結論から書くと、WordPress の更新を放置して起きるのは、修正済みの脆弱性（ソフトウェアの弱点）を突かれること と、PHP の切り替えなどをきっかけにまとめて上げようとして、動かなくなること です。最低限の運用は、更新の前のバックアップ、自動更新の設定と「更新されたか」の確認、使っていないプラグイン・テーマの削除、プラグインの状態と PHP のバージョンの確認、管理者アカウントの整理、ログインと改ざんの確認 を、決まった間隔で回すことです。
この記事では、月額保守の契約で誰が何をするかは扱いません。PHP を切り替えて動かなくなったときの切り分けは「レンタルサーバーで PHP のバージョンを切り替えたら動かなくなったときの切り分け」、バックアップの取り方と別の環境への復元は「レンタルサーバーの PHP システムのバックアップと復元——保守やバージョンアップの前に整える」で説明しています。
放置すると起きる4つのこと
1. 修正済みの脆弱性を突かれる
WordPress のハードニングの公式ドキュメントは、古いバージョンはセキュリティの更新で保守されないとし、脆弱性を直した新しいバージョンが出た時点で、悪用に必要な情報はほぼ確実に公開されていると書いています。WordPress への攻撃で多いものとして挙げているのは、古いプラグインやソフトウェアの脆弱性を狙う攻撃と、パスワードの総当たりです。公式のセキュリティのページでも、公式にサポートされるのは最新版だけで、古いバージョンへの修正の提供は厚意として行うものとしています。
2026年7月には、WordPress 6.9.0〜6.9.4 と 7.0.0〜7.0.1 で、2つの脆弱性の組み合わせにより、標準の構成でも管理者の権限なしに遠隔からプログラムを実行される可能性がある問題が修正されました。IPA の注意喚起によると、悪用された脆弱性として米国の機関の一覧に載り、実証するコードも公開されています。
2. PHP の切り替えで動かなくなる
WordPress の動作環境は PHP 8.3 以上を推奨し、7.4 以上でも動くものの、サポートが終わったバージョンはサイトを脆弱性にさらすおそれがあるとしています。PHP のサポート期間の一覧では、2026年11月の時点でサポートが続いているのは 8.2〜8.5 で、8.2 は2026年12月31日に終わります。
長く更新していないサイトほど、新しい PHP に対応していないプラグインやテーマを抱えがちです。レンタルサーバー会社が古い PHP の提供を終えたときなど、切り替えが避けられなくなった時点で、まとめて更新して動かなくなる形で表に出ます。
3. 開発が止まったプラグインが残る
WordPress.org のプラグインのページには、状態を知らせる表示が出ます。直近3つのメジャーリリースへの対応が示されていないプラグインには、古くなっていることを示す表示が出ます。公開が停止されたプラグインにはその旨が表示され、停止の理由にはセキュリティの問題も含まれます。入れた当時は開発が続いていたプラグインが、放置している間にこの状態になっていることがあります。
4. 戻せるバックアップが無い
更新で表示が崩れたときも、改ざんに気づいたときも、戻す先が無ければ、作り直すしかなくなることがあります。ハードニングのドキュメントは、週ごとにサイト全体を保存していれば、5月1日に侵入され12日に気づいた場合でも、侵入前の状態から立て直せるという例を挙げています。
更新が止まる理由を先に確かめる
更新が止まっているサイトでは、止めている理由を解かないと、また止まります。
- 本体やテーマのファイルを直接書き換えている。 本体の更新の公式ドキュメントは、更新は本体のすべてのファイルに及び、書き換えた部分は失われると警告しています。テーマも同じで、子テーマ（元のテーマを書き換えずに変更を加える仕組み）を使わずに直接書き換えていると、更新すると変更が消えるため、更新できないまま止まります。
- 自動更新が止められている。 自動更新の公式ドキュメントは、設定ファイル（wp-config.php）の記述で自動更新をすべて止められるとしたうえで、止めることは強く勧めないとしています。
- 戻せる仕組みが無いので、誰も触れない。 更新の前に戻せる状態を作ることが先です。
自動更新は「設定」と「確認」をセットにする
先ほどの自動更新のドキュメントによると、本体のマイナーリリース（保守とセキュリティの修正）は、既定で自動更新されます。WordPress 5.6 以降に新しく入れたサイトはメジャーリリースも既定で自動更新されますが、それより前から動いているサイトは、管理者などが有効にしない限り以前の動きのままです。プラグインとテーマは、重大な脆弱性に対処するためセキュリティチームが判断した特別な場合を除き、既定では自動更新されません。
