本体は無事でも危ない プラグイン更新の落とし穴

JPCERT/CCがJenkins本体と複数のプラグインの脆弱性に注意喚起を出しました（2026年9月9日）。「本体さえ新しければ安全」が成り立たない理由を、福岡のWeb制作会社AliveCastが解説します。

何が起きたか：JenkinsとプラグインにJPCERT/CCが注意喚起

JPCERT/CC（一般社団法人JPCERTコーディネーションセンター）は2026年9月9日公開の「Weekly Report」で、開発現場で使われるツール「Jenkins」本体と、複数のJenkins用プラグインに脆弱性があるとして注意喚起を出しました。多くのWeb発注企業はJenkinsを直接使いませんが、「本体ではなく拡張機能（プラグイン）が穴になる」という構造は、あなたのWordPressサイトにもそのまま当てはまります。

Jenkins（ジェンキンス）とは、ソフトウェアの開発現場で「プログラムの組み立て・テスト・公開」を自動化するための道具です。エンジニアが使う裏方のツールで、経営者やホームページ担当者が直接触ることはほとんどありません。今回の注意喚起は、そのJenkins本体だけでなく、機能を追加する「プラグイン（拡張機能）」の複数にも問題が見つかった、という内容です。

具体的にどのプラグインの、どのバージョンに、どんな脆弱性（＝CVE番号）があるのかといった技術的な詳細は、開発担当者が確認すべき情報です。該当する可能性のある方は、必ず一次情報である公式の告知でバージョンや対策をご確認ください。

出典：JPCERT/CC Weekly Report「Jenkinsおよび複数のJenkins用プラグインに脆弱性」（2026年9月9日公開）

正直にお伝えすると、この記事は上記の注意喚起を発注側向けにかみ砕いたものです。攻撃の具体的な悪用状況や、影響範囲の最終的な確定情報までを本記事で保証することはできません。技術的な判断が必要なときは、公式告知と、あなたのサイトを管理している制作会社の両方に確認するのが確実です。

Jenkinsを使っていない会社も他人事ではない理由（AliveCastの見解）

結論から言うと、今回のニュースで注目すべきは「Jenkinsという特定のツール」ではありません。「本体は安全でも、後から足した拡張機能（プラグイン）が侵入口になる」という弱点の作られ方です。そしてこの構造は、日本の中小企業サイトの多くが使うWordPressと、まったく同じです。

WordPressは世界で最も使われているサイト構築システムで、本体（コア）は世界中の技術者が監視し、頻繁に修正されています。本体そのものが破られることは比較的まれです。ところが実際のサイトは、問い合わせフォーム、セキュリティ強化、予約、EC、SEOなど、さまざまな機能を「プラグイン」で足して作られています。一般的な中小企業サイトでも10〜20個のプラグインが入っていることは珍しくありません。

問題は、このプラグインの一つひとつが別々の開発者によって作られ、更新の頻度も品質もバラバラだという点です。攻撃者は堅い本体を狙うより、更新が止まったプラグインの穴を探すほうが効率的です。つまり「本体（Jenkins／WordPress）は無事でも、プラグインが穴になる」——今回のJenkinsのニュースが示したのは、まさにこのパターンです。

さらに厄介なのは、セキュリティを高めるために入れたプラグイン自体に脆弱性が見つかるケースです。「守るための道具」が「入口」になってしまうと、被害は大きくなりがちです。だからこそ、セキュリティ系プラグインの更新通知は最優先で対応すべきだと当社は考えています。

当社（AliveCast）でも、保守契約をいただいているサイトについては、プラグインの更新通知を定期的に確認し、必要な更新を代行しています。この運用を続けていて実感するのは、「更新が来ていたのに後回しにされていた」ことが、トラブルの大半の入口だということです。攻撃は本体の欠陥よりも、放置されたプラグインの隙を突いてきます。（AliveCastの保守運用より・2026年9月時点）

あなたのホームページで今すぐやること

技術的な設定はわからなくても、発注側であるあなた自身の目で確認できることがあります。以下の順で進めてください。

1. 管理画面にログインし、更新通知の有無を見る。 WordPressの管理画面（多くは「ドメイン名/wp-admin/」）にログインすると、「更新」の項目に数字のバッジが出ます。ここに数字があれば、更新待ちのプラグインがある状態です。

1. セキュリティ系のプラグインを最優先で確認する。 「守るための道具」に穴が空くと被害が大きいためです。たとえば多くのサイトで使われているセキュリティ強化プラグイン「Really Simple Security」を使っている場合は、最新版になっているかを至急確認し、更新が来ていれば速やかに適用してください。使っているプラグインが該当する脆弱性の対象かどうかは、そのプラグインの公式告知で確認できます。

1. 更新の前に必ずバックアップを取る。 更新でごくまれに表示が崩れたり、他のプラグインとぶつかったりすることがあります。バックアップがあれば元に戻せます。バックアップの取り方がわからない場合は、自己判断で更新せず、制作会社・保守会社に依頼するのが安全です。

1. 判断に迷ったら止めて相談する。 「このプラグインを更新していいのか」「そもそも何が入っているのか分からない」という状態は、放置が一番危険です。分からないこと自体が、専門家に相談すべきサインです。

ここで正直にお伝えしておくと、更新は「一度やれば終わり」ではありません。プラグインの脆弱性は今後も繰り返し見つかります。大切なのは、更新通知が来たときに後回しにしない習慣と、いざというとき戻せるバックアップ体制の2つです。

更新を「後回しにしていいもの／だめなもの」の見分け方

すべての更新を毎回すぐに当てるのが理想ですが、忙しい現場ではそうもいきません。優先順位の付け方を表にまとめます。判断に迷ったときの目安にしてください。

表の最後の行は特に見落とされがちです。「昔入れたけれど今は使っていない」プラグインは、停止していてもファイルがサーバーに残っていればリスクになります。使わないものは思い切って削除するほうが安全です。

この判断が難しい、あるいは毎回対応する時間が取れないという場合は、保守契約で更新をまとめて任せる方法もあります。当社では、更新の確認・適用・バックアップまでを保守の範囲で代行しています。

Jenkinsのニュースは「開発者の話」に見えて、実は「あなたのサイトの話」でもあります。プラグインの更新やバックアップに不安がある、あるいは何が入っているか分からないという方は、お気軽にお問い合わせください。福岡のWeb制作会社として、保守・セキュリティの面からサポートします。

よくある質問