そのホームページ、放置していませんか？WordPress・PHPサイトの安全チェックリスト10項目【2026年版】

トップお役立ち記事そのホームページ、放置していませんか？WordPress・PHPサイトの安全チェックリスト10項目【2026年版】

2026年は、ホームページのセキュリティにとって大きな年になりました。

7月：WordPress本体に、ログインなしで乗っ取られるおそれのある欠陥「wp2shell」。実際の攻撃も確認
10月：WordPressを動かしているPHPそのものに、深刻度「緊急」の欠陥「php2shell」（詳しくはこちらの記事）

「数年前に作ってもらって、それからほとんど触っていない」というホームページは、こうした問題の影響を受けやすい状態です。

この記事では、専門知識がなくても10分ほどで確認できるチェックリストをご用意しました。当てはまる数で、今のサイトの状態を判断できます。

安全チェックリスト10項目

当てはまるものに✔を付けてみてください。

管理・更新について

1. 管理画面に最後にログインしたのが半年以上前
2. 管理画面に「更新があります」という表示が出たままになっている
3. 使っていないプラグインが入ったままになっている（または、何が入っているかわからない）
4. レンタルサーバーで選ばれているPHPが8.1以前、またはバージョンがわからない

契約・連絡先について

5. 作ってくれた制作会社と、今すぐ連絡が取れない
6. ドメインやサーバーの契約者が、自分（自社）かどうかわからない
7. 管理画面のIDとパスワードがどこにあるかわからない

見た目・動作について

8. サイトのURLが「https://」ではなく「http://」で始まる、またはブラウザに「保護されていない通信」と出る
9. 問い合わせフォームから、最近テスト送信したことがない
10. 最後にバックアップを取ったのがいつかわからない

当てはまった数で判断する

当てはまった数	状態	おすすめの対応
0〜2個	比較的よく管理されている	今の管理を続けつつ、PHPのバージョンだけは定期的に確認
3〜5個	放置が始まっている	早めに制作会社か専門家に状態を見てもらう
6個以上	誰も守っていない状態に近い	直して使い続けるか、作り直すかを判断する段階

特に4番（PHPが8.1以前）に当てはまる場合は要注意です。2026年10月のphp2shellでは、PHP 8.1以前には通常の修正版が提供されていません。安全に使い続けるには8.2以上への切り替えが必要ですが、古いWordPressサイトでは、切り替えた途端に表示が崩れることもあります。

すでに乗っ取られているかもしれないサイン

次のような症状がある場合は、早めに専門家へ相談することをおすすめします。

Googleで自分の会社名を検索すると、身に覚えのないページ（海外のブランド品、怪しい薬など）が出てくる
スマホでサイトを開くと、別のサイトに勝手に飛ばされる
ブラウザやGoogleの検索結果に「このサイトは危険です」と表示される
サーバー会社から「不正なファイルが見つかった」という連絡が来た
問い合わせフォームに、意味不明な問い合わせが大量に届く

乗っ取りは、自分のパソコンで見たときには普通に見えて、スマホや検索結果からだけ異常が出ることも多く、気づくのが遅れがちです。

費用の目安は、30秒でできる見積もりシミュレーターで確かめられます。

当てはまったときの2つの選択肢

選択肢1：直して、守り続ける

今のWordPressサイトを最新の状態にし、PHPも新しくして、今後も定期的に更新し続ける方法です。

向いている人：自分で管理画面から頻繁に更新したい、社内にWeb担当者がいる
注意点：更新作業はこの先もずっと続きます。誰がやるのか、費用はいくらかを決めておく必要があります

選択肢2：守る必要が少ない作りに変える

サーバー上でPHPを動かさない作りのホームページにリニューアルする方法です。

向いている人：更新作業に時間をかけたくない、セキュリティの心配をできるだけ減らしたい
特徴：ログイン画面・プラグイン・データベースを持たない作りなので、wp2shellやphp2shellのような問題の影響を受けにくく、攻撃される入口そのものを減らせます
注意点：自分で管理画面から更新することはできません（まる製作所では、LINEで送っていただければこちらで反映します）

どちらが良いかは、サイトの状態と、あなたがどれくらいサイトを更新したいかによって変わります。仕組みの違いはPHPを使わないホームページとは？、作り直しの流れと費用はWordPressからのリニューアルで解説しています。