こんにちは。株式会社PEPです。
2026年10月16日、ノーコードWeb制作ツール「Studio」で、不正アクセスによる情報流出の可能性が発表されました。
流出した可能性がある情報には、ユーザーのメールアドレスやパスワードだけでなく、お問い合わせフォームの送信内容なども含まれています。
一方、世界中で利用されているWordPressでも、今年に入って複数の脆弱性が発見され、セキュリティアップデートが行われています。
こうしたニュースを見ると、「自社のホームページは大丈夫なのだろうか」と不安に感じる方もいらっしゃるのではないでしょうか。
今回は、Studioで発生した不正アクセスとWordPressの脆弱性について解説するとともに、Web制作会社の立場から、企業のホームページを安全に運用するために必要な対策をご紹介します。
Studioで発生した不正アクセスとは？
2026年10月16日、Studio株式会社は、同社が利用するクラウド環境に第三者による不正アクセスがあり、ユーザー情報が外部に流出した可能性があると発表しました。
公式発表によると、9月30日から10月1日にかけて第三者による不正アクセスが確認され、10月13日に社内調査で発覚。翌14日までに原因となった脆弱性の修正と、不正アクセス経路の遮断を完了しています。
流出した可能性があるのは、主に以下の情報です。
- ユーザー名、メールアドレス、ハッシュ化されたパスワード
- CMSやデザインエディタで管理されているデータ
- お問い合わせフォームの送信内容
- 外部サービスと連携するAPIキーやトークン
- パスワード保護ページの認証情報
- 公開前のページを確認するライブプレビューのURL
特に企業サイトで気になるのは、お問い合わせフォームの送信内容です。
フォームにはお客様の氏名やメールアドレス、電話番号、相談内容などが入力されます。
今回の発表では、Studioに保存されていたフォームの回答も対象となっており、暗号化されていた一部の情報についても復号に必要な鍵が読み出されたため、内容を知られた可能性があるとされています。
なお、10月18日時点で実際に第三者がデータを取得した事実は確認されておらず、Studio側は取得されたものとみなして対応を進めており、影響範囲などの調査を継続しています。
また、データの改ざんや削除についても現時点では確認されていないとしています。
Studioを利用している企業が確認したいこと
Studioを利用している場合は、まず公式サイトのお知らせや、対象プロジェクトのオーナーに届いているメールを確認しましょう。
Studio側では、パスワードの変更やライブプレビューURLの削除、外部サービスのAPIキーの切り替えなどを案内しています。
必要な対応は利用している機能によって異なります。お問い合わせフォームで個人情報を取得している場合は、フォーム利用者への通知が必要になるかどうかも確認が必要です。
詳しい対応方法は、以下の公式ページをご確認ください。
WordPressでも深刻な脆弱性が発見されている
Studioの問題が注目されていますが、WordPressでもセキュリティ上の問題が発見されています。
2026年9月22日に公開されたWordPress 7.1.2では、特定の条件下で第三者がサーバー上のプログラムを不正に実行できる可能性がある、重大な脆弱性が修正されました。
さらに10月6日には、7件のセキュリティ修正と4件の不具合修正を含むWordPress 7.1.3が公開されています。
修正内容には、クロスサイトスクリプティング（XSS）やSQLインジェクションなどが含まれています。
これらは、悪用されるとサイトの改ざんや情報漏えいなどにつながる可能性がある問題です。
ただし、脆弱性が発見されたからといって、すべてのWordPressサイトで不正アクセスが発生するわけではありません。
重要なのは、修正プログラムが公開された際に、適切にアップデートを行うことです。WordPress公式でも、セキュリティに関する更新は速やかに適用するよう推奨しています。
AIで誰でもホームページを作れる時代。セキュリティは誰が守る？
ここからはWeb制作会社として気になっていることをお話しします。
近年はChatGPTをはじめとした生成AIの進化によって、プログラミングの専門知識がなくてもホームページをある程度制作できるようになりました。
AIに指示するだけでHTMLやCSSを生成できるほか、データベースやお問い合わせフォームを備えたWebアプリケーションまで構築できる時代です。
これまで専門的な知識が必要だったWeb制作のハードルが下がり、個人や中小企業でも手軽にホームページを持てるようになりました。
しかし、ここで考えておきたいことがあります。
