WordPressサイトは、公開した後も本体やプラグイン、PHPなどに脆弱性が見つかります。2026年10月にもPHPに重大な脆弱性が見つかり、多くの企業がホームページを一時的に停止しました。とはいえ、社内で情報を追い続けてバージョンアップを行うのは簡単ではありません。そこでおすすめしたいのが、制作会社と保守契約を結び、脆弱性対策を任せる方法です。
このページでは、WordPressサイトの脆弱性対策の基本となるバージョンアップと、制作会社と結ぶべき保守契約の内容を解説します。保守契約で脆弱性対策を続けると一度に大きな費用がかからない理由も紹介するので、公開後の脆弱性対策に不安がある方は参考にしてください。
WordPressサイトの脆弱性対策はバージョンアップが基本
WordPressサイトの脆弱性は、見つかると開発元から修正版が公開されます。
脆弱性対策の基本は、この修正版にバージョンアップすることです。ただし、バージョンアップが必要なのはWordPress本体だけではありません。WordPressサイトを動かしているWordPress本体・プラグイン・テーマ・PHPの4つは、修正版を出すところやバージョンアップする場所がそれぞれ異なります。
| 対象 | バージョンアップの方法 |
| WordPress本体 | WordPressの開発チームが修正版を公開し、WordPressの管理画面に通知が出るので、管理画面からバージョンアップする |
| プラグイン | 各プラグインの開発者が修正版を公開し、WordPressの管理画面に通知が出るので、管理画面からバージョンアップする |
| テーマ | 配布しているテーマは開発者が修正版を公開し、管理画面からバージョンアップする。オリジナルテーマは通知が出ないので、制作会社が修正する |
| PHP | PHPの開発チームが修正版を公開する。WordPressの管理画面には基本的に通知が出ないので、レンタルサーバーの管理画面からバージョンアップする |
WordPress本体とプラグインは、修正版が出るとWordPressの管理画面に通知が表示されるので、バージョンアップが必要なことに気づきやすい部分です。
一方で、PHPはレンタルサーバー側で動いているため、WordPressの管理画面だけを見ていてもバージョンアップの必要性に気づけません。2026年10月のPHPの脆弱性はニュースで大きく報じられたので、多くの企業が知ることができました。
しかし、今後見つかる脆弱性がすべてニュースで紹介されるとは限りません。報じられない脆弱性は、自社のホームページで使っているPHPのバージョンを把握し、脆弱性の情報を追っていなければ、気づかないまま放置されることになります。
WordPressサイトの脆弱性対策を制作会社に任せたほうがよい理由
WordPressサイトの脆弱性対策は、社内の担当者がバージョンアップを行うこともできます。それでも制作会社に任せたほうがよい理由は次の3つです。
脆弱性の情報を社内で追い続けるのは難しい
WordPressサイトの脆弱性の情報は、WordPress本体、プラグイン、テーマ、PHPの開発元がそれぞれ別々に公開しています。英語でしか公開されない情報も多く、見つかった脆弱性が自社のホームページに関係するのか、どのくらい急いで対応すべきなのかを判断するには知識が必要です。
社内の担当者の多くは、ほかの業務と兼任でホームページを管理しています。日々の業務の合間に脆弱性の情報を確認し続けるのは現実的ではありません。担当者が異動や退職をすると、情報を追う人がいなくなり、脆弱性対策が止まってしまうこともあります。
制作会社は複数のホームページのバージョンアップを日常的に行っているので、脆弱性の情報を確認することが普段の業務に含まれています。制作会社に任せれば、社内で情報を追わなくても、対応が必要な脆弱性を見逃さずに済みます。
ホームページの作りを把握したうえで更新できる
WordPressサイトは、使っているテーマやプラグインの組み合わせ、独自に加えたプログラムがホームページごとに異なります。同じバージョンアップでも、問題なく終わるホームページもあれば、表示が崩れたり機能が動かなくなったりするホームページもあります。
