WordPressの更新放置はどうなる？自動更新の限界と更新を減らす構成
「作ったきり、誰も更新していない」。中小企業やお店のWordPressサイトでは、珍しくない状態です。
担当者が辞めた、制作会社と連絡がつかない、更新ボタンを押すのが怖い。理由はさまざまでしょう。
この記事では、更新を放置すると何が起きるのか、自動更新で足りるのか、そしてどうすれば手間を減らせるのかを、発注者・担当者の目線で整理します。読み終えるころには、自社のサイトで何を確かめ、どちらの道を選ぶかが決められるはずです。
- 更新を放置すると、サイトと閲覧者に何が起きるのか
- 脆弱性の9割がプラグインに集中していることと、2025年の件数
- 自動更新をオンにしても安全とは言い切れない3つの理由
- 何年も放置したサイトが、一度に最新へ上げられないことがある理由
- 放置しているWordPressを見つけたら、最初に確認すること
- 更新を続けるか、更新の対象を減らす構成に変えるかの判断軸
WordPressの更新を放置するとどうなるのか
放置の影響は、表示の不具合だけではありません。サイトの外、つまり閲覧者にまで及ぶことがあります。
「更新」とは何を新しくすること？本体・プラグイン・テーマ・PHPの4つ
ここでいう更新は、記事やお知らせの更新ではありません。サイトを動かしているソフトを、新しいバージョンに置き換えることです。
対象は次の4つ。担当する場所が違う点に注意してください。
| 更新の対象 | 中身 | どこで更新するか |
|---|---|---|
| WordPress本体 | サイトの土台になるソフト | WordPressの管理画面 |
| プラグイン | 問い合わせフォームなど、機能を足す追加ソフト | WordPressの管理画面 |
| テーマ | デザインや表示を決めるソフト | WordPressの管理画面 |
| PHP | WordPressを動かす、サーバー側のプログラミング言語 | サーバーの設定（またはサーバー会社に依頼） |
本体の更新には、機能が変わる「メジャー更新」と、保守やセキュリティ修正のための「マイナー更新」があります。WordPress公式は、マイナー更新の例としてセキュリティリリースを挙げています。マイナーだから重要度が低い、というわけではありません。（出典: WordPress公式「Upgrading WordPress」 ）
もう一つ知っておきたいのが、公式のサポート範囲です。WordPressが正式にサポートするのは最新版だけで、古いバージョンへの修正は「厚意で」移植されているにすぎません。（出典: WordPress公式「Security」 ）
実際、3.7〜4.0は2022年12月1日に、4.1〜4.6は2025年7月に、セキュリティ更新の提供が終わりました。古い系列を使い続けるほど、修正は届きにくくなります。（出典: Make WordPress Security 、PHP Compatibility and WordPress Versions ）
更新を放置すると起きること（改ざん・乗っ取り・閲覧者への被害）
警察庁は、改ざんを「コンテンツや設定の意図しない変更、意図しないファイルの設置」と定義しています。被害はサイトの持ち主だけにとどまりません。閲覧者の個人情報が盗まれたり、ウイルスに感染したりするおそれもあります。（出典: 警察庁「ウェブサイト改ざん対策」 ）
私自身、別のサイトへ飛ばされるように一部が書き換えられていたサイトを見たことがあります。知らない購読者アカウントが大量に作られていた経験もありました。
制作の現場でよく受ける相談を挙げると、次のようなものです。
- 見覚えのない「管理者」アカウントが追加されていた
- ブラウザに「危険なサイト」という赤い警告が出た
- サーバー会社からアクセスを制限された・止められた
ブラウザの警告は、フィッシングやマルウェアなどを検出したときに出るもので、WordPressが古いこと自体を知らせるものではありません。サーバー会社が不正なファイルを見つけると、被害の拡大を防ぐためにアクセスできない状態にする場合もあります。（出典: Google Chromeヘルプ 、さくらのサポート情報 ）
国内では、株式会社ホリーズが2024年10月、公式サイトの改ざんを公表しました。サーバー管理会社の報告として「旧バージョンのWordPressシステムの脆弱性が利用された」と説明し、無関係なサイトへの転送や、検索サイトへの不正な登録を確認しています。（出典: ホリーズ「お詫びとご報告」 ）
