「また緊急更新…？」WordPressのアップデートに振り回されないための6つの点検項目と保守レポートの裏側
最近、「先週もアップデートしたばかりなのに、またWordPressやプラグインの更新通知が来ている…」「緊急（Critical）と書かれているけれど、今押してサイトが崩れたらどうしよう」といったご相談をよくいただきます。
実際、ここ最近はWordPress本体や主要プラグインのセキュリティ更新が立て続けに発生しています。AIや自動化ツールの普及により、悪意のある攻撃者が「弱点（脆弱性）」を見つけて攻撃を仕掛けるまでのスピードが劇的に上がっているため、開発側も小刻みに緊急の修正プログラムを出さざるを得ないのが現状です。
しかし、焦って管理画面の「今すぐ更新」を闇雲にポチポチ押すのは、実はとても危険です。
今回は、アップデートラッシュに振り回されないための考え方と、私たちが実際の保守メンテナンスで毎回実施し、お客様にご提出している「レポートの中身」から、サイトを安全に保つための裏側のチェックポイントをご紹介します。
「更新ボタンを押すだけ」では保守にならない？
WordPressのアップデートは、ワンクリックで終わるように見えます。しかし、準備なしにボタンを押した結果、「画面が真っ白になって戻らない」「お問い合わせフォームが動かなくなった」というトラブルは後を絶ちません。
私たちがサイトの保守管理を承る際、毎回作業後にレポートをご提出しています。「保守メンテなのだから、何をどうアップデートしたかを報告する」ことに尽きるのですが、実はボタンを押す前後に実施・記録している「バックアップ」と「周辺情報」にこそ、事故を防ぐ一番の意味があります。
私たちが毎回のメンテナンスで実際に実施・チェックし、レポートに記載している項目を少しだけお見せします。
プロが毎回の保守メンテで実施・記録している6つの項目
1. 「メンテ前」と「メンテ後」の2回のバックアップ取得
すべてのアップデート作業の大前提となるのがバックアップですが、私たちは毎回のメンテナンスで「作業前」と「作業後」の計2回バックアップを取得しています。
- メンテ前のバックアップ： アップデートによって万が一不具合やプラグインの競合が起きた際、即座に「作業直前の正常な状態」へ切り戻す（ロールバックする）ための命綱です。
- メンテ後のバックアップ： すべての更新と動作確認が無事に終わったあと、「アップデート完了後の最新の安全な状態」を保存するために取得します。これを行っておくことで、後日万が一別のトラブルが起きた際にも、古いバージョンに戻ることなく「メンテナンス完了時点の最新状態」から素早く復旧できるようになります。
「作業前」だけでなく「作業後」までしっかり固めておくことで、常に最新の安心をキープしています。
2. サーバーの残容量チェック（※サーバー環境を確認できる場合）
バックアップとセットで意外と見落とされがちなのが「サーバーの空き容量」です。
日々の画像アップロードやメールの蓄積だけでなく、バックアップファイル自体が溜まり続けて、サーバーの容量がいつの間にか限界に近づいていることがあります。
もし容量が逼迫した状態でWordPressやプラグインの更新ボタンを押してしまうと、新しいファイルの展開途中で容量オーバーになり、更新処理が強制ストップしてサイトが壊れてしまうことがあります。不要に肥大化したデータがないかも含め、「安全にバックアップとアップデートができる空き容量があるか」を事前に把握しておくことが欠かせません。
3. WordPress本体と「サーバーのPHPバージョン」の記録
レポートには、今回の作業時点での「WordPressのバージョン」だけでなく、裏側で動いているプログラム言語である「PHPのバージョン」も必ずセットで記録しています。
WordPress本体やプラグインが新しくなると、「古いPHPでは動きません」というタイミングが必ずやってきます。逆に、PHPだけを先に最新にしすぎると、今度は古いプラグインがエラーを起こすこともあります。常にこの2つの組み合わせを記録しておくことで、最適なタイミングで安全なバージョンアップをご提案できるようになります。
4. プラグインの「何から何へ」更新したかのバージョン推移
更新があったプラグインについては、毎回すべてではありませんが、「バージョン 1.2.5 → 1.2.6 に更新」「1.8.1 → 2.0 に更新」といった推移を記載しています。
