「更新してない。プラグインは古いままだし。」WordPress、そのままで大丈夫？

「更新してない。プラグインは古いままだし。」WordPress の管理画面を開くと、そんな状態になっているサイトはありませんか。気づけば何年も、更新通知を流し見したまま。よくある話です。

「うちはお問い合わせくらいで、個人情報はほとんど扱っていないから大丈夫」。そう思いがちです。漏洩ほど派手な話ではないかもしれません。ただ、古いままのサイトは、知らないうちに踏み台にされたり、ページを書き換えられたりする。個人情報の漏洩に比べれば害は小さく見える。それでも、別の困りごとではあります。

放置が招きやすいことと、いま確認しておきたいポイントを整理します。WordPress のメンテナンスともつながる話です。

「個人情報はないから大丈夫」では足りない、という話

更新を後回しにすると、プラグインやテーマ、WordPress 本体に穴が残ります。そこから入られると、起きやすいのは次のようなことです。

• サイトが別のページに差し替わる。不審なリンクやスクリプトの埋め込み
• 自社のサーバーやドメインが、迷惑メール送信や他サイトへの攻撃の経由地に（いわゆる踏み台）
• 表示崩れ。管理画面に入れない。復旧に手間と費用

個人情報が漏れるほどではない、と感じる方もいると思います。実際、漏洩ほどニュースにはなりません。一方で、名刺代わりのサイトの顔が壊れる。知らない間に加害側へ加担する。復旧のあいだサイトが使えない。影響は残ります。気づきにくい、という点も厄介です。

AI でサイトをつくるハードルが下がったいま、公開したあとの更新まで手が回らないケースも増えやすい。つくったまま、という状態は昔からありました。一方で、運用の現場では「更新通知がやたら多い」「セキュリティの話が続く」と感じることも増えているように思います。

調べてみると、体感だけでもなさそうです。WordPress 本体まわりでは、2026年夏以降もセキュリティ／メンテナンスリリースが短い間隔で続いています（例として、7月の 7.0.2 から 9月の 7.1.2 あたりまで、セキュリティ関連の公開が立て続けに）。プロジェクト側も、Core Security Initiative のなかで、ここ一年でセキュリティ報告の量が大幅に増えたこと、その背景に先端の AI がコード解析や脆弱性調査を助けていることを挙げています。報告が増えるのは悪いことだけではない、としつつ、トリアージや修正の出し方をスケールさせる必要がある、という整理です。

エコシステム全体（プラグイン含む）でも、第三者の年次レポートでは脆弱性の件数がここ数年増え続けている、という数字が出ています。攻撃そのものは昔から自動化されていましたが、発見や検証の側に AI が入り、報告や話題のペースが上がっている、という見方が近いと思います。結果として、管理画面の更新通知やセキュリティ情報に追われる感覚が強くなる。「うちは小さいから」だけでは安心しにくい。正直なところ、そう感じます。

検索まわりでも、HTTPS や表示速度、モバイルでの見え方が古いと、じわじわ不利になりやすい。セキュリティだけの話ではありません。

確認しておきたいこと

全部を一度に片づける必要はありません。まずは管理画面を開く。次のような点を見てみるとよいと思います。

更新通知、何件たまっている？

プラグイン・テーマ・本体の更新通知が出ていないか。確認してみてください。長いあいだ止まっているプラグインは、更新するより削除や乗り換えの検討。そうした方がよいこともあります。

更新する前に、バックアップ。複数を一気に更新するより、一つずつ様子を見る。何かあったときに原因を追いやすいです。

ログインまわりと、改ざんに気づけるか

管理画面のパスワードが弱いまま。試行回数の制限もない。避けたい状態です。できるなら二要素認証も、検討の余地があります。

SSL（HTTPS）が有効かも見ておいてください。あわせて、ファイルの改ざんを検知する仕組み（プラグインやサーバー側の機能）。「いつの間にか書き換えられていた」に気づきやすくなります。個人情報がなくても、書き換えや踏み台は起きうる。その前提で見るのがよさそうです。