プラグインとテーマの自動更新は、WordPress 5.5 以降、プラグインごと・テーマごとに有効にできます。自動更新は既定で1日2回実行され、成功や失敗をメールで知らせます。プラグインの画面に自動更新の切り替えが見当たらない場合は、レンタルサーバー会社かプラグインによって機能が止められている可能性があるとしています。有効にする前に、問題が起きたら前の状態に戻せるようにしておくことも勧めています。
設定しただけでは足りません。自動更新は WordPress の予約実行（WP-Cron）に頼っていて、サーバーや設定、プラグインによっては正しく動かないことがあります。サイトヘルス（ツール ＞ サイトヘルス）は、バックグラウンドの更新が想定どおりに動いていない場合を重大な問題として表示します。前述の IPA の注意喚起も、自動更新が有効でなかったり失敗していたりする可能性があるとして、管理画面で更新されたかを確かめるよう呼びかけています。通知メールの宛先が、今読まれているアドレスかも確かめます。
最低限の運用: 決まった間隔で見る7項目
月に1回など日を決めて、次の項目を見ます。
| 項目 | 見ること |
|---|---|
| 1. 更新の前のバックアップ | データベースとファイルの両方を取ってから更新しているか |
| 2. 自動更新と更新の結果 | ダッシュボードの「更新」とプラグインの一覧で、今のバージョンと自動更新の状態を見る |
| 3. 使っていないプラグイン・テーマ | 無効のまま残っているものを削除する |
| 4. プラグインの状態 | 停止や、古くなっている表示が出ていないか |
| 5. PHP のバージョン | サポート期限までの残りと、切り替えの予定 |
| 6. 管理者アカウント | 不要なアカウントや、推測されやすい名前・パスワードが無いか |
| 7. ログインと改ざん | 覚えのないユーザーや変更が無いか |
バックアップの頻度について、バックアップの公式ドキュメントは、投稿が少ない小さなサイトは週に1回、更新が多いサイトは毎日を目安とし、少なくとも直近の3〜5世代を、別々の場所に残すよう書いています。
使っていないプラグインは、ハードニングのドキュメントが削除するよう書いており、サイトヘルスの情報の画面でも、無効のテーマとプラグインを一覧で確かめられます。子テーマを使っている場合、その元のテーマは消しません。PHP は、サイトヘルスが古いバージョンを使っていると知らせるほか、上の PHP の一覧と照らし合わせて期限を確かめます。
管理者アカウントは、ユーザーの画面を権限グループで絞り込んで確かめます。IPA の「安全なウェブサイトの運用管理に向けての20ヶ条」は、不要なアカウント、特に開発やテストで使ったアカウントが残っていないかを確かめ、削除するよう書いています。以前の制作会社や退職者のアカウントも対象です。ハードニングのドキュメントは「admin」のような推測されやすい名前を避けるよう勧めており、総当たり攻撃の公式ドキュメントは、すべての管理者に2段階認証を有効にするよう勧めています（本体には含まれないため、プラグインなどで加えます）。
ログインについては、覚えのないユーザーが増えていないかをユーザーの画面で確かめます。WordPress のサイトがハッキングされたときの FAQも、許可していないユーザーの作成をハッキングの兆候の一つに挙げています。改ざんは、見た目では分からないことがあります。Search Console のセキュリティの問題レポートには、サイトがハッキングされていると Google が判断した場合に、その結果が表示されます。レポートの説明は、攻撃者がサイトの所有者に見つからないよう、内容を隠す手法を使う場合があるとしています。
h-system でできること
h-system のサイト運用代行ライトプランでは、他社が制作したホームページも含めて、デザインを作り替えずに運用をお引き受けしています。稼働の監視、サーバー・基盤まわりの更新対応、不具合時の一次対応といったサーバー管理と、テキスト・画像の差し替えなど軽微な更新の月数回までの代行が内容です。制作会社に作ってもらったきり更新が止まっているサイトも、作り直さずに今のままお預かりします。サイトの状況によって必要な内容は変わるため、料金は月額制の個別見積りで、対象となる作業はご契約の際に確認します。プランの範囲を超える作業は、内容を伺ったうえで別途ご相談となります。