記事執筆者：認定SEOコンサルタント 三田健司
「WordPressのプラグインは、更新の通知が出たらそのまま押しているだけです」。中小企業のWeb担当者の方から、こうした声をよく聞きます。多くの場合それで問題はありませんし、更新を止めるほうがよほど危険です。
ところが2026年8月末、世界で400万サイト以上が使っている有名なSEOプラグインをめぐって、「更新したら管理者と同じ権限のパスワードが自動で作られ、開発元のサーバーへ送られていた」という指摘が広がりました。開発元は数日のうちにこの機能を停止しましたが、WordPressの共同創設者が「管理者権限を扱うプラグインには監査を義務づけるべきだ」と発言するまでに発展しています。
この記事では、海外のSEO専門メディアであるSearch Engine JournalやWordPress専門メディアのThe Repository、そして開発元自身の説明をもとに、何が起きたのかを整理します。あわせて、自社サイトが該当していないかを確認する手順と、これを機に見直しておきたいWordPressの権限管理を、専門用語をできるだけかみくだいて解説します。
なお、ここで特定の企業や製品を批判する意図はありません。今回の出来事は、どのプラグインを使っていても起こり得る「権限の渡しすぎ」を考えるきっかけとして取り上げています。
SEOプラグインが管理者権限を自動発行｜2026年8月に何が起きたか
まず、報じられている事実関係を時系列で押さえます。複数のメディアと開発元の発表で内容が一致している部分を中心にまとめました。
バージョン1.0.277で「サポートエージェント」が追加された
問題の発端は、2026年8月26日に配信されたSEOプラグイン「Rank Math」のバージョン1.0.277です。この更新には約12件の脆弱性修正が含まれており、安全のために多くのサイトがすぐに適用しました。
同じ更新で、プラグインの「ヘルプ＆サポート」画面にAIのサポートエージェントが組み込まれました。開発元の説明によると、サイトの設定を読み取ったうえでサポートの質問に答える目的で、画面を開いた時点でWordPressの「アプリケーションパスワード」を自動で発行し、開発元のサーバーへ送る仕組みになっていました。
発見したのは競合プラグインの開発者
この挙動を最初に指摘したのは、別のSEOプラグイン「The SEO Framework」を開発しているSybre Waaijer氏です。同氏は8月28日から29日にかけてXで、「セキュリティ修正のはずの更新に見慣れないフォルダが増えていたので調べた」と経緯を説明しています。
指摘の要点は3つでした。発行されたパスワードは開いたユーザーの権限をそのまま引き継ぐこと、利用規約への同意画面が出る前に発行と送信が始まっていること、そして画面を閉じても取り消されず有効期限もないことです。
指摘者が競合製品の開発者である点は、情報を読むうえで頭に入れておく必要があります。ただし、この指摘は他のセキュリティ研究者やメディアの検証でも裏づけられ、開発元自身も事実関係を認めています。
数日で機能停止、1.0.277.2で削除された
指摘が広がると、開発元は8月31日にバージョン1.0.277.2を公開し、サポートエージェントを削除しました。同時に、この機能で作られたアプリケーションパスワードを消す処理も追加したと報じられています。
開発元は公式のナレッジベースで「何が起きているのか、何を許可しているのかを明確に伝えるべきだった」と非を認め、同意の手順を作り直したうえで機能を再開する方針を示しています。つまり、機能そのものは今後戻ってくる予定であり、対応が一度で終わる話ではないということです。
アプリケーションパスワードとは？WordPress標準の仕組み
今回の話を理解するには、「アプリケーションパスワード」という言葉の意味を知っておく必要があります。聞き慣れない方が多いと思いますが、WordPress本体に最初から備わっている機能です。
通常のログインパスワードとの違い
アプリケーションパスワードは、WordPress 5.6（2020年12月）で本体に導入された機能です。管理画面にログインするための通常のパスワードとは別に、外部のツールやアプリがサイトに接続するためだけの「合鍵」を発行できます。
