WordPressの運営者が今からやること（PHPの更新から改ざんの確認まで）
WordPressのサイトは、公開したあとも手入れを続けないと、少しずつ危なくなっていきます。WordPress本体やプラグインの更新は気にしていても、その土台で動いているPHPやサーバーまでは目が届いていない、という方も多いのではないでしょうか。この記事では、WordPressでサイトを運営している方が今からやっておきたいことを、サイトの仕組み・PHPの更新・ログインの守り方・バックアップ・脆弱性が見つかったときの動き方の順にまとめます。実際にあった事例として、2026年10月のPHPの脆弱性「PHP2Shell」のときに何が必要だったかも紹介します。
1. WordPressのサイトは3つの層で動いている
WordPressのサイトは、大きく分けて次の3つの層が重なって動いています。どの層に脆弱性が見つかっても、サイトが乗っ取られたり改ざんされたりするおそれがあります。
| 層 | 中身 | 更新する人 |
|---|---|---|
| WordPress | WordPress本体・ | サイトの |
| PHP | WordPressを | レンタルサーバーなら |
| サーバー | OS・ | レンタルサーバーなら |
WordPressの管理画面から更新できるのは、一番上の層だけです。PHPやサーバーの層は、管理画面をいくら最新にしていても入れ替わりません。サイトを安全に保つには、3つの層それぞれについて「誰が・いつ更新しているか」を知っておく必要があります。
2. 事例：2026年10月のPHPの脆弱性「PHP2Shell」
PHPの層の脆弱性がどれほど影響するかを示した例が、2026年10月に見つかった「PHP2Shell」です。
何があったか
2026年10月21日、PHPの開発元が、深刻な脆弱性2件（CVE-2026-109618・CVE-2026-109619）を直した修正版を公開しました。ログインしていない第三者が、外からサーバーの上で好きなプログラムを動かせてしまうおそれがあるもので、深刻度は10点満点で9.2とされました。国内のレンタルサーバー各社が緊急の対応を行い、IPA（情報処理推進機構）も注意喚起を出しています。アメリカのCISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）は、実際に攻撃に使われている脆弱性の一覧に加えました。
このとき運営者に必要だったこと
- PHPのバージョンを確かめる: 修正版（8.5.12・8.4.27・8.3.36・8.2.35）以降になっているか
- サーバー側の対応を確かめる: レンタルサーバーなら運営会社のお知らせを読み、VPSなら自分でPHPを更新する
- 古いPHPから切り替える: サポートが終わっていたPHP 8.1以前には公式の修正版が出なかったため、8.2以上に切り替える
- 入り込まれていないかを確かめる: 修正版とほぼ同じ時期から攻撃が始まったと報じられたため、更新後に改ざんの痕跡がないかを見る
この脆弱性は、WordPress本体やプラグインを最新にしていても防げませんでした。また、PHPを古いまま使っていたサイトほど、打てる手が限られました。普段からPHPのバージョンを把握し、サポート期間中のものを使っていれば、慌てずに対応できたはずです。次の章から、こうした事態に備えて普段からやっておきたいことを順に紹介します。
3. 誰が何を管理しているかを書き出す
脆弱性が見つかったとき、最初につまずきやすいのが「このサイトは誰が管理しているのか分からない」という状態です。制作会社に作ってもらったサイトや、前任者から引き継いだサイトでは特に起きがちです。次の項目を一度書き出して、すぐ見られる場所に残しておきましょう。
- サーバーの契約者と、使っているサービス（レンタルサーバー・VPSなど）
- サーバーの管理画面と、WordPressの管理画面にログインできる人
- ドメインの契約者と、契約しているサービス
- WordPress・PHPを更新する担当者（自分・制作会社・保守サービスなど）
- 困ったときの連絡先（制作会社・サーバー会社のサポート窓口）
制作会社に管理を任せている場合は、どこまでが契約の範囲か（WordPressの更新は含むか、PHPの切り替えは含むか）も確認しておくと安心です。
4. PHPのバージョンを確かめ、サポート期間中のものを使う
PHPは、バージョンごとにサポートの期間が決まっています。期間が終わったバージョンは、脆弱性が見つかっても修正版が出ません。PHP2Shellで8.1以前に修正版が出なかったのは、このためです。
今のバージョンを確かめる
- WordPressの管理画面にログインします。
