数百万円の予算を投じ、Web制作会社に美しくデザインしてもらったコーポレートサイトやオウンドメディア。
公開当初は社員一同で喜び、日々のブログや採用情報を更新していたものの、月日の経過とともに担当者が変わり、ふとWordPressの管理画面を開いてみると――。
「WordPressの更新」「15個のプラグインの更新」「PHPのバージョン警告」といった真っ赤なバッジがずらりと並んで放置されていませんか？
「制作会社に作ってもらったから、裏側も何となく守られているはず」「いま普通に表示されているし、壊れていないから大丈夫だろう」。
そう思い込んでいる企業が非常に多いですが、現実は極めて残酷です。結論から言えば、月額の「保守契約」を明示的に結んでいない限り、制作会社は納品後のサイトを1ミリも守っていません。
本記事では、なぜ納品後のWordPressが社内で放置されてしまうのかという構造的理由から、実際に起きるサイバー攻撃の実害、2026年に発生した重大な脆弱性の教訓、そして今すぐ取るべき3つの現実的な解決策まで徹底解説します！
1. なぜ「納品後のWordPress」は誰も守らなくなるのか？3つの根本原因
どれほど大手で信頼できる制作会社に依頼したとしても、納品から数年経ったWordPressサイトの多くがセキュリティの空白地帯になってしまうのには、明確な3つの理由が存在します。
① 「作ること」と「守り続けること」は、契約上まったく別の仕事だから
Webサイト制作の基本契約（請負契約）は、「Webサイトを完成させ、検収を経て公開・納品した時点」で法的に完了します。
瑕疵担保責任（契約不適合責任）の期間内であっても、それは「納品時に存在したプログラムの不具合」を直す義務であって、「納品後に新しく見つかった世界中のセキュリティ脆弱性に対応する義務」ではありません。月額の保守管理費用を支払っていない場合、制作会社側がボランティアで見守り続けることはビジネス上あり得ないのです。
② 更新が必要なことが「見た目では分からない」から
車なら車検があり、オフィスビルなら定期点検があります。しかし、Webサイトは内部のプログラムがどれほど古く危険な状態になっていても、外見上は何事もなく綺麗に表示され続けます。
「壊れていないから問題ない」「動いているからお金をかける必要がない」と経営陣や担当者が錯覚してしまうことこそが、WordPress放置問題の最大の罠です。
③ 担当者が変わると「知識・権限ごと社内から消える」から
Webサイトの発注を担当したマーケターや総務担当者が異動・退職した途端、管理の実態は一気にブラックボックス化します。
「サーバーの契約先がどこか分からない」「WordPressの管理者権限のパスワードが共有されていない」「ドメインの自動更新クレジットカードが誰のものか不明」といった状態に陥り、いざトラブルが起きたときには手遅れになるケースが後を絶ちません。
2. 放置されたWordPressに襲いかかる「4大実害」
「うちは大企業じゃないし、攻撃者に狙われるような機密情報もないから大丈夫」と考えるのは致命的な間違いです。現代のサイバー攻撃は、人間が手作業で狙うのではなく、インターネット中をボット（自動プログラム）が巡回し、脆弱性を放置しているサイトを無差別に攻撃しています。
| リスク | 具体的に起きる被害 | 企業が受ける損失 |
|---|---|---|
| ① サイト改ざん・踏み台化 | トップページが不正な広告や詐欺サイトに書き換えられる。知らぬ間に他社を攻撃する「踏み台」に悪用される。 | 企業信用の失墜、取引先への加害責任 |
| ② 個人情報・顧客データの漏洩 | お問い合わせフォームから送信された顧客の氏名、電話番号、メールアドレスがデータベースごと抜き取られる。 | 個人情報保護委員会への報告義務、損害賠償、謝罪対応 |
| ③ Google警告と検索順位の消滅 | Googleから「マルウェアが検出されました」「偽のサイト詐欺」と判定され、赤い警告画面が表示されて検索結果から除外される。 | Web集客の完全停止、売上の即時蒸発 |
| ④ レンタルサーバーの強制凍結 | 大量のスパムメール送信や不正通信を検知したホスティング会社により、サーバーのアカウントごと通信を遮断される。 | サイト閲覧不可、同一サーバー内の会社メール送受信停止 |
3. 【警鐘】2026年に激震が走った脆弱性「wp2shell（CVE-2026-63030）」の教訓
「プラグインをあまり入れていないから安全」という神話も、もはや通用しません。
2026年7月、WordPressのコア（本体機能）において、外部から認証なしでWebサイトを乗っ取ることが可能な極めて深刻な脆弱性（通称：wp2shell / CVE-2026-63030）が公表され、世界中のセキュリティ機関や国内主要サーバー会社が一斉に緊急警戒態勢を敷きました。
この脆弱性の恐ろしい点は、以下の通りです。
- ログインID・パスワードが強固でも無力化される：ログイン操作を経由せず、REST APIのバッチ処理の欠陥を突いてサーバー内部で任意のコードを実行される。
- プラグインの有無に関係なく攻撃対象になる：WordPress本体そのものに欠陥があるため、素のWordPressであってもバージョンが該当すれば即座に乗っ取りが可能。
