WordPress を更新しないとどうなる？ 放置で起きることと安全な更新手順

WordPress の「更新」は、本体・プラグイン・テーマのそれぞれで、セキュリティの修正や機能の追加のたびに出ます。管理画面に「更新があります」と出ていても、崩れるのが怖くて触れていない会社は少なくありません。

更新しないと何が起きるかを把握すると、放置してよいものと、すぐに対応すべきものを区別できます。更新の手順と戻し方を知っておけば、崩れる不安も小さくできます。

本記事では、WordPress を更新しないと起きること・2026年に実際に出た脆弱性・自社のサイトの確かめ方をまとめています。さらに、安全に更新する7つの手順と、不具合が出たときの対処も紹介します。

WordPress を更新しないとどうなるか【早見表】

WordPress を更新しないと、公表された弱点が残ったままになり、HPを乗っ取られる危険が続きます。更新とは、見つかった弱点を直した新しい版に入れ替えることだからです。

危険は、ある日を境に急に始まるものではなく、放置した期間に応じて積み上がります。ここでは、更新しないと起きることを1枚の表にまとめます。

起きること	具体的な影響	起きやすくなる時期
公表された脆弱性を突かれる	HPの乗っ取り・改ざん・個人情報の漏えい	修正版が出た直後から
公式のサポートから外れる	古い版には修正が出ない	新しい版が出たあと
部品どうしの組み合わせが崩れる	表示崩れ・機能の停止	1年以上放置したころから
新しい機能や改善を受けられない	編集のしにくさ、表示の遅さが残る	大きな更新を見送るたび

※2026年10月時点・WordPress.org の公式情報をもとに作成

表の1行目が、最も被害の大きい危険です。以下では、まず WordPress の「更新」が何を指すかを説明します。

WordPress の更新とは

WordPress の更新とは、本体・プラグイン・テーマを、作った側が出した新しい版に入れ替えることです。新しい版には、脆弱性（ソフトウェアの弱点）の修正や、機能の追加が含まれます。

WordPress のサイトは、複数の部品の組み合わせで動いています。ここでは、更新の対象になる部品と、更新の種類を説明します。

WordPress のサイトを作る4つの部品

WordPress のサイトは、本体・プラグイン・テーマ・PHP の4つの部品でできています。どの部品にも脆弱性が見つかることがあり、それぞれ更新する場所が違います。

部品	役割	更新する場所
WordPress 本体	サイトの土台	管理画面の「ダッシュボード」→「更新」
プラグイン	問い合わせフォームなどの機能を足す部品	管理画面の「プラグイン」
テーマ	デザインのひな形	管理画面の「外観」→「テーマ」
PHP	WordPress を動かすプログラムの言語	サーバー会社の管理画面

4つのうち PHP だけは、WordPress の管理画面からは更新できません。PHP の期限は PHP 8.2 のサポート終了は12月31日。中小企業のHPでやること にまとめています。

大きな更新と小さな更新

WordPress 本体の更新には、機能が変わる大きな更新と、修正が中心の小さな更新があります。番号の2つ目までが変わるのが大きな更新、3つ目だけが変わるのが小さな更新です。

• 大きな更新（メジャー）：7.0 → 7.1 のように変わる。新しい機能が入る
• 小さな更新（マイナー）：7.1.2 → 7.1.3 のように変わる。セキュリティや不具合の修正が中心

たとえば、2026年10月6日に出た WordPress 7.1.3 は、セキュリティの修正7件と不具合の修正4件を含む小さな更新でした。小さな更新ほど、すぐに入れる意味が大きいと考えてください。

更新が出たことに気づく方法

WordPress の更新は、予定日が知らされずに突然出ることがあるため、気づける経路を複数持っておくことが重要です。重大な脆弱性の修正は、見つかってから短い期間で公開されるからです。

気づく経路	分かること
管理画面の「ダッシュボード」→「更新」	本体・プラグイン・テーマの更新の有無（メニューに数字が付く）
自動更新の結果のメール	自動で更新されたもの、失敗したもの
WordPress.org News	本体の新しい版と、含まれるセキュリティの修正
サーバー会社のお知らせのメール	重大な脆弱性の注意喚起と、各社の対応

ただし、管理画面の通知は、誰かがログインしなければ目に入りません。月に1回はログインする日を決めておくと、更新の見落としを防げます。

WordPress を更新しないと起きる4つのこと

WordPress を更新しないと、セキュリティ・サポート・組み合わせ・機能の4つの面で問題が起きます。中でも、セキュリティの問題は、放置するほど被害の可能性が高まります。

ここでは、更新しないと起きることを、2026年に実際に出た公式の発表とあわせて4つ紹介します。

公表された脆弱性を突かれて乗っ取られる

更新しないで最も危ないのは、公表された脆弱性を突かれて、HPを乗っ取られることです。修正版が出ると、どこが弱かったかも同時に知られるため、更新していないサイトが狙われやすくなります。

