CMS比較：脆弱性情報と需要性
WordPressを他の主要CMSと比較し、公開脆弱性の件数と需要性を混同せずに評価します。
調査日：2026年10月9日
需要性：ウェブサイトでの利用状況
| CMS | 全ウェブサイトでの利用率 | CMSシェア* | 利用率の目安 |
|---|---|---|---|
| WordPress | 40.1% | 58.6% | |
| Shopify | 5.4% | 7.8% | |
| Wix | 4.2% | 6.1% | |
| Joomla | 1.1% | 1.6% | |
| Drupal | 0.6% | 0.9% |
* CMSシェアは、W3TechsがCMSを把握しているウェブサイト内での比率です。利用率は全ウェブサイトに対する割合。W3Techsは日次更新のため、上記は調査日に参照した値です。
この統計が示すのは公開ウェブサイトでの採用の広さであり、新規案件数、利用者数、売上、将来の成長率そのものではありません。ShopifyとWixはホスト型サービス、WordPress・Joomla・Drupalは主に自己ホスト型で、製品境界や運用責任も異なります。
脆弱性件数：比較可能性
NVDの製品名キーワード検索（2025年公開分）
| CMS名での検索語 | NVDのCVE検索結果数 | 全件に占める比率 |
|---|---|---|
| WordPress | 4,245 | 94.4% |
| Drupal | 198 | 4.4% |
| Joomla | 47 | 1.0% |
| Shopify | 5 | 0.1% |
| Wix | 1 | <0.1% |
集計期間：2025-01-01〜2025-12-31（NVDの公開日）。各CMS名をNVD CVE APIの keywordSearch に指定し、120日以内の期間に分割して totalResults を合算。重複IDの横断照合は行っていません。比率はこの5語の検索結果合計4,496件を分母にした参考値で、実際のCMS市場シェアやリスク比ではありません。
この条件での件数は比較の入口として利用できます。WordPressという語に一致した記録は大幅に多いものの、これはCMS本体の脆弱性数ではなく、製品名が一致したCVEレコードの検索ヒット数です。NVD結果の例にはWordPressのプラグイン、Drupalモジュール、Joomla拡張、Shopifyへの移行用WordPressプラグインなども含まれます。
したがって、この表から「WordPress本体は他CMSより何倍脆弱」あるいは「Shopify / Wix はより安全」とは結論できません。一方、WordPress利用者にとってプラグイン等を含むエコシステムの脆弱性情報を監視する重要性が高いことを示す参考値にはなります。
- キーワード検索は本体限定ではない。 製品名がCVE説明等に出てくる拡張、移行ツール、関連製品も拾うため、CMS本体だけの件数としては読めません。
- 検索結果はCVEの品質評価ではない。 深刻度、悪用状況、修正状況、各サイトで使用中の製品・バージョンは件数に反映されません。
- 製品形態も異なる。 ShopifyやWixのホスト型サービスと自己ホスト型ソフトウェアでは、脆弱性の対象範囲や運用責任が同じではありません。
集計条件
NVD CVE API 2.0の keywordSearch に各CMS名を指定し、pubStartDate / pubEndDate で2025年内に公開されたレコードの totalResults を期間分割して合算しました。APIは最大120日までの期間指定のため、各期間が上限を超えないよう分割しています。この単純集計は検索語ごとの結果であり、本体／拡張の分類やCMS間でのCVE ID重複排除を行った値ではありません。
導入判断で見るべき実務項目
- 構成の棚卸し: WordPressなら本体に加えてプラグイン、テーマ、独自コードを確認。ほかのCMSでもモジュール、アプリ、連携機能を対象に含めます。
- 更新運用: セキュリティ更新の通知、適用までの時間、検証・ロールバック手順、サポート対象バージョンを比較します。
- 責任分界: 自己ホスト型ではホスティング、設定、バックアップ、更新が自社責任になりやすく、ホスト型でもアカウント、権限、アプリ連携などの責任は残ります。
- リスク指標: 総CVE数より、稼働中の構成に該当する未修正の重大脆弱性、既知悪用の有無、修正までの所要時間を重視します。