ただし、同社はこのシステムを自社の管理範囲外と説明しており、放置が原因だったとまでは言えません。分かるのは、古いバージョンの弱点が実際に使われる、ということです。
見た目が正常でも改ざんされていることがある
トップページを開いて普通に見えても、安心はできません。訪問者を見分けて、検索エンジンにだけ不正な内容を返し、一般の訪問者には正常なページを見せる手口があるからです。
セキュリティ企業Sucuriは、こうした改ざんを実例として報告しています。検索エンジンと人に違う内容を見せる手口は「クローキング」と呼ばれ、改ざんを持ち主に気づかせないために使われることもあります。（出典: Sucuri ）
自分で確かめるなら、次の2つから始めましょう。
- Googleで「site:自社のドメイン」と検索し、見覚えのないページが出ないかを見る（警察庁も案内している方法）
- WordPressの「ユーザー」一覧に、知らない管理者がいないかを見る（ただし、一覧から隠れる管理者を作る手口も報告されているため、これだけで安心はできません）
（出典: 警察庁「ウェブサイト改ざん対策」 、Sucuri ）
脆弱性の9割はプラグイン（2025年は1万1,334件）
セキュリティ企業Patchstackの2026年版レポートによると、2025年に新しく見つかったWordPress関連の脆弱性は11,334件。2024年の7,966件から42%増えています。（出典: Patchstack「State of WordPress Security in 2026」 、同2025年版 ）
| 集計年 | 新しく見つかった脆弱性 | プラグイン | テーマ | 本体 |
|---|---|---|---|---|
| 2024年 | 7,966件 | 96% | 4% | 7件 |
| 2025年 | 11,334件 | 91% | 9% | 6件 |
本体の脆弱性は、どちらの年も一桁です。本体だけ更新しても、放置の問題は片づかないことが分かります。
同じレポートでは、2025年に最も攻撃された脆弱性の上位10件のうち、2025年に公表されたものは4件でした。つまり、2025年より前に見つかった弱点も、攻撃に使われ続けているということです。（出典: Patchstack ）
「小さい会社のサイトは狙われない」は本当か
「うちは小さい会社だから狙われない」。そう考える方は少なくありません。
Patchstackは、自動化された大規模な攻撃や、公開から数時間で始まったスクリプトによる攻撃を報告しています。規模を選ばず、機械的に広く狙う攻撃がある、ということです。（出典: Patchstack ）
ただし、企業規模別の被害率を示したデータは、今回の調査では見つかりませんでした。言えるのは、「小さいから安全」と考える根拠もない、ということです。
PHPのサポート切れも「放置」の一つ
PHPは、WordPressを動かすサーバー側のプログラミング言語です。管理画面の更新ボタンでは上がらず、サーバー側で切り替える必要があります。（出典: WordPress公式「Update PHP」 ）
PHPにも、開発元が修正を出してくれる期間があります。2026年10月時点の状況は次のとおりです。（出典: PHP公式「Supported Versions」 、「Unsupported Branches」 ）
| PHPのバージョン | 通常サポート終了 | セキュリティサポート終了 | 2026年10月時点 |
|---|---|---|---|
| 8.5 | 2027年12月31日 | 2029年12月31日 | サポート中 |
| 8.4 | 2026年12月31日 | 2028年12月31日 | サポート中 |
| 8.3 | 2025年12月31日 | 2027年12月31日 | セキュリティ修正のみ |
| 8.2 | 2024年12月31日 | 2026年12月31日 | セキュリティ修正のみ |
| 8.1 | — | 2025年12月31日 | 終了 |
| 7.4 | — | 2022年11月28日 | 終了 |
サポートが終わっても、サイトがその日に止まるわけではありません。修正されない弱点が残り続ける、という状態です。PHP 8.2を使っているなら、年末までに次の手を考えておきたいところでしょう。