どの部分がバージョンアップの影響を受けやすいかは、ホームページの作りを知らなければ判断できません。制作会社は、テーマのどこをカスタマイズしたのか、どのプラグインがどの機能を担っているのかを把握しています。そのため、バージョンアップの前に影響が出そうな箇所を予想し、テストサイトで動作を確かめるといった準備ができます。
社内の担当者が作りを知らないままバージョンアップを行うと、不具合が起きるかどうかは実際に更新してみるまで分かりません。脆弱性対策を制作会社に任せることで、ホームページの作りに合わせた安全な手順でバージョンアップを進められます。
更新で不具合が起きてもすぐに直せる
バージョンアップの後に、ページの表示が崩れる、問い合わせフォームが送信できない、ECサイトで決済ができないといった不具合が起きることがあります。社内の担当者だけでは原因を特定できず、元の状態に戻す方法も分からないまま、ホームページが使えない時間が続いてしまいがちです。
不具合を避けようとして古いバージョンに戻したままにすると、今度は脆弱性が残った状態になります。脆弱性対策としては、元に戻すのではなく、新しいバージョンで正しく動くように直すことが必要です。
制作会社であれば、バックアップから一時的に元の状態に戻してホームページを使える状態にしたうえで、不具合の原因になっているプログラムを修正できます。問い合わせや売上が止まる時間を短くしながら、脆弱性対策も最後まで終えられるのは、制作会社に任せる大きなメリットです。
制作会社と結ぶ保守契約に入れておく脆弱性対策の内容
保守契約の内容は制作会社によって異なり、脆弱性対策がどこまで含まれるかもさまざまです。WordPressサイトの脆弱性対策として、保守契約に入れておきたい内容は次の5つです。
WordPress本体・プラグイン・テーマの定期的なバージョンアップ
WordPress本体やプラグイン、テーマは、修正版が出るたびにバージョンアップするのが理想です。しかし、修正版は不定期に公開されるので、保守契約では毎月のように時期を決めて、定期的にまとめてバージョンアップを行う形にしておくと管理しやすくなります。
ただし、定期的なバージョンアップの頻度は、ホームページの複雑さに合わせて調整して問題ありません。
たとえば、独自のPHPのプログラムを導入しているECサイトでは、バージョンアップのたびに独自のプログラムが正しく動くかを細かく確認する必要があります。毎月行うと、確認が終わる前に次のバージョンアップの時期が来て、ずっとバージョンアップを行っている状態に近くなってしまいます。
こうしたホームページでは、1ヶ月半や2ヶ月に1回の頻度でも十分です。
頻度を下げる場合でも、重大な脆弱性が見つかったときは、定期的な時期を待たずにバージョンアップを行うことが前提です。
PHPのバージョンアップ
PHPは、毎年11月前後に新しいバージョンが公開され、古いバージョンはその年の12月31日でサポートが終わるものがあります。サポートが終わったバージョンは、脆弱性が見つかっても修正版が出ません。そのため、保守契約では毎年11月前後をPHPのバージョンアップの時期と決めておくのがおすすめです。
PHPのバージョンアップは、WordPress本体やプラグインよりも影響の範囲が広く、古いテーマや独自のプログラムが動かなくなることがあります。事前に新しいバージョンでホームページが正しく動くかを確認する作業が欠かせないので、時期を決めて計画的に進めることが大切です。
毎年の時期とは別に、PHPに重大な脆弱性が見つかったときは、すぐに修正版へのバージョンアップが必要になります。
バージョンアップ前のバックアップ
バージョンアップで不具合が起きたとき、すぐに元の状態に戻せるようにしておくのがバックアップです。WordPressサイトのバックアップは、画像やプログラムなどのファイルと、ページの内容が入っているデータベースの両方が必要です。
レンタルサーバーの自動バックアップは、毎日決まった時間に取られるのが一般的です。普段の備えとしては十分ですが、最後に自動バックアップが取られてからバージョンアップまでの間に追加されたページや、ECサイトの注文などは含まれていません。
