WordPress の保守とセキュリティ | 放置されたサイトが危ない理由

WordPress は、WordPress 本体・プラグイン・テーマ・PHP の 4 つが重なって動いています。どれか 1 つでも古いままなら、そこが入口になります。今年の 2 件は、本体と PHP という「土台」の部分で起きたため、影響を受けたサイトの数が非常に多くなりました。

1. 1WordPress 本体: 管理画面の「ダッシュボード → 更新」で確認する。自動更新が有効でも、失敗していることがあるので実際のバージョンを見る
2. 2プラグイン: 数が多いほど危険が増える。使っていないものは停止ではなく削除する
3. 3テーマ: 子テーマを使っている場合も、親テーマの更新が必要
4. 4PHP: サーバー側のバージョン。レンタルサーバーの管理画面で切り替えることが多い。WordPress の「ツール → サイトヘルス」でも確認できる

見落とされやすいのが 4 つ目の PHP です。WordPress の管理画面だけを見ていると、PHP が何年も前のバージョンのまま、ということが起こります。

• WordPress 本体・プラグイン・テーマが最新か
• PHP が、公式のサポート期間内のバージョンか
• 更新の前に、サイト全体（ファイルとデータベース）のバックアップを取ったか
• 更新のあと、トップページ・問い合わせフォーム・主要なページが正しく表示されるか
• 管理者アカウントに、見覚えのない人や辞めた人が残っていないか
• 使っていないプラグイン・テーマを削除したか
• サーバー会社やプラグインの作者から、重要なお知らせが出ていないか

重大な脆弱性が公表されたときは、月 1 回を待たずにすぐ対応します。そのために「誰が・どうやって気づくか」（サーバー会社の告知を受け取る、IPA の注意喚起を見る、など）も決めておきましょう。

「更新したら表示が崩れた」という経験から、更新をためらう人は少なくありません。ですが、更新しないことのほうが、はるかに大きな危険です。壊れないように進める工夫があります。

• 必ずバックアップを取ってから更新する: 問題が起きたら戻せる状態にしておく
• 本番の前に試す環境で確かめる: サイトの複製（ステージング）を用意できるサーバー会社も多い
• PHP は 1 段ずつ上げる: 大きく飛ばすと、古いプラグインが動かなくなることがある
• 動かないプラグインは代わりを探す: 長く更新されていないプラグインは、それ自体が危険

保守を任せる場合は、「本体・プラグイン・テーマ・PHP のどこまでが契約に含まれるか」「重大な脆弱性のときに何日以内に対応するか」を必ず確認しましょう。