【2025年6月版】WordPress(ワードプレス)の保守・管理とは？

皆さんこんにちは。
taneCREATIVEの「ちほうタイガー」です。

この記事は、企業のWeb担当の皆様向けに、WordPress（ワードプレス）の保守・管理業務の内容についてまとめたもので、2025年6月17日に改訂しています。

少しでも皆様のお役に立てる記事に改訂していければと思います。
どうぞよろしくお願い致します。

WordPress（ワードプレス）は2025年6月17日現在、世界で圧倒的な支持を得ているオープンソースのブログソフトウェアであり、CMS（コンテンツ管理システム）です。

元々はブログソフトウェアとして開発されたCMSとしては、Movable Type（ムーバブル・タイプ）が先行してシェアを有していました。
日本でも2008年ごろまでは、「CMSと言えばMovable Typeでしょう」という制作会社さんが多かったという印象です（あくまで筆者の記憶上の主観的な印象です）。

しかしながら、世界ではそれより早くWordPressが主流となってきており、W3Techsによれば、本記事を改訂している2025年6月17日時点で、世界中のWebサイトの約43.4％がWordPressで構築されているとのことです（グラフ1参照）。

なお、同じくW3Techsによれば、CMSというマーケットにおいて、WordPressは61.1%のシェアを有しているとのことですので（グラフ2参照）、ShopifyやWixの追い上げも目立ちますが、いまだ圧倒的な支持を得ているCMSであると言ってよいでしょう。

当社は2012年の創業以来、WordPressを多く利用してWebサイトを制作しておりますが、その理由としては、創業メンバーが、次の理由から「WordPressが日本でもトップシェアを奪う」と確信してノウハウの蓄積を行ってきたからになります。

Webサイトを管理するCMSにも色々ありますが、日本で多く使用されているMovable Typeをはじめとして、基本的には初期ライセンス費用やメンテナンスライセンス費用がかかることが通常です。

これに対し、WordPressは完全無料のオープンソースのソフトウェアであるためCMS自体のライセンス取得・更新に費用が掛かりません。
WordPressは、世界中の多数の専門家が、日夜、無償で改善・開発・その他の運営業務を継続してくださっており、そのお陰で私たちは無料で高品質なCMSを利用することが出来ます。

WordPressには、テーマと呼ばれるWebサイトのデザイン・機能がセットになったパッケージが多数存在し、これを簡単に利用することができます。

このテーマには、無料のWordPress公式ディレクトリーのテーマと企業や個人のエンジニアが販売している有料のテーマが存在しますが、これらのテーマをそのまま利用するか、テーマのカスタマイズをすることで、一からデザインすることなく（ケースによってはほとんどHTML,CSSをコーディングすることなく）、Webサイトのデザイン並びに基本的なHTML,CSSが生成できてしまいます。

これにより、デザイン工数とコーディング工数を削減することができます。

WordPressには、プラグインと呼ばれる様々な追加機能が多数存在し、これを簡単に利用することができます。

このプラグインも、無料で利用できるものが数多く揃っていますが、企業や個人のエンジニアが販売している有料のプラグインも存在します。

これらのプラグインを利用することで、様々な追加機能を実装することができるため、各種追加機能の開発・実装工数を削減することができます。

他社様にて制作・開発されたWebサイト、Webシステムをお引き受けする際に、かなりの確率で脆弱性が発見されますが、規模の小さなWebシステムにおいては、スクラッチ開発（独自に開発する手法）のケースで最も高確率で致命的な脆弱性が見つかっています。

これに対し、WordPressでサイトが構築されている場合にはWordPress本体、テーマ、プラグインで基本的な機能が実装されているケースが多いため、WordPress本体（コアファイル）、テーマ、プラグインを適切にバージョンアップさえすればほとんどの脆弱性に対応することができます。
むしろCMS側がセキュリティ対策を実施してくれるため、エンジニアがケアレスミスで脆弱性を組み込む確率は低いと言ってよいでしょう。

これは、貢献者と呼ばれる世界中の専門家の皆さんと、テーマ、プラグインの開発関係者の皆さんが、日夜迅速な対応をしてくれているからに他なりません。

これにより、セキュリティ対策にかかる初期費用を大幅に削減することができます。

まず、誤解のないようにしたいのは、WordPress＝セキュリティが弱いとは限らないということです。

Webサイトの脆弱性は、基本的には、「Webサイトを構築するエンジニアの知識不足やケアレスミスにより設計・実装段階で組み込まれたもの」と「使用しているソフトウェアに組み込まれていたもの」の2種類に分けることができますが、WordPressでサイトが構築されている場合にはWordPress本体、テーマ、プラグインで基本的な機能が実装されているケースが多いため、むしろWebサイトを構築するエンジニアがケアレスミスで脆弱性を組み込む確率は低いと言えます。

また、WordPressに関する脆弱性が見つかっても、貢献者と呼ばれる世界中の専門家やテーマ・プラグインの開発者が日夜迅速な対応をしてくれていることから、バージョンアップをしっかりと実施していれば、使用しているソフトウェアに組み込まれていた脆弱性にも迅速に対応することが可能です。

特に、WordPress自体は非常に堅牢なCMSであり、バージョンアップをしっかりと行えば大きな侵入のリスクは少ないと考えています。
実際に、WordPress本体（コア）の脆弱性の数はプラグインやテーマに比べて少なく、特に最近では緊急レベルの脆弱性報告は減少しています。
※詳細は、当社が公表しているWordPressの脆弱性情報一覧を参照してください。

