こんにちは、Webディレクターの鎌です。
先日、あるお客様との打ち合わせでこんな話になりました。
「うちのサイト、5年前に別の制作会社さんに作ってもらったんですけど……更新って、誰がやってるんでしょうか？」
その場にいた全員が、しばらく黙りました。
制作会社との契約は納品時点で終わっていて、その後の担当者は異動、引き継ぎ資料もどこにあるか分からない。サイトは動いているけれど、誰も中身に触っていない。そんな状態でした。
これ、実はかなり多いです。そして、放置されたWordPressサイトは、時間が経つほどリスクが上がっていきます。
というのも、つい先月こんなことがありました。
2026年7月、WordPress本体に深刻な脆弱性が見つかりました。
「wp2shell」と呼ばれているもので、プラグインを一切入れていない標準的な構成のサイトでも、ログイン情報を知らない第三者にサイトを乗っ取られる恐れがある、という内容です。
「うちは特別なことをしていないから大丈夫」が通用しませんでした。
WordPressの提供元は、対象サイトに更新を強制的に適用するという異例の対応を取っています。
日本でも、IPA（情報処理推進機構）が国内向けの注意喚起を公開しました。
※出典：IPA「WordPressの脆弱性対策について」（2026年7月22日公開）
つまり、公的機関が名指しで注意喚起を出すレベルの話が、つい先月あったばかりということです。そして、こういうことは今回が初めてでも、最後でもありません。
とはいえ、ここで焦る必要はありません。まず状況を確認するところから始めましょう。
この記事は、「技術のことはよく分からないけれど、自社サイトの担当になっている」という方に向けて書きました。専門用語はできるだけ使いません。読み終わったあとに、今日から確認できることが3つ分かる状態を目指します。
1. こんな状態になっていませんか？
まず、当てはまるものがあるか見てみてください。
- 制作会社に作ってもらったが、その後の保守契約は結んでいない（または結んでいるか分からない）
- サイトの管理画面にログインする方法が分からない、またはログインしたことがない
- 前任者から引き継ぎを受けていない
- 「WordPressの更新」という作業があることを、今まで意識したことがない
- 制作会社の担当者と、ここ1年以上やりとりしていない
ひとつでも当てはまるなら、この記事は役に立つと思います。
3つ以上当てはまる場合は、できれば今週中に4章の今日できる3つの確認をしてみてください。
念のためお伝えしておくと、これは「危ないから今すぐ何かを買ってください」という話ではありません。 まず状況を把握するところからで大丈夫です。
2. こうなるのは、あなたのせいではありません
放置状態になっているサイトの担当者の方は、たいてい少し後ろめたそうにされます。
でも、これは担当者個人の怠慢ではなく、構造的にそうなりやすいというだけの話です。
理由は3つあります。
① 「作ること」と「守り続けること」は、別の仕事だから
サイト制作の契約は、公開した時点で完了します。その後の更新作業は、別途の保守契約に入っていなければ誰の担当でもありません。
ここが明示されないまま納品されるケースは、正直かなり多いです。
② 更新が必要なことが、見た目では分からないから
サイトは、更新していなくても普通に表示され続けます。
「壊れていないから問題ない」ように見えてしまう。これがいちばん厄介なところです。
③ 担当者が変わると、知識ごと消えるから
Webサイトの管理は、担当者一人に紐づいていることが多いです。その方が異動や退職をすると、ログイン情報も契約状況も一緒に見えなくなります。
つまり、放置は「起きること」であって、「起こすこと」ではありません。
まずはそこから始めましょう。
3. 放置されたサイトで、実際に何が起きるのか
WordPressは世界でいちばん使われているサイト構築システムです。使いやすく、実績も豊富で、良いソフトウェアです。
ただし、使われている数が多いぶん、攻撃の標的にもなりやすいという側面があります。
セキュリティ上の弱点が見つかると、修正プログラムが配布されます。これを適用するのが「更新」です。
逆に言えば、更新していないサイトは、公開されている弱点をそのまま抱えている状態になります。
実際に何が起きたのか？
冒頭でもお伝えしたとおり、2026年7月にも、WordPressに深刻な弱点が見つかりました。私たちも実際に、クライアントのサイトで被害が発生した際の対応にあたりました。
バックアップがあれば、サイトを元の状態に戻すこと自体は可能です。しかし「いつ侵入されたのか」「そのバックアップ自体は無事なのか」「他に何か仕込まれていないか」を確認しないと、同じ弱点や不正なファイルごと復元してしまい、また被害に遭う恐れがあります。
だから元に戻すことよりも、「どこまで入られたのか」を確かめるほうが、はるかに時間もお金もかかるのです。
この調査は、一つずつ潰していく地道な作業になります。
そして、その間サイトは止まったままです。
問い合わせフォームも、採用ページも、製品情報も止まります。復旧費用そのものより、この停止期間のほうが痛いというケースは少なくありません。
4. 今日できる、3つの確認
ここからが実用的な部分です。技術の知識がなくても確認できることを3つ挙げます。
確認① 保守契約があるかどうか
まず、経理か総務に聞いてみてください。
「Webサイトの保守で、毎月または毎年払っている費用はありますか？」
支払いがあれば、保守契約が生きている可能性が高いです。契約書を見て、その中に「WordPressの更新作業」が含まれているかを確認してください。
ここが重要なのですが、「サーバー代」と「保守費用」は別物です。サーバー代だけ払っていて更新作業は誰もしていない、という状態はよくあります。