- レンタルサーバー各社が緊急で通信遮断を実施：暫定措置としてサーバー会社側でAPI通信をブロックする事態に発展し、一部の外部連携機能が停止。
「数ヶ月間アップデートボタンを押していなかった」というだけで、世界中の攻撃スクリプトから丸裸の状態で晒される時代になっています。Webサイトの保守とは、単なる「お掃除」ではなく、企業のデジタル資産を守る防犯活動そのものなのです。
4. 放置サイトを救う「3つの現実的な選択肢」
では、現在社内にエンジニアがおらず、制作会社との関係も途切れてしまっている企業は、具体的にどうすればよいのでしょうか？現実的な解決策は3つあります。
選択肢A：専門の制作会社・保守会社に「月額保守」を依頼する（最も手堅い）
外部のプロに毎月の保守管理を正式に委託する方法です。
- 費用の相場：月額1万円〜5万円程度（サイト規模やバックアップ頻度、障害復旧サポートの有無による）
- メリット：WordPress本体やプラグインの定期アップデート、毎日の自動バックアップ、改ざん検知、万が一の画面崩れ時のロールバック対応をすべて任せられる。
- 注意点：制作してもらった当時の制作会社が対応していない場合は、「他社制作サイトの保守引き継ぎ」に対応している実績豊富な会社を探す必要があります。
選択肢B：社内で最低限の「自前セキュリティ運用体制」を構築する
予算の都合で外部委託が難しい場合、社内のWeb担当者が責任を持って最低限の防衛ラインを死守します。
- 定期バックアップの自動化：サーバー側の自動バックアップ機能、または「UpdraftPlus」等のプラグインで外部クラウド（Googleドライブ等）へ毎週バックアップを退避。
- ステージング（検証）環境での更新確認：いきなり本番環境で「全更新」を押すと画面が真っ白になる（いわゆるホワイトアウト）リスクがあるため、検証用環境でアップデートを試してから本番へ反映。
- 二要素認証（2FA）の必須化：管理画面ログインにワンタイムパスワードを導入し、総当たり攻撃（ブルートフォースアタック）を完全遮断。
- サーバーのWAF（Web Application Firewall）をONにする：エックスサーバーやConoHaなどのサーバーパネルから、標準提供されているWAF設定をすべて有効化する。
選択肢C：WordPressをやめ、「ヘッドレスCMS」や「静的サイト」へ移行する
中長期的な運用コストやセキュリティリスクを根本からゼロにしたい場合、「そもそもWordPressを使わないアーキテクチャへリプレイスする」という選択肢が近年急速に支持を集めています。
- ヘッドレスCMS（microCMS等）＋ 静的配信（Astro / Next.js）：データベースや管理画面を一般のWebサーバーから完全に切り離し、静的なHTMLファイルとして配信する仕組みです。
- 最大のメリット：サーバー上に攻撃対象となるPHPやWordPressが存在しないため、「WordPress本体の脆弱性によるサイト改ざん」が原理的に100%発生しなくなります。面倒なプラグインの更新作業や保守費用からも永久に解放されます。
5. 今すぐ自社サイトをチェック！WordPress健康診断シート
自社のWebサイトが危険な状態にないか、以下の5項目を今すぐチェックしてみてください。
| チェック項目 | 危険シグナル | 判定 |
|---|---|---|
| 1. 管理画面の更新バッジ | 「更新」の横に赤い丸で「5」以上の数字が表示されている | 要警戒 |
| 2. バックアップの有無 | 過去1ヶ月以内に「復元可能な完全バックアップ」を取得していない | 危険 |
| 3. PHPのバージョン | サーバーで稼働中のPHPバージョンが「7.x」または「8.0以下」（公式サポート終了済） | 危険 |
| 4. ログインURLとユーザー名 | ログインURLが初期値（/wp-login.php）のままで、ユーザー名が「admin」 |
超危険 |
| 5. 担当者の引き継ぎ状況 | サーバーやドメインの管理画面にアクセスできる人間が社内に1人もいない | 即死レベル |
1つでも「危険」に該当した場合は、いつ不正アクセスや表示崩壊が起きてもおかしくない状態です。早急な現状把握と対策の着手をおすすめします。
6. まとめ：Webサイトは「公開してから」が本当のスタート
Webサイトは、一度作れば永久に動き続けるパンフレットではありません。インターネットという荒波の中で、常にサイバー攻撃の脅威に晒されている「生きているソフトウェア」です。
- 「制作会社に作ってもらったから安心」は幻想。保守契約を結んでいなければ誰も守っていない。
- 放置されたサイトは、改ざんや情報漏洩、Google検索除外といった壊滅的な被害を招く。
- 外部への保守委託、自社での運用ルール策定、またはヘッドレスCMSへの移行など、自社に合った守り方を今すぐ選択する。
企業が何年もかけて積み上げてきた信頼と売上を、たった1回の不正アクセスで吹き飛ばさないために。いま一度、自社のWordPressサイトの「防犯体制」を見直してみませんか？
