数年前に作ったWordPressを放置するとどうなるか｜小さな会社が見ておきたい5つの兆候と、最初にやること

数年前に制作会社に作ってもらったホームページ。表示はされている。お問い合わせも、たまに来る。でも、最後に誰かが管理画面に入ったのがいつなのかは分からない。そういうWordPressは、小さな会社やお店にたくさんあります。この記事は、怖がらせるためではなく、「今どういう状態なのか」をご自身で確かめられるように書きました。

結論から。

放っておいたWordPressが、すぐに乗っ取られるわけではありません。ただ、更新が溜まるほど一度に当てられなくなり、当てられないから弱いところが残り、弱いところは自動の仕組みに見つかる、という順で、少しずつ不利になっていきます。症状は、派手な書き換えより、迷惑メール・見覚えのない検索結果・フォームが届かない、といった地味なものがほとんどです。本文の5つの兆候を確かめて、何かあれば「パスワード変更→控えを取る→更新→連絡先の確認」の順で動いてください。

「放置」とは、どの状態のことか

次のうち2つ以上に当てはまれば、この記事で言う「放置」です。当てはまっても、責めるつもりはまったくありません。そういう方がとても多いからです。

• 管理画面に最後にログインしたのが1年以上前、または誰がログインできるのか分からない
• 管理画面の「更新」の数字が、二桁になっている
• 保守の契約はあるけれど、何をしてもらっているのか説明できない
• 作ってくれた制作会社の担当の方と、1年以上やりとりがない
• サーバーの「PHP」というもののバージョンを聞かれても、分からない

これに当てはまるからといって、今日明日に何かが起きるわけではありません。ただ、「誰も見ていない」状態が続いていることだけは、確かです。

放っておくと、何がどの順で起きるか

私（宇都宮）が、よその会社が作ったホームページを引き取ったときに見てきた流れは、だいたい次の順です。

まず、更新が溜まります。WordPressは、本体と追加の部品（プラグイン）と見た目の部品（テーマ）がそれぞれ別々に更新を出すので、1ヶ月放っておくだけで数件、1年なら数十件になります。

次に、一度に当てると壊れるようになります。数十件をまとめて更新すると、部品同士の相性で、見た目が崩れたりフォームが止まったりします。これを一度経験すると、「もう触らない」と決める方が多い。お気持ちは、よく分かります。

だから、弱いところが残ります。ここに数字を一つだけ出します。WordPressの弱いところ（専門用語で「脆弱性」）を集計しているPatchstack社の年次報告です。

出典：Patchstack「State of WordPress Security in 2026」（2025年の年間集計。原文を2026年10月23日に確認）。

本体は、ほとんど問題を出していません。問題は追加の部品です。そして、見つかった弱いところの半分近くは、見つかった時点で直す手段がなかった。つまり「更新していれば安全」とさえ言えなくて、「更新を止めたら、確実に不利」ということです。

弱いところは、人ではなく機械に見つかります。攻撃の多くは、特定の部品の弱いところを持つホームページを、自動で探して回る仕組みで行われます。「うちは小さいお店だから狙われない」は、この仕組みの前では残念ながら意味がありません。相手は、お店の大きさを見ていないからです。

最後に、症状が出ます。ただし、見た目が派手に変わることは少ない。多いのは、お問い合わせフォームに迷惑メールが大量に届く、検索結果の自分のホームページのタイトルが見覚えのない言葉になっている、知らないページが増えている、開くと別のサイトに飛ばされる、ブラウザに赤い警告が出る、といったものです。気づいたときには数ヶ月経っていた、という方がほとんどでした。

5つの兆候。ご自身で確かめる方法つき

1. 検索結果の自分のホームページのタイトルが、見覚えのない言葉になっている

Googleで「site:あなたのホームページの住所」と検索してみてください（たとえば「site:example.jp」のように）。出てくるページのタイトルや説明文に、別の言語、薬の名前、ブランド品、ギャンブルなどの言葉が混ざっていたら、書き換えられている可能性が高いです。ご自身でホームページを開くと普通に見えるのに、検索結果だけおかしい、というのが典型です。

2. 管理画面に知らない名前がいる。または、ログインできない

管理画面の「ユーザー」の一覧を開いて、全員が誰か分かるか確認してください。身に覚えのない管理者がいたら、入られています。パスワードが変えられていてログインできない場合も、同じです。

3. ブラウザに「危険なサイト」の警告が出る。Search Consoleに「セキュリティの問題」が出ている

ご自身のホームページを開いたときに赤い警告の画面が出れば、もう放っておけません。Search Console（Googleが無料で提供している、ホームページの健康診断のようなもの）を使っている場合は、左のメニューの「セキュリティと手動による対策」を開いてください。ここに何か出ていれば、Googleが問題を見つけています。