Xでは、こんな制作者の投稿がありました。
mak_1961 Xの投稿よりユーザーが2014年に作ったBizvektorの子テーマのサイトが白くなったので直してくれと今まさに頼まれてます。サーバーのphpは7.4.33でWordPress 4.8.25とかのとんでもないサイトです。Xで元の投稿を見る
PHP 7.4は、公式のサポートがすでに終わっています。本体の4.8系も正式サポートの外で、修正は厚意による移植頼み。
しかも公式の対応表では、4.8が対応するPHPは7.1までで、7.4は対応の範囲外です。12年前の構成のまま使われ続け、ついに表示が止まった例でしょう。直すには、本体とPHPの両方に手を入れることになります。
- 更新の対象は本体・プラグイン・テーマ・PHPの4つで、PHPだけはサーバー側の作業
- 放置すると、修正済みの弱点が残り、改ざんや閲覧者への被害の入口になり得る
- 見た目が正常でも安心できず、弱点の9割はプラグインにある
では、自動更新をオンにしておけば、この問題は片づくのでしょうか。
WordPressの更新放置は自動更新だけで防げるのか、続けるには何が要るか
自動更新は便利な仕組みですが、万能ではありません。しかも、更新そのものが新しいトラブルを生むこともあります。
自動更新をオンにしても安全とは言い切れない3つの理由
まず、自動更新の対象は一律ではありません。WordPress 5.6より前からあるサイトは、初期設定のままだと、本体のマイナー更新と翻訳ファイルしか自動で更新されないのです。5.6以降に新しく入れたサイトは、本体のメジャー・マイナーとも自動更新が有効になっています。（出典: WordPress公式「Upgrading WordPress」 ）
プラグインとテーマは、5.5以降で1つずつ自動更新を選べる仕組みです。本体の自動更新がオンでも、プラグインまで更新されているとは限りません。（出典: WordPress公式「Plugin and themes auto-updates」 ）
そのうえで、オンにしても残る穴が3つあります。
更新に失敗するとメールで知らせる機能もありますが、通知は設定で止められます。「失敗メールが来ないから大丈夫」とは判断できません。（出典: WordPress公式「Upgrading WordPress」 ）
更新するとサイトが壊れることもある
更新すれば解決、とも限りません。WordPress公式も、古いプラグインが新しいコードと合わず、表示の崩れやエラーが出る場合があると説明しています。（出典: WordPress公式「Upgrading WordPress」 ）
私自身も、更新ミスで画面を真っ白にしたことがあります。だから、更新が怖くて手を止めてしまう気持ちはよく分かります。
現場でよく受けるのは、こんな相談です。
- 管理画面の「PHPが古い」という警告に従ってPHPを上げたら、表示が崩れた
- 久しぶりに本体やプラグインを更新したら、エラーで開けなくなった
- 更新したら、昔は無料だったプラグインの機能が有料になっていた
作りの問題で、そもそも更新できないサイトもあります。Xでは、別の制作者がこう書いていました。
amemiyashiro Xの投稿より「wordpressのテーマやプラグインを個別最適しすぎているせいで、PHPやWordPressのアップデートをしない(できない)」というのが実在するので、なんつーかね。。。Xで元の投稿を見る
手を入れすぎたサイトは、更新するたびに作った人の手が要ります。作った人と連絡が取れなくなった時点で、更新が止まる。放置の多くは、怠けた結果ではなく、こうした構造から生まれていると私は考えています。
とはいえ、怖いからといって止めたままにすれば、弱点は残り続けます。東京都の資料が示す次の3点を押さえておくと、壊れたときに戻せる状態で更新できます。（出典: 東京都「ウェブサイトのセキュリティ対策」 ）
| タイミング | やること |
|---|---|
| 更新の前 | ファイルとデータベースの両方をバックアップし、戻し方を確認する |
| 更新の前（できれば） | 本番のコピー（テスト環境）で先に試す |
| 更新の後 | 表示・問い合わせフォーム・管理画面・ログインを確認する |
