「会社のホームページを何年も更新していない」「制作会社に任せて以来、WordPressの管理画面を開いていない」
このような企業サイトは、決して珍しくありません。
ホームページが問題なく表示されていると、特に対応する必要はないように感じられるかもしれません。しかし、見た目が正常でも、内部のWordPressやプラグインにセキュリティ上の問題が残っている可能性があります。
一方で、何年も更新されていないサイトを突然最新版にすると、ページの表示が崩れたり、問い合わせフォームが動かなくなったりすることもあります。
この記事では、古いWordPressを使い続けるリスクから、更新時に注意したいポイント、安全にアップデートするための手順まで、企業のWeb担当者や経営者の方に向けて分かりやすく解説します。
WordPressを何年も更新していないとどうなる？
WordPressは、世界中で利用されているWebサイト構築システム（CMS）です。専門的なプログラミング知識がなくても記事やお知らせを更新できるため、多くの企業サイトで採用されています。
ただし、WordPressは一度設置したら終わりというソフトウェアではありません。新機能の追加や不具合の修正だけでなく、セキュリティ上の問題を修正するためにも継続的に更新されています。
WordPress公式によると、正式なサポート対象は最新のメジャーバージョンです。古い系列にも重要なセキュリティ修正が提供される場合はありますが、更新が保証されているわけではありません。
つまり、古いバージョンを使い続けるほど、今後発見される問題に対応しにくくなる可能性があります。
参考：WordPress公式「Supported Versions」
WordPress本体だけでなく、テーマやプラグインも更新が必要
WordPressサイトは、主に次の要素で構成されています。
- WordPress本体：サイト全体を動かす基本システム
- テーマ：デザインやページの表示を制御する仕組み
- プラグイン：問い合わせフォームやSEOなどの機能を追加する仕組み
- PHP：WordPressをサーバー上で動作させるプログラミング言語
- サーバー・データベース：ファイルや記事、設定などを保存・処理する環境
これらは互いに関係しているため、WordPress本体だけが新しくても、古いプラグインやPHPに問題が残っている場合があります。
「WordPressは最新だから安全」とは限らない点が重要です。
古いWordPressを使い続ける5つのリスク
脆弱性を悪用した不正アクセス
WordPress本体やプラグインには、セキュリティ上の欠陥である「脆弱性」が発見されることがあります。
脆弱性の内容によっては、攻撃者が不正にログインしたり、情報を取得したり、Webサイト上で意図しない操作を実行したりする可能性があります。
特に注意したいのは、修正版が公開された後も古いソフトウェアを使い続けているケースです。公開された脆弱性情報が攻撃に利用されることもあるため、更新しない状態が長引くほど危険が増す場合があります。
ホームページの改ざんや不正なサイトへの誘導
不正アクセスを受けると、Webサイトの内容を書き換えられる場合があります。
例えば、企業サイトに不審な広告や外部リンクを埋め込まれたり、訪問者を偽のWebサイトへ誘導するコードを設置されたりするケースが考えられます。
見た目には大きな変化がなく、特定のアクセス条件でだけ不正な動作が発生する場合もあるため、発見が遅れる可能性があります。
問い合わせ情報などの漏えい
企業サイトでは、問い合わせフォームを通じて氏名、メールアドレス、電話番号、相談内容などの情報を扱うことがあります。
プラグインやサーバー設定などの問題を悪用された場合、保存されている情報や本来公開すべきでないファイルにアクセスされるリスクがあります。
情報漏えいが発生すると、技術的な復旧に加えて、顧客への説明や影響範囲の調査なども必要になる可能性があります。
サイト停止による機会損失
サイバー攻撃に限らず、古いシステムの不具合によってホームページが正常に表示されなくなることがあります。
サイトが停止すると、商品やサービスの案内ができなくなり、問い合わせや予約、採用応募などの機会を逃す可能性があります。
ホームページを営業や集客の窓口として利用している企業では、サイトの停止が直接的な事業への影響につながることもあります。
修正や復旧に想定以上の費用がかかる
長期間更新されていないWordPressは、問題が起きたときの調査や復旧が難しくなる場合があります。
古いテーマがすでに販売終了していたり、プラグインの開発が停止していたりすると、単純なアップデートでは解決できないこともあります。
