「ホームページは作ってもらったけど、その後は特に何もしていないです」
Web制作の相談の中で、こういったお話を耳にすることがあります。サイトが完成したことで一段落してしまうのは自然なことです。しかし、ホームページは「作って終わり」ではありません。特にWordPressで作られたサイトは、定期的なメンテナンスをしないままでいると、気づかないうちに深刻なリスクにさらされる可能性があります。今回は、WordPressの保守・メンテナンスが欠かせない理由を、最近実際に起きたセキュリティ問題を例に解説します。
最近立て続けに起きたWordPress・PHPのセキュリティ問題
2026年7〜8月：WordPressの緊急アップデート
2026年夏、WordPressのコアに深刻な脆弱性（通称「wp2shell」/CVE-2026-63030など）が公表され、お名前.comをはじめ国内の主要サーバー会社から緊急のアップデート案内が出ました。この脆弱性が悪用されると、認証なしに第三者がサーバー上で任意のプログラムを実行できる状態になります。つまり、サイトを丸ごと乗っ取られるリスクです。修正済みのバージョン（WordPress 7.0.2 / 6.9.5 / 6.8.6）へのアップデートが緊急対応として必要でした。
2026年10月：PHPに重大な脆弱性「php2shell」が公表
そして2026年10月21日、今度はWordPressの動作基盤であるPHPそのものに、2件の重大な脆弱性（CVE-2026-109618・CVE-2026-109619、通称「php2shell」）が公表されました。どちらも深刻度スコアは9.2（10点満点）と最高レベルに近く、認証なしでリモートからサーバー上のコードを実行される可能性があります。PHP-FPMやApache mod_phpなど、一般的なWordPressの動作環境がほぼすべて対象です。
対処にはPHP本体のバージョンアップ（PHP 8.3系であれば8.3.36、8.4系であれば8.4.27など）が必要です。今回は深刻度が極めて高かったため、通常サポートが終了しているPHP 7.4・8.0・8.1向けにも例外的にパッチが提供されました。ただし、これはあくまで異例の対応です。サポート終了バージョンは通常セキュリティ修正を受けられないため、普段から最新の対応バージョンに保っておくことが、こういった緊急事態にも慌てずに済む備えになります。
放置されたサイトが狙われる理由
「うちのサイトくらい、攻撃されることはないでしょ」という感覚はよくわかります。しかし現実には、攻撃者の多くは特定のサイトを手動で狙うのではなく、脆弱なバージョンのWordPressを使っているサイトを自動的にスキャンして大量に攻撃します。規模の大小は関係ありません。むしろ「更新されていない」「管理者が気づいていない」小規模サイトほど、格好のターゲットになります。
実際に被害が起きると、次のような事態になります。
- サイトが改ざんされ、知らないうちにフィッシング詐欺サイトに変えられる
- サイトがマルウェアの配布元にされ、訪問者のPCに被害が広がる
- Googleから「このサイトは危険です」と警告が表示され、アクセスが急減する
- サーバーが踏み台にされ、スパムメールの大量送信に使われる
- 顧客情報・個人情報が漏洩し、法的な責任が生じる
被害が出てからの対処は、費用も時間もかかります。最悪の場合、サイトの再構築が必要になることもあります。
WordPressの保守・メンテナンスで必要なこと
WordPress本体・プラグインの定期アップデート
WordPressの本体（コア）、テーマ、プラグインは、それぞれ定期的にアップデートがリリースされます。セキュリティ修正が含まれる更新は特に、できるだけ早く適用することが重要です。ただし、アップデートによってサイトの表示が崩れたり、機能が動かなくなる「不具合」が発生することもあるため、確認なしにそのまま更新するのはリスクがあります。
テスト環境での確認を経てから本番更新
安全な更新の手順は、「テスト環境（本番とは別のサーバー）でアップデートを試してから、問題がなければ本番サイトに適用する」という流れです。この手順を踏むことで、お客様のサイトが突然使えなくなるリスクを大幅に減らせます。手間はかかりますが、これが保守・メンテナンスの本来あるべき姿です。
PHPバージョンのアップデート対応
WordPressはPHPというプログラム言語で動いています。PHPのバージョンが古いと、セキュリティパッチが当たらない状態になり、今回のような脆弱性問題でも対処が難しくなります。PHPのバージョンアップもWordPressの動作確認が必要な作業で、テスト環境での検証が欠かせません。
定期的なバックアップの取得
万が一の際に備えて、サイトデータとデータベースのバックアップを定期的に取得しておくことも保守の重要な要素です。バックアップがあれば、問題が起きても「元に戻す」という選択肢が取れます。
「作って終わり」と「保守あり」では何が違うか
| 項目 | 保守なし（放置） | 保守あり |
|---|---|---|
| 脆弱性への対応 | 気づかないまま放置されるリスク | 発見次第、迅速に対応できる |
| アップデートの不具合 | 本番サイトで突然表示崩れが起きる | テスト環境で確認してから適用 |
| PHPバージョン | 古いバージョンのまま放置されがち | 定期的にバージョンアップ対応 |
| 被害が出たとき | 発見が遅れ、被害が拡大しやすい | 早期発見・対応が可能 |
| コスト | 初期は無料だが、トラブル時に高額 | 月額費用はかかるが長期的には安い |
「保守費用がもったいない」という気持ちはよくわかります。しかし、万が一サイトが改ざんされた場合の対処費用や機会損失を考えると、月々の保守費用はむしろ「安心のための保険」です。車の車検や定期点検を省略しないのと同じ感覚で、サイトのメンテナンスも欠かさないことをおすすめします。
まとめ：ホームページは「育てるもの」と考える
今回のWordPressの脆弱性問題は、多くの方にとって「保守・メンテナンスの重要性」を改めて考えるきっかけになったのではないでしょうか。作った時点のサイトを何年もそのまま使い続けることは、施錠していない扉を放置するのに近い状態です。定期的なアップデート・テスト環境での確認・バックアップ——この3つを継続することが、安全なサイト運営の基本です。
横浜ネットサポートのWordPress保守サービス
弊社で構築・リニューアルしたWordPressサイトを対象に、月額15,000円で保守・メンテナンスを承っています。
- WordPressコア・プラグインの定期アップデート
- PHPバージョンアップ対応
- 定期バックアップ
アップデートはすべてテスト環境で動作確認を経てから本番に適用するため、「更新したら壊れた」というトラブルを防げます。新規制作・リニューアルの際はテスト環境の構築からご対応しており、その後の毎月の保守もそのままお任せいただけます。
他社で制作されたサイトの保守については、まずサイトの状況を確認させていただいたうえでご提案します。お気軽にご相談ください。
