そのWordPress、最後に更新したのはいつですか
何年も前に作ってもらったまま、ほとんど触っていない。誰が管理しているのかも、正直よく分からない——。それでもサイトは表示されているので、つい後回しになります。このページでは、放置されたWordPressに実際に何が起きるか、そしてご自身で今すぐできる確認方法から順にお伝えします。
このページの要点
- 攻撃のほとんどは自動攻撃。「うちは小さいから狙われない」は通用せず、古いWordPressであることだけが条件です
- 業者に頼む前に、バージョン・PHP・SSL/プラグインの3点はご自身で（5分ほどで）確認できます
- 他社が作ったサイトの保守だけのご依頼も承ります。初回の診断は無料です
放置されたWordPressに実際に起きること
WordPressは世界で最も使われているサイトの仕組みです。利用者が多いぶん攻撃の手口も研究され尽くしており、古いバージョンのまま放置されたサイトは、機械的に探し出されて攻撃されます。
「うちは小さな会社だから狙われない」は通用しません。攻撃のほとんどはプログラムによる自動攻撃で、会社の規模も知名度も見ていません。「古いWordPressであること」だけが条件です。
実際に起きるのは、次のようなことです。
- サイトの改ざん
- 見た目はそのままで、中身だけ書き換えられるケースが多くあります。訪問者を別のサイトに飛ばす、偽の通販ページを埋め込まれる、など。御社が気づかないまま、お客様が被害に遭います。
- スパム・攻撃の踏み台にされる
- 乗っ取られたサイトから迷惑メールが大量送信されたり、他社への攻撃の中継点にされたりします。御社のドメインやサーバーが「加害者側」としてブラックリストに載り、通常のメールまで届かなくなることがあります。
- マルウェアの配布元になる
- サイトを開いた人にウイルスを感染させる仕掛けを埋め込まれるケースです。取引先に「御社のサイトを開いたら警告が出た」と言われて初めて発覚する、という形が典型です。
- Googleからの警告・検索順位の低下
- 改ざんが検知されると、検索結果に「このサイトはハッキングされている可能性があります」と表示されたり、ブラウザで真っ赤な警告画面が出たりします。こうなると、復旧してもしばらく信用は戻りません。
共通するのは、どれも「起きてから」気づくことです。だからこそ、起きる前の確認に意味があります。
自分でできるチェック
業者に頼む前に、ご自身で確認できることが3つあります。5分ほどで終わりますので、まずここから始めてください。
1. WordPressのバージョンを確認する
WordPressの管理画面（通常は「サイトのアドレス/wp-admin/」）にログインし、ダッシュボードを開きます。
- 画面の右下、または「概要」欄に「WordPress ◯.◯」とバージョンが表示されます
- 左メニューの「更新」に赤い数字のバッジが付いていれば、未適用の更新がその数だけ溜まっています
最新版から大きく離れているほど、既に手口が公開された攻撃に無防備な状態が続いていることになります。
そもそも管理画面にログインできない（IDやパスワードが分からない）場合、それ自体が要注意のサインです。更新もバックアップも誰にもできない状態かもしれません。作った会社に確認が取れないなら、制作会社と連絡が取れない方はこちらのページをご覧ください。
2. PHPのバージョンを確認する
PHPは、WordPressを動かしている土台のプログラムです。WordPress本体を更新していても、土台のPHPが古いままなら危険な状態は変わりません。PHPの7系以前は、すでに公式のサポート（セキュリティ修正）が終了しています。
確認方法は2つあります。
- WordPressの管理画面から：左メニュー「ツール」→「サイトヘルス」→「情報」タブ →「サーバー」欄にPHPのバージョンが表示されます。サイトヘルス画面に「PHPの更新が必要です」と警告が出ていれば、それが答えです
- サーバーの管理画面から：エックスサーバーやさくらインターネットなどの契約者向け管理画面に「PHP Ver.切替」「PHP設定」といった項目があり、現在のバージョンが確認できます
サーバーの管理画面に入れない・契約がどうなっているか分からない場合も、上記の「まず確認すべき3つのこと」が参考になります。
3. SSL証明書とプラグインの状態を確認する
- SSL証明書（通信の暗号化）
- ブラウザでご自身のサイトを開き、アドレスバーを見てください。「保護されていない通信」「安全ではありません」と表示されていたら、SSLが未設定か期限切れです。この表示は訪問者全員に見えており、それだけで問い合わせをためらわせます。