その結果、テーマの修正、プラグインの置き換え、デザインの再構築などが必要になり、定期的に保守しているサイトよりも対応に時間や費用がかかる可能性があります。
何年前のWordPressなら危険？更新状況の判断ポイント
「何年以上更新していなければ危険」という一律の基準はありません。
重要なのは、現在使用しているバージョンに既知の脆弱性があるか、修正プログラムが提供されているか、関連ソフトウェアがサポートされているかという点です。
例えば、WordPress 7.1.4は2026年10月28日に公開されたセキュリティ更新版です。今回のリリースでは複数のセキュリティ上の問題が修正されており、WordPress公式は速やかな更新を推奨しています。
参考：WordPress公式「WordPress 7.1.4」
なお、上記は2026年11月1日時点の情報です。実際に確認する際は、WordPress公式の最新リリースを参照してください。
特に注意したい古いWordPressサイトの特徴
- 数年間、WordPress本体を更新していない
- テーマやプラグインの更新通知が多数表示されている
- 制作当時の古い有料テーマを使い続けている
- 開発が終了したプラグインが残っている
- PHP 7.xなど、サポートが終了した環境で運用している
- バックアップの取得状況が分からない
- 現在、誰がサイトの保守を担当しているか不明
これらに該当する場合は、更新ボタンを押す前に現在の構成を確認することをおすすめします。
WordPressを更新するとホームページが壊れることはある？
結論からいうと、WordPressを更新したことで、サイトの表示や機能に不具合が発生する可能性はあります。
ただし、更新そのものが危険というわけではありません。問題になりやすいのは、古いテーマやプラグイン、PHPとの互換性が確認されていない状態で更新するケースです。
古いテーマが新しいWordPressに対応していない
企業サイトでは、制作当時に購入したテーマや、独自にカスタマイズしたテーマを長期間利用している場合があります。
テーマが新しいWordPressやPHPに対応していないと、レイアウトの崩れ、警告表示、ページの表示エラーなどが発生することがあります。
また、テーマのファイルを直接カスタマイズしている場合は、更新によって変更内容が上書きされる可能性もあります。
プラグイン同士の互換性に問題がある
WordPressのプラグインは、それぞれ別の開発者によって作られていることが多く、更新のタイミングや対応状況が異なります。
例えば、ページビルダーとその専用アドオン、テーマに付属するプラグインなどは、対応するバージョンの組み合わせが決められている場合があります。
このような構成で一部のプラグインだけを更新すると、機能停止やエラーにつながる可能性があります。
そのため、更新通知が表示されているものを何も確認せずに一括更新するのではなく、依存関係を確認することが大切です。
PHPの更新によって古いコードが動かなくなる
WordPressはPHPというプログラミング言語で動作しています。
WordPress本体が新しいPHPに対応していても、古いテーマやプラグインに含まれるコードが対応していない場合、PHP更新後にサイトが正常に動作しなくなることがあります。
一方で、古いPHPを使い続けることもセキュリティ上のリスクになります。WordPress公式はPHP 8.3以上を推奨しています。
2026年10月にはPHPの重大脆弱性が公表され、修正版が公開されました。この問題や、PHPのバージョン確認方法については、以下の記事で詳しく解説しています。
関連記事：首相が緊急警告した「PHPの重大脆弱性」とは？企業サイトへの影響と今すぐ確認すべき対策
自社のWordPressが古いか確認する方法
まずは、現在のWordPressの状態を確認しましょう。専門知識がなくても、管理画面から確認できる項目があります。
WordPress本体のバージョンを確認する
WordPress管理画面にログインし、「ダッシュボード」→「更新」を開きます。
現在のWordPressのバージョンや、利用可能な更新が表示されます。
更新がある場合でも、長期間保守されていないサイトでは、すぐに更新ボタンを押さず、先にバックアップと互換性を確認しましょう。
プラグインとテーマの更新状況を確認する
管理画面の「プラグイン」→「インストール済みプラグイン」では、更新通知や有効化の状態を確認できます。
また、「外観」→「テーマ」では、インストールされているテーマを確認できます。テーマの開発元や最終更新日、ライセンスの状態も必要に応じて調べましょう。
注意したいのは、更新通知が表示されないからといって、必ずしも安全とは限らないことです。配布が終了したテーマや、独自に導入されたプラグインでは、更新情報が管理画面に届かない場合があります。
