第１ 結論
Wordfenceのアクティビティレポートに多数の「ブロック」が表示されても，その数字だけでサイトが侵入されたとはいえない。
上位IP・国のブロック数には，WAFの攻撃規則だけでなく，レート制限，総当たり対策，手動ブロック，国別ブロック等の各種遮断機能による記録が含まれ得るからである。
他方で，多数をブロックしたことは，ブロックされなかった侵入がないことの証明にもならない。
管理者は，レポートを「攻撃の有無を一つの数字で判定する通知」ではなく，「更新，ログ，スキャン及びアカウントを点検する入口」として使うとよい。
本記事は令和８年１１月９日現在のWordfence公式資料に基づき，週次レポートの各欄の意味と確認順序を整理する。
第２ 遮断記録が示すもの
１ WAF以外の遮断も集計対象になり得る
Wordfenceの現行公開実装では，上位IP・国の集計に，WAFのほか，レート制限，総当たり対策，手動ブロック，国別ブロック等の種類が含まれ得る。
したがって，上位表のBlock Countを「脆弱性攻撃の検出件数」又は「WAF規則一致件数」とだけ説明するのは正確ではない。
WAFは，WordPressの初期化の早い段階で悪意ある要求を判定し，プラグインやテーマの脆弱な処理へ届く前に遮断する仕組みである。
一方，レート制限は所定時間内の要求数が設定値を超えた場合の一時的な制限であり，厳しい設定では正当な利用者や正常なクローラーを遮断する可能性もある。
個々の記録について，遮断理由，対象URL，時刻及び管理者自身の操作との関係を確認する必要がある。
同じ送信元が短時間に多数のURLやパラメータを試せば，一人又は一台による自動走査でも件数は大きくなる。
２ 攻撃者の人数や侵入件数ではない
一つのIPアドレスから多数の要求が送られることがあり，反対に一つの攻撃活動が多数のIPアドレスを使うこともある。
携帯回線，共有回線，VPN，クラウド事業者，IPv6の一時アドレス等もあるため，IPアドレスの数を攻撃者の人数へ置き換えることはできない。
国別表示はIPアドレスの位置情報に基づく分類であり，攻撃者の国籍又は所在を確定するものではない。
特定の国や国内IPが上位であるというだけで，個人又は組織を名指ししてはならない。
第３ レポートの各欄をどう読むか
１ ブロックされたIPと国
上位のIPと国は，その期間にWordfenceの各種遮断機能が多く遮断した送信元を並べたものである。
まず，特定のIPだけが極端に多いのか，多数のIPへ分散しているのか，同じ時刻帯に集中しているのかを見る。
個別IPの恒久ブロックは，動的アドレスや共有アドレスの利用者まで巻き込む可能性がある。
既にWAFが遮断している要求については，業務上必要なアクセスへの影響を確かめずに広い範囲を追加遮断しない方がよい。
２ ログイン失敗
ログイン失敗は，WordPressの認証画面に対する総当たり等を知る手掛かりになる。
ただし，この欄が零件でも，脆弱なプラグインへの要求，REST APIへの要求，盗まれた正しい認証情報によるログイン等がなかったとはいえない。
ログイン履歴，管理者アカウントの増減，二要素認証の状態及び不審なパスワード再設定も別に確認する。
３ 最近ブロックされた攻撃
「最近ブロックされた攻撃」には，時刻，送信元IP及び遮断理由が表示される。
遮断理由からSQLインジェクション等の攻撃類型又は対象候補を読み取れることがあるが，表示は遮断された要求の説明であり，対象候補となるプラグインが実際にインストールされていることまでは示さない。
遮断理由に具体的な製品名等があれば，①そのプラグインを使用しているか，②使用版が影響範囲に入るか，③修正版へ更新済みか，④同じ経路がWAF以外で到達し得ないかを確認する。
プラグインを使っていない場合は，無差別な自動走査である可能性が高いが，サイト全体の更新確認は省略しない。
管理者自身の試験又は誤検知の可能性もあるため，表示名だけで悪意ある第三者の行為と確定しない。
４ 最近更新されたファイル
現行の公開実装は，WordPress設置領域から最近変更されたファイルを一覧化する。
更新ファイルには，プラグインやテーマの更新，キャッシュ，再生成されたCSS，ログ，画像認証用ファイル等の通常変更が含まれ得る。
ファイル名だけでマルウェアと判定せず，更新時刻と，その時刻に実行した更新・バックアップ・キャッシュ処理を対応させる。
一方，アップロード領域に説明できないPHPファイルがある，WordPress本体や既知のプラグインのファイルが公式版と異なる，管理者が作っていない実行ファイルが増えた，という場合は優先して調べる。
