WordPressの点検と見張りを、AIに任せる｜Claude Codeスキル（PHP・プラグイン・管理者・控えの点検と、毎週の報告）

はじめに

こんにちは、投資家JACKです。
2026年10月21日、WordPress などが動いている土台の PHP に見つかっていた重大な問題について、くわしい内容と修正版が公式に発表されました。
SNS では「WordPress はもう危ない」という声が一気に広がりました。
私も、このブログを含めて、WordPress のサイトをいくつも運営しています。
そこで、AI の Claude（クロード）に手伝ってもらいながら、サーバーの中を2日かけて総点検しました。
点検してみると、想像していたより多くの問題が出てきました。

どれも、控えを取ってから、1つずつ片付けました。
最後に、私自身のサーバーのために、毎朝と毎週、自動でサーバーを点検して、サーバーの外にも控えを取る仕組みを作りました。

私はプログラマーではありません。
ターミナル（文字で命令を打ち込む画面）も使えません。
それでも、Claude Code（クロード・コード）に頼むことで、ここまでできました。
ただし、丸投げはしていません。
大きな変更の前には必ず控えを取り、何を消すか・何を変えるかは、私が内容を聞いて確かめてから進めてもらいました。

この教材は、そのとき Claude Code と一緒にやった点検と見張りのやり方を、ほかの人も使える「スキル」（Claude Code に覚えさせる手順書と道具）にまとめ直したものです。

この教材には、Claude Code に貼り付けて道具一式を作る文章が入っています。
道具ができたあとは、SSH の鍵の登録、サーバーの指紋の確認、サイトの設定、控えの置き場所、自動の実行の登録を、Claude Code の案内に沿って、あなたの手で進めます。
使う環境によっては、追加の設定や手直しが要ります。

見本

見本1：架空のサイトの点検の報告
この教材には、架空の2つのサイトの点検結果が、見本として入っています。
1つは、何年も手入れをしていない店のサイトです。
もう1つは、手入れの行き届いたブログです。
店のサイトには、私のサーバーで実際に見つかったのと同じ種類の問題を入れてあります。
見本を開くと、こんな報告ができます。

いちばん上に、赤い注意が出ます。
店のサイトの uploads（画像などの置き場）に PHP のファイルがあるので、「不正に入られた疑いにつながる項目があります。片付けや更新を続けず、記録を残して相談してください」と出ます。
その下の「高（すぐ確かめる）」には、6件が出ました。

その下に「中」が12件、「低」が5件、「参考」が3件続きます。
1件ずつ、「何が・なぜ危ない・どうする」が書いてあります。
手入れの行き届いたブログの方は、更新が1つ、公式の配布元に見つからないプラグインが1つ（疑い）、初めての点検でだけ出る「管理者に心当たりがあるか」の確認だけでした。
見本2：毎朝の確認
毎朝、各サイトのページを開いて、エラーの文字が出ていないか、中身が空になっていないかを見ます。
見本では、お知らせのページに PHP の警告が出ているのを見つけて、知らせます。

見本3：スマホの幅とダークモード
報告は、スマホの幅でも読めます。
文字は大きめにしてあります。

見本4：私のサーバーで動かしたとき
私のサーバーの6つの WordPress を点検すると、約2分で終わりました。
片付けたあとなので、「高」は0件でした。

この方法でできること

管理画面からは見えないものがあります。
公開フォルダに置き忘れた控え、uploads に紛れた PHP のファイル、作ったことを忘れた古い WordPress。
この仕組みは、SSH（サーバーに安全につなぐ仕組み）で中に入り、決まった命令で情報を取ります。
サーバーに送ってよい命令は「許可リスト」に書いてあり、それ以外の命令や、ファイルを書き換える形の命令は、送る前に止まります。
ファイルの書き換え・削除と、データベースの書き換えはしない設計です。
ただし、命令を動かすと、サーバーの側で一時ファイルや記録が作られたり、更新されたりすることがあります。
サーバーに一切の変更が起きないことまでは、保証できません（第4章にくわしく書きます）。

控えらしいファイルを見つけたら、そのファイルの住所に外から聞いて、取れそうかを調べます。
中身は受け取らない聞き方です。
応答だけでは確定できないこともあり、そのときは「確認が必要」と出ます。

WordPress の公式の配布元（WordPress.org）には、プラグインの情報を返す公開の窓口があります。
入っているプラグインを1つずつ問い合わせて、「配布停止（確認済み）」「配布元に見つからない（疑い）」「問い合わせられなかった（確認できない）」に分けます。
止められた理由と日付は、取れたときだけ書きます。
問い合わせに失敗したものを「危ない」とは決めません。

報告は、高・中・低・参考の4段です。
専門用語をなるべく使わずに、短く書きます。
分からない項目は、Claude Code に「これを説明して」と頼めば、言い換えてくれます。

毎週の点検では、前回の管理者とプラグインの一覧と見比べます。
知らない間に管理者が増えていたら、「高」で知らせます。
不正に入られたとき、最初に管理者を作られることがよくあるからです。

