WordPressのセキュリティ更新、自社サイトに「ちゃんと入っているか」を確かめる方法

2026年の夏、WordPress本体のセキュリティ更新が立て続けに公開されました。

  • 7月の WordPress 7.0.2 は、外部からサイトを乗っ取られるおそれのある深刻な脆弱性2件を修正するもので、WordPress.org が対象サイトへの強制的な自動更新に踏み切るほどのものでした
  • 8月の WordPress 7.0.3 では、ログイン画面に関わるものを含む11件の脆弱性がまとめて修正されました

「WordPressは自動更新があるから、うちのサイトも入っているはず」。多くの場合はそのとおりです。ただ、実際には自動更新が効いていないサイトが一定数あります。そしてそういうサイトに限って、誰もそのことに気づいていません。

この記事では、自社のWordPressサイトにセキュリティ更新がちゃんと入っているかを、専門知識がなくても確かめられる手順で説明します。

まず、今のバージョンを確認する

WordPressの管理画面にログインできるなら、確認は簡単です。

  1. 管理画面の左メニューから「ダッシュボード」→「更新」を開きます
  2. 「最新のバージョンです」と表示されていて、バージョン番号が新しい系列（この記事の時点では 7.0.x）であれば、まず問題ありません
  3. 「今すぐ更新してください」という表示が出ている場合や、バージョンが 5.x・4.x など明らかに古い場合は、後述の対応が必要です

管理画面にログインできない（ログイン情報がわからない）場合、それ自体が最優先で解決すべき問題です。制作会社と連絡が取れないことが原因なら、ホームページを作った会社と連絡が取れなくなったときの対処法も参考にしてください。

「自動更新があるのに入っていない」が起きる理由

WordPressには2013年から、セキュリティ修正を自動で適用する仕組みが標準で備わっています。それでも更新が入らないサイトには、だいたい次のどれかが起きています。

1. 自動更新が意図的に止められている

制作会社が「勝手に更新されてサイトが崩れるのを防ぐため」に、自動更新を無効化した状態で納品しているケースは珍しくありません。その後に手動での更新が続いていれば問題ないのですが、保守契約がないまま制作会社との関係が切れると、更新だけが止まった状態が残ります。

2. 更新が失敗し続けている

サーバーのファイル権限の設定などが原因で、自動更新が毎回失敗しているサイトがあります。失敗の通知メールは、退職した担当者や制作会社のアドレスにだけ届いていて、誰の目にも入っていない──ということもよくあります。

3. 古いバージョンの系列に留まっている

自動更新が適用されるのは、原則としていま使っている系列の中のセキュリティ修正だけです。たとえば 4.x 系のサイトが自動で 7.x 系に上がることはありません。WordPressのセキュリティチームは古い系列にも修正を届けてくれていますが（7.0.3 の修正は 4.7 までさかのぼって提供されました）、公式にサポート対象とされているのは最新バージョンのみです。古い系列に居続けることは、いつ終わるかわからない猶予の上に乗っている状態といえます。

4. PHPが古くて、新しいWordPressに上げられない

WordPressを動かしているプログラム言語（PHP）のバージョンが古いと、WordPress本体を新しくできないことがあります。この場合はサーバー環境の見直しから必要になるため、「更新ボタンを押せば済む」話ではなくなります。

あわせて見ておきたいポイント

  • サイトヘルス: 比較的新しいWordPressなら、管理画面の「ツール」→「サイトヘルス」で、PHPが古いなどの警告をまとめて確認できます
  • プラグインとテーマの更新: 本体だけでなく、プラグインにも毎週のように脆弱性が報告されています。「更新」画面に大量の未更新が溜まっているなら、本体が最新でも安心はできません。ニュースで見た脆弱性が自社サイトに関係するかの確かめ方は「WordPressに脆弱性」というニュースを見たら、自社サイトで確認すべきことで解説しています
  • 最終更新の形跡: 更新履歴やお知らせがここ1〜2年止まっているサイトは、誰も面倒を見ていないサインです

確認して問題があったら

「バージョンが古い」「自動更新が止まっている」「PHPが古くて上げられない」のどれかに当てはまった場合、取れる道は大きく2つです。

  • 直して使い続ける: 環境を整えて本体・プラグインを順に上げ、以後は保守として更新を見続ける体制を作る
  • 新しく作り直す: 土台が古すぎて上げるコストが見合わない場合は、作り直したほうが結果的に安全で安くつくこともあります

どちらが合うかは、サイトの中身を診断しないと判断できません。テンマドでは、担い手のいなくなったWordPressサイトの引き取り・改善を Webリノベ として提供しています。「バージョンの確認からしてほしい」という段階のご相談も歓迎です。診断のご相談は無料なので、お気軽にどうぞ。