一方で、膨大な数のプラグインやアドオンが存在し、それらの脆弱性を狙った攻撃が増加しています。
※Patchstackの「State of WordPress Security 2025」によれば、2024年に報告されたWordPress関連の脆弱性のうち、96%がプラグイン、4%がテーマに起因し、WordPressコア由来はごくわずかにとどまっています。
WordPressはコア（本体）のバージョンアップをすることが大事という点は変わりませんが、コアだけバージョンアップしてればよいわけではない点に注意が必要です。

このように、WordPressで構築されたWebサイトは、WordPress本体やテーマ、プラグインのバージョンアップを適切に実施すれば、サイバーセキュリティの問題をクリアしていくことができますが、このバージョンアップを含めたトラブル予防の実施や、実際にトラブルが発生した場合の対応については専門的な知見が必要になることが多いのも事実です。

そのため、WordPressの保守・管理は必要であると考えています。

WordPressの保守・管理の主な業務は、WordPressサイト（テーマやプラグインを含む）やミドルウェア、OSのバージョンアップを適切に実施することで、WordPressサイトの脆弱性を潰し、サイバー攻撃を受けにくくする業務の他、WAF（Web Application Firewall）の設定・管理を通してサイバー攻撃をリアルタイムで検出し対策をする業務、バックアップからの復旧などサイバー攻撃を通してしまった場合に被害を少なくするための準備・リカバリー業務などがあります。

各業務の概要は次の通りです。

また、WordPress本体のバージョンアップはセキュリティ対策上非常に重要であり、こまめな対応が必要になりますが、WordPressのバージョンアップを実施すると、テーマやプラグインに影響が出て来ます。

さらには、プラグインは他のプラグインのことを考えて開発されておらず、プラグイン同士のバッティングによる不具合なども起こります。

つまり、基礎となるソフトウェアのバージョンアップを実施すると、それに依存するソフトウェアが正常に挙動しなくなったり、意図せず他のソフトウェアが正常に挙動しなくなったりするということが多々起こるため、実際の保守・管理の現場では、これらの問題をエンジニアが一つ一つ解決していくことになります。
その為、WordPress並びにテーマ・プラグインに対する深い知見を有しているWeb制作会社が、保守・管理業務の担い手としては適任となります。

加えて、前述のようにWordPressのプラグインが狙われる今日では、各種プラグインの脆弱性情報を取得・保有し、適宜プラグインのバージョンアップを行ったり、更新が止まっていたり、廃止されたプラグインを使用している場合には、代替プラグインに置き換えるなどの作業が求められるようになってきました。

もちろん、WordPressサイトの場合、全てのページを管理画面から更新できるようにカスタマイズするケースは多くないことから、更新の頻度が低いページについてはコンテンツの更新補助が保守・管理の内容として求められるケースも多いのは変わりません。

さらに、表示速度の高速化などの各種ユーザー体験(UX)改善業務も保守・管理に求められる時代となってきています。
ただし、表示速度の高速化については、フロントエンド・バックエンドともに深い知見が必要な為、担当するWeb制作会社によって対応能力に差が出てくる領域となります。

一方で、従来のWeb制作会社が保守・管理としてお金を頂いていた「サーバー」「ドメイン」「SSL/TLS証明書」の更新代行業務については、WordPressサイトの保守・管理業務から除外されるようになってきました。

その理由としては、サーバーやドメイン、SSLの契約更新は、基本的には企業が直接サーバー会社、ドメイン会社と契約し更新していくことが企業の資産管理、契約管理の観点からも重要であるという認識が一般化してきたこと、更新の作業も低頻度(数か月～数年に1度)かつ簡単な作業であることが多いことから企業の担当者でも対応可能であること、等が理由であると推察されます。

WordPressサイトの保守・管理費用は、作業範囲にどこまで含まれているかによって変わってきます。

その為、WordPressサイトの保守・管理を依頼する際には、「どこまでやってもらえるのか」という点をしっかりと確認することが重要です。

また、WordPressサイトのセキュリティ対策についても、①WordPressでWebサイトを構築した際にどこまで保守・管理・運用を考慮して実装されているか、②定期的にバージョンアップがなされているか、によって保守・管理の費用は大きく変わってきます。

例えば、①WordPressサイトを構築する際に、最新のPHPを使用し、サードパーティ製のテーマは使用せず、プラグインは必要最小限度の数個のみを使用する等、バージョンアップがやり易いように実装されているケースで、②毎月ある程度保守・管理されている場合には、月に数時間程度でバージョンアップが完了するケースもあります。

こういうケースでは1ヶ月に数千円～2万円程度でWordPressサイトの保守・管理を請けてくれるところもあるでしょう。

一方で、①PHPが古く、サードパーティ製のテーマを使用しており、プラグインが10以上インストールされていて、②数年程バージョンアップを実施していないようなケースでは、毎月の保守・管理費用が数万円かかることもありえます。

こういった場合には、保守を開始する前に、保守コストができるだけかからないサイト構成に修正してしまう方が、結果としてコスト削減につながり、かつセキュリティ対策としても良いケースがあります。

このように、WordPressで構築されたWebサイトのケースでは、WordPress本体だけでなく、PHP、テーマ、プラグインのバージョンと脆弱性の状況について、現状を把握することが大切です。

前述のように、WordPressは世界でもっとも人気のあるCMSであり、Web制作の現場ではよく使用されるCMSです。

しかしながら、WordPressのバージョンアップをしようと思っても、テーマやプラグインのバージョンアップが滞っていることでトラブルが発生したり、あるいはPHPやMySQL等のバージョンアップが必要になったりなどの問題に直面することもあるかと思います。