「制作会社との契約が終わってから、一度も更新していない」
「管理画面に更新のお知らせが出ているが、押して壊れるのが怖い」
「そもそも今どのバージョンなのか分からない」
数年前に作ったWordPressサイトを運用されている方から、よくいただくご相談です。実際、5年以上前のバージョンのまま動き続けているサイトは珍しくありません。表示できている以上、緊急性を感じにくいからです。
古いWordPressの本当の問題は「動かなくなること」ではなく、動いたまま乗っ取られることです。改ざんは見た目に現れないことが多く、検索結果やメールの送信元として悪用されて初めて気づきます。ただし、更新は正しい順序で行えば壊れません。バックアップ → 検証環境 → PHP → 本体 → テーマ・プラグインの順を守ることが唯一の要点です。
この記事では、まず自分のサイトの状態を調べる方法から始め、放置で起きること、壊さずに更新する手順、自力でやるか依頼するかの判断までを解説します。
まず自分のサイトのバージョンを調べる
更新の是非を考える前に、現状を数字で把握します。管理画面に入れなくても、外から確認できる方法があります。
WordPressの管理画面にログインし、左メニューの「ダッシュボード」→「更新」を開きます。本体・テーマ・プラグインの現在のバージョンと、更新可能な数がまとめて表示されます。
サイトを開いて右クリック →「ページのソースを表示」を選び、generator という文字列を検索します。<meta name="generator" content="WordPress 5.4.2" /> のような行があれば、それが本体のバージョンです。セキュリティ対策として非表示にしているサイトでは出ません。
レンタルサーバーの管理画面に「WordPress簡単インストール」などの項目があれば、そこにインストール済みのバージョンが一覧表示されます。
本体・テーマ・プラグイン・PHPの4つが揃って初めて「更新されている」状態です。特にPHPはサーバー側の設定で、管理画面の「サイトヘルス」→「サーバー」から現在のバージョンを確認できます。
放置すると起きる4つのこと
1. 脆弱性が公開情報になる
WordPressの更新には、機能追加だけでなく脆弱性の修正が含まれます。そして修正内容は公開されます。つまり、更新が出た時点で「そのバージョン以前には、こういう弱点がある」という情報が世界中に共有されます。
攻撃は人が狙って行うものばかりではなく、古いバージョンを自動で探して回るプログラムが大半です。サイトの規模や知名度は関係ありません。小さな会社のサイトだから狙われない、という考え方は成り立ちません。
なお、報告される脆弱性の多くは本体ではなくプラグインやテーマに起因します。本体だけを更新して安心できるものではない、という点が実務上は重要です。
2. 改ざんされても見た目には出ない
改ざんというとトップページが書き換えられる姿を想像しがちですが、実際に多いのは以下のような形です。
- 検索エンジンにだけ別の内容を見せ、通常の閲覧では気づかせない
- 迷惑メールの送信元として使われ、自社ドメインの信用が落ちる
- 訪問者を別のサイトへ転送する処理が、特定の条件でだけ動く
- 攻撃の踏み台にされ、別のサイトへの加害者になる
いずれもサイトを見ている限り異常が分かりません。気づくきっかけは、ブラウザの警告表示、Google Search Console からの通知、あるいは取引先から「おたくのメールが迷惑メールに入る」と指摘されることです。
改ざんされた場合、原因の特定・不正なファイルの除去・パスワードの一斉変更・検索エンジンへの再審査申請までが必要になります。事前の更新に比べて、費用も停止時間も大きくなります。
3. サーバーのPHP更新でサイトが止まる
WordPressはPHPというプログラムの上で動いています。PHPにもサポート期限があり、レンタルサーバー各社は期限の切れたバージョンを順次停止していきます。
このとき、古いWordPressは新しいPHPで動きません。サーバー側の都合で強制的に切り替えられた結果、ある日突然サイトが真っ白になる、という止まり方をします。これは攻撃ではなく、更新を止めていた側の問題として起こります。
4. 直したくても直せなくなる
放置期間が長いほど、後から手を入れるのが難しくなります。
| 放置期間 | 起きること |
|---|---|
| 1年程度 | 通常の更新で追いつける |
| 3年程度 | 一部のプラグインが更新を停止しており、代替を探す必要が出る |
| 5年以上 | テーマが現行のWordPressで動かず、見た目の作り直しを伴うことがある |
「そのうちリニューアルするから」と先送りにすると、リニューアル時の見積もりに移行の手間が上乗せされます。
壊さずに更新する手順
更新でサイトが壊れる原因は、ほぼ順序と検証を飛ばしたことです。以下の順で進めます。
ファイル一式とデータベースの両方です。どちらか片方では戻せません。取得したバックアップは、サーバー上ではなく手元にも保存してください。詳しくはWordPressのバックアップ方法で解説しています。
本番と同じ内容をコピーした、公開されない環境を作ります。ここで更新を試し、問題が出た箇所を洗い出します。本番でいきなり更新しないのが、この手順の中で最も重要な部分です。