合鍵は1本ずつ名前を付けて管理でき、不要になったら個別に取り消せます。本鍵（通常のパスワード）を変えなくても済むので、たとえば投稿を自動化するツールや、スマートフォンのアプリと連携するときに使われます。
どこで確認できるか
発行済みのアプリケーションパスワードは、WordPress管理画面の「ユーザー」→「プロフィール」を開き、ページの下のほうにある「アプリケーションパスワード」の欄で一覧できます。ここには合鍵の名前、作成日、最後に使われた日時と接続元IPアドレスが並びます。
注意したいのは、この一覧が「ユーザーごと」に分かれている点です。管理者が複数いるサイトでは、それぞれのユーザーでログインして確認するか、管理者が他のユーザーの編集画面を開いて確認する必要があります。
本来は「承認画面」を挟む設計になっている
WordPressの開発者向けドキュメントでは、外部のアプリがアプリケーションパスワードを求める場合、まずアプリ名を示した承認画面を表示し、ユーザーが「許可」を押して初めてパスワードが渡される流れが定められています。
また、WordPress.orgの公式プラグインガイドラインには、「利用者の明示的な同意なしに外部サーバーへ接続してはならない」という項目があります。合鍵を作ること自体は正当な機能ですが、本人に断らずに作って外へ渡すことは、WordPressのルールが想定していない使い方でした。
今回の何が問題だったのか｜4つの論点
機能の存在そのものよりも、その渡し方が問題視されました。論点を4つに分けて整理します。
同意の前に発行と送信が始まっていた
最も批判が集まったのはこの点です。The Repositoryの取材に対し、指摘者は「利用規約に同意する前に、ヘルプ画面を開いただけでパスワードが作られ、送信されていた」と述べています。規約のチェックボックスは表示されるものの、発行を止める役割を果たしていませんでした。
利用者から見れば、「ヘルプを見ようとしただけ」で自分のサイトの合鍵が外部に渡っていたことになります。
管理者の権限をそのまま引き継ぐ
発行された合鍵は、画面を開いたユーザーの権限をそのまま持ちます。中小企業のサイトでは、担当者が管理者権限のアカウントで作業していることがほとんどですから、実質的には管理者の合鍵が渡っていたことになります。
開発元は「エージェント自体は読み取り専用で、サイトを変更することはできない」と説明しています。一方で指摘者は、「合鍵そのものには読み取り専用という制限はなく、鍵を持つ者はREST APIやXML-RPCを通じてそのユーザーとして何でもできる」と反論しました。ここは両者の見解が分かれている部分です。
閉じても消えず、有効期限がない
ヘルプ画面を閉じても合鍵は取り消されず、期限も設定されていませんでした。さらに、プラグインの設定画面からこの機能を無効にする方法も用意されていなかったと報じられています。
合鍵はプロフィール画面に「WAP – Rank Math Support Agent」という名前で表示されていたとのことです。この名前は、後述する確認手順で探す目印になります。
開発元の説明と、なお残る論点
開発元は、合鍵は暗号化されていたこと、自社側で保存はしていなかったこと、権限を引き上げてはいないこと、読み取り専用だったことの4点を挙げて安全性を説明しています。
これに対し指摘者は、「暗号化は通信経路上の話で、受け取った側のサーバーでは読める状態でなければ機能しない」と述べています。安全だったかどうかの最終的な判断は分かれていますが、「知らないうちに合鍵が外に渡っていた」という事実そのものは争いがありません。利用者としては、この事実を前提に自衛するのが現実的です。
自社サイトが該当するか確認する手順
ここからは実際の作業です。エンジニアでなくても、管理画面にログインできれば10分ほどで終わります。順番に進めてください。
手順1：プラグインのバージョンを確認する
WordPress管理画面の左メニューから「プラグイン」→「インストール済みプラグイン」を開きます。該当のSEOプラグインを使っている場合、名前の下にバージョン番号が表示されています。
1.0.277.2より古い番号であれば、まず「今すぐ更新」で最新版にしてください。1.0.277.2以降には問題の機能が含まれていません。そもそもこのプラグインを使っていないサイトは、この手順の対象外ですが、次の手順2は確認しておく価値があります。
