課題
このブログは、レンタルサーバーのXserverでWordPressを動かしている。
2026年10月21日、PHPとNode.jsから、続けてセキュリティの修正が出た。ブログのPHPは翌22日に8.1から8.3へ切り替え、手元のMacのNode.jsは23日に新しい版へ上げた。どちらも記事にまとめてある。
2つが片付いたところで、「次の脆弱性には、どうやって気づけるのか」という問いが出た。
振り返ると、2件とも始まりは人の動きだった。PHPは、自分がニュースを見てAIに解析を頼んだ。Node.jsは、自分がAIに「念のため確認してほしい」と頼んだ。誰かが気づいて動かなければ、何も始まらない。
こういうとき、通知や見張りの仕組みを新しく足す方向に考えたくなる。でもその前に、確かめておくことがあった。WordPressには、もともと新しい版を自動で入れる仕組み（自動更新）がある。それが今、何をしていて、何をしていないのか。
解決できるようにすること
個人でWordPressを運営している人が、次の4つを自分でできるようにする。
- 本体・プラグイン・テーマの自動更新が、それぞれオンかオフかを確かめる
- 自動更新をオンにする前に、一度手で更新して、前と後で表示が変わらないかを比べる
- 使っていないテーマ・プラグインを、「止める」「消す」の順で片付ける
- PHPのサポートが終わる日を、忘れない場所に置く
先に結論
- 本体（WordPress）の自動更新は有効で、メジャーの版も対象。版もその時点の最新だった
- プラグインは、自動更新がすべてオフ。入っていた8本すべてに、新しい版が出ていた
- テーマも、自動更新がすべてオフ。使っているテーマ（Cocoon）は最新より古く、使っていないテーマが7つ残っていた
- プラグイン5本とテーマ2つを一度手で更新し、公開ページ10か所などが前と変わらないことを確かめてから、自動更新をオンにした
- 使っていないテーマ7つと、止めてあったプラグイン2本は、自分が消した。使っていなかったページビルダー（ページを組み立てるためのプラグイン）は、1週間止めたまま様子を見てから、10月30日に自分が消した。消す前と後で、公開ページの状態は変わらなかった
- オンにして6日後、お問い合わせフォームのプラグインが、10月29日に出た新しい版へ自動で更新されていた。WordPressからの自動更新のお知らせのメールも届いていた
- PHP 8.3のサポートは2027年12月31日まで。その前の2027年9月1日に、切り替えを計画する予定を置いた
この記事でわかること
- 「本体が自動更新なら大丈夫」が、プラグインとテーマには当てはまらない理由（公式の説明つき）
- 自動更新の状態を、管理画面のどこで見るか
- 自動更新をオンにする前に、一度手で更新した順番と、前後で比べた項目（図あり）
- 使っていないテーマ・プラグインを、すぐ消さずに止めてから消した理由
- 自動更新が実際に動いたかの確かめ方と、まだ確かめられていないこと
こう思う人もいるかもしれない。
「WordPressの自動更新がオンなら、プラグインも一緒に更新されるのでは？」
自分のブログでは、そうなっていなかった。本体の自動更新と、プラグイン・テーマの自動更新は、別のスイッチになっている。WordPressの公式の説明でも、プラグインとテーマの自動更新は、自分でオンにするもの、と書かれている。本体だけを見て安心すると、プラグインとテーマが抜け落ちる。
見張りを足す前に、今あるものを確かめた
最初にやったのは、今ある手段がどうなっているかを確かめること。
10月23日、AIがWordPressの管理画面を読むだけで確かめた。この時点では、設定は何も変えていない。
結果は、こうなっていた。
- 本体: 自動更新は有効。新しい機能が入る大きな版（メジャー）も対象で、版はその時点の最新
- プラグイン: 自動更新はすべて無効。8本中8本に、新しい版が出ていた
- テーマ: 自動更新はすべて無効。使っているCocoonは最新より古い版。使っていないテーマも残っていた
- PHP: サイトヘルスで8.3。前日に切り替えた版のまま
「8本中8本か……」。本体がきちんと最新だっただけに、プラグインの側との差が目立った。
もう1つ、AIに聞かれて自分が答えたことがある。サーバー会社（Xserver）のお知らせは、メールで受け取っている。これも、すでにある「気づく経路」の1つになる。
ちなみに、AIは最初、使っていないテーマを6つと数えていた。あとで数え直すと7つ。一覧を読むだけの確認でも、数え違いは起きる。
WordPressの自動更新は、どこまでが最初からオンなのか
なぜ本体だけがオンだったのか。WordPressの公式の説明を読むと、ここは最初の設定どおりの動きに近い。
開発者向けの説明（Configuring Automatic Background Updates、2026年10月26日に確認）の要点はこう。
- 自動更新には、本体・プラグイン・テーマ・翻訳の4種類がある
- 本体の小さな更新（保守やセキュリティの更新）と翻訳は、最初から自動。この仕組みはWordPress 3.7で入った
