はじめまして、株式会社MintSparkの堤です。
WordPressやプラグインの脆弱性に関するニュースを見るたび、「うちのホームページは、このままで大丈夫だろうか」と気になる。制作会社に任せていても、何をどこまで対応してもらっているか分からないと、不安は残りますよね。
最近は、プラグインの更新版を配信する前に、自動でセキュリティを審査する仕組みも加わりました。
MintSparkは、WordPressを使い続けることも選択肢だと考えています。その大前提は、本体・テーマ・プラグインの修正やバージョンアップを適切に行うこと。当社のこのサイトもWordPressで運用しています。製品名だけで結論を出すより、脆弱性への対応を誰が続けるのかを確認したいところです。
この記事でお伝えしたいこと
- 脆弱性の報告では、本体・テーマ・プラグインのどこに問題があり、自社で使っているものが該当するかを確かめます。
- 配信前の審査が強化されても、利用中のソフトウェアの更新と確認を続ける担当が必要です。
- 更新を続ける体制が難しい場合は、保守の任せ方、構成の簡素化、他の仕組みへの移行を比べます。
WordPressの脆弱性報告が気になる。自社も対象なのか
セキュリティ企業Patchstackの2026年版報告書では、2025年にWordPress関連で見つかった新たな脆弱性を11,334件と集計しています。同社の集計では、報告の大部分はプラグインやテーマに関するものでした。出典：Patchstack「State of WordPress Security in 2026」（2025年の集計）。
これは本体に加え、追加機能なども含めた件数です。自社サイトにある問題の数や、被害が起きた件数とは分けて読みます。実際の対応に使うのは、自社で使っている製品名、対象のバージョン、提供された修正と推奨される対応です。
プラグインは、問い合わせフォームなどの機能を加えるソフトウェア。テーマは、表示やデザインなどを担う仕組みです。WordPress本体とは開発元が異なるものもあり、それぞれの更新情報を確認します。脆弱性のニュースに出たプラグイン名が分かったら、制作会社に「うちで使っているものですか。対象なら、どんな対応が必要ですか」と聞くところから始められます。
2026年に加わった、プラグイン更新版のセキュリティ審査
WordPress公式のプラグインチームは、2026年9月9日、更新版の自動セキュリティ審査について発表しました。WordPress.org経由で配信される更新版について、複数のAIモデルと検査ツールで変更箇所を調べ、高いリスクと判定された更新版の配信を止める仕組みです。出典：WordPress公式「Automated security review for plugin releases」（2026年9月9日）。
新しいプラグインを登録する際の審査に加えて、その後の更新版も配信前に確認する取り組みです。公式ハンドブックでは、2026年6月から設けられた配信前の待機期間中に審査すると説明しています。出典：WordPress公式「Automated Security Review」。
自社では、配信前の審査に加えて、何を導入しているかを把握し、提供された修正を適用し、更新後に動作を確かめる運用を続けます。WordPress.org以外から購入した追加機能や独自開発の機能は、開発元の確認体制や更新方法も個別に確かめておく部分です。
使い続けるなら、修正とバージョンアップを運用に組み込む
WordPressで記事を公開しやすく、必要な機能もそろっている。その使い方が合っているなら、当社は継続する案も検討します。ただ、更新を止めたまま使う運用は見直しが必要です。
WordPress公式は本体を最新のバージョンへ更新すること、プラグインやテーマも最新に保つことを案内しています。脆弱性情報が出たときは対象と修正版を確認し、開発元の緊急度の案内を踏まえて対応します。出典：WordPress公式の更新手順、WordPress公式のプラグイン・テーマ自動更新の説明。
修正版を待つ間は、開発元が示す回避策を確認し、機能の停止や代替への切り替えも含めて担当者と判断します。Patchstackの報告書にも、公表時点では修正版の提供が間に合わなかった事例が記載されています。出典：Patchstack「State of WordPress Security in 2026」（2025年の集計）。
更新作業と結果の確認まで、誰が担当するかを決めておきます。バックアップや自動更新の通知などは、WordPressの更新・保守で制作会社に確認したい項目にまとめています。
また、更新は対策の土台です。使わない追加機能の整理、管理者の認証、バックアップなども合わせて整えます。WordPress公式の対策ガイドも、プラグインの更新や不要なものの削除に加え、認証やバックアップを案内しています。出典：WordPress公式のセキュリティ対策ガイド。
続ける・任せる・構成を変える。更新を続けられるかで考える
更新と確認を任せられる担当がいて、サイトの機能も今の仕事に合っているなら、WordPressを使い続ける案があります。記事や編集に慣れた担当者を生かせることも、継続を考える理由になります。
