GMOプライム・ストラテジーの調査で、上場企業3,903社・34,039サイトのうち5.7%が重大更新の約1か月後も修正前のバージョンのままと判明しました。自動更新が止まっている可能性があります。管理画面でバージョンと自動更新設定を今日確認する手順を解説します。
2026年10月22日、GMOプライム・ストラテジーが上場企業3,903社・34,039サイトを継続調査した結果を公表しました。WordPressの重大なセキュリティ更新から約1か月が経っても、5.7%のサイトが修正版より前のバージョンのまま稼働していたとされています。これは専任の情報システム部門を持つ上場企業の数字であり、担当者が兼務している中小企業では、もっと高い割合で更新が止まっている可能性があります。
調査で何が分かったのですか？
ASCII.jpの報道によると、GMOプライム・ストラテジーは上場企業3,903社が運用する34,039サイトを対象に、WordPressのバージョンを継続的に調査しました。WordPressの重大なセキュリティ更新が公開されてから約1か月が経過した時点でも、5.7%のサイトが修正版より前のバージョンで稼働していたことが確認されています。
単純計算で約1,900サイトが、公開済みの脆弱性を抱えたままインターネットに晒されていたことになります。攻撃者は脆弱性の公開情報を見て、該当バージョンのサイトを機械的に探します。「バージョンが古い」という状態は、攻撃側から見れば一覧で検索できる状態に近いとみられます。
なぜ自動更新があるのに古いままなのですか？
WordPressには自動更新の仕組みがありますが、止まっているケースが少なくありません。主な原因は次の4つです。
- マイナー更新のみ自動：初期設定では、5.9.1→5.9.2のような小さな更新だけが自動で、6.x→6.yのメジャー更新は手動のままの構成がある
- 制作会社が自動更新を無効化：テーマやプラグインの互換性を保つため、wp-config.php や設定で自動更新を切っている
- ファイルの書き込み権限がない：サーバー側の権限設定で更新ファイルを書き込めず、裏側で失敗し続けている
- PHPのバージョンが古い：新しいWordPressが要求するPHPのバージョンを満たしておらず、更新が適用されない
いずれも管理画面を開かない限り気づけません。「数年前に作ってもらったまま、特に問題なく表示されている」サイトほど、確認の優先度が高いと考えられます。
自分のサイトのバージョンはどこで見られますか？
WordPressの管理画面から3分で確認できます。手順は次のとおりです。
- 管理画面にログインし、左メニュー「ダッシュボード」→「更新」を開く。画面上部に「WordPress の最新バージョン ◯.◯ が利用可能です」と出ていれば、更新が止まっています
- 「ツール」→「サイトヘルス」→「情報」タブ→「WordPress の構成」を開く。現在のバージョン番号と、自動更新が有効かどうかが表示されます
- 同じ画面の「サーバー」欄でPHPのバージョンを確認。8.1未満ならサポート終了済みで、更新が失敗する原因にもなります
更新前には必ずバックアップを取ってください。更新でサイトが崩れる事故は、バックアップさえあれば数十分で戻せます。逆にバックアップがない状態での更新は、改ざんと同じくらい復旧が難しくなります。
更新すればそれで終わりですか？
WordPress本体だけでは不十分です。実際の侵入経路の大半は、本体よりもプラグインやテーマが占めています。「プラグイン」一覧を開き、更新通知が出ているものをすべて適用し、使っていないプラグインとテーマは停止ではなく削除してください。停止中のプラグインもファイルはサーバーに残り、攻撃対象になり得ます。
そのうえで、各プラグインの「自動更新を有効化」をオンにしておくと、今回の調査のような「1か月放置」を防げます。ただし、ECやフォームなど業務に直結するプラグインは、自動更新で不具合が出た際に気づける体制とセットで運用することをおすすめします。
中小企業は今日何をすべきか
- 今日3分：管理画面「ダッシュボード」→「更新」を開き、WordPress本体・プラグイン・テーマに更新通知が出ていないか確認する。出ていればバックアップを取ったうえで適用する
- 今日10分：「ツール」→「サイトヘルス」→「情報」でPHPのバージョンを確認し、8.1未満ならサーバー会社の管理画面でPHPのバージョンを上げる計画を立てる
- 今週中：使っていないプラグインとテーマを削除し、残したものは「自動更新を有効化」に切り替える。更新作業を誰が月何回やるかを紙1枚に書いて決める
- 自分で見るのが不安な場合は、WP守るの無料WordPress安全診断（https://wp-mamoru.com/diagnosis/）でバージョンと設定の状態を確認できます
よくある質問
WordPressのバージョンが古いと、具体的に何が起きますか？
公開済みの脆弱性を悪用され、管理者アカウントの乗っ取り、ページへの不正リンク挿入、偽の決済ページ設置などにつながる可能性があります。攻撃は人力ではなく自動化されたプログラムで行われるため、アクセス数の少ない小規模サイトでも対象になります。更新は最も費用対効果の高い対策です。
更新してサイトが壊れるのが怖いのですが、どうすればよいですか？
更新前にバックアップを取ることが前提です。プラグインでファイルとデータベースの両方をバックアップし、ダウンロードして手元にも保管してください。可能ならテスト環境（ステージング）で先に更新を試します。壊れるリスクより、古いまま放置するリスクのほうが一般に大きいと考えられます。
自動更新を全部オンにしてしまって問題ありませんか？
WordPress本体のマイナー更新とセキュリティ修正は、オンにしておくことをおすすめします。一方、ECや予約・フォームなど売上に直結するプラグインは、自動更新後に表示崩れが出ていないか気づける仕組み（更新通知メールの受信、週1回の目視確認）とセットで運用するのが安全です。
出典
