WEB講座
WordPressをアップデートしないとどうなる？乗っ取り・改ざんなど4つの被害と対処法
※2026年10月更新：PHPのバージョンと自動更新についての説明を追加しました
WordPressの「更新」って何？
WordPressの更新には、管理画面から行うものが3つの種類あります。
- WordPressの更新の種類
- ①WordPress本体の更新
WordPressのシステム自体のアップデート。セキュリティ修正や新機能が追加されます。②テーマの更新
サイトのデザインを決めるテーマのアップデート。③プラグインの更新
お問い合わせフォームやSEO対策など、機能を追加するプラグインのアップデート。
これらの更新には、新機能の追加だけでなく、セキュリティの脆弱性（弱点）を修正するという重要な役割があります。
見落としがちな「PHPのバージョン」
実はもう1つ、管理画面の「更新」には出てこない大事なものがあります。それが、サーバー側のPHP（ピーエイチピー）のバージョンです。
PHPは、WordPressを動かしているプログラムの言語です。WordPressと同じように、PHPにもバージョンがあり、古いバージョンはセキュリティの修正が終了していきます。
- PHPが古いままだと…
- ・WordPressやプラグインの新しいバージョンに更新できなくなる
・セキュリティの修正が受けられない
・サーバー会社から「古いPHPの提供を終了します」と連絡が来て、急な対応が必要になる
PHPのバージョンは、レンタルサーバーの管理画面から確認・変更できます。ただし、PHPを上げるとテーマやプラグインが動かなくなることもあるため、WordPress・テーマ・プラグインの更新とセットで計画するのが大切です。
更新しないとどうなる？
「面倒だから」「よくわからないから」と更新を放置していると、以下のようなリスクがあります。
①サイトが乗っ取られる
古いバージョンのWordPressやプラグインには、セキュリティの穴（脆弱性）が存在することがあります。
悪意のある攻撃者は、この脆弱性を狙ってサイトに侵入します。脆弱性の情報は公開されているため、更新しないサイトは「鍵のかかっていない家」のような状態です。
乗っ取りの主な原因と具体的な対策は、こちらで詳しく解説しています。
→ WordPressサイトの乗っ取り被害とは？主な原因5つと今すぐできる対策
②サイトを改ざんされる
乗っ取られたサイトは、内容を勝手に書き換えられてしまうことがあります。
・詐欺サイトやウイルス配布サイトに転送される
・見た目は変わらないが、裏でウイルスを配布している
自社サイトが詐欺に利用されてしまうと、会社の信用に大きなダメージを受けます。
③個人情報が漏洩する
お問い合わせフォームやECサイトで顧客情報を扱っている場合、情報漏洩のリスクがあります。
個人情報が漏洩すると、損害賠償や信用失墜など、取り返しのつかない事態になる可能性があります。
不正アクセスによる漏えいのおそれがある場合は、個人情報保護委員会への報告と、本人への通知も法律で義務付けられています。
④スパムメールの踏み台にされる
乗っ取られたサイトが、大量のスパムメール（迷惑メール）を送信する踏み台として悪用されるケースもあります。
この場合、自社のドメインがブラックリストに登録され、通常のメールも届かなくなるという被害が発生します。
実際にこんな被害が起きています
「うちは小さい会社だから狙われない」と思っていませんか？
実は、攻撃者は無差別に攻撃しています。
ロボット（プログラム）が自動的に脆弱性のあるサイトを探して攻撃するので、会社の規模は関係ありません。
- 被害の例
- ・気づいたらサイトが真っ白になっていた
・サイトにアクセスすると海外の怪しいサイトに飛ばされる
・Googleの検索結果に「このサイトは危険です」と表示される
・突然サーバー会社からサイト停止の連絡が来た
復旧には時間も費用もかかりますし、最悪の場合、サイトを作り直す必要が出てくることもあります。
※もし被害に気づいたら、「乗っ取り被害の記事」の「乗っ取られたときの対応手順」をご覧ください。
じゃあどうすればいい？
定期的にWordPress・テーマ・プラグイン、そしてPHPを更新することが大切です。
ただし、更新には注意点もあります。
- 更新の注意点
- ・更新後にサイトが表示されなくなることがある
・プラグイン同士の相性で不具合が出ることがある
・テーマによっては更新でデザインが崩れることがある
・万が一に備えてバックアップが必要
「更新したら動かなくなった！」というトラブルも実際によくあります。
自動更新にしておけば大丈夫？
WordPressには、本体の小さな更新（セキュリティの修正など）を自動で行う機能があり、プラグインやテーマも、管理画面から自動更新を設定できます。
自動更新は、更新し忘れを防げるので便利です。ただし、更新後に表示が崩れたり、フォームが動かなくなったりしても、気づくのが遅れることがあります。
・シンプルな構成で、プラグインが少ないサイト
確認しながら更新したほうがいいサイト
・デザインや機能をカスタマイズしているサイト
・お問い合わせフォームやネットショップなど、止まると困る機能があるサイト
どちらの場合も、更新の後にサイトの表示やフォームの動作を確認することが大切です。
そのため、専門知識がない場合は、Web制作会社の保守サービスを利用するのが安心です。
プロが定期的に更新・監視・バックアップを行ってくれます。
「アップデートを業者に頼むといくらかかるの？」という方は、放置期間ごとのアップデート費用の相場をこちらの記事でまとめています。
→ WordPressのアップデート費用は5万？30万？ 放置リスクと金額が変わる要因
まとめ
- この記事のポイント
- ・WordPressの更新を放置するとセキュリティリスクが高まる
・管理画面に出ない「PHPのバージョン」も忘れずに
・サイト乗っ取り、改ざん、情報漏洩などの被害が起きる可能性
・会社の規模に関係なく、無差別に攻撃される
・定期的な更新が大切だが、不具合のリスクもある
・自動更新でも、更新後の確認は必要
・不安な場合はプロの保守サービスを検討しよう
「長く更新していなくて、どこから手をつければいいかわからない」「PHPのバージョンアップも含めて任せたい」という場合は、あそびラボで現状の確認とアップデートを代行できます。
→ WordPressのアップデート・保守のご相談はこちら（お問い合わせ）
サイトの更新やトラブル対応をまとめて任せたい方は「HPの保守管理」もご覧ください。
制作・保守のご相談はこちら WEB講座一覧