サイトヘルスでPHPやサーバー情報を確認する
WordPress管理画面の「ツール」→「サイトヘルス」では、サイトの状態に関する情報を確認できます。
「情報」タブを選択し、「サーバー」の項目を開くと、現在使用しているPHPのバージョンなどを確認できます。
また、「ステータス」タブには、WordPressが検出した改善推奨項目などが表示されます。重要な問題が示されている場合は、その内容を確認しましょう。
ただし、サイトヘルスで問題が表示されないからといって、すべての脆弱性が存在しないと判断できるわけではありません。 テーマやプラグイン固有の脆弱性、独自に追加されたプログラムの問題などは、別途確認が必要になる場合があります。
古いWordPressを安全に更新するための手順
長期間更新していなかったWordPressでも、適切な準備と確認を行えば、安全性を高めながら更新を進めることができます。
ただし、すべてのサイトで同じ手順が使えるわけではありません。特に数年以上更新していない場合は、サイトの構成に合わせて作業計画を立てることが大切です。
現在の構成と更新対象を把握する
まず、WordPress本体、テーマ、プラグイン、PHPのバージョンを確認します。
特に注意したいのが、テーマとプラグインの依存関係です。テーマに付属するページビルダーや専用プラグインは、対応するバージョンが決められている場合があります。
また、有料テーマや有料プラグインでは、更新にライセンスの再認証や購入情報が必要になることもあります。
更新対象を把握せず、表示された更新通知をすべて実行することは避けましょう。
ファイルとデータベースのバックアップを取得する
更新前には、必ずバックアップを取得します。
WordPressのバックアップでは、主に次の2つが重要です。
- ファイル：テーマ、プラグイン、アップロード画像、設定ファイルなど
- データベース：記事、固定ページ、ユーザー情報、各種設定など
どちらか一方だけでは、サイトを元の状態に戻せない場合があります。
レンタルサーバーが自動バックアップ機能を提供している場合もありますが、保存期間や復元方法を事前に確認してください。
また、バックアップを取得しただけで安心せず、問題が起きたときに復元できる状態であることも重要です。
可能であればテスト環境で更新する
企業サイトでは、本番環境とは別にテスト環境を用意し、更新後の動作を事前に確認することをおすすめします。
テスト環境とは、公開中のWebサイトをコピーして、実際の訪問者に影響を与えずに動作確認できる環境のことです。
例えば、テスト環境でWordPressやPHPを更新し、表示崩れやプラグインのエラーがないかを確認してから、本番環境に反映する方法があります。
ただし、テスト環境から実際のお客様へメールが送信されたり、外部サービスへデータが送られたりしないよう、問い合わせフォームや決済機能などの設定には注意が必要です。
互換性を確認しながら段階的に更新する
更新作業は、互換性を確認しながら段階的に進めます。
一般的には、次のような項目を確認しながら作業します。
- 使用中のWordPress・テーマ・プラグイン・PHPの対応状況を調べる
- 更新が必要なソフトウェアと依存関係を整理する
- テスト環境で適切な順序に従って更新する
- 各段階で表示や主要機能を確認する
- 問題がなければ本番環境へ反映する
更新の順序はサイトの構成によって異なります。WordPress本体を先に更新した方がよい場合もあれば、テーマやプラグインの更新・置き換えを先に準備する必要がある場合もあります。
特に古いページビルダーや有料テーマを利用している場合は、関連するプラグインを単独で最新版にすることで不具合が発生する可能性があるため、開発元の対応情報を確認してください。
更新後は表示だけでなく機能も確認する
更新が完了しても、トップページが表示されるだけでは十分とはいえません。
少なくとも、次の項目を確認しましょう。
- トップページと主要な下層ページが正常に表示される
- スマートフォンでもレイアウトが崩れていない
- メニューやボタン、リンクが正常に動作する
- 問い合わせフォームを送信でき、通知メールが届く
- 管理画面に正常にログインできる
- 記事や固定ページを編集・保存できる
- 予約、会員登録、決済などの重要機能が正常に動作する
- エラーログに重大な問題が発生していない
特に問い合わせフォームや予約機能は、見た目に問題がなくても内部で正常に動作していない場合があります。
更新後は、実際の利用者と同じ操作を行って確認することが重要です。
更新できない古いWordPressはどうすればよい？
古いWordPressサイトの中には、テーマやプラグインがすでに開発終了しており、そのまま最新版へ更新することが難しいものもあります。