Wordfenceのスキャンは，WordPress.orgの既知の正常版との完全性比較，マルウェア，バックドア，不審なリダイレクト等の検査に使える。
５ 必要なアップデート
更新通知は，攻撃ログとは別の重要な欄である。
脆弱性の影響版を利用している可能性があるときは，公式のリリース情報で影響版，修正版，WordPress及びPHPの必要版を確認し，バックアップと送受信等の試験を組み込んで更新する。
第４ 「ブロックされた」と「侵入された」を分ける
侵入の有無は，WAFのブロック数だけでなく，成功した認証，管理者アカウント，ファイルの完全性，データベースの変更，外部通信，メール送信，アクセスログ及びアプリケーションログを組み合わせて判断する。
WAFの記録に「ブロック」とある要求は防御が働いた証拠になるが，別の要求，更新前の期間，未知の脆弱性，又はログを残さない経路まで否定するものではない。
反対に，攻撃要求が多数来ただけで，侵入，個人情報の漏えい又は業務停止が発生したと公表するのも早計である。
確認できた事実，調査範囲，残っているログ，分からない範囲を分ける必要がある。
第５ 無料版で確認しておく制約
Wordfence公式資料によれば，無料版では，新しい脆弱性に対応するファイアウォール規則と，新しいマルウェアを検出するシグネチャがPremium利用者への提供から３０日後に提供される。
無料版でもWAF，スキャン，ログインセキュリティ等を利用できるが，この時間差は「最新の攻撃にも同じ条件で対応している」という意味ではない。
この制約だけで直ちに有料版が必須になるわけではない。
扱う情報，更新の速さ，外部公開している機能，停止時の影響及び保守体制を踏まえ，更新を早く行うこと，公開面を減らすこと，サーバー側WAFや監視を組み合わせることも含めて判断する。
第６ レポートを受け取ったときの確認順序
緊急性の高い順に，次を確認するとよい。
①WordPress本体，テーマ及びプラグインに必要な更新が残っていないかを確認する。
②遮断理由に具体的な製品名等があれば，そのプラグインの有無，完全な版番号及び修正版を公式情報で照合する。
③Wordfenceの最新スキャン結果を確認し，未解決の重大な指摘，改変ファイル及び未知のファイルを調べる。
④管理者アカウント，ログイン履歴，二要素認証及びパスワード再設定に不審な点がないかを確認する。
⑤更新ファイルを，通常の更新，キャッシュ，ログ及び説明できない変更に仕分ける。
⑥アクセスログ等を保全し，確認した日時，対象期間，設定及び結論を記録する。
⑦個人情報の漏えい等又はそのおそれが問題になる事実があれば，ブロック数とは別に，個人情報保護委員会への報告及び本人通知の要否を検討する。
公表は，本人通知が困難な場合の代替措置に当たるか，又は対外説明として必要かを別に判断する。
第７ 誤判定を避けるための実務上の注意
「今週は件数が少ないから安全」「国内IPだから安全」「ログイン失敗がないから安全」「スキャンが正常だから侵入はない」という単独の判断は避ける。
同じように，「件数が多いから侵入された」「遮断理由に製品名等が出たからそのプラグインが入っている」「更新ファイルがあるから改ざんされた」とも断定しない。
件数の増減を見る場合は，集計期間，サイトのアクセス量，WAFの設定，学習モード，ルール更新及びレート制限の変更をそろえる。
条件が違う週同士を単純比較すると，攻撃活動ではなく設定変更を見ている可能性がある。
第８ 関連記事
AIを悪用した無差別サイバー攻撃とは―仕組みと企業の対策では，自動走査と標的型攻撃の違いを説明している。
PHPの緊急セキュリティ更新とWordPress保守では，公式情報の確認，バックアップ，互換性試験及び更新後検証を整理している。
「現時点で漏えいの事実は確認されていない」と公表してよいかでは，調査段階，ログの有無及び個人情報保護法の「おそれ」を扱っている。
第９ 出典
①Wordfence Web Application Firewall
②Wordfence Dashboard
③Wordfence Free
④Wordfence Blocking
⑤Wordfence Rate Limiting
⑥Wordfence Diagnostics
⑦WordPress.orgで公開されているWordfenceのアクティビティレポート実装
⑧個人情報保護法第２６条
⑨個人情報の保護に関する法律についてのガイドライン（通則編）