WordPressの自動更新、オフのままで大丈夫？AI時代に考えたいセキュリティ対策
WordPress 7.1.4のセキュリティ修正を踏まえ、自動更新をどこまで有効にすべきか、更新による不具合と脆弱性リスクのバランスを解説します。
2026年10月28日、WordPress 7.1.4が公開されました。
今回の更新では、クロスサイトスクリプティング（XSS）や、更新処理中にリモートコード実行につながる可能性がある問題など、複数のセキュリティ上の問題が修正されています。
WordPress公式も、速やかな更新を推奨しています。
WordPressを利用しているサイトでは、「更新すると表示が崩れるかもしれない」「プラグインが動かなくなるかもしれない」という理由で、自動更新を無効にしているケースがあります。
確かに、更新によって不具合が発生する可能性はあります。
しかし、脆弱性を放置したままサイトを運用することにもリスクがあります。
特にAIによる脆弱性の発見や解析が進む現在、更新を後回しにする運用は見直した方がよいのではないでしょうか。
今回は、WordPressの自動更新をどこまで有効にすべきか、更新による不具合とセキュリティリスクのバランスについて考えます。
WordPressのコアに再び脆弱性が見つかった
2026年10月28日に公開されたWordPress 7.1.4は、セキュリティ修正を目的としたリリースです。
修正内容には、次のような問題が含まれています。
- WordPressの更新処理中に、条件によってリモートコード実行につながる可能性がある問題
- ブロックや管理機能などに存在した複数の保存型XSS
- 未公開のカスタマイザー変更内容が、認証していない利用者に発見される問題
- 一部の権限や情報へのアクセス制御に関する問題
リモートコード実行は、条件によって外部からサーバー上で不正なコードを実行されるおそれがある問題です。
また、保存型XSSは、不正なスクリプトがコンテンツなどに保存され、ページを閲覧した際に実行される可能性がある脆弱性です。
すべてのWordPressサイトで直ちに悪用できるという意味ではありませんが、放置してよい問題ではありません。
AIが脆弱性を発見する時代になっている
今回の発表で興味深いのは、脆弱性の報告者にAI企業のAnthropicが含まれていることです。
また、2026年10月6日に公開されたWordPress 7.1.3でも、Anthropicや、OpenAIと協力したセキュリティ研究者による脆弱性報告が公式に紹介されています。
AIは文章作成やプログラミングだけでなく、ソースコードの解析やセキュリティ上の問題の発見にも利用されています。
これは防御側にとっても大きなメリットです。
人間だけでは見つけにくかった問題を発見し、修正につなげられる可能性があります。
一方で、AIによる解析技術は攻撃側に悪用される可能性もあります。
もちろん、AIによってすべての脆弱性が簡単に攻撃できるようになったわけではありません。
ただ、脆弱性を発見・分析する技術が進んでいる以上、更新せずに放置するリスクを軽く考えるべきではないでしょう。
WordPressの自動更新は、もともと標準で有効
実はWordPressでは、コアのマイナー更新やセキュリティ更新について、原則として自動更新が有効になっています。
WordPress 3.7から導入された機能で、通常の環境では、7.1.3から7.1.4のようなマイナー更新は自動的に適用される仕組みです。
一方、7.1から7.2のようなメジャー更新は、通常、手動更新が基本です。
ただし、サーバー環境や設定、管理サービスなどによって動作は異なります。
また、WordPressの設定ファイルやプラグインによって、自動更新が無効化されている場合もあります。
参考：WordPress公式：自動バックグラウンド更新の設定
つまり、今回おすすめしたいのは、すべての更新を無条件に自動化することではありません。
セキュリティ更新を自動で適用できる状態を維持することです。
更新するとサイトが壊れる可能性もある
WordPressの自動更新を無効にしている理由として多いのが、更新による不具合への不安です。
例えば、次のような問題が考えられます。
- テーマとWordPress本体の互換性がなくなる
- プラグインの機能が正常に動作しなくなる
- 独自カスタマイズ部分でエラーが発生する
- お問い合わせフォームが送信できなくなる
- 管理画面やページの表示に不具合が発生する
企業サイトでは、こうした不具合も無視できません。
特にお問い合わせフォームやECサイトの購入機能が停止すれば、直接的な機会損失につながります。
そのため、自動更新によるリスクをゼロと考えるべきではありません。
しかし、だからといって更新を止め続けることが正解とも限りません。
サイトが壊れるリスクと、攻撃されるリスク
ここは考え方が分かれるところだと思います。
更新によってサイトが壊れる可能性があるなら、更新しない方が安全だと感じるかもしれません。
ただし、更新しなければ、修正されていない脆弱性が残ることになります。
脆弱性が悪用された場合、サイトの改ざん、情報漏えい、不正なページの設置などにつながるおそれがあります。
もちろん、すべての脆弱性がすべてのサイトで悪用できるわけではなく、実際のリスクは脆弱性の内容やサイトの構成によって異なります。
それでも、更新による不具合はバックアップや復旧手順によって対処できる場合がある一方、情報漏えいなどは元の状態に戻すだけでは解決しません。
「更新すると壊れるかもしれないから、ずっと更新しない」
という運用は、長期的にはかえって大きなリスクを抱える可能性があります。