その場合、無理に更新を進めるのではなく、現在の状態に応じて対応方法を検討します。
更新できる部分から改善する
すべてのソフトウェアを一度に更新できない場合でも、対応可能な部分から改善できることがあります。
例えば、利用していないプラグインの削除、不要なユーザーアカウントの整理、管理画面へのアクセス制限、バックアップ体制の整備などです。
ただし、これらは古いWordPress本体やプラグインに存在する脆弱性を修正するものではありません。
一時的なリスク低減策と、脆弱性そのものを解消する対策は区別して考える必要があります。
古いテーマやプラグインの置き換えを検討する
開発が終了したテーマやプラグインが更新の障害になっている場合は、代替製品への移行や独自コードの修正を検討します。
ただし、テーマを変更するとデザインだけでなく、ページ構成や独自機能にも影響が出ることがあります。
特にページビルダーを使用しているサイトでは、既存のページが特定のテーマやプラグインに依存している場合があり、変更前の調査が重要です。
単純な更新では対応できず、部分的な改修やサイト全体の再構築が必要になるケースもあります。
すぐに更新できない場合も放置しない
業務上の都合や互換性の問題で、すぐに更新できない場合もあるでしょう。
その場合でも、定期バックアップ、アクセス権限の見直し、不審なアクセスの監視、WAFなどの防御機能の活用を検討できます。
ただし、WAFやアクセス制限を導入しても、すべての攻撃を防げるわけではありません。更新できない理由を整理し、最終的にはサポートされている環境への移行を計画することが重要です。
WordPressを安全に運用するために必要なこと
WordPressの更新は、問題が発生したときだけ実施すればよいものではありません。
企業サイトを安全に運用するためには、継続的な管理が必要です。
定期的に更新状況を確認する
WordPress本体、テーマ、プラグイン、PHPの更新情報を定期的に確認しましょう。
特に重大な脆弱性が公表された場合は、通常の更新スケジュールを待たずに、影響の有無を確認する必要があります。
バックアップと復旧方法を整備する
万が一のトラブルに備えて、定期的なバックアップを取得し、必要なときに復元できる状態を維持しましょう。
保存先や保存期間、担当者、復元方法を決めておくと、トラブル時の対応がスムーズになります。
サイトの管理責任者を明確にする
企業サイトでは、制作会社に保守を依頼しているつもりでも、実際には更新作業が契約に含まれていない場合があります。
また、制作会社の変更や担当者の退職によって、管理状況が不明になるケースもあります。
WordPressの更新、サーバー管理、バックアップ、セキュリティ対応を誰が担当するのか、定期的に確認しておきましょう。
自社サイトのセキュリティが心配なら、まずは無料チェックから
「WordPressを長年更新していない」「PHPのバージョンが古いかもしれない」「更新したいけれど、サイトが壊れないか不安」
このような場合は、まず現在のWebサイトの状態を確認することから始めましょう。
BASYS Securityでは、Webサイトの公開情報に基づく無料の簡易セキュリティチェックを提供しています。
専門知識がなくても、WebサイトのURLを入力して確認できる項目があり、PHPなどのバージョン情報についても、確認方法をご案内しています。
ただし、外部から確認できる情報には限界があります。WordPress本体やプラグインの詳細な状態、内部設定、実際の脆弱性の有無などをすべて判定できるものではありません。
より詳しい調査や改善が必要な場合は、有料の詳細診断や修正・改善サービスもご用意しています。
参考：WordPress公式「Updating WordPress」
まとめ
WordPressを何年も更新していない企業サイトは、見た目に問題がなくても、内部にセキュリティ上のリスクを抱えている可能性があります。
今回のポイントを整理すると、次のとおりです。
- 古いWordPressやプラグインには、修正されていない脆弱性が残っている可能性がある
- WordPress本体だけでなく、テーマ・プラグイン・PHPも確認する必要がある
- 長期間更新していないサイトを無計画に一括更新すると、不具合が起こる場合がある
- 更新前のバックアップ、互換性の確認、テスト環境での検証が重要
- 更新できない場合も、暫定的なリスク低減策と将来の移行計画が必要
最も大切なのは、「古いからすぐに全部更新する」でも「壊れるのが怖いから放置する」でもなく、現在の状態を把握して、安全な方法で改善を進めることです。
自社サイトの状態が分からない場合は、まずWordPressの管理画面で更新状況を確認し、必要に応じて専門家へ相談しましょう。