実際に、当社が管理していた休眠サイト（もう使っていない古い WordPress）で、こんなことがありました。いくつかの固定ページに、不審なリンクが埋め込まれていたのです。

リンクは画面の外に置かれていて、ページを普通に開いても見えません。ソースを見て、はじめて気づく状態でした。本文にもテンプレートにも書かれておらず、設定ファイルに足されたコードが、表示の直前に差し込んでいました。

さかのぼると、数年前のバックアップの時点で、すでに入っていました。セキュリティプラグインは警告を出していた。ただ、通知が埋もれて見逃していた。入口は、更新が止まった古いプラグインや、放置したテスト環境と考えられます。

「プラグインを入れたから安心」ではない、ということです。警告を見る人と、見たあとに動く流れ。そこまであって、はじめて「気づける」状態になります。

使っていないサイトやテスト環境、同じサーバーに残っていない？

リニューアル前の旧サイトや、検証用のテスト環境。同じサーバー（同じアカウント）に置いたままになっていませんか。放置されたサイトが一つ入られると、隣の現役サイトにまで広がることがあります。

使わないものは、必要なデータを保存してから削除。それがいちばん確実です。

バックアップ、戻せるかまで分かっているか

定期バックアップがあるか。ファイルとデータベースの両方か。取っているだけでは足りません。いざというときに戻せるか。手順が分かっているかも大事です。改ざんや不具合が起きたときの、戻り先。

バックアップ、公開フォルダに置いていない？

バックアップファイルを、サイトの公開フォルダ（wp-content の中など）に置いたままにしていないか。その場合、URL が分かれば誰でもダウンロードできてしまうことがあります。中身はデータベースごと。サイトの情報が、まるごと持ち出せる状態です。

保存先は、サーバーの非公開領域や外部のストレージへ。

いつもどおり表示されているか

主要ページを PC とスマホで開いてみる。問い合わせフォームを一度送ってみる。リンク切れがないか。トップが「いつもと違う」になっていないか。単純な確認ですが、改ざんや表示崩れの入り口になります。

Search Console、警告は出ていないか

Google Search Console を見られる状態なら、エラーや警告、インデックスの様子を一度。サイトマップの送信状況も、長いあいだ触っていないサイトでは忘れがちです。

中身の情報、古くなっていないか

料金、所在地、サービス内容、ブログの最終更新日。メニューやフッターのリンク先が生きているか。セキュリティとは別枠ですが、「放置されているサイト」という印象は、訪問者にも伝わりやすいです。公開後の見直しという点では、公開後6ヶ月のチェックリストでも触れているように、動作だけでなく事業の顔として妥当か。そこを見るタイミングがあります。

自社で回すか、外に出すか

毎月、短時間でも管理画面を開けるか。更新で表示が崩れたとき、自分で原因を追えるか。本業の合間にそれが続くなら、自社運用でも回せます。

ただ、苦手な作業はどうしても後回しになりがちです。更新通知を見るのが億劫。その状態が続いているなら、単発のメンテナンスから頼む、という選択肢もあります。四半期や月次で見てもらう形にすると、放置の期間が空きにくくなります。

社内に一人でデジタルまわりが集まっている場合は、なんでも屋 WEB 担当の記事でも書いているように、役割の切り分け自体がテーマになります。WordPress の更新だけ切り取って外に出す。それでも構いません。

外から見える範囲だけでも、隠れたリンクや古いプラグインが残っていないかは、簡単にチェックできます。気になる方は、まず現状確認からどうぞ。

当社では、WordPress の運用・メンテナンスのご相談を承っています。湘南・鎌倉・神奈川を中心に、単発の見直しから、サイト運用と相談をセットにした月額の伴走まで。お気軽にご相談ください。