手順2：プロフィール画面でアプリケーションパスワードを確認する
左メニューの「ユーザー」→「プロフィール」を開き、ページを一番下までスクロールします。「アプリケーションパスワード」という欄があり、発行済みの合鍵が一覧で並んでいます。
ここに何も表示されていなければ、そのユーザーの合鍵は1本もありません。何かが並んでいる場合は、1本ずつ「これは自分が意図して作ったものか」を確認します。名前に見覚えがなく、誰が何のために作ったか説明できない合鍵は、取り消して困ることはまずありません。
手順3：「WAP –」で始まる項目があれば取り消す
一覧の中に「WAP – Rank Math Support Agent」のような、「WAP –」で始まる名前があれば、今回の機能で作られたものです。右側の「取り消し」ボタンを押して削除してください。1.0.277.2への更新で自動的に消えているはずですが、残っていないか目で確認しておくと安心です。
管理者アカウントが複数あるサイトでは、それぞれのユーザーについて同じ確認を行います。「ユーザー」→「ユーザー一覧」から各ユーザーの編集画面を開けば、管理者が代わりに確認できます。
手順4：他のプラグインの「連携」も見直す
今回のSEOプラグインに限らず、「アカウントを接続」「ライセンスを有効化」といったボタンを押した覚えのあるプラグインは、外部サービスと何らかの形でつながっています。合鍵の一覧に、それらのプラグイン名が並んでいないかも確認しておきましょう。
取り消してよいか判断がつかないときは、いったんそのままにして、制作会社や保守の担当者に「この合鍵は何のためのものか」を確認するのが安全です。
WordPressの権限管理で中小企業が見直したい5つのこと
今回の件は、1つのプラグインの問題にとどまりません。筆者がこれまで関わってきた中小企業のサイトでは、権限の渡し方に共通の「ゆるみ」が見られます。これを機に見直したい点を5つ挙げます。
1. 管理者アカウントの数を減らす
ブログを書くだけの担当者に管理者権限を渡しているサイトは非常に多いです。記事の投稿と編集だけなら「編集者」や「投稿者」の権限で足ります。
今回のように「開いたユーザーの権限を引き継ぐ」機能があった場合、担当者が編集者権限であれば、渡る合鍵も編集者の範囲にとどまります。日常の作業を管理者以外のアカウントで行うだけで、万一のときの被害範囲を大きく狭められます。
2. 制作会社・外注先に渡した権限を棚卸しする
サイトを作ってもらった制作会社、過去に頼んだフリーランス、退職した社員。こうした人たちの管理者アカウントが残ったままになっているケースを、筆者は何度も見てきました。
「ユーザー一覧」を開いて、今も関わっている人以外のアカウントは削除するか、権限を下げてください。削除するときは、その人が書いた記事を別のユーザーに引き継ぐ選択肢が出るので、記事が消える心配はありません。
3. プラグインの「アカウント連携」を安易に押さない
無料版でも「アカウントを作成して接続すると機能が増えます」と案内するプラグインが増えています。今回の機能も、開発元のアカウントに接続しているサイトだけが対象でした。
連携で得られる機能が本当に必要かを考え、必要でなければ接続しないのが一番の防御です。接続する場合は、何のデータがどこへ送られるかをプラグインの説明やプライバシーポリシーで確認しておきましょう。
4. 二段階認証とログイン通知を入れる
アプリケーションパスワードは、その性質上、二段階認証を通らずに接続できます。だからこそ、通常のログインには二段階認証を設定し、ログインがあったらメールで知らせる仕組みを入れておく価値があります。
ログイン通知が届くようにしておくと、見覚えのないアクセスに早く気づけます。筆者のサイトでも通知を有効にしており、外部ツールから接続するたびにメールが届くので、意図しない接続があればすぐ分かります。
5. それでも更新は止めない
今回の件を見て「更新するのが怖くなった」と感じる方もいるでしょう。しかし、問題の更新には約12件の脆弱性修正も含まれていました。更新を止めれば、そちらの穴が開いたままになります。
現実的な落としどころは、更新は続けつつ、更新後にプロフィール画面の合鍵一覧を一度見る習慣をつけることです。月に1回、5分で済みます。