AIでホームページを作れたとしても、その後の保守やセキュリティ対策は誰が担当するのでしょうか。
見た目が完成していても安全とは限らない
AIが生成したプログラムは、必ずしもセキュリティ上の問題がないとは限りません。
例えば次のような問題が考えられます。
- お問い合わせフォームの入力処理に不備がある
- 管理画面のアクセス制限が不十分
- データベースの閲覧権限が適切に設定されていない
- APIキーなどの機密情報が外部から閲覧できる
- 使用しているライブラリの脆弱性が放置されている
画面上では何の問題もなく動作していても、内部のプログラムに不備が残っている可能性があります。
Web制作の知識がある人であればコードを確認し、必要に応じて修正できます。
しかしAIが出力したコードの意味を理解しないまま公開した場合、そもそも何が危険なのか判断できないこともあるでしょう。
Webアプリケーションのセキュリティに関する知識を公開しているOWASPも、AIが生成したコードには人間による確認と責任者の明確化が必要だとしています。
参考：OWASP Secure Coding with AI
顧客のサイトが乗っ取られてからでは遅い
特に注意したいのはAIを使って他社のホームページを制作するケースです。
例えばWeb制作の経験がほとんどない人がAIを使い、企業からホームページ制作を請け負ったとします。
見た目はきれいに完成し、お問い合わせフォームも問題なく動作しているように見えるかもしれません。
しかしプログラムの一部に脆弱性が残っていたらどうなるでしょうか。
第三者に悪用されれば、次のような被害が発生する可能性があります。
- 顧客のホームページが乗っ取られる
- サイトの内容を勝手に書き換えられる
- 不正なサイトへアクセスするよう誘導される
- お問い合わせから取得した個人情報が流出する
- サイトが利用できなくなり営業活動に支障が出る
被害を受けるのは制作した本人だけではありません。
ホームページを依頼した企業や、そのサイトを利用するお客様にも影響が及びます。
さらに問題なのは不正アクセスが発生した後の対応です。
- 原因となったプログラムを特定できるのか
- 被害がどこまで広がっているか調査できるのか
- 安全な状態に復旧できるのか
こうした対応にはWeb制作だけでなく、サーバーやネットワークなどの知識も必要になります。
ホームページを作れることと、トラブルが発生した際に責任を持って対応できることは別の話です。
今後AIを利用したWeb制作がさらに普及すれば、セキュリティを十分に確認しないまま公開されるサイトも増える可能性があります。
もちろんAIを使ったWeb制作そのものが危険というわけではありません。経験豊富なエンジニアがAIを活用することで、開発効率を高めることもできます。
問題なのはAIを使うことではなく、生成されたプログラムを確認せずに公開し、その後の管理体制も用意されていないことです。
StudioとWordPressどちらが安全なのか？
今回のニュースを受けて、CMSそのものの安全性が気になった方も多いと思います。
結論からいえば、StudioとWordPressのどちらが絶対に安全というわけではありません。
両者はシステムの仕組みが異なり、セキュリティ管理の方法にも違いがあります。
①Studioは運用の負担が少ない一方、サービス提供元への依存がある
Studioのようなクラウド型CMSは、サーバーやシステムの管理をサービス提供元に任せられることがメリットです。
利用者がCMS本体をアップデートする必要がなく、比較的少ない負担でホームページを運用できます。
一方、サービス提供元のシステムで問題が発生した場合、利用者自身で修正することは基本的にできません。
今回の不正アクセスは、システムの管理をサービス提供元に任せていても、セキュリティリスクが完全になくなるわけではないことを示しています。
②WordPressは自由度が高い反面、継続的な保守が必要
WordPressはオープンソースのCMSで、デザインや機能を柔軟にカスタマイズできることが特徴です。いわば運営元がいないので、少し前に流行った「WEB3のようなもの」と考えてもらってもいいかもしれません。
サーバーも自由に選べるため、サイトの規模や用途に合わせた構築ができますが、WordPress本体やプラグイン、テーマは定期的にユーザー側で更新する必要があります。
特に、独自に開発されたテーマや古いプラグインを使用している場合は、アップデートによる不具合も考慮しながら保守を行わなければなりません。
WordPressを使うこと自体が問題なのではなく、公開後の管理を誰が担当するのかが重要です。
ホームページを安全に運用するために確認したいこと
