WordPressを安全に運用するには本体やプラグインの更新情報を継続して確認し、重要な更新を速やかに適用できる体制が必要です。社内にその担当者がいるか、制作会社に任せられているか。どちらも難しい場合は管理するもの自体を減らす「載せ替え」という選択肢があります。
WordPressは更新し続けることを前提に使うソフトです。
2026年にはWordPress本体の脆弱性を受けてレンタルサーバー会社が利用者のサイトを自動更新する対応まで行われました。
WordPress周辺では毎年多くの脆弱性が見つかっています。特にプラグインは数が多く、修正版が出たら早く適用できる運用体制が必要です。
問題はWordPressそのものではなく、「誰が更新するのか決まっていない状態」で使い続けることです。
まずいまのサイトがどんな状態かを確認してください。
2026年7月、ログインしていない第三者がサーバー上でプログラムを実行できる脆弱性（wp2shell）がWordPress本体に見つかりました。プラグインやテーマの有無に関係なく影響します。IPAは認証なしで遠隔からプログラムを実行される可能性を示し、直ちに更新するよう案内しました。エックスサーバーは7月に攻撃経路を遮断し、7月31日ごろから8月25日にかけて影響を受けるWordPressを順次アップデートしました。
9月24日にはさらに広い範囲の脆弱性（CVE-2026-87902）が公表されました。対象はWordPress 4.7以降のすべてのバージョンです。ただし乗っ取りに至るにはテーマやサーバー環境などの条件があります。エックスサーバーは翌25日の夜に対象サイトの自動更新を実施し、全利用者に更新を求めています。
サーバー会社が利用者のサイトに手を入れることは普通ありません。通常は利用者自身が行うアップデートをサーバー会社側が実施するほど緊急性の高い対応だったことが分かります。
2025年にWordPressの周辺で見つかった脆弱性は11,334件で前年から42%増えました。91%はプラグインです。公開時点で修正版が無かったものが46%あり、悪用が多かった脆弱性では公開から最初の悪用までの加重中央値が5時間でした。
URLを入れるだけ。1分でいまの状態が分かります。
要対応／要確認／懸念なし で判定してどうすればいいかまで書きます。診断に会社名・氏名・メールアドレスの入力は必要ありません。
URLを開いたときに誰でも見られる範囲で、本体の版、入っているプラグイン、外から見える入口を集めます。ログインは試しません。
集めた情報をWordPress.orgが公開している全バージョンの安全性の一覧、プラグインの最新版と更新履歴、公表されている脆弱性の報告と照らし合わせます。
要対応／要確認／懸念なし で判定し、まず何をするかまで書きます。
新しいバージョンが出たら誰かが数日以内に更新していますか
脆弱性が公表されてから最初の攻撃が来るまでは中央値で5時間です。影響の大きい脆弱性の約半数は24時間以内に攻撃が始まります。
攻撃する側は古い脆弱性も狙い続けます。更新していないサイトが残っている限り、公表から何か月たっても攻撃は止まりません。
だから「気づいたときに更新する」では間に合いません。新しいバージョンが出たことを知って数日以内に更新する人が要ります。
出典: Patchstack「State of WordPress Security in 2026」（新しいタブで開きます）
4つとも当てはまるなら少なくとも日常の保守体制は整っています。欠ける項目がある場合は保守体制を見直すか、管理するものを減らす載せ替えを検討してください。
見た目が動いているあいだは裏側が古くなっていることに気づきません。乗っ取られて初めて分かります。
いずれも侵害されたサイトで実際に起こりうる被害です。
残すものは残したまま、裏側だけを載せ替えます。
載せ替えれば安全性が高まります。いまのWordPressと比べて攻撃される面が小さく、更新が止まっても危険が積み上がりにくいからです。理由は5つあります。
載せ替えたあとも守るものは残ります。問い合わせフォームの処理、外部サービスの鍵、使っているライブラリ。ここは弊社が見ます。放置したときに積み上がる危険はいまよりずっと小さくなります。
危ないのは更新が止まったWordPressです。誰も更新していないサイトはいつ乗っ取られてもおかしくありません。社内に更新の担当者を置くか、制作会社に更新を頼むか、載せ替えるか。
いまのサイトが何でできているかを調べます。ページの数、記事の数、使っているプラグイン、URLの形。ここをAIと一緒に洗い出します。
全部を移すのか。残すページを選ぶのか。管理画面から触れるようにする項目はどれか。ここを一緒に決めます。
記事と画像を取り出して新しいCMSの形に変換します。ここは手で写すと時間がかかるので自動化とAIを使います。
移したあとの中身を人が見ます。URLの転送、リンク切れ、検索での見え方。機械に任せきりにはしません。
公開したあとも、転送や表示、検索での見え方に問題がないかを確認します。必要なところは調整します。
移行で一番時間がかかるのは、何を残して何をやめるかを決める工程です。
AIには調べる、取り出す、形を変えるといった手数のかかる作業を任せます。決めるのは人です。だから決めることに時間を使えます。
弊社のサイトを載せ替えました。
今のサイトのまま更新と保守を任せる
他社が作ったWordPressのサイトでも、今のまま引き受けます。
Webの担当が1人でも、更新の依頼と保守を弊社にまとめて任せられます。
載せ替えるかどうかは、任せていただいたあとで一緒に決めれば十分です。
部品の更新と表示・動作の確認（WordPressは本体とプラグインの更新とバックアップも）
保守に加えて文章や写真の差し替えを月3回まで
保守に加えて文章や写真の差し替えを月5回まで
1回の更新は1ページの中の文章や写真の差し替えです。ページの追加や大きな直しはお見積もりします。見積もりは無料です。
これまで他社が作ったサイトの保守を70社ほど引き継いできました。最初に1回だけ引き継ぎの点検をします。料金は ¥30,000〜 です。引き継ぎは次の順で進めます。
保守を始めるまでは2週間ほどです。保守が始まったあとの更新代行は依頼を受けてから1営業日ほどで反映します（目安）。
| 比べること | 社内で担当者が更新 | 制作会社にその都度頼む | 弊社に任せる |
|---|---|---|---|
| 毎月の費用 | 人件費のみ | 頼んだ月だけかかる | 月額で決まっている |
| 更新までの早さ | 担当者の手が空いたとき | 見積もりのやりとりが入る | 決まった回数まで依頼するだけ |
| 担当者が辞めたとき | 分かる人がいなくなる | 制作会社しだい | 弊社が続けて対応 |
| セキュリティの更新 | 担当者が気づけば | 契約していなければ止まる | 保守に含まれる |
無料サイト診断で今の状態を見る
管理画面・サーバー・ドメインの情報がそろっているか一緒に確かめる
引き継ぎができたら、その月から保守と更新を始める
情報が手元にそろっていなくても相談できます。前の制作会社から受け取るものは別の記事にまとめています。
移行はいまのサイトを調べるところから始まります。記事・画像・URLを洗い出して取り出し、新しいCMSの形に変換します。
検索からの評価を引き継ぐために旧いURLからの転送を設定し、公開後も表示と検索での見え方を確認します。何もないところから作る場合にはこの工程がありません。
¥300,000〜
目安：固定ページ10ページ程度・記事30本程度まで
見た目は変えずに裏側だけを載せ替えます。記事やページの数で変わります。
¥600,000〜
上の内容に加えて見た目も新しくします。
月額 ¥5,000〜
プラグインを使わない構成なので更新の作業が少なく、そのぶん保守の費用を抑えられます。
載せ替えるかどうかを決めていなくても相談できます。まずいまのサイトが何でできていて、誰が更新しているのかを一緒に見ます。
