はじめに
こんにちは、投資家JACKです。
2026年10月21日、WordPressなどが動いている土台の仕組み「PHP」に、重大な安全上の問題が2つ見つかっていたことが発表されました。
SNSには「WordPressはもう危ない」「今すぐ乗り換えを」という投稿があふれました。
私も、このブログを含めて、WordPressのサイトをいくつも持っています。
そこで、AIに手伝ってもらいながら、2日かけてサーバーの中を総点検しました。
点検してみると、想像していたより多くの問題が出てきました。
- 古い版のPHPのままのドメインが4つ
- 公式の配布元で配布が止められていたのに、動いたままのプラグインが4つ（うち3つは安全上の問題が理由）
- 使っていないプラグインやテーマが60個以上
- 何年も前に作って忘れていた古いサイトや試しのサイト、素材の置き場が6か所
- 控え（バックアップ）の置き場所の問題
- 心当たりのない管理者のアカウントが1つ
- 使っていないデータベースが18個
どれも、PHPの騒ぎとは別の話です。
何年もかけて、少しずつたまっていたものでした。
この記事では、私が確かめたことを、ターミナル（パソコンに文字で命令を打ち込む画面）を使わずにやる手順にしてお渡しします。
使うのは、WordPressの管理画面と、サーバー会社の管理画面だけです。
この記事でできること
- 自分のサイトの今の状態が分かる
PHPの版、WordPressとプラグインの更新、使っていないもの、管理者、控えの置き場所。
危なさにつながりやすい所を、順番に1つずつ見ていきます。
- 直すときに、サイトを壊さない
いちばん怖いのは、点検や片付けの途中でサイトが表示されなくなることです。
この記事では、どの作業も「先に控えを取る」「1つ変えたら、表示を確かめる」の順で進めます。
- 制作会社に任せている人も、何を聞けばよいか分かる
自分で画面を触れない人のために、担当の方にそのまま送れる質問の文を入れました。
- 「WordPressは危ない」という投稿に振り回されなくなる
不安をあおる投稿を見たときに、何を確かめればよいかと、AIへの聞き方を入れました。
- 毎月10分の点検の表が手に入る
一度きれいにしても、放っておけばまたたまります。
毎月見る所だけを1枚にまとめました。
点検する場所だけでなく、何を確かめ、どんなときに作業を止めるか、更新のあとにどこを見るかまで書きました。
点検の結果を書き残す表と、制作会社に確かめるための文も入れています。
用意するもの
- WordPressの管理者のアカウント（ログインできること）
- サーバー会社の管理画面のログイン情報（エックスサーバーなら「サーバーパネル」）
- パソコン（スマホでもできますが、画面が小さく見落としやすいです）
- 時間：初回は、サイト1つで1〜2時間が目安です。2つ目からは早くなります
- メモ（紙でも、パソコンのメモでもかまいません。点検の結果を書き残します）
この記事の画面の説明は、2026年10月時点のWordPressと、エックスサーバーの画面をもとにしています。画面の写真の中のドメイン名や名前は、伏せるか見本の名前に置き換えています。
ほかのサーバー会社でも、考え方と順番は同じです。画面の名前が違うときは、サーバー会社の案内で同じ機能を探してください。
向いている人
- WordPressでブログや会社のサイトを持っているが、何年も細かい所を見ていない人
- ターミナルは使えないが、管理画面なら触れる人
- 制作会社に作ってもらったサイトを、自分でも一度確かめておきたい人
- 「WordPressは危ない」という話を聞いて、何から手を付ければよいか分からない人
向いていない人
- すでに乗っ取られている、改ざんされている、と分かっている人
この記事は「乗っ取られる前の点検」です。すでに被害が出ているときは、サーバー会社や専門の会社に、すぐに相談してください。
- VPSや専用サーバーなど、サーバーそのものを自分で管理している人
PHPやサーバーの更新を自分でやる立場なので、この記事の範囲より広い管理が必要です。
