所にあたる管理画面はmicroCMSの側にあります。

そのため公開しているサイトには攻撃する側が探すプラグインがありません。ログインの画面も公開しているサイトには置かれません。

管理画面へのログインは守りを足せます。microCMSでは、メールアドレスとパスワードに加えて認証アプリの6桁の番号で本人を確かめる2要素認証を設定できます（microCMS公式の2要素認証の説明）。

Next.jsにすると攻撃する側が探すプラグインとログインの画面が公開しているサイトから無くなります。ただし手入れがすべて要らなくなるわけではありません。

Next.jsで残る手入れは本体の更新と合鍵の管理

Next.jsにも弱点は見つかります。大事なのは弱点が出たあとに何をすればよいかです。2025年の2つの例で見てみます。

2025年3月の弱点は動かす場所で影響が分かれた

2025年3月にはNext.jsのミドルウェア（ページを見せる前にログインなどを確かめる部分）を飛ばせてしまう深刻な弱点が公表されました。Vercelの振り返りの報告によると、VercelやNetlifyで動かしていたサイトは影響を受けませんでした（Vercelの振り返りの報告・2025年3月25日）。

更新が要ったのは自分のサーバーで動かしていたサイトです。修正版は3月17日と18日に出ていました。

2025年12月の弱点は更新と合鍵の入れ替えで守れた

2025年12月3日にはReactの部品の弱点が公表されました。App Routerという作り方のNext.jsでは、外から送られた中身でサーバーの命令が動いてしまうものでした。深刻度は最大の10.0です（Next.js公式の告知）。

この弱点も公表と同時に修正版が出ていました。Next.jsの13と14の安定版やPages Routerで作ったサイトは影響を受けていません。公式は修正版に更新したあとで合鍵を入れ替えるよう案内しています。

合鍵とは、サイトがほかのサービスにつなぐときに使う文字列のことです。microCMSから記事を読み込むための文字列もその1つです。

Next.jsで続ける手入れは弱点が出たときの更新と合鍵の入れ替えの2つです。どちらも公式の案内どおりに更新すれば守れた例でした。

載せ替えると守りやすくなる会社と今のままでよい会社

ここまでの中身を踏まえると、判断の基準はWordPressかNext.jsかではありません。御社に更新を続ける人がいるかどうかです。次の表で御社がどちら側かを確かめてください。上司に見せる資料にもそのまま使えます。

4つとも左の列ならWordPressを手入れして使い続けてください。載せ替える必要はありません。

更新を続ける人がいないなら、Next.jsへの載せ替えで入口を減らす側です。載せ替えたあとも本体の更新と合鍵の管理は続くので、保守の担当は決めておきます。

会員や申し込みの情報が溜まっているなら、載せ替えの前にその情報をどこに置くかを決めます。預かる情報が残るかぎり守る手入れも残るからです。

費用で比べたいときは続ける場合と5年分で比べる方法が使えます。

御社が今日やること

載せ替えるかどうかを決める前に、次の4つを確かめてください。どれも管理画面を開けば10分ほどで終わります。

1. 管理画面の「プラグイン」を開いて更新が溜まっている数を数える
2. 「ユーザー」の一覧を開いて辞めた人や前の制作会社のアカウントが残っていないかを見る
3. サイトの中に会員や申し込みの情報が溜まっていないかを保守の会社に聞く
4. 上の表に当てはめて御社がどちら側かを上司に伝える

やりがちな失敗は、載せ替えれば手入れが要らなくなると考えて保守の担当を決めないことです。Next.jsでも弱点が出たら更新します。

管理画面に入らずに外から分かる状態を先に知りたいときは無料のWordPress診断で確かめられます。

弊社がやっていること

弊社のサイトはWordPressからmicroCMSとNext.jsに載せ替えて動かしています。プラグインを入れない作りにすれば、乗っ取りの入口そのものが減るからです。

弊社が作ったサイトの保守には部品の更新と表示や動作の確認が入っています。上で書いた本体の更新はこの部品の更新にあたります。

WordPressの保守も続けています。これまで他社が作ったWordPressの保守を70社ほど引き継いできました。引き継いだときに多いのはプラグインが古いままのサイトと、バックアップが取られていないサイトです。引き継ぐときは何かを触る前にファイルとデータベースを丸ごと控えに取ります。

一方で弊社は、載せ替えればもう安全だとはお伝えしません。上の表で左の列に当てはまる会社には載せ替えをすすめず、今のWordPressを手入れして使い続ける方をおすすめしています。

保守と引き継ぎの点検の料金は料金の一覧に載せています。御社がどちら側か分からないときは相談の窓口からご連絡ください。初回の30分は無料です。