WordPressサイトに保守管理が欠かせない理由

研究室や研究プロジェクトのホームページをWordPressで運用されている方は多いかと思います。WordPressは専門的な知識がなくてもブラウザ上で手軽に記事を追加できる便利なシステムですが、実は「作って終わり」にはできない仕組みでもあります。

HTMLだけで作られたホームページとは異なり、WordPressはサーバー上のプログラムとデータベースによって動いています。そのため、サイトを公開した後も、PHPやWordPress本体・プラグインのバージョンアップ、データのバックアップ、万が一の攻撃や不具合への備えといった保守管理を続けていく必要があります。今回は、なぜ保守管理が必要なのかを解説するとともに、ご自身でもすぐにできるセキュリティのチェックポイントをご紹介します。

PHPのサポート終了と脆弱性の問題

WordPressは「PHP」というプログラミング言語で動いています。PHPには各バージョンごとにサポート期限があり、期限を過ぎたバージョンにはセキュリティ上の問題（脆弱性）が見つかっても修正が提供されなくなります。主なバージョンのセキュリティサポート期限は以下のとおりです。

PHPのバージョン	セキュリティサポート期限
PHP 7.4以前	終了済み（7.4は2022年11月）
PHP 8.0	終了済み（2023年11月）
PHP 8.1	終了済み（2025年12月）
PHP 8.2	2026年12月31日で終了
PHP 8.3	2027年12月31日まで

※2026年10月時点の情報です。

WordPressの公式サイトでも、現在はPHP 8.3以上での運用が推奨されています。数年前に制作したサイトでは、すでにサポートの終了したPHPのまま動いているケースも少なくありません。サポートの終了したPHPや古いWordPressを使い続けていると、見つかった脆弱性を悪用され、第三者から攻撃を受ける危険性が高まります。

ホームページが正常に表示されているからといって、安全な状態とは限らないのです。

バージョンアップは意外と難しい

それでは、PHPやWordPressを常に最新版にしておけば安心かというと、そう単純な話でもありません。

WordPressでは、本体のほかに「テーマ」や「プラグイン」と呼ばれる部品が組み合わさって動いています。古いテーマやプラグインは新しいPHPに対応しておらず、バージョンを上げた途端に画面が真っ白になったり、レイアウトが崩れたり、一部の機能が動かなくなったりすることがあります。プラグインを更新した結果、プラグイン同士の相性によって不具合が起きることもあります。特に、何年も更新されていないプラグインを使っている場合は注意が必要です。

また、大学や研究所のサーバーでは、PHPのバージョンを自由に変更できず、サーバー管理者との調整が必要になることもあります。逆に、情報部門のセキュリティ方針によってPHPのバージョンが一斉に引き上げられ、ある日突然サイトが表示されなくなってしまった、というご相談をいただくこともあります。

「怖くて更新ボタンを押せない」という声もよく伺いますが、更新しないまま放置するのが最も危険です。更新前にバックアップを取り、更新後に表示や動作を確認し、問題があればテーマやプラグインを修正する、という作業を定期的に繰り返すことが大切です。

バックアップは「取っている」だけでは不十分

WordPressのサイトは、画像やプログラムなどのファイルと、記事の内容や各種設定が保存されたデータベースの2つで構成されています。どちらか一方だけをバックアップしていても、サイトを元どおりに戻すことはできません。

また、バックアップファイルが壊れていたり、必要なデータが含まれていなかったりすると、いざという時に復旧できません。バックアップをサイトと同じサーバー上にだけ保存している場合は、サーバーの障害や攻撃の際にバックアップごと失われてしまうおそれもあります。さらに、「バックアップはあったものの、戻し方が分からない」ということも珍しくありません。

バックアップは、定期的に取得し、サーバーの外にも保管し、必要な時に復元できる状態にしておいて初めて意味を持ちます。

攻撃や改ざんの被害は研究機関の信用にも関わる

WordPressは世界中で広く使われているため、攻撃者にとっても格好の標的です。管理画面へのパスワード総当たり攻撃や、脆弱性を突いたサイトの改ざん、閲覧者を悪質なサイトへ自動的に転送する仕掛けや、知らないうちにスパムへのリンクが埋め込まれるといった被害が実際に起きています。管理者アカウントが乗っ取られたり、個人情報が流出したりするおそれもあります。

研究機関のサイトが改ざんされると、閲覧者に被害が及ぶおそれがあるだけでなく、大学や研究所の信用にも関わります。所属機関の情報部門からサーバーの停止を求められ、しばらくサイトを公開できなくなってしまうこともあります。何か起こってからでは、復旧に多大な時間と費用がかかることも少なくありません。被害に気付いたときに、すぐに原因を調べて復旧できる体制を整えておくことが重要です。

ご自身でできるセキュリティチェック

ここで、WordPressのサイトを運用されている方がご自身で確認できるポイントをまとめました。ぜひ一度、ご自分のサイトを見直してみてください。

なお、WordPressやプラグインのバージョンは管理画面から確認・更新できますが、PHPのバージョン変更はサーバー側での作業が必要になることがほとんどです。

また、研究室のサイトでは学生の方や職員の方が管理を兼任されていることも多く、担当者の卒業や異動をきっかけに、メンテナンスが長期間行われなくなってしまうことがよくあります。卒業後もアカウントが残ったままになっているケースも珍しくありません。年度の切り替わりの時期などに、あわせて見直していただくのがおすすめです。

弊社のWordPress保守プランのご案内

とはいえ、こうした確認や作業を研究や業務の合間に継続していくのは、なかなか大変なことかと思います。弊社では、WordPressのサイトを安心して運用していただくための「WordPress保守プラン」をご用意しております。

プラン名	内容	1年間の料金（税込価格）
WordPress 保守プラン	・定期的なバックアップの取得 ・WordPress本体・プラグイン・テーマのアップデートと動作確認 ・PHPのバージョンアップへの対応 ・サイトが攻撃を受けた場合や不具合が発生した場合の調査・復旧対応	￥264,000

普段の記事の投稿や研究業績の追加といった更新作業は、これまでどおりお客様ご自身で行っていただけます。更新の自由度はそのままに、専門的な知識が必要な技術面の保守管理だけを弊社にお任せいただけます。

サーバーの仕様変更でサイトが表示されなくなった、改ざんされてしまった、といった万が一の場合にも弊社で対応いたしますので、担当者が替わってもメンテナンスが途切れる心配がなく、「何かあったらどうしよう」と悩むことなく、本来の研究や情報発信に専念していただけます。

※基本的に、記事の追加などの更新作業はこちらのプランには含まれません。更新作業もご依頼されたい場合は、年契約の更新プランをご検討ください。

最後に

WordPressは便利なシステムですが、その便利さと引き換えに、継続的なメンテナンスが欠かせません。すでにWordPressでホームページを運用されている方も、これから導入を検討されている方も、保守管理に不安がございましたらお気軽にご相談ください。

• 
• 
•