バックアップは、WordPressのフォルダを保存するだけでは足りません。記事などの中身はデータベースに別に入っているため、両方が必要です。（出典: WordPress公式「WordPress Backups」 ）
何年も放置したサイトは、一度に最新へ上げられないことがある
長く放置したサイトほど、最新版との差が開きます。私が触ったサイトでも、古すぎて一度に最新まで上げられなかったことがありました。
理由の一つは、WordPressのバージョンごとに対応するPHPが決まっていることです。公式の対応表から一部を抜き出すと、次のようになります。（出典: PHP Compatibility and WordPress Versions ）
| WordPressのバージョン | 対応するPHP |
|---|---|
| 7.0・7.1 | 7.4、8.0〜8.5 |
| 6.9 | 7.2〜7.4、8.0〜8.5 |
| 5.3〜5.5 | 5.6、7.0〜7.4 |
| 4.7・4.8 | 5.2〜5.6、7.0〜7.1 |
古い本体のままPHPだけを新しくすると、対応の範囲から外れて動かなくなる場合があります。逆に、本体を新しくするには、PHPも一定以上のバージョンが要る。この順番の組み合わせが、長期放置サイトを難しくしています。
なお、公式が推奨するPHPは8.3以上です。（出典: Make WordPress Core ）
現場でも、何年も止まっていたサイトを上げると不具合がいくつも出て、段階的に直すのに時間がかかることはよくあります。作った本人でさえ、昔書いたテーマの中身を読み解くのに苦労するもの。私にもよくあります。
ここまで来ると、「上げ直すか、作り直す・載せ替えるか」の判断になります。
更新の担当を決める（社内か制作会社か、何を確認するか）
更新が止まる一番の原因は、「誰の仕事か」が決まっていないことです。東京都は、制作や保守を委託している場合でも、更新の判断・作業・動作確認を誰が担うかを明確にするよう案内しています。（出典: 東京都「ウェブサイトのセキュリティ対策」 ）
「制作会社が当然やってくれている」と思い込んでいる方もいるでしょう。ただ、制作会社が必ず無料で更新する、という共通のルールはありません。契約の中身次第です。
現場では、次のような相談をよく受けます。
- 前の制作会社に「WordPressはアップデートしない方がいい」と言われた
- 引き継いだサイトで、前の担当者もテーマの中身が分からない
- 保守を外注していたのに、改ざんされていた
担当を決めるときは、次の3つを書き出しておきましょう。
| 決めること | 書き出す中身 |
|---|---|
| 見る人とタイミング | 誰が、いつ、管理画面とサイトヘルスを見るか |
| 壊れたときの戻し方 | バックアップの場所と、戻す手順 |
| PHPの切り替え | 誰がサーバー会社に依頼するか |
毎月払っている保守費に何が含まれているかは、ホームページの保守費用が無駄かも？中身の分解と払いすぎの見抜き方 で詳しく整理しています。
更新を放置しているWordPressを見つけたら、まず確認すること
引き継いだサイトや、久しぶりに思い出したサイトがあるなら、更新ボタンを押す前に、次を確認してください。
| 確認すること | どこで見るか |
|---|---|
| 管理画面に入れるか | ログイン情報の保管場所 |
| WordPress本体とPHPのバージョン | 管理画面「ツール → サイトヘルス」 |
| 更新されていない・使っていないプラグイン | 管理画面「プラグイン」 |
| 知らない管理者・ユーザー | 管理画面「ユーザー」 |
| 見覚えのないページ | Googleで「site:自社のドメイン」と検索 |
| 更新の担当 | 社内や制作会社との取り決め（契約） |
| ドメイン・サーバーの契約期限と請求先 | 各社の契約管理画面・請求書 |
サイトが表示されなくなったのに、作った制作者と連絡がとれない。バックアップがなくて戻せない。こうした相談もよくあります。
確認は、何も起きていない今のうちが一番楽です。
攻撃者が残した「裏口」（バックドア）が残っていれば、最新版にしても再び入られるおそれがあります。疑わしいときは、専門家に相談しましょう。（出典: さくらのサポート情報 ）
- 自動更新には、動かない・修正版がない・適用を確認していない、の3つの穴がある
- 更新すると壊れることもあり、長く放置したサイトほど一度に上げにくい
