WordPressを更新しないとどうなる？放置で起きる5つの問題と更新手順

WordPressの管理画面に「更新があります」と出ているのに、表示が崩れるのが怖くて何年も触っていない。制作会社との保守契約が終わってから、誰も更新していない。こうした状態のWordPressサイトは珍しくありません。サイトは今のところ表示されているので、急いで何かをする必要はないように見えます。

結論から言うと、WordPressを更新しないまま放置すると、まずプラグインの既知の脆弱性を狙った改ざんや不正ログインの危険が高まり、次にPHPやサーバー側の更新についていけなくなり、最後は表示崩れや管理画面が使えない状態に行き着きます。更新そのものは、バックアップを取り、テスト環境で確かめてから本番に反映する手順を守れば、安全に続けられます。

この記事では、更新しないと起きる問題とその順序、自社サイトの状態を確かめる方法、更新の頻度と手順、自社で更新するか外注するかの判断基準を、2026年10月時点のWordPress本体とPHPのサポート状況にもとづいて解説します。攻撃の手口とセキュリティ対策の全体像はWebサイトをサイバー攻撃から守るセキュリティ対策で扱っているので、本記事は「更新」に絞ります。

WordPressを更新しないと起きる5つの問題

WordPress本体・プラグイン・テーマ・PHPのどれか1つでも古いまま止まると、セキュリティ、表示、機能の問題がつながって起きます。

1. 脆弱性を突いた改ざん・不正ログイン・情報漏えい

更新しないことで最も大きいのは、セキュリティの問題です。WordPress関連の脆弱性を調べているPatchstack社の2026年の報告書によると、2025年にWordPressの周辺で新たに見つかった脆弱性は11,334件で、91％がプラグイン、9％がテーマにあり、WordPress本体は6件でした。つまり、狙われやすいのは本体よりもプラグインです。脆弱性の内容と修正版は公開されるため、更新していないサイトは、自動化された攻撃の対象として見つけられやすくなります。

改ざんされると、ページに不正な文言やリンクを埋め込まれたり、訪問者を別のサイトへ転送されたりします。問い合わせフォームの送信内容をサイト内に保存している場合は、その情報が漏れるおそれもあります。Googleがサイトの不正な書き換えを検知すると、検索結果に「このサイトはハッキングされている可能性があります」と表示されることがあり、会社の信用に直接響きます。

2. PHPのサポート終了

WordPressはPHPというプログラム言語で動いており、PHPにもバージョンごとのサポート期限があります。PHPの公式サイトのサポート中のバージョン一覧によると、現在の方針では各バージョンは公開からおおむね4年でサポートが終わります。期限を過ぎたPHPには、脆弱性が見つかっても修正が出ません。

WordPressの公式の動作環境では、PHP 8.3以上が推奨されています。PHP 7.4以上でも動作はしますが、これらはサポートが終了しており、サイトが脆弱性にさらされるおそれがあると明記されています。

3. プラグインの互換性切れ

プラグインの中には、開発者が更新をやめたものがあります。古いプラグインは、新しいPHPやWordPressの仕様に合わずにエラーを起こしたり、脆弱性が見つかっても修正されなかったりします。前述の報告書では、脆弱性の46％は、公開された時点で開発者からの修正版が出ていませんでした。更新ボタンを押すだけでは解決せず、そのプラグインを外すか、別のプラグインに置き換える判断が必要になる場合があります。

4. 表示崩れ・フォームの停止

サーバー会社がPHPやデータベースを更新したタイミングで、古いテーマやプラグインが正しく動かなくなることがあります。見た目の崩れはすぐに気づけますが、問い合わせフォームの送信エラーは外から見えにくく、「最近問い合わせが少ない」と感じてから数か月後に原因が分かることもあります。

5. 管理画面が使えない

放置が長くなるほど、更新したいときに更新できない状態になります。本体・プラグイン・PHPのすべてが古くなると、どれか1つを新しくすると別のものが動かなくなり、管理画面にログインできなくなることもあります。こうなると、お知らせの更新のような簡単な作業もできません。

放置したときに問題が起きる順序

問題は一度に起きるのではなく、脆弱性の公開から始まり、PHPのサポート終了、サーバー側の更新による不具合、管理画面の停止という順に進みます。

1. プラグインや本体の脆弱性が公開され、修正版が配布される。更新していないサイトは、この時点から攻撃の対象になる（前述の報告書では、悪用が多かった脆弱性で、最初の攻撃までの時間の中央値は5時間）
2. 更新しないまま数か月がたち、更新待ちのプラグインが増える。まとめて更新するほど、どれが原因で不具合が出たのか分かりにくくなる
3. 使っているPHPのサポートが終わる。サイトは表示されていても、PHPの脆弱性は修正されなくなる
4. サーバー会社が古いPHPの提供を終え、新しいPHPへ切り替える。古いテーマやプラグインがエラーを起こし、表示崩れやフォームの停止が起きる
5. 本体・プラグイン・PHPのずれが大きくなり、管理画面に入れない、更新するとサイトが止まる状態になる

WordPress本体についても、公式に継続して保守されているのは最新版だけです。2026年10月6日に公開されたWordPress 7.1.3は7件のセキュリティ修正を含み、すぐに更新することが推奨されています。修正は古い系統にも配布されましたが、WordPressはこれを「好意による対応」と位置づけ、積極的にサポートしているのは最新版だけだと明記しています。

自社サイトの更新状況を確かめる方法

管理画面の「更新」とプラグインの一覧、「サイトヘルス」に表示されるPHPのバージョンの3か所を見れば、放置の度合いはおおよそ分かります。

プラグインが今も開発されているかは、WordPress.orgのプラグインのページで最終更新日を見ると分かります。最新の3つのメジャーリリースでテストされていないという注意書きが出ているものは、置き換えを検討する対象です。

