WordPressを長期間放置すると何が起こる？

WordPressは、WordPress本体だけで動いているわけではありません。
テーマやプラグイン、PHP、データベース、Webサーバーなど、複数の仕組みが組み合わさってホームページが動いています。
それぞれが継続して更新されるため、公開時には問題がなかったサイトでも、何年も同じ状態のまま使い続けることで問題が生じることがあります。

たとえば、

• WordPressやプラグインに見つかった脆弱性が残っている
• 古いプラグインと現在の環境との互換性に問題が生じる
• 使用していないプラグインやファイルが残り続ける
• フォームなど一部の機能だけ正常に動かなくなる
• バックアップが正常に取得できていない
• 問題が発生しても気づけない

などです。
そして厄介なのが、こうした問題があってもホームページ自体は普通に表示されることがあるという点です。
実際にどのようなことが起こるのか、3つの事例を見てみましょう。

事例1：ハッキングされても見た目ではわからなかったWordPressサイト

最初は、🔗Google Search Centralが公開しているWordPressサイトのハッキング事例です。
あるレストランのWordPressサイトで、Googleから「サイトがハッカーによって改ざんされている」という警告が届きました。
Googleの検索結果にも、ハッキングされていることを示す警告が表示される状態になっていました。

サイト内部には不審なリンクやコンテンツが

管理者がソースコードを調べたところ、自分では設置していない医薬品に関するリンクなどが多数見つかりました。
ページのmeta descriptionにも覚えのない内容が追加され、さらに通常の閲覧ではわかりにくい隠しリンクも設置されていました。
つまり、ホームページそのものが完全に消えたり、トップページが派手に書き換えられたりしたわけではありません。
通常の利用者からは気づきにくい場所で改ざんが行われていたのです。

見つけたものを削除しても解決しなかった

管理者は発見した不正なコンテンツを削除し、Googleへ再審査を依頼しました。
しかし、最初の申請では問題が解決したとは認められませんでした。
そこでPHPファイルやサーバー上のファイルなどをさらに調査。

正常なバックアップと比較した結果、複数のPHPファイルに本来存在しない内容が追加されていることを発見します。

これらを正常なバックアップのファイルに戻し、再度Googleへ申請したことで、最終的にハッキングされたコンテンツがなくなったことが確認されました。

この事例からわかること

ハッキングというと、

「ホームページが表示されなくなる」
「トップページが知らない画面に書き換えられる」

といった、目に見える異常を想像するかもしれません。
しかし実際には、サイトを普通に閲覧しているだけでは気づきにくい攻撃もあります。
さらに、一度侵入されてしまうと、目についた不正ページやリンクを削除するだけでは解決しないことがあります。

どのファイルが改変されたのか、不正なコードがほかに残っていないかなど、サイト内部まで調査しなければなりません。
Googleもこの事例を踏まえ、WordPressなどのCMSやプラグインを最新の状態に保つこと、強固で固有のパスワードを使用すること、2段階認証を利用すること、信頼できる提供元のテーマやプラグインを利用することなどを対策として挙げています。

出典：🔗Google Search Central「ハッキングされたサイトの復旧事例をご紹介します」

ハッキングされると、どんな損害が考えられる？

先ほどの事例ではGoogle検索結果に警告が表示されましたが、ハッキングの方法によって起こる問題は異なります。

例を挙げると、

• ホームページが改ざんされる
• 不正なページやリンクを設置される
• 別のWebサイトへ転送される
• 悪意のあるプログラムの配布に利用される
• 個人情報などを取得される
• 検索結果に警告が表示される
• サイトを停止して調査・復旧する必要が生じる

などです。

さらに企業サイトの場合は、復旧作業そのものだけではなく、サイトを利用できない期間の機会損失や、問い合わせへの影響、顧客への説明などが必要になる可能性もあります。
ただし、保守をしていればハッキングを100％防げるわけではありません。
新しい脆弱性が発見されることもあれば、WordPress以外の経路から問題が発生する可能性もあります。

保守管理で重要なのは、リスクを減らし、異常があったときに早く発見し、万一の場合には復旧できる状態を整えておくことです。

事例2：長期間管理されていなかったWordPressサイト

ここからは、SoftEdgeが実際にメンテナンスを行ったWordPressサイトの事例です。
ある企業サイトの状態を確認したところ、長期間の運用のなかで、現在は使用されていないファイルやプラグインなどが残っていました。
ホームページそのものは表示されており、日常的に閲覧するだけなら大きな問題があるようには見えません。