数字の末尾が変わるだけの更新（1.2.5 → 1.2.6など）は、主にセキュリティ修正や小さなバグ修正です。一方で、一番左の数字が変わる更新（1.8.1 → 2.0など）は「メジャーアップデート」と呼ばれ、機能の大幅な変更や仕様変更が含まれるため、表示崩れや他のプラグインとの競合が起きやすい要注意のタイミングです。
「どのプラグインが、どのレベルの更新を行ったのか」を履歴として残しておくことが、万が一後から不具合が見つかった際の「原因特定のカルテ」になります。
5. お客様名義の「ドメイン契約更新」のお知らせ
技術的なアップデートとは少し違いますが、サイト運営で一番取り返しがつかない事故の一つが「ドメインのうっかり失効」です。期限が切れると、サイトが表示されなくなるだけでなく、同じドメインのメールアドレスもすべて使えなくなってしまいます。
私たちのポリシーとして、ドメインは制作会社側で抱え込むのではなく、本来の持ち主である「お客様ご自身の名義」で管理していただく形をとっています。そのうえで、私たちが時期を把握し、契約更新が近づいたタイミングでレポート等を通じて事前にお知らせしています（※ご希望や状況に応じて、更新手続きの代行もお引き受けしています）。
ちなみに、ドメインの管理や制作会社との付き合い方については、以前の記事「ドメイン・サーバーを人質（モノジチ？）にしないためのウェブ管理術」でも詳しくご紹介しています。自社の権利を守るためにも、ぜひあわせて読んでみてください。
6. そもそも一番大切な「サーバーの契約期間」の確認（※サーバー環境を確認できる場合）
そして、絶対に忘れてはいけないのが「レンタルサーバー自体の契約期間」です。
ドメインの更新は気にしていても、サーバーの契約更新メールを見落としていたり、自動引き落としにしているクレジットカードの有効期限が切れていて決済エラーになっていたりするケースは少なくありません。サーバーの契約が止まれば、当然サイトもメールもすべて止まり、最悪の場合はデータごと消去されてしまいます。
この項目については、保守契約のなかでも「サーバーの管理画面へアクセスできる権限をいただいているお客様」に限られますが、残容量のチェックとあわせて契約期間もしっかり確認し、更新漏れによるサイト停止を未然に防いでいます。
まとめ： 前後のバックアップと記録（カルテ）があるから、緊急時にもすぐ動ける
緊急アップデートが来たときに「今すぐ更新して大丈夫か？」を判断し、ためらわずに作業できるのは、作業前後の確実なバックアップ体制と、日頃からこうした「サーバーの空き容量や契約期間」「PHPとWordPressのバージョン」「どのプラグインがどう変化してきたか」というサイトの健康状態（カルテ）を把握しているからこそです。
もし社内でWordPressを管理されている場合は、ただ更新ボタンを押して終わりにするのではなく、ぜひ以下の点も定期的に確認する習慣をつけてみてください。
- 更新の「前」と「後」に、それぞれ確実なバックアップを取っているか？
- サーバーとドメインの契約期限（および登録カードの期限）は大丈夫か？
- 今、サーバーの空き容量は十分にあるか？
- 現在のWordPressとPHPのバージョンはいくつか？
- 今回更新するプラグインは、大幅な変更（メジャーアップデート）ではないか？
「最近は更新通知が多すぎて追いきれない」「自分たちでボタンを押すのが毎回怖い」という場合は、こうした裏側の点検と記録ごとプロに任せてしまうのも一つの手です。大切なサイトを止めないための体制づくりとして、ぜひ参考にしてみてください。
【追伸：今回の「PHP更新騒動」でもカルテが役立ちました】
ちなみに、先日発生したPHPの緊急アップデート騒動の際も、この「日頃のレポート」があったおかげで、いちいち各サーバーの管理画面へアクセスすることなく、手元の記録からすべての管理サイトのPHPバージョン・WordPressバージョンを即座に確認することができました。日頃の地道な記録こそが、緊急時の一番の武器になると改めて実感しています。
※記事公開後に ５つ から ６つ にしてしまいました（笑） どれを増やしたかは想像におまかせしますが、「これ、忘れたらダメだろ！？」という肝心なものが抜けていましたので追加しました。記事公開メールを受信された方、タイトルが違っていてすみません。
💡 関連記事
最近はPHPの仕様変更やセキュリティ対応も続いています。「うちのサイトのPHPバージョン、そもそもどうだっけ…？」と気になった方は、ぜひこちらの記事もチェックしてみてください。
👉 【緊急チェック】Webサイトの「PHP」は大丈夫？セキュリティ対策として今すぐ確認したいこと