- 全部を誰かに代わりにやってほしい人
この記事は、手順を自分で進めるためのものです。
先に正直に書いておきます
この点検をすれば、絶対に安全になる、というものではありません。
手の込んだ攻撃や、見えない所に隠れた不正なプログラムは、管理画面からは見つけられないことがあります。
この記事でできるのは、「よくある危なさの入口」を減らすことです。
もう一つあります。
私はプログラマーではありません。ターミナルも使えません。
今回の点検は、AI（Claude）に手伝ってもらって進めました。
この記事は、AIを使わない人でも同じことを確かめられるように、管理画面でできる形に組み直したものです。
AIに手伝ってもらう方法は別の記事で扱っていますが、この記事の手順を進めるのに、そちらを買う必要はありません。この記事だけで最後までできます。
目次
- 第1章 点検の前に：今のサイトの姿を記録する
- 第2章 控えを取る
- 第3章 PHPの版を確かめる・上げる
- 第4章 WordPress本体・プラグイン・テーマを更新する
- 第5章 使っていないもの、配布が止められたものを片付ける
- 第6章 管理者とログインの守りを確かめる
- 第7章 忘れているサイトと、控えの置き場所を確かめる
- 第8章 おかしな所がないかを、ざっと見る
- 第9章 制作会社に任せている人の聞き方
- 第10章 「WordPressは危ない」という投稿との付き合い方
- 第11章 毎月10分の点検表
- おわりに
第1章 点検の前に：今のサイトの姿を記録する
1-1 今の姿を残す
点検を始める前に、今のサイトの姿を残しておきます。
あとで「表示がおかしくなった」と気づいたときに、前と比べるためです。
- サイトのトップページと、よく読まれている記事を2〜3本開いて、画面を写真に撮る（スマホの画面も1枚）
- お問い合わせの画面など、大事なページがあれば、それも撮る
- 管理画面の「ダッシュボード」→「更新」を開き、どれだけ更新がたまっているかを撮る
- 「ツール」→「サイトヘルス」を開き、「ステータス」の画面を撮る
サイトヘルスは、WordPressが自分の状態を点検してくれる画面です。
「致命的な問題」「おすすめの改善」が並んでいたら、その内容もメモしておきます。
あわせて、次の4つの「版」もメモしておきます。
- WordPress本体の版（「ダッシュボード」→「更新」の画面の上に出ます）
- PHPの版（第3章で見る場所を書きます）
- 使っているテーマの名前と版（「外観」→「テーマ」）
- プラグインの数（「プラグイン」の一覧の上に出ます）
ここまでで、10分ほどです。
1-2 自分で作業を進めないほうがよい場合
次のどれかに当てはまるときは、この記事を読みながら無理に変更を進めないでください。
- サイトがすでに普通に表示されていない
- WordPressやPHPを、何年も更新していない
- 控えが取れているか分からない
- 会員の情報、注文、予約などを扱っている
- 制作会社が独自に作ったテーマやプラグインを使っている
- 心当たりのない管理者や、怪しいファイルがすでに見つかっている
この場合は、まず今の状態を記録するだけにして、サーバー会社や制作会社に相談してください。
とくに、注文や予約を受け付けるサイトでは、作業の間にも新しいデータが入ってきます。控えを取った時点まで戻すと、そのあとの注文や予約が消えることがあります。
1-3 どこから手を付けるか
全部を1日で終わらせる必要はありません。
先に見るのは、すぐに危なさにつながりやすい次の3つです。
- PHPやWordPressに、重大な問題が残ったままになっていないか（第3章・第4章）
- 知らない管理者がいないか（第6章）
- サイトの控えが、外から取れる場所に置かれていないか（第7章）
ただし、危ないものを見つけても、すぐに消せばよいとは限りません。原因や影響が分からないときは、作業を止めて相談してください。
安全上の問題が分かっているときは、毎月の点検の日を待たずに対応してください。
この記事の販売者
