- SERVICE
セキュアな Web サイト制作サービス
- WORKS
- ABOUT US
- NEWS & COLUMN
- IR
- RECRUIT
皆さんこんにちは。
taneCREATIVEの「ちほうタイガー」です。
この記事は、WordPressのバージョンアップ方法（概要）と注意点についてまとめた記事で、2026年8月19日に執筆しています。
WordPressは、ウェブサイトやブログを作成、管理するためのオープンソースのCMS（コンテンツ・マネジメント・システム）です。
データベースからユーザーの求めに応じて必要なデータを取得し、ページやコンテンツを動的に表示することができます。
一方で、WordPressは世界的な人気を誇るCMSであることから、脆弱性をついたサイバー攻撃の標的になることも少なくありません。
この記事では、企業のWeb担当の皆様に向けて、WordPressのバージョンアップ方法に関する概要と注意点をご紹介いたします（作業者向けの具体的な手順書ではなく、当社のようなベンダーに対して指示をされる側として必要な知識のご紹介に注力しています）。
WordPressを安全に運用していただく一助になれば幸いです。
WordPressのバージョン情報と読み方
WordPress（ワードプレス）のバージョンとは、3つの数字が「.」でつながった形で表記されているもので、左から1番目と2番目の数字がメジャーバージョン、左から3番目の数字がマイナーバージョンと呼ばれます（マイナーバージョンが0の場合は省略表記されます）。
一般的に使われているセマンティックバージョニングの場合には、左から「メジャーバージョン.マイナーバージョン.パッチバージョン」と呼ばれますので、WordPressのバージョン情報の呼び方には特徴があります。
このWordPressのバージョンアップ管理はユーザーの責任領域となりますので、セキュリティ対策の観点から、管理しているWordPressのバージョンを把握しておき、脆弱性が見つかれば適宜バージョンアップをしていくことが必要となります。
WordPressバージョンアップの必要性
WordPressを古いバージョンのまま利用しているとセキュリティ上のリスクに晒されてしまいます。
従来は、個人情報をサーバーに保持していないWebサイトについて、バックアップからの復旧や新しいサーバーでの再構築によって、比較的早期に公開状態を回復できるケースもありました。
しかしながら、近年では攻撃手法が高度化しており、WordPressサイトを改ざんし、訪問者を詐欺サイトやマルウェア配布先へ誘導するフィッシング攻撃や、ランサムウェア攻撃の初期侵入につながるマルウェアを配布する攻撃が増加しています。
【具体的な攻撃例】
- ・不正に埋め込まれたJavaScriptやリダイレクトにより、偽ログイン画面、詐欺サイト、マルウェア配布サイトへ誘導する。
- ・WooCommerceなどのECサイトの決済画面にスキミングコードを埋め込み、クレジットカード番号、CVV、請求先情報などを窃取する。
- ・偽のブラウザ更新画面やセキュリティ警告を表示し、RATやローダーなどのマルウェアをダウンロード・実行させ、ランサムウェア攻撃の初期侵入につなげる。
- ・バックドアや偽プラグインを設置し、継続的に不正コードを配信する感染源として悪用する。
こうした攻撃に共通するのは、「ひとたび侵入されると被害が自社だけで完結しない」という点です。
ユーザー・顧客など、周囲を巻き込む形で被害が拡大するリスクが高くなっています。
フィッシング対策・ランサムウェア対策という意味でも、WordPressのバージョンアップは非常に大切です。
WordPressのバージョンアップ方法（概要）
WordPressで構築されたWebサイトは、OSを基盤として、Apache HTTP ServerやnginxなどのWebサーバー、PHP、MySQLまたはMariaDBが稼働し、その上でWordPress本体、テーマ、プラグインが動作しています。
そのため、原則として、OSやWebサーバーなどの基盤に近い側から、PHP、MySQLまたはMariaDB、WordPress本体、テーマ、プラグインの順に、バージョンアップを計画します。
特に、新しいサーバー環境を構築してWebサイトを移行する場合には、まずサポート期間内のOSを用意し、Webサーバー、PHP、MySQLまたはMariaDBなどの基盤環境を構築します。その上で、WordPress本体、テーマ、プラグインを導入・更新していく方法が基本となります。
一方、既存のサーバー環境をそのままバージョンアップする場合には、現在使用しているWordPress本体、テーマ、プラグインが、移行先のPHPやデータベースに対応していないことがあります。また、現在のOSでは、移行先として予定しているPHPやMySQL、MariaDBのバージョンが提供されていない場合もあります。
このような場合には、先にWordPress本体、テーマ、プラグインを新旧両方の環境で動作するバージョンまで更新したり、新しいOSを使用したサーバーを別途構築してWebサイトを移行したりする必要があります。
基盤に近い側からバージョンアップすることを基本方針としつつ、実際の作業順序については、現在の環境と移行先の環境における各ソフトウェアの対応状況を確認した上で決定します。
なお、レンタルサーバーやマネージドサービスでは、OSやWebサーバーをサービス提供事業者が管理しており、利用者が直接バージョンアップできない場合があります。この場合には、提供事業者が公表しているサポート期限や移行スケジュールを確認し、必要に応じて新しいサーバー環境やプランへの移行を検討します。
更新による不具合を防ぐため、事前に現在の利用環境を確認し、ステージング環境で十分な動作確認を行った上で、本番環境へ反映します。
現行環境及び移行先バージョンとの互換性の確認
事前確認事項として、現在利用しているOS、Webサーバー、PHP、MySQLまたはMariaDB、WordPress、テーマ、プラグインなどのバージョンを確認します。
「functions.php」やカスタムプラグインに独自のコードを追加している場合には、その内容についても把握しておきます。