- 左のメニューの「ツール」→「サイトヘルス」を開きます。
- 上の「情報」タブを開き、「サーバー」の項目を広げます。
- 「PHP のバージョン」に表示されている番号を確認します。
レンタルサーバーの場合は、サーバーの管理画面（コントロールパネル）の「PHPのバージョン設定」などからも確認できます。
サポート期間を確かめる
各バージョンのサポートがいつまで続くかは、PHP公式サイトの「Supported Versions」のページで確認できます。サポートが終わっている、または1年以内に終わるバージョンを使っているなら、切り替えの計画を立てましょう。たとえばPHP 8.2は、2026年12月31日でサポートが終わる予定です。
切り替えるときの手順
- サイト全体のバックアップを取ります（7章）。
- WordPress本体・テーマ・プラグインを最新にします。古いテーマやプラグインは、新しいPHPで動かないことがあります。
- サーバーの管理画面で、PHPのバージョンを切り替えます。
- トップページ・主なページ・お問い合わせフォーム・WordPressの管理画面が正しく動くかを確認します。
- 問題があれば元のバージョンに戻し、動かないテーマやプラグインを入れ替えてから、もう一度切り替えます。
年に1回など時期を決めて、PHPのバージョンとサポート期間を確かめる習慣をつけておくと、急な切り替えに追われずに済みます。
5. WordPress本体・テーマ・プラグインを更新し続ける
WordPressのサイトが改ざんされる原因で多いのは、テーマやプラグインの脆弱性です。修正版が出ていても、更新しないままだと攻撃を受け続けます。
- 自動更新を使う: WordPressの「ダッシュボード」→「更新」や「プラグイン」の画面で、自動更新を有効にできます。表示が崩れるのが心配な場合も、少なくともセキュリティの修正を含む更新は早めに当てましょう。
- 使っていないものは削除する: 停止しているだけのプラグインやテーマも、ファイルはサーバーに残ります。使っていないものは「停止」ではなく「削除」します。
- 更新が止まったプラグインに注意する: 長い間更新されていないプラグインは、脆弱性が見つかっても直らないことがあります。プラグインの詳細画面で最終更新日を確かめ、代わりのプラグインへの乗り換えを考えます。
6. 管理画面のログインを守る
WordPressの管理画面のログインページは、誰でも開ける場所にあり、パスワードを総当たりで試す攻撃を日常的に受けています。
- パスワードを長く、使い回さない: ほかのサービスと同じパスワードは使わず、パスワード管理ツールで長いものを作ります。
- 2段階認証を入れる: プラグインやサーバーの機能を使い、パスワードに加えてスマートフォンのアプリなどでの確認を求めるようにします。
- 不要な管理者を消す: 退職した人や、作業が終わった制作会社のアカウントが管理者のまま残っていないかを確かめ、不要なものは削除するか、権限を下げます。
- サーバーの機能も使う: レンタルサーバーによっては、管理画面へのアクセスを国外から制限する機能や、ログインの試行回数を制限する機能があります。
7. バックアップを取り、戻し方を確かめておく
どれだけ気をつけても、改ざんや更新の失敗をゼロにはできません。元に戻せる状態を用意しておくことが、最後の備えになります。
- ファイルとデータベースの両方を取る: WordPressは、画像やテーマなどのファイルと、記事の中身が入ったデータベースの両方で動いています。どちらか片方では元に戻せません。
- サーバーの外にも保管する: サーバーの自動バックアップに加えて、ときどき自分のパソコンやクラウドストレージにも保存します。サーバーごと被害を受けたときに備えるためです。
- 戻し方を一度試す: バックアップは、戻せて初めて役に立ちます。サーバーの復元機能の使い方を確かめておきましょう。
8. 脆弱性のニュースを受け取り、見つかったときに動く
情報を受け取る場所を決めておく
- 契約しているレンタルサーバー・VPSのお知らせ（メールで届く設定にしておく）
- IPAの重要なセキュリティ情報や、JPCERT/CCの注意喚起
- WordPressの管理画面に出る更新のお知らせ
深刻な脆弱性が見つかったときの動き方
PHP2Shellのような深刻な脆弱性が報じられたら、次の順に動きます。
- 自分のサイトが対象かを確かめる: どの層（WordPress・PHP・サーバー）の、どのバージョンが対象かを確かめ、自分のサイトのバージョンと比べます。
- 修正を当てる: WordPressの層なら管理画面から更新します。PHPやサーバーの層なら、レンタルサーバーの運営会社の対応を確かめるか、自分で更新します。
