Episode Details

Podcastを今すぐここで聞く

ラウンドナップWebコンサルティングの中山陽平です。今回は、中小企業が次のサイト更新でもWordPressを選ぶべきか、その判断材料をお伝えします。いま使っている方にも、これから自分たちで更新できるサイトを作りたい方にも、一度考えていただきたい話です。

WordPressを悪く言いたいわけではありません。私自身、かなり古いバージョンから使っています。あくまで、皆さんが安全に運用し、事故に遭わないためにはどう考えたらいいかという観点です。

「いまWordPressだから、次も」で決めない

昔はMovable Typeが先行していた時期もありました。私の記憶では、途中でライセンスが有料になったこともあって、無料で使えるWordPressへ移る流れがありました。プラグインもどんどん充実して、いまでは自分たちでインストールするCMS（Content Management System、コンテンツ管理システム）として、事実上WordPressがまず候補になる状況だと感じています。

WordPressは、Web制作の仕事を本当に変えたツールです。手作業でページやプログラムを作っていたところから、オンラインの管理画面で更新し、プラグインで機能を増やせるようになりました。自社でWebサイトを運用する敷居を、ものすごく下げてくれた。これからも素晴らしいツールであり続けると思います。

ただ、すでにWordPressで作っていると、リニューアルでも「次もWordPressでやりましょう」となりがちです。データを移しやすいですし、制作会社にとっても基本的な作り方になっています。そこで一度、うちの管理体制で、これからも使い続けて大丈夫なのかと立ち止まってほしいんですね。

システムの管理をサービス側へ任せるSaaS（Software as a Service）型もあります。WordPressにもそうしたサービスがありますし、WixやStudioなども候補です。私たちも最近は、保守を外部へ任せる費用や社内の体制を考えると、サービス側がメンテナンスするものをベースにした方がいいのではと提案するケースが増えています。

参照：WordPress.com：WordPress.comとWordPress.orgの違い、AWS：SaaSとは

便利さと引き換えに、何を管理しているか確認する

2026年8月6日にWordPress 7.0.3、6日後の8月12日に7.0.4が公開されました。どちらもセキュリティ修正を含む更新です。こうした短い間隔での更新を見ると、作った後も管理を続ける必要があると、改めて感じます。

参照：WordPress.org：7.0.3リリース、WordPress.org：7.0.4リリース

編集注：7.0.4で修正されたのは、ImagickとGhostscriptを使用するサイトで、認証済みの投稿者以上の権限から悪意あるファイルをアップロードすると、遠隔でコードを実行され得る脆弱性です。「権限があまりないところでも」という説明には、この条件が付きます。また、公式発表では自動バックグラウンド更新に対応したサイトが順次更新されると案内されており、すべてのサイトへの強制更新を意味しません。

参照：WordPress.org：7.0.4の修正内容と自動更新の案内

WordPressはPHP（PHP: Hypertext Preprocessor）を使って作られていて、きちんと更新しないと危険だという話は昔からあります。そこへAI（Artificial Intelligence、人工知能）を使う攻撃が加わり、攻撃の準備や実行を進めやすくなっています。従来の管理負担と同じつもりでいていいのかというのが、今回考えていただきたいところです。

参照：Google Threat Intelligence Group：AIを利用した脆弱性攻撃などの調査

これまでは、WordPressのメリットが大きいので、管理が必要だというデメリ