WordPress の更新を止めると、何が起きるのか

先に結論を言います。更新を止めても、すぐにサイトが壊れるわけではありません。ただ、見つかった弱点が直されないまま残り、時間とともに攻撃を受ける可能性が高まります。2025年に WordPress まわりで見つかった脆弱性は11,334件で、その91%がプラグインでした。本体は最新版だけがサポートされ、PHP にも期限があります。止めていた期間が長いほど、再開の作業は大きくなります。

更新しないと、何が残るのか

更新の多くは、見つかった弱点（脆弱性）を直すためのものです。更新しなければ、その弱点は開いたままになります。WordPress の安全を調べている Patchstack によると、2025年に見つかった WordPress まわりの脆弱性は11,334件で、前の年より42%増えました（Patchstack の報告）。

どこに多いか

プラグインが91%、テーマが9%。本体で報告されたのは6件だけで、いずれも優先度は低いものでした。

どのくらい早く狙われるか

よく悪用された脆弱性では、公開から悪用までの時間（加重した中央値）が5時間でした。

直す版が出ないもの

公開された時点で、開発者から修正が出ていなかったものが46%ありました。更新するだけでは防げないものもある、ということです。

つまり、守りの中心はプラグインです。こまめに更新することに加えて、使っていないものを減らし、開発が止まったものは別のものに替えてください。

本体と PHP にも、期限がある

PHP はサーバーで動くプログラムの言語で、WordPress もその上で動いています。サイトの画面には出てこないので、期限を過ぎても気づきにくい部分です。

長く止めていると、なぜ再開が大変なのか

1か月分の更新なら、ひとつずつ当てて確かめれば済みます。何年も止めていたサイトでは、本体、プラグイン、PHP を一度に新しくすることになり、表示が崩れても、どれが原因かを切り分けるのに時間がかかります。開発が止まったプラグインの代わりを探したり、古いテーマを新しい PHP で動くように直したりする作業も出てきます。私は、再開を次の順番で進めます。

1. バックアップを取る取るだけでなく、戻せることを確かめます（バックアップは戻せるか）。
2. テスト用の環境で試す公開中のサイトとは別の場所に複製をつくり、そこで先に更新します。
3. 段階的に新しくする本体、プラグイン、PHP を少しずつ。一度に全部は上げません。
4. 動きを確かめる表示に加えて、問い合わせが届くか、予約やショッピングが動くかまで。

自動更新に任せていいのか

WordPress 本体の小さな更新（セキュリティの修正など）は、初期の設定で自動になっています。プラグインも、ひとつずつ自動更新を選べます。弱点を早くふさぐには有効です。

ただし、自動更新で表示が崩れても、誰も気づかないことがあります。バックアップがなければ、元にも戻せません。私は、自動にするものと、人が確かめてから更新するものを分けるよう勧めます。自動にしたものも、更新のあとに表示を確かめる仕組みを持っておいてください。

更新が止まっているサイトのサイン

• 管理画面に、更新の通知がたくさん並んでいる
• 何年も更新されていないプラグインを使っている
• 管理画面の「サイトヘルス」で、PHP の版について警告が出ている
• 前の制作会社と連絡が取れず、誰が更新するのか決まっていない

よくある質問

更新したら、サイトが崩れることはありますか？

あります。だから、更新の前にバックアップを取り、できればテスト用の環境で先に試します。崩れたときにすぐ戻せる状態にしておくことが、更新を怖がらないための準備です。

使っていないプラグインは、停止しておけば大丈夫ですか？

停止だけでなく、削除してください。停止していてもファイルはサーバーに残り、弱点の入り口になることがあります。

どのくらいの間隔で更新すればいいですか？

セキュリティの修正は、出たらなるべく早く。それ以外は、月に1回などと決めて、まとめて確かめながら当てるのが現実的です。

長く更新が止まったサイトの立て直しは、1回だけのご依頼でも私がお受けします。その後の更新とバックアップは、私の運用・保守でお引き受けします。