2026年にも、WordPress 本体に重大な脆弱性が見つかっています。

時期	できごと
2026年7月17日	WordPress 7.0.2・6.9.5・6.8.6 を公開。REST API（外部とやりとりする仕組み）の不具合と SQL インジェクション（データベースを不正に操作する攻撃）が重なり、外からプログラムを実行される恐れがある問題などを修正（CVE-2026-60137／63030、通称 wp2shell）。WordPress.org は自動更新の仕組みで強制的な更新を行った
2026年7月下旬	スペインの INCIBE-CERT が、更新していないサイトへの攻撃を複数のセキュリティ会社が確認したと報告。管理者のアカウントの作成や、不正なプラグインの設置などが観測された
2026年9月24日	エックスサーバーが、WordPress 本体の脆弱性（CVE-2026-87902）について注意喚起。ログイン不要で、条件によってはサイトを乗っ取られる恐れがあるとして、各系統の最新版への更新を呼びかけた
2026年10月6日	WordPress 7.1.3 を公開。セキュリティの修正7件を含む

※2026年10月時点・WordPress.org News・INCIBE-CERT・エックスサーバーより

上記のとおり、2026年だけでも、本体の更新を見送ったサイトが攻撃にさらされる場面が繰り返し起きています。wp2shell の詳しい話は WordPress 本体の脆弱性「wp2shell」とは。自社サイトの確認手順 にまとめています。

公式のサポートから外れる

WordPress.org が公式にサポートするのは、最新版の WordPress だけです。古い版に修正を出すことはありますが、セキュリティチームは「サイトが自動で更新されることを期待した、好意による対応」と説明しています。

たとえば、2025年7月には、WordPress 4.1〜4.6 へのセキュリティ更新が終わりました。古い系統は、修正が出る保証がない状態です。

ただし、公式のサポートが続く間でも、更新しなければ修正は届きません。サポートの有無より、実際に最新版が入っているかが重要です。

プラグイン・テーマ・PHP との組み合わせが崩れる

WordPress 本体だけを古いまま放置すると、プラグイン・テーマ・PHP との組み合わせが崩れていきます。プラグインやテーマの作者は、新しい WordPress と新しい PHP に合わせて開発を進めるからです。

たとえば、WordPress の開発者向けの対応表では、PHP 8.5 に対応するのは WordPress 6.9 以降です。本体が古いままだと、PHP を上げられず、PHP のサポート期限を越えてしまうことがあります。

ただし、長く放置したあとに一度に更新すると、組み合わせが一気に変わって崩れやすくなります。こまめに更新するほうが、1回の作業の危険は小さくなります。

新しい機能や改善を受けられない

更新しないと、編集画面の改善や新しい機能を受けられません。大きな更新には、管理画面の使いやすさや、表示の処理の見直しが含まれることがあるためです。

たとえば、プラグインの作者が新しい WordPress の機能を前提に開発を進めると、古い WordPress では最新のプラグインを使えなくなります。

ただし、機能の差は、セキュリティの危険に比べれば急ぐ理由になりにくい面です。更新の判断は、セキュリティの修正を基準にしてください。

更新しないで乗っ取られた WordPress で起きること

更新しないで乗っ取られた WordPress では、見た目の変化だけでなく、お客さまに被害が及ぶことが起きます。乗っ取った側は、HPを別の目的に使うために、気づかれにくい形で手を入れるからです。

被害が出たときの対応は、時間とともに大きくなります。ここでは、乗っ取られたHPで起きることを紹介します。

• 開くと別の怪しいサイトに飛ばされる（スマートフォンだけのこともある）
• 検索結果に、身に覚えのないページが大量に出る
• Google で「危険なサイト」と警告され、お客さまが開けなくなる
• 問い合わせフォームに入力された個人情報が盗まれる
• 知らない管理者アカウントが作られる

上記のような症状に気づいたら、更新より先に被害を広げない対応が必要です。いま被害が出ているなら、ひとりで抱え込まずに HPが改ざんされたときに最初にやること から確かめてください。

自社の WordPress が更新されているか確かめる方法

自社の WordPress が更新されているかは、管理画面の数か所を見れば確かめられます。1つでも「新しいバージョンがあります」と出ていれば、更新が必要な状態です。