また、移行先となるWordPressのバージョン（通常は最新バージョン）を決定し、Webサーバー、PHP、MySQLまたはMariaDBの必要条件を確認します。
テーマやプラグインについても、公式ページや変更履歴などから、新しいWordPressやPHPへの対応状況、ライセンスの有効期限を確認します。
ステージング環境の準備
WordPressで構築されたWebサイトの動作テストを行うための環境を構築し、同環境内で各種バージョンアップ業務と不具合の解決を実施していきます。
WordPressサイトが適切に管理されている場合には、いわゆるステージング環境（テスト環境）が用意されていることが多いため、通常はこちらを利用します。
もしステージング環境が存在しない場合には、このステージング環境の構築からスタートします。
なお、運用方針によってはステージング環境とは別に開発環境を構築し、そちらでバージョンアップ業務をテストしていくこともあります。
データベースとファイルのバックアップ
バージョンアップ作業を始める前に、データベースとWordPressのファイル一式をバックアップします。
バックアップを取得するだけでなく、トラブルが発生した際に、実際に更新前の状態へ復元できることも確認しておく必要があります。
ステージング環境でのOSのバージョンアップ
OSのバージョンアップが必要な場合には、ステージング環境において、OSのバージョンアップを試行します。
Web系で広く使用されてきたCentOS Linuxについては、最終系統であるCentOS Linux 7が2024年6月30日にEOLとなり、CentOS Linux系列はすべて公式サポートを終了していますので注意が必要です。
現在、Web系でよく使用されているOSである、Amazon Linux、AlmaLinux OS、Rocky Linuxのサポート期限と脆弱性情報については、下記コラムを参照してください。
ステージング環境でのWebサーバーのバージョンアップ
Webサーバーのバージョンアップが必要な場合には、ステージング環境において、Webサーバーのバージョンアップを試行します。
現在、Web系でよく使用されているWebサーバーである、Apache HTTP Serverやnginxのサポート期限と脆弱性情報並びに上記OSによるバックポートについては、下記コラムを参照してください。
ステージング環境でのPHPのバージョンアップ
PHPのバージョンアップが必要な場合には、ステージング環境において、PHPのバージョンアップを試行します。
WordPressはPHPで開発されており、PHPのバージョンが一定以下だと最新のWordPressが正常に挙動しないということが起こりえます。
WordPressの各バージョンに対応するPHPのバージョンについては、下記ページを参照してください。
なお、PHP自体に脆弱性が見つかるため、セキュリティ対策の面でもPHPのバージョンアップを実施する必要があります。
PHPの脆弱性情報については、下記ページを参照してください。
ステージング環境でのMySQLないしMariaDBのバージョンアップ
WordPressは、MySQLないしMariaDBというオープンソースのリレーショナルデータベース管理システム（RDBMS）のどちらかを選択して使用する必要があるため、WordPressのバージョンアップにあたっては、MySQLのバージョンアップとセットで計画・実施せねばならないことがあります。
WordPressの各バージョンに対応するMySQL及びMariaDBのバージョンについては、下記ページを参照してください。
MySQL及びMariaDBの脆弱性情報については、下記ページを参照してください。
ステージング環境でのWordPress本体・テーマ・プラグインのバージョンアップ
WordPress本体、テーマ、プラグインの対応バージョンや変更履歴を確認してから、原則としてWordPress本体、テーマ、プラグインの順に、一つずつバージョンアップします。
ただし、新しいWordPressへの対応にテーマやプラグインの先行更新が必要な場合は、互換性を優先して順序を変更します。
各更新後には、管理画面へのログイン、投稿・固定ページの編集、主要ページの表示、問い合わせフォームなどを確認し、不具合が発生した更新を切り分けられるようにします。
データベース更新を求められた場合は実行し、作業完了後にキャッシュを削除します。最後にPHPエラーログやWebサーバーのログを確認し、問題があればコードの修正、該当プラグイン等の停止、またはバックアップからの復元を行います。
WordPress本体のサポート期限、脆弱性情報については、下記ページを参照してください。
WordPressプラグイン・アドオンのバージョン情報・サポート期限・脆弱性情報については、下記ページを該当の情報を参照してください。
本番環境への反映、テスト
以上のバージョンアップ作業を実施した後、本番環境に反映させます。
本番環境に反映後も、挙動テストを実施します。
WordPressバージョンアップを継続する体制について
前述のように、WordPressのバージョンアップは重要なセキュリティ対策ですが、多くの確認事項、手順が必要になるケースがあります。
taneCREATIVE株式会社は、「リモートによるWebアプリケーションのセキュリティ対策をパッケージ化、首都圏大手企業に提供」している点が評価され、2021年にJ-Startup NIIGATAに選定されているWeb制作会社で、WordPressはもちろんのこと、PHP、MySQL、MariaDBについても知見を有しています。
※「J-Startup NIIGATA」とは、経済産業省が2018年に開始したJ-Startupプログラムの地域版として、新潟発のロールモデルとなるスタートアップ企業群を明らかにし、官民連携により集中的に支援する仕組みを構築することで、新潟県におけるスタートアップ・エコシステムを強化する取組です。
- この記事を書いた存在
- ちほうタイガー
taneCREATIVEに所属する謎のトラ。
- 本業はWebコンサルタントという名の何でも屋。
既存のコラムから、WordPressのバージョンアップ方法にフォーカスした内容を切り出してみました。
2026年8月19日執筆