確認② 制作会社に、そのまま聞く
いちばん確実で、いちばん早い方法です。連絡が取れるなら、次のように聞いてみてください。
現在、弊社サイトのWordPress本体とプラグインの更新は、どなたが実施していますか？ 直近の更新はいつでしょうか？
言いにくい質問に思えるかもしれませんが、制作会社にとっては普通の問い合わせです。気まずく思う必要はまったくありません。
もし連絡先が分からない、返信が来ないという場合は、それ自体が「保守されていない」という答えだと考えてよいと思います。
確認③ バックアップがあるか
「サイトのバックアップは、どこに、どのくらいの頻度で取られていますか？」
これも制作会社かサーバー会社に聞けば分かります。何か起きたときに戻せるかどうかは、ここで決まります。
この3つが分かれば、状況はほぼ把握できます。まだ何も決めなくて大丈夫です。
5. 確認できたら、選択肢は3つです
確認結果に応じて、取れる道は次の3つです。
A. 保守を依頼する（いちばん手前の選択肢）
制作会社、または別の会社に保守を依頼します。月額数万円程度が相場です。いちばん現実的で、すぐに始められます。
ただし、更新のたびに表示崩れが起きていないかの確認は必要なので、費用はかかり続けます。
B. 社内で更新する
管理画面から更新ボタンを押すこと自体は難しくありません。
ただ、更新によってデザインが崩れたり、機能が動かなくなったりすることがあります。そうなったときに直せる人が社内にいないと、かえって困った状況になります。
社内にエンジニアがいない場合、この選択肢はあまりおすすめしません。
C. 「更新し続けなくていい形」に変える
サイトの仕組みそのものを変えて、守り続ける対象をなくしてしまうという方法です。
次の章で説明します。
6. 「そもそも更新し続けなくていい形」という選択肢
ここだけ、少しだけ仕組みの話をします。できるだけ簡単に書きます。
いまのWordPressのサイトは、「記事を書く機能」と「訪問者に見せるページ」が、同じ場所に置かれています。訪問者がアクセスしてくるのと同じ場所に、管理画面も一緒にある、というイメージです。
だから、そこが狙われます。
これを、「記事を書く場所」と「見せる場所」に分けてしまうという構成があります。
記事を書く場所 → 専門の事業者が管理するサービス側に置く
見せる場所 → できあがったページを表示するだけにする
こうすると、公開されている側に「乗っ取る対象」が存在しなくなります。管理画面がそこにないので、管理画面を突破されることもありません。
守りを固めるのではなく、守るべきものを置かないという考え方です。
副次的に、次のような変化もあります。
- サイトの表示が速くなる（できあがったページを出すだけなので）
- サーバーの固定費が下がるケースが多い
- 更新作業のための工数がなくなる
ここで正直にお伝えしておきたいことが2つあります。
ひとつは、移行には費用がかかるということ。
サイトの規模にもよりますが、保守を数年続ける費用と比較して判断するのが現実的です。
もうひとつは、すべてのサイトに向いているわけではないということ。
毎日大量に更新するサイトや、会員機能・予約機能などが複雑に絡むサイトは、WordPressのままのほうが良い場合もあります。
なお、この移行を実際にどうやるのかは、エンジニアが技術記事のほうで詳しく書いています。
こうした「記事を書く場所」と「見せる場所」を分ける構成を実現するサービスはいくつかありますが、そのひとつが「microCMS」です。社内のエンジニアや制作会社に共有していただく用に、あわせてご覧ください。 LIGブログをmicroCMSに移管できるか検証してみた
Yuya Nishizawa
7. 上司や社長に、どう説明するか
最後に、いちばん実務的な部分です。
状況が分かっても、社内で話を通さないと何も始まりません。技術の話をそのまま伝えても伝わりにくいので、伝え方の例を置いておきます。
弊社サイトはWordPressで作られていますが、公開後に更新作業を行う契約がなく、現在は誰も対応していない状態です。
WordPressは定期的に修正プログラムが出ますが、これを適用していないと、外部から侵入されるリスクが残ります。実際に2026年7月にも、提供元が異例の緊急対応を取るような弱点が公表されています。
万一サイトが停止した場合、復旧費用に加えて、問い合わせや採用の受け口が止まることによる損失が発生します。
対応としては、①保守を依頼する、②サイトの仕組み自体を更新不要な形に変える、の2つがあります。まずは現状を診断してもらったうえで、費用感を比較して判断したいと考えています。
ポイントは、「危ないです」ではなく「止まったときに何が失われるか」で話すことです。前者は判断材料になりませんが、後者は判断材料になります。
まとめ
さいごに、この記事の要点をまとめます。
- 制作会社に作ってもらったサイトが放置されるのは、よくあることです
- 見た目では分からないので、気づかないうちに時間が経ちます
- まずは①保守契約 ②更新の実施状況 ③バックアップの3つを確認してください
- 選択肢は保守を頼む／自分でやる／仕組みを変えるの3つです
- 社内で話すときは、「止まったときに何が失われるか」で説明すると通りやすいです
いきなり何かを決める必要はありません。まず状況を知るところからで十分です。
この記事が、その最初の一歩になれば嬉しいです。
LIGでは、現在のWordPressサイトの状況を確認し、移行したほうがいいのか、保守を続けるべきなのかを無料でお伝えする「WP移行診断」を実施しています。技術的な知識は必要ありません。サイトのURLと、分かる範囲の状況を教えていただければ大丈夫です。
「移行しないほうがいい」という結論になることもあります。そのときは正直にお伝えします。まずは現状把握のためにご利用ください。