今回のニュースをきっかけに、企業のWeb担当者の方には、自社ホームページの管理状況を一度確認していただきたいと考えています。
1. CMSやプラグインは更新されているか
WordPressを利用している場合は、本体やプラグインが適切に更新されているか確認しましょう。
管理画面の「ダッシュボード」から「更新」を開くことで、現在のバージョンや更新状況を確認できます。
ただし、とても古いテーマや独自機能を使用しているサイト（弊社で時々依頼がきますが、とても大変です）では、更新によって表示が崩れる場合もありますので注意が必要です。
2. 管理者アカウントは適切に管理されているか
以前の担当者や退職した社員のアカウントが残っていないかチェックしておきましょう。
不要なアカウントは削除し、管理者権限を必要以上に付与しないことが重要です。また、パスワードの使い回しを避け、可能であれば二段階認証も導入しましょう。
3. お問い合わせフォームの情報はどこに保存されているか
お問い合わせフォームで取得した個人情報が、どこに保存されているかを把握することも大切です。
例えば、管理画面のデータベースに保存されているのか、担当者のメールアドレスに送信されるのかによっても、管理方法は異なります。
今回のStudioの件もそうでしたが、不要になった個人情報をいつまでも保存し続けないよう保存期間や削除方法も確認しておきましょう。
4. バックアップから復旧できるか
万が一、サイトが改ざんされたり、更新後に不具合が発生したりした場合に備えて、バックアップは欠かせません。
WordPressでは、画像やテーマなどのファイルだけでなく、投稿内容や設定情報が保存されたデータベースもバックアップする必要があります。明日は我が身だと思ってバックアップしておきましょう。
5. トラブルが発生したときの連絡先は決まっているか
意外と見落としがちなのが、トラブル発生時の連絡体制です。
ホームページの管理を外部に委託している場合は、制作会社がどこまで対応してくれるのか確認しておきましょう。
WordPressの更新、サーバーの管理、バックアップ、不正アクセスへの対応など、保守契約に含まれる内容は制作会社によって異なります。
株式会社PEPが行っているWordPressのセキュリティ対策
株式会社PEPでは、ホームページの公開後も安心してご利用いただけるよう、WordPressの保守・運用に取り組んでいます。
弊社が保守を担当しているWordPressサイトでは、本体やプラグインのアップデートを継続的に実施しています。
また、2025年5月には、お客様のWordPressサイトに国産セキュリティプラグイン「CloudSecure WP Security」を導入したことをお知らせしました。
- 不正ログイン対策
- ログイン試行の制限
- アクセスログの記録
などに対応したプラグインです。
関連記事：国産セキュリティプラグイン「CloudSecure WP Security」を導入しました
もちろん、セキュリティプラグインを導入しただけで、すべての攻撃を防げるわけではありませんが、WordPress本体やプラグインの更新、アカウント管理、バックアップなどを組み合わせ、継続的に確認することが重要だと考えています。
弊社は毎日のように全サイトをチェックしております。
ホームページは公開して終わりではありません
ホームページを制作した直後は問題がなくても、数年後には新しい脆弱性が発見されることがあります。
そのため、制作時のセキュリティ対策だけでなく、公開後も必要な更新を続けることが欠かせません。
デザインや機能はもちろん大切ですが、お客様が安心してホームページを使い続けられることも、Web制作会社として大切にしたい部分です。
CMSの種類だけでなく、公開後の管理体制も大切に
今回のStudioの情報流出やWordPressの脆弱性は、ホームページの安全性について改めて考えるきっかけとなりました。
どのCMSを利用する場合でもセキュリティリスクを完全になくすことはできません。
重要なのはシステムを適切に管理し、問題が発生した際にも対応できる体制を用意しておくことです。
特にこれからAIを使ってホームページを制作する方は、公開後の保守やセキュリティ対策についても十分に考えていただきたいと思います。
株式会社PEPでは大阪市港区を拠点に企業ホームページの制作・リニューアルからWordPressの構築、公開後の保守・運用まで対応しています。
「現在のホームページの管理状況が分からない」「WordPressのアップデートを任せたい」といった場合もお気軽にご相談ください。
ホームページは企業の大切な資産です。公開後も安心して使い続けられるよう、継続的な管理を大切にしていきましょう。