「ホームページ、ずいぶん前からそのままだよね」
社内でそんな声が出て、気になったことはありませんか。
WordPressの管理画面には、更新を知らせる表示が出ている。対応した方がいいのは分かっている。でも、何年も手を入れていないサイトを更新して、問い合わせフォームが動かなくなったら困る。以前の制作会社には頼めないし、社内にも詳しい人がいない。
「近いうちに何とかしよう」
そう思いながら、半年、一年と過ぎてしまう。そこへ、PHPに深刻な脆弱性が見つかったというニュースまで飛び込んできた。
今度は、更新してサイトが動かなくなる心配に、情報が漏れたらどうしようという不安まで加わります。
そんなサイトを、いきなり作り直す必要はありません。ただし、何もしないまま使い続けるのも勧められません。
今の状態を確かめれば、どこを直せばよいのか、これから何を任せればよいのかが見えてきます。
ホームページが普通に見えていても、安心とは限らない
「でも、ちゃんと表示されているから大丈夫じゃない？」
画面がいつも通りに開けば、そう考えますよね。お客様から見えるページは、昨日も今日も同じように表示されているのですから。
ところが、見た目に問題がなくても、内部のプログラムには古いままの部分が残っていることがあります。記事の修正はできても、ホームページを動かす仕組みそのものは何年も更新されていない、ということもあります。
2026年10月には、PHPというプログラムの仕組みに「PHP2Shell」と呼ばれる深刻な脆弱性が公表されました。PHPはWordPressの動作を支える技術の一つです。
この問題は、WordPressで作られたサイトなら必ず被害に遭うという意味ではありません。使っている環境に修正が適用されているかどうかで、必要な対策が変わります。
外からサイトが見えているかどうかだけでは、その確認はできません。
「管理しているのは誰？」と聞かれて、答えられますか
少し、社内のことを思い浮かべてみてください。
ホームページを作ったときの担当者は、今も会社にいるでしょうか。サーバーの料金は誰が払っているでしょう。ドメイン、つまり会社のホームページのアドレスは、誰の名義になっているでしょうか。
「制作会社に聞けば分かるはず」
そう思って連絡したら、担当者が退職していた。会社そのものがなくなっていた。こうした状況になると、更新したくても作業を頼むところから止まってしまいます。
そもそも、ここでいう「更新」は、記事や写真を入れ替えることではありません。WordPressや、その裏で動くプログラムを新しい状態にする作業です。普段のページ編集とは違う知識が必要になることがあります。
管理している人が分からないサイトでは、作業前のバックアップが取れるのか、問題が起きたときに元へ戻せるのかさえ確認できません。
なぜ、更新できなくなるのか
よくある原因は、長い間に積み重なった変更です。
WordPressのサイトは、土台になるWordPress本体に、デザインや問い合わせフォームなどの機能を組み合わせて作られています。家でいえば、建物に設備を増やしたり、何度も手を入れたりしてきたようなものです。
その設備の一部が古いままだと、土台だけ新しくしてもうまく動かない場合があります。昔の制作会社が独自に作り込んだ部分があり、どう直したかという記録が残っていないこともあります。
また、ホームページを置いているサーバー自体が古く、新しいPHPを使えない場合もあります。サーバーは、ホームページをインターネット上に置いて動かしている場所のことです。
更新の通知が出るたびに見送っていると、古い部分と新しい部分の差は少しずつ広がっていきます。最初は小さな修正で済んだかもしれない問題が、数年後には大きな改修につながることもあるのです。
だからといって、長年使ってきたWordPressを必ず捨てなければならないわけではありません。
では、どこから手をつければいいのでしょう
いきなり本番のサイトを更新することは勧めません。失敗したときに、元へ戻せないかもしれないからです。
最初に確かめるのは、誰が管理できるのか、今どんな状態なのか、元へ戻す準備があるのかということです。
例えば、次のことが分かれば調査を始めやすくなります。
- サーバーやドメインの契約先が分かるか
- WordPressの管理画面に入れるか
- バックアップが取られているか
- 問い合わせフォームなど、止まると困る機能は何か
すべて分からなくても、調べられるところから始められる場合があります。管理画面やサーバーを調査するには、所有者の許可と必要な権限を確認します。
専門の担当者は、現在のサイトのファイルとデータベースの両方をバックアップし、本番とは切り離した検証環境で更新を試します。不具合が出れば、原因の切り分けを行い、改修で対応できるかを判断します。
その結果、WordPressをそのまま使い続けられることもあります。古い機能を一部改修すれば済むこともあります。サーバーだけを更新する方がよい場合もあるでしょう。
一方、何年も継ぎ足してきた機能が多く、今後も保守に大きな費用がかかるなら、サイト全体の作り直しやCMSの変更を検討することになります。CMSは、ホームページの記事や画像を管理する仕組みのことです。
最初から「全部作り直しましょう」と決めつけず、現在のサイトを残せるか調べる。 それが費用の無駄を減らすことにもつながります。
ただし、調査の途中で、まだ修正されていない重大な脆弱性が見つかった場合は、検証環境の準備や通常の調査の完了を待って対策を遅らせません。サイトを公開したままにするか、一時的に制限するか、該当機能の停止などの応急措置を取るかを、サイトの管理者と先に決めます。
もし不正アクセスが疑われる場合は、通常の更新作業より先に、被害を広げない対応とログ・証拠の保全が必要です。状況によって手順が変わるため、無理に操作せず相談してください。
直したあと、また同じことで困らないために
目の前の更新が終われば、それで安心というわけではありません。
来年、担当者が異動したらどうなるでしょう。次の制作会社へ引き継ぐとき、また契約先や管理方法が分からなくなったら、同じことの繰り返しです。
保守を任せるなら、更新の担当者、バックアップの保存先、障害時の連絡先、復旧手順まで決めておくと安心です。
そのためにも、将来の運用負担を見据えて、更新作業や障害対応を誰が担うのかまで決めておきたいところです。
ただし、新しいCMSへ移れば保守が不要になるわけではありません。記事や画像だけでなく、問い合わせ機能、検索で見つけてもらうための設定、日々の管理方法まで引き継ぐ必要があります。
長く使うサイトだからこそ、今の担当者だけが分かる状態から、次の担当者にも引き継げる状態にしておきたいものです。
更新できないまま、次のニュースを迎えないために
「更新した方がいいのは分かっている。でも、どこに頼めばいいのか分からない」
そんな状態が続いているなら、更新を始める前に、今のホームページを一度調べてみませんか。
今の状態を調べれば、残せる部分と改修・移行が必要な部分が見えてきます。
参考資料
- IPA｜PHPの脆弱性対策について（2026年10月27日更新）
- PHP公式｜Supported Versions
- WordPress公式｜Updating WordPress
- WordPress公式｜WordPress Backups
- Google検索セントラル｜サイト移転
- Cloudflare｜EmDash