WordPress本体の動きと今後の見通し
この出来事は、WordPressの運営側にも波及しています。今後のプラグイン全体のルールに影響しそうな動きを紹介します。
共同創設者がセキュリティ監査の義務化を提案
The Repositoryによると、WordPressの共同創設者でAutomattic社CEOのMatt Mullenweg氏は8月30日、WordPressのSlack上で「管理者権限を扱うプラグインには、インフラのセキュリティ監査を義務づけるべきだ」と発言しました。
同氏は、監査を通っていないプラグインが管理者レベルで外部と接続することを「サービスというより裏口に近い」と表現しています。WordPress.orgのプラグインチームは翌日に会合を持ち、実現に向けた検討を始めたと報じられています。ただし、具体的な制度はまだ決まっていません。
3週間前にはフォーム作成プラグインでも同様の指摘
実は同じ指摘者が、8月上旬にも人気のフォーム作成プラグインについて、初期設定の途中で管理者トークンが外部サーバーへ渡されていたと指摘しています。こちらは開発元がその後、接続についての説明を追加する対応を取りました。
つまり、この1か月で有名プラグイン2つに同種の問題が見つかったことになります。「有名で利用者が多いから安全」とは言い切れないのが、いまのプラグインの実情です。
AIエージェント時代のプラグインとの付き合い方
開発元は今回の機能を「AIがサイト上で実際に作業を行う、エージェント型SEOへの第一歩」と位置づけています。今後、SEOプラグインに限らず、AIがサイトの設定を読み、書き換える機能は確実に増えていきます。
便利になる一方で、AIに渡す権限は「そのAIが何をできるか」と同じ意味を持ちます。導入するときは、何を読めるのか、何を変更できるのか、いつ取り消せるのかの3点を、必ず確認してから許可する習慣をつけたいところです。
SEOへの影響はあるのか
SEOコンサルタントの立場から、検索順位との関係についても触れておきます。
直接的な順位への影響はない
今回の件で、合鍵が発行されたこと自体がGoogleの評価に影響することはありません。Googleはサイトの中身とユーザー体験を見ており、管理画面の内部で何が起きたかは知りようがないためです。
ですから、慌ててプラグインを削除したり、設定を大きく変えたりする必要はありません。SEOプラグインを急に外すと、タイトルタグや構造化データの出力が止まり、そちらのほうが検索結果に悪影響を及ぼします。
乗っ取られた場合の被害はSEOに直結する
一方で、管理者権限の合鍵が悪意ある第三者に渡った場合の被害は、SEOに直結します。知らないページを大量に作られる、他サイトへのリンクを埋め込まれる、日本語の不正なキーワードを仕込まれる、といった改ざんは、Googleからハッキングされたサイトとして扱われる原因になります。
一度そうなると、検索結果に警告が表示され、復旧して再審査を通すまでに数週間から数か月かかることも珍しくありません。権限管理は、SEOの土台を守る作業だと考えてください。
SEOプラグインを乗り換えるべきか
「別のプラグインに移るべきか」というご相談も増えそうです。筆者の考えでは、今回の件だけを理由に急いで乗り換える必要はありません。開発元は問題を認めて機能を削除しており、どのプラグインにも似たリスクはあるからです。
乗り換えを検討するなら、移行時にタイトルやディスクリプション、リダイレクト設定が正しく引き継がれるかを事前に確かめ、閑散期にテスト環境で試してから行ってください。移行作業のミスのほうが、順位への影響としてはよほど大きくなります。
よくある質問（FAQ）
該当のSEOプラグインを使っていますが、ヘルプ画面は開いていません。対応は必要ですか？
報道によれば、合鍵が作られたのは「開発元のアカウントに接続した状態でヘルプ＆サポート画面を開いた」場合です。開いていなければ発行されていない可能性が高いですが、念のためプロフィール画面の一覧を確認し、プラグインを1.0.277.2以降に更新しておいてください。
確認は5分で終わりますし、「開いた覚えがない」という記憶は意外と当てになりません。
アプリケーションパスワードの欄が表示されません。なぜですか？