- プラグイン（拡張機能）
- 管理画面の「プラグイン」を開き、「更新が必要」の表示がいくつあるかを見てください。実は、WordPressの侵入経路として最も多いのは本体ではなくプラグインの脆弱性です。さらに、開発が止まって何年も更新されていないプラグイン（一覧で最終更新日を確認できます）は、更新ボタンすら出ないまま穴が放置されます。
保守で何をするか
確認した結果、「更新が溜まっている」「PHPが古い」「そもそもログインできない」のいずれかに当てはまった場合——そこから先の対応を、必要な分だけお引き受けします（料金は下記のとおり都度・実働ベースです）。
- 更新・手入れ：WordPress本体・プラグインの更新、SSL証明書・ドメインの失効防止。更新の前にはバックアップを取り、表示を確認しながら進めます
- 障害が起きたとき：原因の特定・応急処置（まず動く状態に戻す）・状況のご報告までを一次対応として行います。対応は平日の営業時間内です
何年も更新が止まっているWordPressの場合、いきなり全部を最新化すると表示が崩れることがあるため、必ずバックアップを取り、影響を確認しながら段階的に立て直します。
料金
ホームページ保守に月額はいただいていません。困ったとき・更新したいときに、実働した分だけ都度お引き受けします。作業前に必ず金額をお伝えしてから進めるので、あとから請求が膨らむことはありません。
保守をお引き受けする場合も、サーバー・ドメインはお客様名義・お客様払いをお願いしています。
※表示価格は税別です。保守の費用は作業内容により都度お見積りします。
無料診断でわかること
サイトのURLをお知らせいただくだけで、外部から公開情報を確認し、次の点を平易なメールでご報告します。サイトやサーバーの中には入らず、訪問者と同じ立場で見える範囲だけを拝見します（ログイン情報は不要です）。
- WordPress本体のバージョンが最新からどれだけ離れているか（外から判別できる場合）
- SSL（通信の暗号化）の有無・証明書の期限・「保護されていない通信」表示の有無
- 改ざん・乗っ取りの兆候や、検索結果・ブラウザの警告の有無
- ログイン画面やバージョン情報など、外部に余計に見えてしまっている情報がないか
- 外から判別できるプラグイン・テーマと、明らかに古いものの有無
- 表示速度の目安
※あくまで外から見える範囲の確認です。プラグインの更新状況やバックアップの有無、サイト内部の詳細な点検は、ログイン情報をお預かりしたうえでの対応（有償）になります。
初回の診断は無料です。 診断を受けたうえで依頼しない、という判断ももちろん可能です。
いきなりの契約や、しつこい営業はありません。状況をお聞かせいただくだけでも大丈夫です。
長期間放置されていたサイトの立て直し（溜まった更新の一括適用・PHP切り替えなど）が必要な場合は、その分を別途お見積りします。これも診断の段階でご提示します。
よくあるご質問
サイトを作った会社と連絡が取れず、ログイン情報も分かりません。
そのままご相談いただけます。サーバーやドメインの契約状況の確認から、管理画面へのアクセス手段の確保までご一緒します。対処の手順は「開発会社・制作会社と連絡が取れなくなったら」のページに詳しくまとめています。
何年も更新していません。今さら更新したらサイトが壊れませんか？
ご心配はもっともで、実際に一括更新で表示が崩れることはあります。だからこそ、更新前に必ずバックアップを取得し、万一不具合が出た場合は元の状態に戻せる手順で、段階的に作業します。更新後の表示・動作確認までこちらで行います。
もうWordPressをやめたいのですが、相談できますか？
はい。更新の手間や攻撃リスクを根本的に減らしたい場合、ページ数の少ないサイトであれば、WordPressを使わない作り（静的サイト化）への切り替えという選択肢もあります。今のサイトを保守しながら維持するか、作り替えるか、費用とあわせて比較できる形でご提案します。
他社が作ったサイトですが、保守だけの依頼でも大丈夫ですか？
はい、保守だけのご依頼を多くお受けしています。制作のやり直しを前提とした営業はしませんので、ご安心ください。
診断では何をするのですか？しつこい営業はありませんか？
サイトのURLをもとに、外部から見える範囲で現状を確認し、結果と「やるなら何が必要か」をメールでご報告します（確認する項目は上の「無料診断でわかること」をご覧ください）。サーバーやサイトの中に入ることはありません。報告をご覧いただいたうえで、依頼するかどうかは御社のご判断にお任せし、こちらから繰り返しの営業連絡はいたしません。