4. フォームから迷惑メールばかり届く。または、何も届かない

迷惑メールが届くのは、フォームが機械に見つかっているサインです。もっと問題なのは「何も届かない」ほうで、フォームが壊れているか、届く先のメールが止まっているのに、誰も気づいていない状態です。ご自身で一度、フォームから送ってみてください。届くまでに何分かかったか、迷惑メールに入らなかったかも見てみてください。

5. 開くのが極端に遅い。画面に英語のエラーが出る。更新の通知が数十件

これは入られた兆候ではなく、「放置が進んでいる」兆候です。英語の警告文がページの上のほうに出ていたり、管理画面の更新の数字が数十件になっていたりしたら、次に更新を当てるときは慎重に、という合図です。

気づいたとき、最初にやること（この順で）

1. パスワードを変える。WordPressの管理者、サーバーの管理画面、ドメイン（住所）の管理画面。ほかのサービスと同じパスワードを使っていたなら、そちらも全部。
2. 控え（バックアップ）を取る。サーバー会社の控えの機能か、WordPressの部品で。書き換えられたあとでも、「いつの時点でどうだったか」の記録になります。
3. 本体・部品・テーマを更新する。更新前に控え、更新後に表示とフォームを確認。崩れたら、控えから戻します。
4. 使っていないものを消す。止めている部品、使っていない見た目の部品、身に覚えのない名前。止めている部品も、残っていれば弱いところになります。
5. Search Consoleを見る。「セキュリティと手動による対策」と「ページ」の画面。見覚えのない住所が載っていないか。
6. 連絡先を確かめる。制作会社に連絡がつくか。つかなければ、サーバー会社のサポート。それでも進まなければ、別の事業者。

一つ、はっきり書いておきます。すでに書き換えられている場合、更新だけでは直りません。仕込まれたファイルや知らない名前は、更新しても残ります。元に戻したあとも、入られた道が残っていれば、また入られます。ご自身で難しいと感じたら、復旧を専門にする事業者に頼むか、ホームページを作り直すかを早めに決めたほうが、結果的に安く済みます。

その先の、3つの選択肢

応急の手当てが終わったら、「この先どうするか」を決める必要があります。選択肢は3つです。どれが正解かは、ホームページの使い方で決まります。

1つ目、ご自身で更新を続ける。毎月、更新を当てて、表示とフォームを確認して、控えを取る。それをやれる方なら、これがいちばん安い。ご自身で記事を頻繁に書く方は、この選択肢になります。

2つ目、誰かに保守を任せる。任せるときは、「何を、どれくらいの頻度で」が見積もりに書かれているかを確認してください。サーバーの契約を続けるだけのことを「保守」と呼んでいる契約もあります。見極め方は保守契約の見極め方に書いています。

3つ目、更新がいらない形に移す。ご自身では更新しない、年に数回の差し替えで済む、固定のページが中心。そういうホームページなら、管理画面も部品も持たない形（静的サイト）に作り直すほうが、更新という作業そのものがなくなります。何が変わって何が変わらないかはWordPressから静的サイトに移すと何が変わるかに、費用と決まりごとはWordPressからの移転プランに書いています。

私が見てきた小さな会社やお店のホームページでは、3つ目が合うことが多かったですが、1つ目の方も2つ目の方もいらっしゃいます。

よくいただく質問

「今どういう状態か」だけ、一緒に確かめてみませんか

住所（URL）を送っていただければ、表に出ているページから分かる範囲（WordPressのバージョンの手がかり、使われている部品の手がかり、フォームの状態、検索結果の異常）を確認して、「様子見でよい」「更新を当てたほうがよい」「作り直しを考えたほうがよい」のどれかでお返しします。そこまでは無料です。契約を迫ることも、営業の電話もしません。sistailは徳島市を拠点に、オンラインで全国に対応しています。

この記事について

• 著者：代表 宇都宮芳希（合同会社システイル／sistail）
• 一次情報の出典：
• 放置サイトで起きる順序、症状の傾向（スパム・検索結果の異常・フォーム不達が多い）、引き取り時の確認手順＝代表自身が他社制作WordPressサイトを引き取って対応した経験に基づく（2026-10-23 記述、2026-10-24 文体改訂）。守秘のため社名・業種・件数は書いていません。
• 脆弱性の数値（2025年 11,334件・前年比42%増・プラグイン由来91%・テーマ9%・本体6件・公開時点で未修正46%）＝Patchstack「State of WordPress Security in 2026」原文を2026-10-23に確認。
• 兆候の確認方法（site:検索、ユーザー一覧、Search Consoleの「セキュリティと手動による対策」）＝Googleの公開機能に基づく一般的な手順。
• この記事は一般的な情報提供です。すでに被害が出ている場合の復旧は、個別の状況に応じた対応が必要です。