保守契約では、バージョンアップの直前にもバックアップを取ることを作業に含めておくと、不具合が起きてもバージョンアップする直前の状態に戻せます。
バージョンアップ後の表示と動作の確認
バージョンアップは、更新ボタンを押して終わりではありません。主要なページの表示が崩れていないか、問い合わせフォームが送信できるか、ECサイトであればカートへの追加から決済まで進めるかといった確認が必要です。
保守契約に確認作業が含まれていないと、バージョンアップだけ行われて、不具合に気づくのはユーザーからの連絡が来てから、ということになりかねません。どのページと機能を確認するのか、確認で不具合が見つかったときに修正まで行ってもらえるのかを、保守契約の内容に入れておくと安心です。
重大な脆弱性が発表されたときの緊急対応
定期的なバージョンアップとは別に、重大な脆弱性が発表されたときは、すぐにバージョンアップを行う緊急対応が必要です。2026年10月のPHPの脆弱性では、修正版の公開後、攻撃者が極めて短い時間で攻撃を仕掛ける可能性があるとして、IPAが速やかな対応を呼びかけました。次の定期的な時期まで待つと、その間に被害を受ける恐れがあります。
緊急対応では、発表された脆弱性が自社のホームページに関係するかを確かめ、関係する場合はバックアップと確認を含めてバージョンアップを行います。保守契約では、緊急対応が契約の範囲に含まれるのか、脆弱性の発表からどのくらいの期間で対応してもらえるのかを決めておくことが大切です。
保守契約で脆弱性対策を続けると一度に大きな費用がかからない
WordPress本体やプラグイン、テーマ、PHPのバージョンアップを何年も行わずにいると、使っているバージョンと最新のバージョンの差がどんどん開いていきます。
差が小さいうちは、バージョンアップで起きる変化も小さく、確認や修正の作業も少なくて済みます。しかし、何年分もの差をまとめて埋めようとすると、テーマやプラグインが新しいバージョンに対応していない、開発が止まったプラグインを別のプラグインに入れ替える必要がある、といった問題が一度に出てきます。
状況によっては作業が大がかりになり、非常に高い金額になるケースもあります。
とくに費用が大きくなりやすいのが、独自のPHPのプログラムを導入しているホームページです。古いPHPに合わせて作られたプログラムは、新しいPHPでは動かない部分が出てくることがあり、何年分もの差があるとプログラムを大きく書き直さなければなりません。
ECサイトの注文や会員の機能のように、ホームページの中心になる部分ほど作業の量も確認の手間も増えていきます。
保守契約で脆弱性対策を続けていれば、毎回のバージョンアップは前回からの小さな差を埋めるだけなので、作業を最小限に抑えられます。不具合が起きても原因を見つけやすく、修正も小さく済みます。費用は毎月決まった金額になり、ある年に突然大きな出費が発生することを防げます。
なお、保守契約の費用を何年分も合計すると、放置した後にまとめてバージョンアップする費用より高くなる場合もあります。それでも、一度に大きな金額が出ていかないので予算を立てやすく、何より脆弱性が残ったままの期間を作らずに済みます。
何年も放置している間は、その間ずっと改ざんや情報漏洩の危険を抱えた状態でホームページを公開していることになります。WordPressサイトを安全な状態に保ち続けるという意味でも、保守契約で脆弱性対策を続けることをおすすめします。
まとめ
WordPressサイトの脆弱性対策は、WordPress本体やプラグイン、テーマ、PHPのバージョンアップを続けることが基本です。社内で続けるのが難しい場合は、制作会社と保守契約を結び、定期的なバージョンアップと重大な脆弱性への緊急対応を任せることで、ホームページを安全な状態に保てます。
当社では、ホームページ制作のご相談の段階から、公開後のバージョンアップをどのように続けるかまで含めてご提案しています。これからホームページの制作やリニューアルをお考えの方は、お気軽にご相談ください。御社のホームページの使い方をヒアリングしたうえで、無理なく続けられる保守の内容をご提案します。
