第599回：次もWordPressでいいのか？中小企業が保守体制と更新内容から考える選び方

Podcastを今すぐここで聞く

ラウンドナップWebコンサルティングの中山陽平です。今回は、中小企業が次のサイト更新でもWordPressを選ぶべきか、その判断材料をお伝えします。いま使っている方にも、これから自分たちで更新できるサイトを作りたい方にも、一度考えていただきたい話です。

WordPressを悪く言いたいわけではありません。私自身、かなり古いバージョンから使っています。あくまで、皆さんが安全に運用し、事故に遭わないためにはどう考えたらいいかという観点です。

「いまWordPressだから、次も」で決めない

昔はMovable Typeが先行していた時期もありました。私の記憶では、途中でライセンスが有料になったこともあって、無料で使えるWordPressへ移る流れがありました。プラグインもどんどん充実して、いまでは自分たちでインストールするCMS（Content Management System、コンテンツ管理システム）として、事実上WordPressがまず候補になる状況だと感じています。

WordPressは、Web制作の仕事を本当に変えたツールです。手作業でページやプログラムを作っていたところから、オンラインの管理画面で更新し、プラグインで機能を増やせるようになりました。自社でWebサイトを運用する敷居を、ものすごく下げてくれた。これからも素晴らしいツールであり続けると思います。

ただ、すでにWordPressで作っていると、リニューアルでも「次もWordPressでやりましょう」となりがちです。データを移しやすいですし、制作会社にとっても基本的な作り方になっています。そこで一度、うちの管理体制で、これからも使い続けて大丈夫なのかと立ち止まってほしいんですね。

システムの管理をサービス側へ任せるSaaS（Software as a Service）型もあります。WordPressにもそうしたサービスがありますし、WixやStudioなども候補です。私たちも最近は、保守を外部へ任せる費用や社内の体制を考えると、サービス側がメンテナンスするものをベースにした方がいいのではと提案するケースが増えています。

参照：WordPress.com：WordPress.comとWordPress.orgの違い、AWS：SaaSとは

便利さと引き換えに、何を管理しているか確認する

2026年8月6日にWordPress 7.0.3、6日後の8月12日に7.0.4が公開されました。どちらもセキュリティ修正を含む更新です。こうした短い間隔での更新を見ると、作った後も管理を続ける必要があると、改めて感じます。

参照：WordPress.org：7.0.3リリース、WordPress.org：7.0.4リリース

編集注：7.0.4で修正されたのは、ImagickとGhostscriptを使用するサイトで、認証済みの投稿者以上の権限から悪意あるファイルをアップロードすると、遠隔でコードを実行され得る脆弱性です。「権限があまりないところでも」という説明には、この条件が付きます。また、公式発表では自動バックグラウンド更新に対応したサイトが順次更新されると案内されており、すべてのサイトへの強制更新を意味しません。

参照：WordPress.org：7.0.4の修正内容と自動更新の案内

WordPressはPHP（PHP: Hypertext Preprocessor）を使って作られていて、きちんと更新しないと危険だという話は昔からあります。そこへAI（Artificial Intelligence、人工知能）を使う攻撃が加わり、攻撃の準備や実行を進めやすくなっています。従来の管理負担と同じつもりでいていいのかというのが、今回考えていただきたいところです。

参照：Google Threat Intelligence Group：AIを利用した脆弱性攻撃などの調査

これまでは、WordPressのメリットが大きいので、管理が必要だというデメリットをきちんとカバーできればおすすめですよ、と私たちもお伝えしてきました。ところが私は、そのデメリットの部分が、かなり大きくなってきていると感じています。WordPress側も修正や更新の案内をしています。それでも私は、対応が現実的に追いついていないと感じています。

問い合わせ情報がサイト内に残っていないか

管理体制と合わせて見てほしいのが、サイトの中にある個人情報です。問い合わせフォームは、メールで通知するだけのものもあれば、問い合わせ内容をデータベースへ保存するものもあります。Contact Form 7と組み合わせて使うFlamingoなどが、その例です。

参照：Contact Form 7：Flamingoによる送信メッセージの保存

会員など、一般の利用者がログインして使うサービスがあれば、ユーザー情報自体も個人情報になります。表に見えるページだけではないんです。WordPressは、放っておくと本当に危険の塊になってしまうという意識は持っていただきたいと思います。

私も去年だけで、うちのお客様以外を含めると、3、4件ぐらい緊急の復旧相談を受けました。悪意あるものを仕込まれてしまったケースなどです。もっと多くのサイトを制作している会社なら、さらに相談を受けているのではないでしょうか。これは本当に身近な危険なんです。

本体が安全でも、プラグインは別に見なければならない

プラグインの充実は、WordPressを使う大きな理由です。以前なら開発を頼む必要があった機能を、ほぼ無料で分かりやすく追加できる。管理画面に広告が出ることはあっても、低い費用でいろいろな機能を実装できるのは、大きな魅力です。

ただ、メンテナンスが止まっていたり、脆弱性を十分に確認していなかったりするものもあります。管理画面で検索して見つけた海外のプラグインが、実はもうあまり更新されていなかった、ということもある。本体だけでなく、入れたプラグインも管理しなければなりません。

参照：WordPress.org：セキュリティと継続的な更新

自動更新はしてくれますが、更新によって表示や機能が崩れるケースもあります。中小企業で専任担当者を置くのは、なかなか現実的ではありませんよね。すぐ対応してくれる保守会社が付いているならいいのですが、その体制には費用がかかります。

保守する側も責任を負います。私の感覚では、きちんとやるなら安くても月3万円ぐらい。うちでも、コンサルティングに加えて保守までとなると、最低限で月3万〜5万円ぐらいはかかります。安く引き受ければ済む作業ではないんです。

お知らせの更新だけなら、WordPress以外も考える

その費用と手間に対して、自社ではWordPressの機能をどれぐらい使っているでしょうか。お知らせを更新するためだけで、重要な固定ページは結局、外部の制作会社と一緒に直している。そういう場合は、それならWordPressでなくてもいいですよねという話になります。

年に数回のお知らせやキャンペーン情報、件数、人数、残り枠など、一部だけを変えたいのであれば、必要な箇所だけ更新できるように作る方法もあります。更新したい箇所に合ったものを作った方が、管理しやすく、使いやすくなる場合もあります。WordPress以外という選択肢も考えていいと思います。

編集注：ここで比べているのは、自社が継続して保守する範囲と、その負担です</stro