大切なのは、更新を避けることではなく、更新による不具合に備えておくことだと考えています。
自動更新はどこまで有効にすべき？
すべてのWordPressサイトに同じ設定が適しているわけではありません。
ただし、一般的な企業サイトであれば、次のような運用をおすすめします。
| 更新対象 | おすすめの運用 |
|---|---|
| WordPressコアのセキュリティ・マイナー更新 | 原則、自動更新を有効 |
| WordPressコアのメジャー更新 | 互換性を確認してから更新 |
| プラグイン | 重要度や不具合リスクに応じて個別判断 |
| テーマ | カスタマイズや互換性を確認して更新 |
| PHP | サーバー会社の修正状況を確認し、計画的に更新 |
特にWordPressコアのセキュリティ更新は、理由なく無効化しない方がよいでしょう。
一方で、古いテーマや独自開発の機能を多く使っているサイトでは、事前検証が必要になる場合があります。
プラグインについても、すべてを自動更新にするのが最善とは限りません。
サイトの構成や重要度に合わせて判断することが重要です。
WordPressの自動更新設定を確認する方法
まずはWordPressの管理画面から、自動更新の設定を確認してみましょう。
- WordPressの管理画面にログインする
- 「ダッシュボード」から「更新」を開く
- WordPress本体の更新状況を確認する
- 自動更新に関する表示があれば、設定を確認する
通常のWordPressでは、コアの自動更新について設定を切り替えられる場合があります。
また、設定ファイルの wp-config.php によって自動更新を制御しているケースもあります。
例えば、次の設定はWordPressコアのマイナー更新のみを自動適用する指定です。
define( 'WP_AUTO_UPDATE_CORE', 'minor' );一方、次の設定ではWordPressコアの自動更新が無効になります。
define( 'WP_AUTO_UPDATE_CORE', false );ただし、実際の自動更新は、ほかの設定やサーバー環境にも影響されます。
設定ファイルを変更する場合は、必ずバックアップを取得し、現在の設定を確認してから作業してください。
なお、minor は通常の本番サイトにおける標準的な動作でもあるため、すべてのサイトにこの記述を追加する必要はありません。
自動更新とセットで実施したい3つの対策
自動更新を有効にするだけでは、十分な運用体制とはいえません。
次の3つを組み合わせることをおすすめします。
1. バックアップを自動取得する
ファイルとデータベースの両方をバックアップしておきましょう。
サーバー会社の自動バックアップ機能が利用できる場合は、その保存期間や復元方法も確認しておくと安心です。
また、バックアップを取得しているだけでなく、実際に復元できることも重要です。
2. 更新後の動作を確認する
WordPress本体が正常に更新されても、サイト内の機能まで正常とは限りません。
トップページだけでなく、お問い合わせフォーム、管理画面、独自機能なども確認する必要があります。
可能であれば、サイトの稼働監視やフォームの定期的な動作確認も取り入れたいところです。
3. 更新通知を確認する
WordPressには、自動更新の結果をメールで通知する仕組みがあります。
ただし、通知設定やサーバー環境によって、メールが届かない場合もあります。
自動更新を有効にした後も、定期的に管理画面を確認し、更新に失敗していないかチェックしましょう。
古いWordPressを使っている場合は？
今回のWordPress 7.1.4のセキュリティ修正は、古いバージョンの一部にもバックポートされています。
例えば、WordPress 7.0系や6.9系などにも、対応する修正版が提供されています。
ただし、WordPress公式は最新版のみを積極的にサポートする方針を示しています。
古いバージョン向けの修正が提供されているからといって、いつまでも古いWordPressを使い続けてよいわけではありません。
長期間更新していないサイトでは、WordPress本体だけでなく、テーマやプラグイン、PHPの互換性も確認しながら、最新版への移行を検討しましょう。
まとめ：自動更新を止めるより、更新に備える運用へ
WordPressの更新によって、サイトに不具合が発生する可能性はあります。
しかし、脆弱性を放置し続けることにも大きなリスクがあります。
AIによる脆弱性の発見や解析が進む時代だからこそ、セキュリティ更新を速やかに適用できる環境を整えておきたいところです。
WordPressコアのセキュリティ更新は原則として自動化し、バックアップや動作監視を組み合わせる。
メジャー更新やテーマ・プラグインの更新は、サイトの構成に応じて適切に管理する。
「更新すると壊れるかもしれないから止める」のではなく、「更新しても対応できるように備える」。
これからのWordPress運用では、そうした考え方がますます重要になるのではないでしょうか。
株式会社おべんちゃーでは、WordPressサイトの更新、PHPのバージョン確認、テーマ・プラグインの互換性確認、既存サイトの保守・改修などについてご相談を承っています。
WordPress簡易セキュリティチェック
公開中のWordPressサイトのバージョンや公開情報を、URLを入力するだけで無料チェックできます。
WordPress簡易セキュリティチェックを試す制作・保守のご相談
WordPressの保守・セキュリティ・フロントエンド開発についてお気軽にご相談ください。
お問い合わせ