- すぐに直せないときは守りを固める: 開発元が案内する一時的な対策を当てるか、管理画面へのアクセスを制限します。危険が大きいときは、サイトを一時的に非公開にすることも考えます。
- 直したあとに痕跡を確かめる: 修正の前に入り込まれていた場合、修正しても置かれたプログラムは残ります。次の章の確認を行います。
9. 改ざんされていないか、ときどき確かめる
改ざんは、見た目では気づきにくい形で行われることがあります。月に1回など時期を決めて、次の点を見ておきましょう。
- 知らないユーザーがいないか: WordPressの「ユーザー」一覧に、作った覚えのない管理者がいないか
- 知らないプラグインやファイルがないか: 入れた覚えのないプラグインや、見慣れない名前の .php ファイルが増えていないか
- ページの内容が変わっていないか: 見知らぬサイトへのリンクや、意図しない文章・広告が入っていないか。検索結果に、サイトに無いはずのページが出ていないか
- サーバーのウイルスチェック: レンタルサーバーに改ざん検知やウイルスチェックの機能があれば、それを使って確認する
おかしな点が見つかったら、サイトを一時的に非公開にしたうえで、レンタルサーバーの運営会社や、サイトを作った制作会社に相談してください。あわせて、管理画面・サーバー・データベースのパスワードを変えます。
10. 手入れを続けるのが難しいサイトは
ここまでの手入れは、一度やれば終わりではなく、サイトを公開している限り続きます。作ってもらったまま誰も管理画面に入っていないサイトや、ほとんど更新していないサイトでは、この手入れが負担になりがちです。
IPAも、PHP2Shellの注意喚起の中で、対応できる体制を用意できない場合は、保守を受けられる形への移行や、公開の終了も含めて検討するよう求めていました。選択肢としては、次のようなものがあります。
- 保守を頼む: 制作会社や保守サービスに、WordPressとPHPの更新を任せる
- 静的なサイトに移す: 更新がほとんど無いサイトなら、ページをHTMLファイルに書き出して、PHPを使わないサイトにする（方法はWordPressを静的サイトに移行する方法で紹介しています）
- 公開をやめる: 役目を終えたサイトなら、データを保管したうえで閉じる
どれを選ぶにしても、まずは3章の「誰が何を管理しているか」と、4章の「PHPのバージョン」を確かめるところから始めてください。
参考にした情報
11. すぐサイトについて
最後に、この記事を書いている私たちのサービス、すぐサイトのアピールをさせてください。
すぐサイトは、HTMLファイルをアップロードするだけでホームページを公開できる、日本のホスティングサービスです。自分で作ったHTMLやAIに作ってもらったページをそのまま公開できるほか、文章と写真を入れるだけで作れる飲食店向けのテンプレートや、今のサイトをURLから取り込む機能もあります。料金は1サイト月額220円（税込）で、お店や会社のサイトなど商用にも使えます。初回30日間は無料で、クレジットカードを登録せずに試せます。
PHPやプラグインの更新がいらない
すぐサイトは、HTML・CSS・画像などのファイルをそのまま配信するサービスです。PHPもデータベースも使わないので、この記事で紹介したPHPのバージョンの確認や切り替え、プラグインの更新は必要ありません。配信に使うサーバーの手入れは私たちが行います。
今のWordPressのサイトをURLだけで取り込める
「既存サイトから移行」の機能を使えば、公開中のサイトのURLを入れるだけで、ページ・画像・CSSを集めて静的サイトとして公開できます。WordPressにプラグインを入れる必要はありません。手順はWordPressを静的サイトに移行する方法で、実際の画面とあわせて紹介しています。
サブドメインが無料でもらえる
サイトを作ると、https://好きな名前.mysugusite.com というURL（サブドメイン）が無料で付きます。ドメインを買ったり更新したりする費用はかかりません。WordPressで使っていたドメインを引き続き使いたい場合は、独自ドメインを設定してDNS設定を変更すれば切り替えられます。SSL証明書は自動で発行され、独自ドメインの利用に追加料金はかかりません。
ページの修正から公開まで、AIとの会話で終わる
すぐサイトはAI連携（MCP）に対応しているので、Claude・ChatGPT などのAIが、すぐサイトに置いてあるページを直接読んで修正し、そのままアップロードして公開まで進めます。管理画面から記事を書けなくなる代わりに、「お知らせのページを1つ追加して」と話しかけるだけで更新と公開の両方が終わります。接続方法はAI連携（MCP）の使い方で紹介しています。
