自分が昔つくったブログに、最後にログインしたのはいつだろう。更新が止まったWordPressは、見た目は元気なまま、中身だけが静かに古くなっていく。画面の表示は変わらないから、危険な状態になっていても気づけない。
筆者は先日、更新が数年止まっていた自分の古いブログを2つ、まとめて総点検した。この記事はその経験をもとにしている。専門知識がなくても実行できる点検の順番と、AIに手伝わせると楽になる作業、逆に任せてはいけない作業を整理した。
「動いている」と「安全」は別物
WordPressは世界でもっとも広く使われているサイトの仕組みだ。利用者が多いということは、攻撃する側から見ても「効率のいい的」だということでもある。しかも狙われるのは有名サイトだけではない。守りの薄いサイトほど、機械的な攻撃の対象になりやすい。
放置されたサイトの古さは3つの層でたまっていく。本体(WordPressそのもの)、プラグインやテーマ、そしてパスワードだ。公式ドキュメントは「古いバージョンのWordPressは、セキュリティ更新でサポートされていない」と明言している。動いていることと守られていることは、まったくの別物だ。
何年も帰っていない実家を思い浮かべると近い。家は建っているし、外からは何も変わって見えない。でも鍵は昔のままで、郵便受けはあふれている。「壊れていない」ことは「安全」の証明にはならない。
点検の順番——公式ガイドに沿った4ステップ
WordPress公式の強化ガイド(Hardening WordPress)の推奨を、放置サイト向けに並べ直すと次の流れになる。順番が大事で、特にバックアップを最初に取るのは絶対条件だ。更新作業で表示が崩れても、戻れる場所があれば怖くない。
を取る → ②本体・プラグイン
を最新にする → ③公式ファイルと
照合する → ④パスワード刷新
と再発防止
図: 放置WordPressの点検4ステップ(WordPress公式Hardeningガイドをもとに筆者整理)
②の更新では、使っていないプラグインとテーマは更新ではなく削除する。公式ガイドも、入手先を公式ディレクトリに限ることと合わせて、余計なものを持たないことを勧めている。④では、パスワードを長く推測されにくいものに変え、できれば2段階認証を足す。管理画面からのファイル編集を止める設定(DISALLOW_FILE_EDIT)も公式が挙げる定番だ。
③の「照合」は聞き慣れないかもしれないが、放置サイトの点検ではいちばん頼れる工程だ。
developer.wordpress.org Hardening WordPress(公式セキュリティ強化ガイド) 一次情報。更新・権限・バックアップ・監視まで、本記事の土台になっている公式ドキュメント。英語だがAIに読ませれば要点はすぐ取れる。AIに手伝わせると楽になる3つの作業
点検のハードルは、作業量よりも「画面に出てくる言葉が分からない」ことにある。ここがAIの出番だ。1つ目は翻訳係。エラーメッセージや設定ファイルを貼り付けて「これは何を意味している?」と聞くだけで、調べ物の時間が大きく減る。
2つ目は段取り係。「WordPressのブログを3年放置していた。プラグインは20個。何をどの順で点検すべき?」と状況を伝えると、自分のサイトに合わせた手順書を作ってくれる。3つ目は仕分け係。プラグインの一覧を貼れば、更新が長く止まっているもの、役割が重複しているものを仕分ける下読みができる。
さらに進んで、ターミナルで動くAIエージェントなら、ファイルの確認や照合コマンドの実行まで対話しながら進められる。この分野の選択肢は4大CLIエージェント比較にまとめてある。ただしどの道具を使うにせよ、提案されたコマンドは「これは何をするのか」を確認してから実行する。この一呼吸だけは省略してはいけない。
逆に、AIに渡してはいけないもの
まずパスワードと秘密鍵は、どんなAIにも貼り付けないのが鉄則。相談に必要なのは状況の説明であって、鍵そのものではない。次に、本番サイトでのぶっつけ実行は避ける。バックアップを取ってから、可能なら複製環境で先に試す。順番を飛ばした近道は、たいてい遠回りになる。
そして「全部消して入れ直せば安全」という類いの大胆な助言は、一度立ち止まる。正しい場面もあるが、記事や画像を失う操作と隣り合わせだ。筆者の目には、AI点検のいちばんの価値は作業の代行ではなく、「分からないから放置する」を「分かるから直せる」に変える翻訳にあると映る。翻訳は任せていい。実行のボタンは自分で押す。
今夜やるのは2つだけでいい
ここまでの内容を全部やろうとすると、たぶん今日は始められない。だから最初の夜は2つだけでいい。ログインして更新ボタンを押すこと。バックアップを1つ作ること。この2つで、放置サイトのリスクの大きな部分が削れる。
そしてもし「もう更新するつもりがない」と気づいたなら、閉鎖やレンタルサーバー解約も立派な選択肢だ。持ち続けるなら点検する、しないなら手放す。いちばん危ないのは、忘れたまま持ち続けること——古いブログに心当たりのある人は、この週末にログインだけでもしてみてほしい。
出典: WordPress公式「Hardening WordPress」(2026年1月更新版) / WP-CLI公式「wp core verify-checksums」。2026年8月9日時点。本記事は一般的な自衛策の解説であり、被害が疑われる場合は契約先サーバー会社や専門家に相談してください。