WordPressの更新の頻度と安全な手順

本体のセキュリティ更新は公開されたらすぐに、プラグインとテーマは月2回程度を目安に、バックアップ→検証→更新→確認の順で行います。

自動更新の仕組みは、WordPressの更新に関する公式ドキュメントとプラグインとテーマの自動更新の説明で確認できます。プラグインの自動更新は便利ですが、更新で表示が崩れても気づかないまま公開され続けるため、バックアップと動作確認の体制があることが前提です。

更新の手順

1. バックアップを取る：データベースとWordPressのファイルの両方を保存し、そのバックアップから戻せることを確かめる
2. テスト環境で試す：本番と同じ内容のテスト環境（ステージング）に複製し、先に更新して不具合が出ないかを見る
3. 本番で更新する：本体、プラグイン、テーマを1つずつ更新する。問い合わせの少ない時間帯に行う
4. 表示と機能を確認する：トップページと主要ページをパソコンとスマートフォンで開き、問い合わせフォームをテスト送信し、管理画面の操作も確かめる
5. 記録を残す：いつ、何を、どのバージョンに更新したかを残す。不具合が出たら、手順1のバックアップから戻す

何年も更新していないサイトを最新にする場合

長く放置したサイトは、一度に最新化しないことが大切です。WordPressの公式ドキュメントでも、2つを超えるメジャーリリースを一度に飛ばす更新はリスクが高いとされています。進め方の例です。

• 最初に、改ざんの痕跡（身に覚えのない管理者アカウント、不審なファイル、検索結果の異常）がないかを確認する
• 使っていないプラグインとテーマを削除し、更新の対象を減らす
• 開発が止まったプラグインは、同じ機能を持つ別のプラグインへの置き換えを決めておく
• テスト環境で、本体とプラグインを段階的に更新し、PHPも段階的に新しくする
• テスト環境で問題がないことを確認してから、本番に同じ手順で反映する

自社で更新するか、外注するかの判断

判断の目安は、「更新で表示が崩れたときに、その日のうちに元に戻せる人が社内にいるか」です。

外注する場合の費用は、更新・バックアップ・監視だけの保守か、修正作業やレポートまで含むかで変わります。月額の内訳と、保守契約に含まれないことが多い作業はWordPress保守の外注費用で整理しています。

当社のサイト保守プランの内容と月額

当社のサイト保守プランは、サイトを安全に動かし続けるための技術的な保守で、次の2つです。いずれも税別、最低契約期間は6か月で、以降は1か月単位で継続・終了を選べます。

保守プランには、数字を見て改善する提案は含みません。アクセス解析にもとづく改善まで進める場合は、別契約の運用改善プランを組み合わせます。料金の全体は料金プランに掲載しています。他社で制作したサイトにも対応しており、その場合は初回に現状診断（別途お見積り）を行い、サーバー・WordPress・プラグインの状態と引き継ぎに必要な情報を確認してから、テスト環境で互換性を確かめつつ最新化します。

よくあるご質問

自動更新をオンにしておけば、保守は不要ですか？

不要にはなりません。自動更新は更新作業を減らしますが、更新で表示が崩れたりフォームが止まったりしても、自動では元に戻りません。バックアップ、更新後の動作確認、不具合時の復元をだれが担当するかを決めておく必要があります。

更新したら表示が崩れました。どうすればよいですか？

更新前に取ったバックアップから元に戻すのが最も確実です。バックアップがない場合は、直前に更新したプラグインを停止して表示が戻るかを確かめます。原因が分かったら、テスト環境で修正してから本番に反映します。

古いPHPのままでもサイトは表示されています。問題はありますか？

表示されていても、サポートが終わったPHPには脆弱性の修正が出ないため、安全とは言えません。また、サーバー会社が古いPHPの提供を終えると、準備のないまま新しいPHPに切り替わり、表示崩れが起きることがあります。期限の前に、テスト環境で新しいPHPに対応させておくのが安全です。

制作会社と連絡が取れず、管理画面にもログインできない場合はどうすればよいですか？

まず、サーバーとドメインの契約者が自社かどうかを確認します。自社名義であれば、サーバー会社の管理画面からデータの保存や管理者アカウントの再設定ができる場合があります。引き継ぎの手順はホームページの制作会社を変更・移管する手順で解説しています。

サイトが改ざんされたかどうかは、どう確認できますか？

Search Consoleの「セキュリティの問題」レポートに警告が出ていないか、自社のドメインで検索したときに身に覚えのないページや文言が出ていないか、管理画面の「ユーザー」に知らない管理者がいないかを確認します。疑わしい場合は、すぐにパスワードを変更し、専門の会社に調査を依頼してください。

まとめ

WordPressを更新しないと、プラグインの脆弱性を突いた改ざん・不正ログインから始まり、PHPのサポート終了、表示崩れやフォームの停止、管理画面が使えない状態へと問題が進みます。2026年10月時点では、WordPress本体は7.1系の最新版だけが積極的に保守されており、PHPは8.3以上が推奨、PHP 8.2のサポートは2026年12月31日で終わります。更新は、バックアップ→テスト環境での検証→1つずつ更新→表示とフォームの確認、の順で行えば安全に続けられます。

社内で更新と復元を担える人がいない場合は、更新・バックアップ・監視を月額で任せる方法があります。当社のWEBサイト運用保守では、他社で制作したWordPressサイトの引き継ぎも含めてご相談いただけます。

関連記事：Webサイトをサイバー攻撃から守るセキュリティ対策とは／WordPress保守の外注費用：月額の内訳と「含まれない作業」一覧／ホームページの制作会社を変更・移管する手順