WordPressで「polyfill.io」が読み込まれていて焦った
2026年6月、「polyfill.io」の問題が再び話題となりました。
2024年に悪意あるコードが混入したことで利用停止が推奨されていたにもかかわらず、2026年5月にドメインが再び有効化されたことで、古い設定のまま運用されていたWebサイトが再度影響を受けました。
私もクライアントのWordPressサイトを確認したところ、ページソースに次のような記述を発見しました。
<script src="https://polyfill.io/v3/polyfill.min.js?features=IntersectionObserver"></script>
「テーマが原因なのか、それともプラグインなのか？」
調査した結果、Word Balloonプラグインが読み込んでいることが分かりました。
原因はWord Balloonプラグインだった
ソースコードを確認すると、
<script src="https://polyfill.io/v3/polyfill.min.js?features=IntersectionObserver"></script>
<script src="/wp-content/plugins/word-balloon/js/word_balloon_inview.min.js"></script>
最初はJSTORK19テーマを疑いましたが、テーマ内を調査しても該当箇所は見つかりません。
その後、Word Balloonプラグインを確認したところ、このプラグインが IntersectionObserver 用のPolyfillを読み込んでいることが判明しました。
なぜ古いバージョンのままだったのか
今回のサイトでは、運用上の事情からPHPのバージョンアップが実施できない状態が続いていました。PHPを更新できないため、WordPress本体のアップデートも見送られており、それに伴ってプラグインも長期間更新できていない状況でした。
「プラグインを更新するとPHPのバージョン要件を満たさず、不具合が発生するのではないか」という懸念があったためです。
しかし今回確認したところ、Word Balloonの最新版は古いPHP環境でも問題なく動作するバージョンだったため、プラグインのみをアップデートしたところ、polyfill.io の読み込みが解消されました。
もちろん、これはあくまで今回の環境での結果です。プラグインによっては最新版が新しいPHPを要求するケースもあるため、事前に対応PHPバージョンを確認したうえでアップデートすることをおすすめします。
解決方法
結論から言うと、
Word Balloonプラグインを最新版へアップデートしただけで解決しました。
アップデート後は
- polyfill.io の読み込みが削除された
- ページソースから polyfill.io が消えた
- 問題なく吹き出し機能も動作した
ことを確認しています。
もし古いバージョンを利用している場合は、まずアップデートを試してみることをおすすめします。
クライアント都合でphpが更新できず、WordPressも更新できず、結果的にプラグインも更新できない状況でしたが、ギリギリ現在のphpでもプラグインが動く環境でした。
なぜ「polyfill.io」は問題になったのか
Polyfillとは、古いブラウザでも新しいJavaScript機能を利用できるようにするためのライブラリです。
その配信サービスとして世界中で利用されていたのが polyfill.io でした。
しかし2024年、このドメインが第三者へ移管された後、配信されるJavaScriptへ悪意あるコードが混入し、サプライチェーン攻撃の対象となりました。
そのため、多くの企業やブラウザベンダーが
- polyfill.ioの利用を停止すること
- 参照コードを削除すること
を推奨しています。
さらに2026年には、停止されていたドメインが再び利用可能となり、削除されずに残っていたコードを読み込むサイトで、不審な認証ダイアログが表示されるなどの事象が発生しました。
つまり、
「古いコードを残していたこと」自体がリスクになった
というわけです。
WordPressサイトで一度確認しておきたいポイント
今回の件をきっかけに、一度ソースコードを確認することをおすすめします。
特に次のような記述が残っていないか確認しましょう。
- polyfill.io
- IntersectionObserver
- 不明な外部JavaScript
- 何年も更新していないプラグイン
Chromeの「ページのソースを表示」や開発者ツール（Networkタブ）から簡単に確認できます。
まとめ
今回のケースでは、
- ページソースで polyfill.io を発見
- テーマではなくプラグインを調査
- Word Balloonプラグインが原因と判明
- 最新版へアップデートしただけで解決
という流れでした。
2026年のpolyfill.io問題は「2024年に対応しなかったサイト」だけではなく、「古いプラグインを更新していなかったサイト」も影響を受ける可能性があります。
WordPress本体だけでなく、テーマやプラグインも定期的にアップデートし、不要な外部スクリプトが読み込まれていないか確認することが、セキュリティ対策として重要だと改めて感じました。