Odpowiednie zabezpieczenie strony WordPress minimalizuje ryzyko utraty danych, a także zabezpiecza właściciela strony oraz potencjalnych użytkowników. Prócz samych zabezpieczeń, które można wprowadzić w panelu administratora, warto także zmodyfikować natywne pliki struktury WordPress, takie jak wp-config.php lub.htaccess.
W styczniu 2017 audytorzy bezpieczeństwa w Sucuri zidentyfikowali lukę w API REST WordPressa, która pozwoliłaby każdemu nieuwierzytelnionemu użytkownikowi zmodyfikować dowolny post lub stronę w witrynie z WordPress 4.7 lub nowszym. Audytorzy po cichu powiadomili programistów WordPress i w ciągu sześciu dni WordPress wydał poprawkę o wysokim priorytecie do wersji 4.7.2, która rozwiązała problem.
Wedle dostępnych danych luki bezpieczeństwa znajdowane są najczęściej we wtyczkach, natomiast tylko 2% podatności pochodzi z samego systemu zarządzania treścią. Wskazuje to na istotne znaczenie rozszerzeń, które właściciele witryn opartych na WordPressie instalują w systemie, a także jak często aktualizują oni swoje wtyczki.