WordPress本体を新しくしても、PHPが古いままだと動作対象から外れます。サーバーの管理画面で切り替えられることがほとんどです。切り替え後にサイトが正常かを検証環境で確認します。
検証環境で更新し、管理画面と表側の両方が問題なく動くかを見ます。ここで「ブロックの回復」などの表示が出ることがありますが、多くは内容が保持されます。
まとめて更新すると、不具合が出たときにどれが原因か分からなくなります。1つ更新するたびに表示を確認します。更新が停止しているプラグインが見つかった場合は、代替を探すか、その機能を別の方法で実現します。
検証で問題が無いことを確認してから本番を更新します。確認するのは、表示・問い合わせフォームの送信・SSL・管理画面の4点です。フォームは更新で壊れても気づきにくいため、必ずテスト送信します。
更新作業は営業時間外に行い、直後に確認できる時間を確保してください。
自分でやるか、依頼するか
判断の分かれ目は技術力ではなく、壊れたときに戻せるかどうかです。
- 更新が1年以内に行われていて、差分が小さい
- バックアップの取得と復元を自分で試したことがある
- 使用プラグインが10個以下で、すべて更新が続いている
- サイトが止まっても、数日は業務に支障が出ない
- 何年更新していないか分からない
- サイト経由の問い合わせが受注につながっている
- 制作会社が作った独自の機能（カスタムテーマ・独自プラグイン）が入っている
- 予約・決済・会員機能など、止まると直接損失が出る仕組みがある
上段に当てはまるなら、バックアップを取ったうえでご自身で進められます。下段が1つでも当てはまる場合は、検証環境を用意できる相手に依頼するほうが、結果として安く済みます。
依頼する場合の費用の目安
金額は当社での一般的な目安です。サイトの規模、放置期間、独自機能の有無で上下します。
| 内容 | 目安 |
|---|---|
| 本体・プラグインの更新のみ（直近の差分・検証あり） | 3万〜8万円 |
| 数年分の更新＋PHP切り替え＋表示崩れの修正 | 10万〜25万円 |
| テーマが動かず、見た目の作り直しを伴う場合 | 30万円〜 |
| 継続的な更新代行（月額の保守） | 月5,000円〜 |
単発で直しても、更新は毎月出続けます。同じ状態に戻らないようにするには、更新を誰が行うかを決めておく必要があります。保守の考え方はホームページ保守・運用費用の相場、サーバー側の運用費についてはサーバー保守費用の相場で解説しています。
よくある質問
- 管理画面に「更新してください」と出ますが、押すだけで大丈夫ですか？
-
直近の更新が続いていて、差分が小さければ問題なく終わることがほとんどです。ただし押す前にバックアップだけは取ってください。取得していない状態で押して壊れた場合、復旧の手段が限られます。
- 何年も更新していません。一気に最新まで上げられますか？
-
本体だけを最新まで上げること自体は技術的に可能です。問題はテーマとプラグインで、途中のバージョンで仕様が変わっているものがあると、一気に上げた後で何が原因か切り分けられなくなります。検証環境で段階的に確認するのはこのためです。
- 更新しないほうが安定する、と制作会社に言われました。
-
「動いているものに触らない」という考え方自体は理解できますが、脆弱性の修正が含まれる以上、更新しない選択は時間とともにリスクだけが増えます。更新できない理由（特定のプラグインが対応していない等）があるなら、その理由と代替案を具体的に確認してください。
- サイトが改ざんされているかどうか、自分で分かりますか？
-
確実に判定するのは難しいですが、簡易な確認方法はあります。Google Search Console に登録していれば「セキュリティの問題」に通知が出ます。また、検索エンジンで
site:自社ドメインと検索し、身に覚えのないページが出てこないかを見る方法もあります。異常が見つかった場合は、更新ではなく復旧が先です。 - 更新すると、ホームページの見た目が変わってしまいませんか？
-
本体の更新で見た目が変わることは通常ありません。変わるとすればテーマの更新で、この場合も検証環境で先に確認できます。逆に、更新を長期間止めていたサイトほど変化が大きくなるため、間隔を空けないことが結果的に見た目を守ります。
- セキュリティ対策は更新だけで十分ですか？
-
更新は最も効果の大きい対策ですが、それだけでは足りません。管理画面のパスワード、ログインの制限、SSL、バックアップの定期取得までを含めた全体像はホームページのセキュリティ対策で解説しています。
まとめ
古いWordPressの放置は、止まるリスクよりも気づかないまま悪用されるリスクのほうが大きい問題です。そして更新作業そのものは、順序さえ守れば難しいものではありません。
- 本体・テーマ・プラグイン・PHPの4つを別々に確認する
- 更新の前にバックアップ、その次に検証環境
- テーマ・プラグインは1つずつ更新して原因を切り分けられる状態にする
- 単発で直すだけでなく、次に誰が更新するかを決めておく
まず現状を知りたい段階でしたら、サイトのURLをお知らせいただければ、公開情報の範囲でバージョンと更新状況を確認してお伝えします。作業の要否と概算はその後で判断していただけます。