しかし、WordPressは長く運用するほど、

「以前使っていたけれど現在は使っていないもの」
「何のために設置されたのかわからないもの」
「すでに役割を終えているもの」

が少しずつ積み重なることがあります。

使っていないものも管理対象になる

「使っていないプラグインなら放っておいても問題ないのでは？」
と思うかもしれません。
しかし、サイト内に残っている以上、状態を把握しておく必要があります。

不要なものを整理せずに残し続けると、将来メンテナンスする際にも、

「これは現在使っているのか」
「削除して問題ないのか」
「何のために設置されたものなのか」

というところから調査しなければなりません。
また、古いソフトウェアを残すことは、セキュリティ上の管理対象を増やすことにもなります。

このケースでは、サイトの状態を確認しながら、必要なものと不要なものを切り分けて整理していきました。
実際に攻撃を受けてから対応した事例ではありません。

問題につながる可能性のある状態を、トラブルが起きる前に確認できた事例です。
保守管理には、起きてしまったトラブルを直すだけでなく、こうした状態を定期的に整理する役割もあります。

事例3：サイトは正常に表示。でもお問い合わせメールが届かない

もうひとつ、SoftEdgeが実際に対応した企業サイトの事例があります。
こちらも、ホームページそのものは問題なく表示されていました。

しかし確認を進めると、お問い合わせフォームから送信されたメールが正常に届かない状態になっていることがわかりました。
企業サイトにとって、お問い合わせフォームは重要な窓口のひとつです。
ところがメールの送信トラブルは、ホームページを眺めているだけでは気づけません。

フォームページが表示されている。
入力欄にも文字を入力できる。
送信操作もできる。

それでも、その先でメールが正しく届いているとは限らないのです。

メールの送信環境を調査・整備

このケースでは、WordPress側のメール送信環境などを調査し、必要な設定を見直しました。
その後、実際にお問い合わせフォームからテスト送信を行い、正常にメールを受信できるところまで確認しています。

ここで重要なのは、「フォームが表示されているか」ではなく「実際に問い合わせが届くか」まで確認することです。

もし問い合わせが届いていないことに気づかなければ、
「最近ホームページから問い合わせが来ないな・・・」

と思いながら、そのまま運用を続けてしまう可能性もあります。
SoftEdgeの保守では、サイトを見るだけではなく、フォームから実際にテスト送信を行って動作を確認しています。

3つの事例に共通していること

今回紹介した3つの事例は、それぞれ内容が異なります。

ひとつは、実際にハッキングされて不正なコンテンツを埋め込まれたケース。
ひとつは、長期間の運用によって不要なものが残っていたケース。
そしてもうひとつは、見た目には正常でもお問い合わせメールが届いていなかったケースです。

しかし、共通していることがあります。
それは、
「ホームページが表示されているだけでは、正常に管理されているかどうかはわからない」
ということです。

WordPressの管理というと、どうしても「壊れたら直す」というイメージを持たれがちです。
しかし、本来の保守管理はそれだけではありません。

問題が起きていないか確認する。
古くなったものを整理する。
更新する。
バックアップを取る。
実際に機能しているかテストする。
そして何か起きたときに復旧できる状態を維持する。

こうした作業を継続することが、WordPressの保守管理です。

あなたのWordPressは大丈夫？一度確認してみましょう

長期間WordPressを触っていない場合は、次のような点を確認してみてください。

• WordPress本体やプラグインを定期的に更新している？
• 使用していないプラグインを整理している？
• テーマやプラグインのサポート状況を把握している？
• バックアップが定期的に取得されている？
• バックアップの保存場所を把握している？
• お問い合わせフォームを実際に送信して確認している？
• セキュリティ上の問題がないか確認している？
• トラブルが起きたときに対応する人が決まっている？

すべてを専門会社へ依頼しなければならないわけではありません。
社内で適切に管理できているのであれば、自社で保守する方法もあります。

ただ、

「最後に更新したのがいつかわからない」
「制作してくれた人とはもう連絡を取っていない」
「バックアップがあるかわからない」
「フォームのテストなんて何年もしていない」

という場合は、一度現在の状態を確認してみてもよいでしょう。

長期間WordPressを管理していない方へ

SoftEdgeでは、WordPressサイトの保守・管理を行っています。
WordPress本体やプラグインの更新だけでなく、セキュリティチェック、バックアップ、表示確認、お問い合わせフォームの送信確認など、サイトを継続して運用するための点検・管理に対応しています。

「サイトは動いているけれど、このままで大丈夫なのかわからない」
「以前の制作会社との保守契約が終わって、そのままになっている」

といった場合も、現在の状態を確認するところからご相談いただけます。
問題が起きてからではなく、問題が起きていないときに状態を確認しておくことも、WordPress保守の大切な役割です。