PHPやWordPressの脆弱性が報じられるたびに、「脱WordPress」という議論が出てきました。ただし、ボットによる自動化されたログイン試行の問題は、WordPress固有の欠陥ではありません。
狙われている理由は、脆弱さではなくシェアの大きさです。
WordPressは世界のWebサイトの39.5%、CMSに限れば 58.2% で使われています（2026年10月時点）。
攻撃者は自動化の効率を優先するため、最も数の多いものを狙います。被害の報告件数が多く見えるのは、母数が大きいことの裏返しです。
危険なのはWordPress自体ではなく、PHPやプラグインが古いまま放置されていることです。裏を返せば、PHPとプラグインを新しく保ち、使っていないプラグインを削除し、入口を固めておけば、WordPress は十分に安全に運用できます。Cloudflare Turnstile は、このうち「入口を固める」部分にあたります。
WordPress のログイン画面に Cloudflare Turnstileを導入し、自動化された不正ログイン試行をフォーム送信の段階で遮断することをご提案します。導入費用はかかりません。
Cloudflare Turnstile を設置すると、以下のように、ログイン画面に認証が表示されます。
Cloudflare Turnstile とは
Cloudflare が提供する、画像認証を使わないボット判定の仕組みです。従来のCAPTCHAのように「歪んだ文字を読む」「信号機の画像を選ぶ」といった作業を利用者に求めません。
代わりに、ブラウザがページを表示している間に、その環境が本物のブラウザかどうかを自動で検査します。一方で、スクリプトから直接 wp-login.phpに ID とパスワードを送りつけるようなアクセスは、検査を通過した証拠を持たないため、サーバー側でパスワードを照合する前に弾かれます。つまり、総当たり攻撃が「試す」段階に到達できなくなります。
Google reCAPTCHAも「ボットかどうかを判定して送信を止める」目的は同じですが、手間とプライバシー説明のしやすさの点でTurnstileを推奨します。
導入のメリット
1.不正ログインの試行を、パスワード照合の前に止められる
ログイン試行の大半は自動化されたものです。Turnstile はこの自動アクセスをフォーム送信の段階で切り落とすため、攻撃の母数そのものを大幅に減らせます。
2. ユーザーに手間をかけない
画像認証のような「読みづらい文字を入力させる」工程がなく、通常の管理者・会員は数秒待つだけでログインできます。セキュリティ対策によくある「安全になるが使いにくくなる」トレードオフがほぼ生じません。
3. プライバシーに配慮した設計
Cloudflare は、Turnstile で取得した情報を広告目的で利用せず、追跡用Cookieも使わないと説明しています。Google等の広告事業を持つ事業者のCAPTCHAと比べ、プライバシーポリシー上の説明がしやすい点は実務上の利点です。
4. 費用がかからない
Turnstile は無料で、リクエスト数の上限もありません。月額費用は発生せず、導入にかかるのは初回の設定作業のみです。
5. Cloudflare を使っていなくても導入できる
サイトのDNSやCDNをCloudflareに移す必要はありません。現在のサーバー構成を変更せず、プラグインの設定だけで完結します。
6. サーバー負荷の軽減
総当たり攻撃が続くと、PHP の実行とデータベース照会がその都度発生します。試行を手前で止めることで、無駄な負荷とアクセスログの膨張を抑えられます。
7. 問い合わせフォームのスパム対策にも転用できる
同じ仕組みを、お問い合わせフォームやコメント欄、パスワード再発行画面にも適用できます。
導入方法
導入方法は、Cloudflareでのウィジェット発行、WordPressへのプラグイン導入と設定、動作確認までです。テーマや既存機能の改修は伴いません。
サイトの表示への影響はありません。
設置するのは対象フォームの送信ボタン付近のみで、ページのデザインや表示速度に実質的な影響はありません。
ただし、Turnstile はフォーム経由の自動送信を防ぐ仕組みです。
パスワードを正しく知っている人間の不正アクセスまでは止められません。パスワードの使い回しを避けること、可能であれば二段階認証を併用することをあわせてご検討ください。
導入方法、設置代行についてはご相談ください。
CASTPRO5.1シリーズについては、PHP8版をリリースしました。
(5.0、5.2については、近日中にリリース)
CASTPRO5.1シリーズ、CASTPRO ZETAについては、PHP8.38.5で動作確認済となっています。
Cloudflare「EmDash」について
WordPressは、開発コミュニティが脆弱性に素早く対応して、wp2shellにはは影響を受けるバージョンのサイトにコアの自動更新を強制しました。ユーザーの操作を待たずに修正を配る仕組みは、WordPressの強みです。
ただし、更新の適用が遅れた時間がそのままリスクになります。
「EmDash」はCloudflare製のAstro(最近話題の静的サイトジェネレーター)+TypeScript製 CMSで、2026年4月1日にv0.1 ベータ版が発表されました。
WordPressの課題を現代の技術で解決するためにゼロから開発されたオープンソースのCMSです。
Cloudflare自身も「WordPressの精神的な後継」と位置づけています。
「EmDash」には、プラグインを独立した環境で動かして権限を宣言させる設計など、評価できる点があります。WordPressの共同創設者である Matt Mullenwegも設計を評価しています。一方、Yoast創設者は「2か月の開発期間は本番での検証の代わりにはならない」と述べています。
現状では、
- ・2026年12月8日予定のWordPress7.2正式リリース後に、実装される機能
- ・Cloudflare EmDash の状況（プラグイン数、1.x の安定度、本番事例）
を確認してから、今後のWebサイト開発のプラットフォームを見極めていく必要があるでしょう。
ちなみに、EmDashは、ページビルダーのような、ページを構成ブロックで組むための「blocks」フィールドは現時点でまだ開発中のフェーズです。しかもビジュアルページビルダーは対象外と明記されています。土台そのものがまだ決まっていません。
「CASTRPO ZETA」は、Webサイトの要素を、HTMLだけではなくJSONでも持つ設計にすることで、別CMSへの移行時、例えば「CASTPRO for EmDash」を見据えた設計となっています。
「サーバーレスだからコストが抑えられる」のではなく、知識のない人がAIに聞きながら、認証やAPIのあるシステムを作る危険性は、本来、保守と、トラブルのときに使う人の時間であり、今後は、制作会社が作って運用保守まで引き受ける形が主流になるでしょう。