サーバーにトラブルが起きたとき、サーバーの中の控えは一緒に使えなくなることがあります。
この仕組みは、データベースとファイルを、あなたの Mac に取ります。
データベースは、書き出した中身をそのまま Mac に受け取り、サーバーに控えの保存ファイルを作らない方式です。

Mac の「決まった時刻に動かす係」（launchd）に登録します。
毎朝は、ページが開くか。
毎週は、控えと点検。
ただし、決まった時刻に必ず動くわけではありません。
その時刻に Mac が眠っていれば起きたときに動き、電源が切れていた回は動きません。
見張りそのものが止まったときや、点検ができなかったときも、通知で知らせます。

スキルは、提案するだけが基本です。
消す・更新する・PHP を上げる、などの変更は、次の3つを守るときだけ行います。
①先に控えを取る
②何をするかをあなたに見せて、「はい」をもらう
③1つずつやって、終わるごとにサイトが開くかを確かめる

見張りの一時停止、登録の解除、通知だけ止める、全部の片付け、SSH の鍵を止める手順まで入れてあります。

用意するもの

向いている人

向いていない人

先に正直に書いておきます

確かめたことと、まだ確かめていないこと

私が、この教材の道具そのものを使って確かめたことと、まだのことを分けて書きます。
私自身のサイトの見張りは、この教材の前に作った別の仕組みで動いています。
確かめたこと（2026年10月23日・私のエックスサーバーの契約・6つのサイト）

まだ確かめていないこと

私が動作を確かめた環境は、macOS 27.0.1、Mac 付属の Python 3.9.6、Claude Code 2.1.268 です。

この教材に入っているもの

目次

第1章　準備：Claude Code と、SSH が使えるかの確認

最初に1回だけ、Claude Code を入れて、サーバーの準備ができるかを確かめます。

1. Claude Code

Claude の有料プラン（Pro 以上）に入ってから、Claude Code を入れます。
「ターミナル」というアプリを開きます（command キーとスペースキーを一緒に押し、「ターミナル」と入れると出てきます）。
次の1行を貼り付けて、Enter キーを押します。

curl -fsSL https://claude.ai/install.sh | bash

終わったら、ターミナルを一度閉じて、開き直します。
claude と打って Enter キーを押すと、Claude Code が始まります。
最初はブラウザが開くので、Claude のアカウントでログインします。
ターミナルがどうしても苦手な人は、Claude のデスクトップアプリの「Code」からも使えます。
この教材では、ここから先の作業を、Claude Code への頼みごとで進めます。
命令を自分で打つ必要はありません。

2. FileVault を有効にする

システム設定の「プライバシーとセキュリティ」に、FileVault の項目があります。
有効になっていなければ、有効にします。
控えと SSH の鍵は、この Mac の中に置くので、Mac をなくしたときに読まれないようにするためです。

3. SSH が使えるかを確かめる

SSH は、あなたの Mac からサーバーに安全につなぐ仕組みです。
鍵と錠前にたとえられます。
あなたの Mac に「鍵」（秘密鍵）を置き、サーバーに「錠前」（公開鍵）を登録します。
鍵を持っている Mac だけが、サーバーに入れます。
エックスサーバーの場合
公式マニュアル（2026年10月に確認）では、サーバーパネルの「SSH設定」で ON にでき、入り方は公開鍵だけ、ポート（入口の番号）は10022 です。
初めの設定で「国外アクセス制限」（海外からの接続を断る設定）が有効になっています。
画面の名前や手順は、あなたの契約の画面と公式マニュアルに従ってください。
ConoHa WING など、ほかのサーバー会社の場合
管理画面に SSH の設定があるかを見ます。
つなぐ先とポートは、管理画面か公式の案内で確かめます。
契約によっては使えないこともあります。
ここでは、ON にしなくてかまいません。
第3章で、Claude Code と一緒に行います。

4. Web の PHP の版を見ておく

サーバー会社の管理画面か、WordPress の管理画面の「ツール → サイトヘルス → 情報 → サーバー」で、PHP の版を最後の番号まで見ます（例：8.3.36）。
エックスサーバーでは、サーバーパネルの「PHP Ver.切替」に、全部のドメインの版が並びます。
PHP を作っている所の発表では、8.1 は2025年12月31日で手入れが終わりました。
8.2 も、2026年12月31日で終わります。
WordPress の公式の推奨環境は、2026年10月23日に見たときは PHP 8.3 以上でした。
推奨は変わるので、上げる前に公式のページを確かめてください。
版を上げるときは、使っているテーマとプラグインが新しい版に対応しているかも確かめます。
見た版はメモしておき、第3章で Claude Code に伝えます。

5. 制作会社が管理しているサイトは、先に相談する

制作会社が管理しているサイトでは、点検だけであっても、先に担当の方に相談してください。
SSH の接続や自動の取得が、契約や運用の決まりで制限されていることがあります。
点検でも、サーバーに少しの負荷や記録が生まれます。
相談が済むまで、そのサイトはつながないでください。