ここでは、確かめる場所と危ない状態を表にまとめ、あわせて自動更新の確かめ方を紹介します。

確かめること	見るところ	危ない状態
WordPress 本体のバージョン	「ダッシュボード」→「更新」、または「ツール」→「サイトヘルス」→「情報」	新しいバージョンがあると出ている
プラグインの更新	「プラグイン」の一覧	更新の通知が並んでいる
更新が止まったプラグイン	配布ページの最終更新日	何年も更新されていない
テーマ	「外観」→「テーマ」	更新があるのに放置、配布元が見つからない
PHP のバージョン	「ツール」→「サイトヘルス」→「情報」→「サーバー」	8.2 以下
管理画面へのログイン	—	誰もログイン情報を知らない

1つでも当てはまれば、更新が必要です。管理画面にログインできない場合は、ログイン情報を持つ制作会社や前の担当者に確かめるところから始めてください。

自動更新が動いているかも確かめる

自動更新をオンにしていても、実際に更新されているかを月に1回は確かめます。自動更新は、サーバーの設定や WordPress の予定実行の仕組み（WP-Cron）が正しく動かないと失敗することがあるからです。

WordPress 5.5 以降では、プラグインとテーマごとに自動更新をオンにでき、結果はメールで届きます。エックスサーバーも2026年9月の注意喚起で、自動更新を有効にしている場合も管理画面で更新の完了を確かめるよう呼びかけています。

ただし、自動更新をオンにすると、崩れたことに気づくのが遅れる場合もあります。自動更新の考え方は WordPress の自動更新はオンにすべき？ 止まったときに気づく方法 にまとめています。

WordPress を安全に更新する手順【7STEP】

WordPress は、バックアップを取ってから、部品を1つずつ更新して表示を確かめる順で進めると安全です。崩れたときに、どの更新が原因かがすぐに分かるからです。

ここでは、更新の手順と、不具合が出たときの対処を紹介します。

1. バックアップを取る：ファイルとデータベースの両方。サーバー会社の自動バックアップの日数も確かめる
2. 検証用の環境で試す：サーバー会社によっては、本番とは別のコピーで試す仕組みがある
3. プラグインを1つずつ更新する：そのたびに表示を確かめると、崩れたときに原因が分かる
4. テーマを更新する：テーマを書き換えている場合は、上書きで変更が消えないか先に確かめる
5. WordPress 本体を更新する：「ダッシュボード」→「更新」から進める
6. PHP を上げる：8.2 以下なら、サーバー会社の管理画面で 8.3 以上へ
7. 表示と動作を確かめる：トップページ・問い合わせフォームの送信・管理画面の投稿まで見る

使っていないプラグインやテーマは、止めるだけでなく削除します。ファイルが残っていれば、止めていても狙われることがあるためです。バックアップの取り方は WordPress のバックアップの取り方と、戻せるかの確認 にまとめています。

更新で不具合が出たときの原因と対処

更新のあとに不具合が出たら、原因の見当をつけてから、元に戻すか直すかを決めます。むやみにファイルを触ると、原因が分からなくなるためです。

症状	考えられる原因	対処
レイアウトが崩れる	テーマが新しい版に未対応	テーマを更新する。直らなければバックアップから戻す
一部の機能が動かない	プラグインどうしの相性	検証用の環境でプラグインを1つずつ止めて特定する
「重大なエラー」が出る	プラグインやテーマが処理を止めるエラーを出している	管理者宛てのリカバリーモードのメールを確かめる
PHP を上げたら崩れた	テーマ・プラグインが新しい PHP に未対応	PHP を元に戻し、原因を直す
表示が古いまま	キャッシュ（一時保存）が残っている	キャッシュのプラグインやブラウザのキャッシュを消す

更新して崩れたからといって、古い版に戻したまま放置しないでください。PHP を上げて崩れたときの対処は PHP バージョンアップで表示崩れ。原因と戻し方、直す順番 にまとめています。

長く更新していない WordPress を専門家に相談すべきとき

長く更新していない WordPress は、一度に最新にすると崩れやすく、すでに改ざんされている可能性も考える必要があります。更新の前に、状態を確かめることが重要です。

次の条件に当てはまる場合は、更新の前に専門家に相談するほうが安全です。

• 2年以上、WordPress 本体を更新していない
• PHP が 8.1 以前のまま動いている
• 制作会社が書き換えたテーマや、手作りのプログラムを使っている
• 知らない管理者アカウントや、身に覚えのないページがある
• ネットショップや予約フォームがあり、長く止められない

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。

まとめ

• WordPress を更新しないと、公表された脆弱性を突かれて乗っ取られる危険が残り続ける
• WordPress.org が公式にサポートするのは最新版だけで、2026年もログイン不要で乗っ取られる恐れのある脆弱性が出た
• 本体・プラグイン・テーマ・PHP の4つを、バックアップを取ってから1つずつ更新する
• 自動更新に任せきりにせず、月に1回は管理画面で最新か確かめる

まずは管理画面の「ダッシュボード」→「更新」を開き、更新が残っていないかを確かめましょう。