一方、兼務担当者に任せきりで、修正版への対応が後回しになっているなら、保守契約や外部へ任せる範囲を見直します。作業を依頼する際は、対象の追加機能、更新後の確認、不具合時の対応まで含めて、分担を合わせておくとよいですね。
社内でも外部委託でも更新を続ける体制が組めない場合は、必要な機能を絞って構成を簡素にする案と、他の仕組みへ移す案を比べます。使っていない機能を整理するだけで足りるのか、サイトの役割そのものを見直すのかで、必要な作業が変わります。
保守費は、脆弱性への対応まで含めて比べる
不安を減らすために保守を頼み直すなら、月額の安さと合わせて、何を担当してもらえるかを確認します。サーバーの利用料、ソフトウェアの保守、文章の修正では、頼む仕事が違います。
| 比べる費用 | 確認したい作業や条件 |
|---|---|
| 日々の維持・保守費 | 本体・テーマ・プラグインの更新、更新後の確認、不具合対応が含まれる範囲 |
| 社内の作業時間 | 通知の確認、制作会社への依頼、原稿の用意、公開内容の確認を誰が担うか |
| 構成変更・移行の費用 | 残す機能、記事や画像の移行、フォームや計測の設定、URLの引き継ぎ |
例えば3年で比較するなら、最初にかかる費用、36か月分の維持費、その間に必要な追加作業費をそろえます。社内の作業時間は別の欄に置き、移行後も誰にどんな仕事が残るかを確認してください。比較期間は、サイトを使う予定や契約に合わせて変えて構いません。
乗り換え先でも、残る管理と引き継ぎを確認する
会社案内が中心なら、ページをあらかじめ作成して配信する「静的サイト」も候補です。WordPress自体を使わない構成に変えれば、本体やプラグインの更新は対象から外れます。問い合わせフォームや配信サービスなど、残す仕組みの管理を含めて比較します。
静的なページを配信しながら、編集用のWordPressを残す方法もあります。例えばSimply Staticは、WordPressで内容を編集して静的なページを書き出す仕組みです。編集側を残す場合は、その更新やバックアップも運用に含めます。出典：開発元によるSimply Staticの説明、WordPress公式の更新手順。
移行する際は、記事データの書き出しと、画像・デザイン・追加機能の移行を分けて確認します。WordPressの標準エクスポートは、記事などのデータをXML形式で取り出す機能です。移行先で取り込める内容と、作り直す部分を見積もりに含めてもらってください。出典：WordPress公式のエクスポート仕様。
URLが変わる場合は、古い記事と新しいページの対応を整理し、転送を準備します。Googleも、URLが変わるサイト移行では対応付けやリダイレクトを案内しています。公開後はフォームの動作や、検索からのアクセスも追って確認します。出典：Google公式のサイト移行ガイド。
結論：WordPressを続けるなら、脆弱性への対応を続ける体制を
脆弱性のニュースを見て不安になったとき、当社がまず確認したいのは、利用中の構成を把握し、必要な修正を適用し、その結果を確認する担当がいるかです。
その体制を整えられ、仕事にも合っているなら、WordPressを使い続ける選択があります。負担が大きい場合は、保守の任せ方や構成を見直す。そこまで含めて考えるのが、MintSparkのスタンスです。
参考・出典
- Patchstack「State of WordPress Security in 2026」（2025年の集計）
- WordPress公式「Automated security review for plugin releases」（2026年9月9日）
- WordPress公式「Automated Security Review」
- WordPress公式の更新手順
- WordPress公式のプラグイン・テーマ自動更新の説明
- WordPress公式のセキュリティ対策ガイド
- 開発元によるSimply Staticの説明
- WordPress公式のエクスポート仕様
- Google公式のサイト移行ガイド
一次情報の確認日：2026年10月18日。脆弱性の件数はPatchstackによる2025年の集計です。判断図と比較表は、記載した仕様や対策を踏まえてMintSparkが整理しています。
更新を任せるか、仕組みを変えるか。迷っている段階から相談できます
「更新しているはずだけれど、何を確認すればいいか分からない」「今の担当者に任せ続けるのは負担が大きそう」。そうした状況からお聞かせください。
初回は30分、オンラインでサイトの使い方、現在の保守体制、不安に感じている点を伺います。制作会社に確認する内容や、継続・保守の見直し・乗り換えを比べる項目を一緒に整理します。こうしたご相談は一例です。サイト以外のITのお悩みもお聞かせください。セキュリティ相談でお手伝いできることもご覧いただけます。
詳しい調査や設定変更、改修・移行をご希望の場合は、対象と作業範囲を確認して別途お見積もりします。
お申し込み後、2営業日以内にご連絡し、相談日時を調整します。