- 担当・戻し方・確認の手順を決めることが、更新を続ける条件
ここまで読んで、「うちにはその体制がない」と感じた方もいるかもしれません。その場合の選択肢を見ていきます。
WordPressの更新を放置しがちなら、更新の対象を減らす構成へ
更新し続けるのが難しいなら、更新しなければならないものを減らす。発想を逆にしてみましょう。
更新の対象が減るのは、公開側にCMSを置かない構成だから
静的サイトは、作り置きしたページをそのまま配信する仕組みです。閲覧のたびにサーバーでプログラムを動かしたり、データベースに問い合わせたりしません。（出典: AWS「静的ウェブサイトの構築」 ）
公開する場所にWordPress本体・プラグイン・PHPを置かなければ、次の2つが変わります。
- 本体・プラグイン・PHPの更新が、公開側では要らなくなる
- それらの弱点を突かれる入口が減る
静的サイトを作るツールHugoの公式も、動的な入力に伴う弱点を減らし、攻撃される範囲を大きく縮められると説明しています。（出典: Hugo公式「Security」 ）
私も、自分で作ったWordPressサイトを静的HTMLに作り直したことがあります。データベースを持たないことで、狙われる入口が減り、保守の負担も小さくなりました。詳しい経緯は【実録】自分で作ったWordPressサイトを静的HTML化した全記録 に書いています。
移す費用や手順については、WordPressの静的化を代行で頼む費用と手順 で整理しました。
静的にしても残る管理（ゼロにはならない）
静的にすれば、何もしなくてよくなるわけではありません。ここは誤解のないように書いておきます。
| 静的にしても残るもの | 理由 |
|---|---|
| サーバー・配信サービスのアカウント管理 | 警察庁は、盗まれたアカウント情報も改ざんの経路に挙げている |
| ドメインの更新 | 期限後に更新しないと、第三者に登録される可能性がある |
| ページを作るツール側の管理 | Hugoのような生成ツール自体の安全管理は残る |
| 外部のフォームなど | 足した機能の分だけ、その保守が増える |
| 中身を変えるときの手間 | 変更のたびにページを作り直して公開する。管理画面から気軽に直す、という使い方はしにくい |
（出典: 警察庁 、ICANN 、Hugo公式 、docs.simplystatic.com 、wordpress.org（Simply Static） ）
減るのはあくまで「更新し続けなければならないソフト」で、契約とパスワードの管理はどんな構成でも続きます。
静的な構成が向くサイト・WordPressを続けるべきサイト
どちらが合うかは、更新の頻度と、必要な機能で決まります。
| 静的な構成が向く | WordPressを続けるほうが合う | |
|---|---|---|
| サイトの中身 | 会社案内・店舗・作品紹介など | ブログやお知らせを頻繁に出す |
| 必要な機能 | 見せる・問い合わせにつなぐが中心 | EC・会員・予約が事業の中心 |
| 社内の体制 | 更新の担当を置けない | 更新・確認の担当を置ける |
ログインが必要な機能や会員サイト、ECは、静的な構成には向かないとされています。こうした機能が事業の中心なら、無理に移さず、担当と確認を決めてWordPressを続けるほうが合うでしょう。（出典: Simply Static（WordPress.org） ）
WordPress以外の選択肢を比べたい方は、WordPressを使わないホームページという選択肢 も参考にしてください。
WordPressの更新放置は「続けるか、対象を減らすか」を先に決める
更新を放置するリスクは、公開サーバーで動くソフトが、更新の対象を持ち続けることから生まれます。自動更新をオンにしても、動かない・修正版がない・適用を確認していない、という穴は残ります。
迷う方もいるでしょう。私なら、まず今のバージョンと担当を確かめるところから始めます。そのうえで、自社のサイトが静的な構成に向くかどうかを見極めてください。
判断がつかない場合は、今のサイトのURLを送っていただければ、静的な構成に向くかどうかを無料で診断します。営業電話はしません。
WordPressの更新放置に関するよくある質問
Yahoo!知恵袋に実際に寄せられている質問から、更新の放置に関わるものを選んで答えます（「」内は質問の書き出しです）。