サイトがSSL（https）で配信されていない場合や、セキュリティプラグインでこの機能を無効にしている場合、欄自体が表示されません。また、プロフィール画面の一番下にあるので、スクロールし忘れているだけのこともあります。
表示されていないなら、外部からの合鍵接続そのものができない状態なので、今回の件に関しては心配いりません。
見覚えのない合鍵を取り消したら、何か動かなくなりますか？
その合鍵を使って接続していた外部ツールが動かなくなります。たとえば投稿の自動化ツールや、スマートフォンのアプリからの投稿などです。管理画面へのログインや、サイトの表示には影響しません。
もし必要なツールだった場合は、そのツール側で合鍵を作り直して再接続すれば元に戻ります。取り消しは「元に戻せない操作」ではないので、迷ったら取り消す側に倒して構いません。
制作会社に保守を任せています。自分で確認する必要はありますか？
保守契約の範囲にプラグインの更新と権限管理が含まれているなら、まずは制作会社に「今回の件で確認したか」を聞くのが早いです。信頼できる会社であれば、すでに対応しているか、すぐに確認してくれます。
ただし、自社のサイトの管理者は最終的には自社です。誰が管理者権限を持っているかだけは、経営者や担当者が自分で把握しておくことをおすすめします。
今回の件で、法的な問題はあるのでしょうか？
海外では、利用者の同意なしに認証情報を外部へ送ることがプラットフォームの規約や各国の個人情報保護の考え方に照らしてどう評価されるか、議論が続いています。日本の法律上の扱いについては、筆者の専門外ですので断定を避けます。
自社サイトで実害が出た場合や、顧客情報を扱うサイトで気になる点がある場合は、弁護士など専門家にご相談ください。
まとめ｜プラグインに渡した権限を「見える化」しておく
2026年8月末、400万サイト以上で使われるSEOプラグインが、ヘルプ画面を開いただけで管理者権限の合鍵を発行し、開発元へ送っていたことが明らかになりました。開発元は数日で機能を削除し、同意手順を作り直して再開する方針を示しています。
合鍵にあたる「アプリケーションパスワード」はWordPress標準の正当な機能で、プロフィール画面から誰でも一覧と取り消しができます。該当プラグインを使っている方は、最新版への更新と、「WAP –」で始まる合鍵が残っていないかの確認を済ませてください。
そして、これを機に見直したいのは権限管理全体です。管理者アカウントを減らす、外注先の権限を棚卸しする、プラグインの連携を安易に押さない、二段階認証とログイン通知を入れる、それでも更新は止めない。この5点で、今回のような出来事があっても被害を最小限にとどめられます。
今日できることを1つだけ挙げるなら、WordPressの「ユーザー」→「プロフィール」を開いて、一番下の「アプリケーションパスワード」欄を一度見ておくことです。何も並んでいなければそれで安心できますし、見覚えのない項目があれば、それが今日の収穫です。
WordPressの安全な運用とSEOのご相談はアクセス・リンクへ
株式会社アクセス・リンクでは、SEOコンサルティングとWordPressによるホームページ制作を通じて、中小企業のウェブ集客を支援しています。代表の三田健司は全日本SEO協会の認定SEOコンサルタントとして、検索順位の改善だけでなく、その土台となるサイトの安全な運用まで含めてご提案しています。
ウェブ制作に10年以上、延べ1,000件以上の案件に関わってきたなかで、権限の渡しすぎが原因で改ざんや乗っ取りに遭ったサイトの復旧もお手伝いしてきました。誰がどの権限を持ち、どのプラグインがどこにつながっているのかを整理するだけで、防げるトラブルは数多くあります。
「自社サイトの管理者が誰なのか分からない」「プラグインの更新をどう扱えばいいか不安」といったお悩みがありましたら、お問い合わせページよりお気軽にご相談ください。現状をうかがったうえで、優先して着手すべきことをお伝えします。
記事執筆・株式会社アクセス・リンク 代表取締役
Webサイト制作歴10年以上の経験を元にSEOコンサルティングを行い、延べ1,000件以上のサポート実績を誇ります。個人事業主や中小企業向けのホームページ制作やSEOコンサルティングを得意としています。
（社）全日本SEO協会 認定SEOコンサルタント
コメント