上場企業・大企業がWordPress保守体制を見直すコツと注意点をプロが解説

上場企業や大企業のWordPressサイトは、委託先や担当部署が複数にまたがるため、保守体制のほころびに気づきにくいものです。2026年7月にはIPAがWordPress本体の深刻な脆弱性について注意喚起を出し、更新が止まったサイトの危うさが表面化しました。

本記事では、サイト引越し屋さんに寄せられた大規模組織からの相談をもとに、保守体制を見直すコツと注意点を課題ごとに解説します。評価の軸は、事故やハッキングの後にサイトを元に戻せるかという「復旧力」です。

保守体制は「復旧力」で評価する

保守体制の良し悪しは、更新作業をこなしているかだけでは測れません。当社では、事故やハッキングの後にサイトを元の状態へ戻せる力を「復旧力」と呼び、体制を見直すときの物差しにしています。

復旧力は、「バックアップの安全性」×「技術力」×「支援体制」の3点で決まります。
どれか1つでも委託先任せで中身が分からなければ、復旧力は低いと考えてください。

外部環境も厳しくなっています。JPCERT/CCの四半期レポートによると、2026年4〜6月のWebサイト改ざんの報告は181件で、前四半期の90件から約2倍に増えました。

参考：JPCERT/CC 四半期レポート［2026年4月1日～2026年6月30日］｜JPCERT/CC

IPAは2026年7月22日、WordPress 6.9.0〜6.9.4と7.0.0〜7.0.1に影響する脆弱性「wp2shell」について、直ちに修正版へ更新するよう呼びかけました。

自動更新が無効だったり失敗したりしている場合もあるため、管理画面でのバージョン確認が欠かせません。

参考：WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell)｜IPA

委託先の倒産・連絡不通に備えて「自社名義」を取り戻す

相談でよく見られるのが、制作会社や管理会社と連絡が取れず、自社のサイトなのに手を出せないケースです。

たとえば、サイト引越し屋さんにて過去にご対応した大手商社の情報システム部門でも、ドメインの再販業者から返信がなく、移管に必要な認証コードが2か月以上発行されない事態が起きていました。

見直しのコツ：ドメイン・サーバー・管理者権限の名義を棚卸しする

まず、ドメイン、DNS、サーバー、WordPressの管理者アカウント、有料テーマやプラグインのライセンスについて、契約者の名義と管理者を一覧にします。すべて自社名義で、自社の担当者がログインできる状態が理想です。

ある製造業の企業では、ホームページの管理会社が倒産した後もサイトは動いていましたが、PHP 5.3のまま更新できず、コードが分かる社員もいませんでした。名義と権限が自社にあれば、保守の移し先をすぐに決められます。

制作会社しか編集できない箇所が残っている場合は、契約書にある成果物の所有権の条項を確認しましょう。支払い完了で所有権が移ると定めた契約なら、移管時に管理者権限の開示を求める根拠になります。

注意点：委託先が止まってからでは手続きが進まない

委託先が倒産や音信不通になってからでは、解約や移管の手続きそのものが止まることがあります。

過去に弊社で対応した事例では、元の管理会社が倒産し管財人からも詳しい情報が得られないまま、サーバーの移転を依頼されたケースもありました。

その案件では、サーバーのログイン情報は手に入らなかったものの、たまたまドメインの権利はお客様が握っていたことと、WordPress管理画面にはかろうじて入れたことから、WordPressをサーバー移転し継続運用することが可能になりました。

サーバーは制作会社か個人エンジニアの名義で開設されているかもしれないという状態も要注意です。契約更新のタイミングで自社への名義変更を済ませ、緊急時に連絡が取れる窓口を委託先の内外に複数持っておきましょう。

＝＝＝

サイト引越し屋さんではWordPressの保守管理を代行しております。
詳しくは、下記のサービス詳細をご覧ください。

>>WordPress保守管理サービス詳細はこちら

担当者の退職・異動で途切れない運用ルールをつくる

大規模組織では定期的に人事異動があるため、WordPressの運用が特定の人の記憶に頼っていると、引き継ぎのたびに情報が抜け落ちます。

弊社サイト引越し屋さんにご相談いただく上場企業・大企業さんの多くも、「前任者が退職し、構成を把握している人がいない」という声が多数寄せられます。

見直しのコツ：「誰が・何を・どの頻度で」を記録に残す

社内でサイトを構築したエンジニアが退職し、WordPress 4.9系から更新できなくなっていたIT企業がありました。社内にエンジニアがいても、WordPressの更新経験がなければ対応は難しいものです。

別の企業の管理部門からは、保守会社との打ち合わせ前に確認したい項目が届きました。更新は誰が行うか、IDはいくつあり2段階認証は有効か、バックアップは誰がどの頻度で取るか、改ざん時は誰に連絡するか、といった内容です。

この問いにすぐ答えられるようメモなど記録を作り、委託先とも同じ内容を確認しておくと、異動があっても体制が崩れません。

注意点：前任者の「大丈夫」を鵜呑みにしない

ある企業では、前任者から「SSLは自動で更新される」と聞いていたものの、実際は手動で更新していたことが退職後に分かりました。口頭の説明は実態と違うことがあるため、設定画面や契約内容で必ず裏付けを取りましょう。

共通アカウントで管理する場合は、退職時のパスワード変更を社内ルールにすることが前提です。可能であれば担当者ごとにアカウントを分け、異動や退職で不要になった権限をすぐ削除できる形にしておくと安心です。

