先日、本屋を徘徊していてたまたま目にとまった WordPress のセキュリティに関する書籍を立ち読みしていたところ、プラグインやテーマの入手先として ThemeForest や CodeCanyon などのマーケットプレイスを「推奨」するかのような記述を見つけてその場で卒倒しました。

「野良プラグインは避けましょう」というような記述もあったので素性の確かでないソフトウェアを利用することの危険性については著者も認識しているようでしたが、よく知られたマーケットプレイスなら安全だろうとよく確かめずに書いたのかもしれません。事実は正反対で、WordPress.org が公認していないマーケットプレイスから入手したプラグインやテーマを利用することには極めて重大で直接的なセキュリティリスクがあります。今回は非公認のマーケットプレイスがいかに危険かを生々しい実例を挙げて解説したいと思います。

Wordfence という WordPress 専門のセキュリティサービスがあって、非常に充実した脆弱性データベースを運営しています。Wordfence のブログが毎週、脆弱性レポートを発行していて、その週に報告されたプラグインやテーマの脆弱性について詳しく知ることができます。

直近のレポート (2026年6月29日から7月5日の分) を見てみましょう。僕がいつも最初にチェックするのは Vulnerability Details セクションです。深刻度スコアの高いものから順に並んでいるので先頭のあたりを中心に見ていきます。

ここで留意すべきは、脆弱性が報告されたからといってそのプラグインやテーマが危険で避けるべきものだと即断するのは適切ではない、ということです。レポートのパッチステータスが “Patched” になっているものは、報告された脆弱性が最新バージョンで修正済みであることを示しているので、アップデートすれば安全に使うことができます。脆弱性というものはどのソフトウェアにも大なり小なり内在しているものです。誰かがそれを見つけて報告し、開発元もそれをタイムリーに修正しているのであれば、継続的な監査と改善のプロセスが機能しているという点において脆弱性レポートの存在は危険性ではなくむしろ安全性の指標になります。

反対にパッチステータスが “Unpatched” のものは要警戒です。深刻度スコアが高くて “Unpatched” ならもう目も当てられません。もしそれらを使っているサイトがあったらすでに攻撃を受けて侵入を許してしまっているものと考えてください。

“Unpatched” の脆弱性レポートの内容を詳しく見てみましょう。例に挙げるのは Leedo というテーマについて報告された “Authenticated (Contributor+) Local File Inclusion” 脆弱性です。

Affected Software セクションのリンクから Leedo テーマの詳細ページに移動します。Software Website 項目の情報からこのテーマが ThemeForest で販売されているものであることがわかります。

さらにリンクをたどって ThemeForest の販売ページに移動すると、ああ、なんということでしょう! 深刻度7.5の脆弱性が “Unpatched” のこのテーマ、今も元気に販売されているじゃありませんか! 見るかぎり脆弱性に関する警告のようなものはどこにもありません。これでは何も知らずにこのテーマを購入したユーザーが新たな被害者になってしまいます。

ThemeForest は確かに著名なマーケットプレイスですが、ユーザーの安全について配慮しているようにはとても思えません。それ以前に、お金を払わないとソースコードにアクセスできない商用プロダクトは外部からのセキュリティ監査がむずかしいという大きな制約があり、ただでさえチェックが行き届いていないのですが、このようにかろうじて上がってきた脆弱性レポートに対しても適切な対応がとられておらずほとんど無視されている現状を見ると、ThemeForest でテーマを入手すること自体がセキュリティリスクになると断定せざるを得ません。

非公認のマーケットプレイスの利用はあなたのサイトを危険にさらします。WordPress.org のプラグインディレクトリとテーマディレクトリを利用することが唯一賢明な選択です。