グループ・複数サイトは一元管理する

グループ会社や事業部ごとにサイトを持つ組織では、保守契約がサイトごとにばらばらになりがちです。コーポレートサイトは守られていても、部署が所管するLPや特設サイトが手つかず、というケースは珍しくありません。

見直しのコツ：所管部署と保守の有無を1枚の表にまとめる

ある放送局の案件では、24あるサイトを棚卸しし、実際に使う7〜8サイトに絞る方針から検討が始まりました。コーポレートサイトと採用サイトが別々のWordPressで、保守費が二重にかかるため統合を検討した企業もあります。

URL、所管部署、保守会社、バックアップの有無、WordPressとPHPのバージョンを1枚の表にすると、守られていないサイトが一目で分かります。

注意点：1つのサーバーに全サイトを同居させるリスク

全国約80店舗分のWordPressサイトを、1つの共用サーバーアカウントで運用していた例もありました。管理は楽ですが、1サイトが侵害されると、同じアカウント内の全サイトに被害が広がるおそれがあります。

同じサーバーに後から追加したサイトだけWAFが無効で、改ざんが再発したケースもあります。サイトを追加するたびに、セキュリティ設定が全サイトでそろっているかを確認する手順を決めておきましょう。

＝＝＝

WordPressのメンテナンス対応が面倒だと感じたらプロにお任せください！
>>WordPress保守管理サービス詳細はこちら

社内インフラとの同居とバージョン放置を解消する

長く運用してきたサイトほど、社内に置いたままの古いサーバー構成や放置されたバージョンが事故の火種になります。大企業の場合は被害がWebサイトだけで済まず、メールや社内ネットワークにまで波及する点にも注意が必要です。

見直しのコツ：WordPressを独立した環境に移し、検証してから更新する

ある企業の社内IT部では、WordPressが全社のメール・DNS・プロキシと同じサーバーで動いており、脆弱性を突かれると全社インフラが共倒れになる状態でした。サイトヘルスでも、自動更新の失敗やデバッグログの露出など8項目の問題が出ていました。

制作会社に保守を打診したものの、サーバー運用まで含むと責任範囲が広いと断られ、当社に相談が届いた経緯です。WordPressを独立したサーバーに移し、検証環境で動作を確かめてから本番を更新する流れにすると、更新のたびの不安が減ります。

PHPの公式サポート期限も確認しておきましょう。php.netによると、PHP 8.2のセキュリティサポートは2026年12月31日に終了します。

参考：Supported Versions｜PHP

注意点：ログが残らないと原因も再発防止も説明できない

PHP 7.4のまま改ざんされた企業からは、改ざんと判断した根拠や侵入経路の説明を求められました。しかしサーバーの仕様で当時の詳細なログが残っておらず、原因の特定には限界がありました。

社内や取引先への説明が必要な組織ほど、ログの保存先と期間、バックアップの世代数を保守契約の段階で決めておくことが大切です。

サーバーの提供終了が迫っているのに改修が間に合わない場合は、まず現状のまま移転して時間を確保し、その後に改修する進め方もあります。WordPress 4.4系・PHP 5.6系のサイトで、この順序を選んだ製造業の企業もありました。

＝＝＝

WordPressのセキュリティ対策が不安な場合はプロへ任せるのが安心です。
>>WordPress保守管理サービス詳細はこちら

稟議・NDA・セキュリティ要件を見越して準備する

大企業の保守の見直しは、技術面よりも社内手続きで時間がかかることが多いものです。稟議、秘密保持契約（NDA）、取引先からのセキュリティ確認などを先回りして準備しておくと、切り替えの時期を逃さずに済みます。

見直しのコツ：見積の項目を分けて社内承認を通しやすくする

依頼前にNDAを結び、サーバー情報を共有してから正式な見積に進む流れは、大規模組織ではよくある手順です。相見積もりで他社の作業内容と比べ、差分を確認してから依頼先を決めた企業もありました。

見積りは移転・統合・改修などの項目ごとに分けてもらうと、予算に合わせて範囲を選べるため稟議を通しやすくなります。メールデータの移行は費用と必要性を見て決めたいので項目を分けてほしい、という要望もよくいただきます。

保守の範囲外になる作業の単価も事前に確認しておくと、追加作業のたびに一から稟議を回す手間を減らせます。

注意点：契約更新の時期と社内手続きの期間を逆算する

取引先のセキュリティアンケートで、FTPの21番ポートの制限を求められた製造業の企業がありました。こうした要件を移転の後から対応すると二度手間になるため、見直しの初期段階で洗い出しておきましょう。

サーバーを年払いで更新したばかりだったため、契約が切れる時期まで移転を待ち、先にWordPressの更新だけを進めたグループ企業もあります。稟議にかかる期間とサーバーの契約更新日から逆算し、段階的に進める計画を立てましょう。

まとめ

上場企業や大企業のWordPress保守体制は、委託先の名義、担当者の引き継ぎ、サイトの分散、インフラの同居、社内手続きの5点で見直すと抜け漏れを防げます。どの点も、事故の後にサイトを戻せるかという「復旧力」で評価するのがコツです。

まずはサイトの現状確認と、名義・権限・バックアップの確認から始めてください。サイト引越し屋さんでは、他社が制作したサイトの現状調査から保守の乗り換えまでまとめて対応しています。体制の見直しを検討中の方は、お気軽にご相談ください。