- 本体のメジャーの更新は、WordPress 5.6以降に新しく入れたサイトなら、最初から自動。それより前からあるサイトは、管理者などがオンにしない限り、小さな更新だけのまま
- プラグインとテーマは、最初の設定では「特別な場合」にだけ自動で更新される。重大な脆弱性を直すために、WordPressのセキュリティチームが判断した場合
利用者向けの説明（Plugin and themes auto-updates、同日に確認）には、こうある。
- WordPress 5.5から、プラグインとテーマの自動更新を、1つずつ自分でオンにできるようになった（プラグインは、まとめてオンにする操作もある）
- オンにすると、最初の設定では1日2回、自動更新が走る
- 自動更新が成功・失敗したときは、最初の設定でサイトの管理者にメールが届く
- 自動更新は、WordPressの予定を実行する仕組み（WP-Cron）に頼っている。サーバーによってはうまく動かないことがあるので、サイトヘルスでエラーが出ていないかを見る
つまり、プラグインとテーマが全部オフだったのは、最初の設定のまま誰もオンにしていなかった、と考えるのが自然になる。ただ、これは公式の説明からの見立て。自分のブログで、本体のメジャーの自動更新がいつ、どの操作でオンになったかは、記録が無くて分からない。
ここで、AIと整理したことがある。気づく仕組みを足しても、プラグインの更新が手作業のままなら、気づいたあとに誰かが動く必要は残る。逆に、自動更新がオンなら、修正版が出てから入るまでの間を、人が気づくのを待たずに縮められる。見張りを作るかどうかを決める前に、まずここを埋めておく、という順番になった。
オンにする前に、一度手で更新した
ここで自分が決めたのは、次の3つ。
- 自動更新を有効にする
- 使っていないテーマとプラグインを消す
- PHPのサポートが終わる日を、予定に置く
そのうえで、AIに「できる範囲で進めて」と任せた。
進めた順番は、こうなった。
いきなり自動更新をオンにしなかったのには、意味があったと思う。8本すべてに新しい版が出ている状態でオンにすると、次の自動更新のときに、まとめて一度に更新が入る。それが自分の見ていない時間に起きて、もし表示が崩れたら、どれが原因かを追いにくい（ここは記録をもとにAIと整理した見立て）。先に一度、目の前で更新しておけば、そのあとの自動更新は「少しずつの差分」になる。
作業の前に、比べる相手を記録した
最初に、AIが今の状態を記録した。
- 公開ページ10か所の状態（ページがちゃんと返ってくるか）と、PHPのエラーや警告の文字が出ていないか
- 主な3ページ（トップ、記事、お問い合わせ）の見た目
- プライバシーポリシーのページに、広告のコードが出ていないこと（このページは広告を出さない設定にしている）
PHPを切り替えたときと同じで、見るのは「全部が正常か」ではなく「前と同じか」。
あとから振り返ると、お問い合わせフォームも、特定のページで広告を外す設定も、プラグインが受け持っている部分。プラグインを更新するなら、そのプラグインが動かしているところを前後の確認に入れておく、という考え方になる（ここもAIと整理した見立て）。
使っていないページビルダーは、消す前に止めた
入っていたプラグインの1本は、ページを組み立てるためのプラグイン（ページビルダー）だった。記録を見ると、固定ページにも投稿にも、1つも使われていなかった。
そこでAIが、まず止めた（無効化）。止めるときに、理由を尋ねる画面が出たけれど、答えずに飛ばしている。止めたあとも、10か所の状態とエラーの有無は前と同じだった。
止めるのと消すのは、別の操作になる。止めただけなら、困ったときにまた有効にできる。消してしまうと、入れ直しになる。だから消すのはすぐではなく、1週間止めたまま様子を見てから、と決めた。
10月30日、自分が管理画面から消した。消す直前に、AIが公開ページ10か所の状態とエラーの文字、広告を外したページ、お問い合わせフォーム、主な3ページの見た目を記録し、消したあとに同じ項目を比べた。どれも前と同じだった。
プラグイン5本とテーマ2つを、手で更新した
次に、AIが管理画面から、使っているプラグイン5本と、テーマ2つを更新した。テーマは、使っているCocoonと、予備として残すTwenty Twenty-Five（WordPressに最初から入っているテーマ）。
5本の中には、版の番号の一番左が3から4に上がる、大きめの更新もあった。それも含めて、更新はすべて成功。
更新のあと、10か所の状態とエラーの有無、広告を外したページ、お問い合わせフォームは、前と同じ。トップ・記事・お問い合わせの見た目にも、崩れは無かった。
「よし、ここまでは何も変わってない」。この確認があったから、次の段階へ進めた。
それから、自動更新をオンにした
AIが、プラグイン5本と、テーマ2つ（Cocoonの親テーマとTwenty Twenty-Five）の自動更新をオンにした。画面を読み込み直しても、有効のままなことも確かめている。
1つだけ例外があった。Cocoonの子テーマは、自動更新の対象にならなかった。子テーマは、親テーマの上に自分のサイト用の調整を載せる部分。なぜ対象外なのかの細かい理由までは確かめていない。ただ、子テーマに載せた調整があるぶん、親テーマが自動で更新されたあとに見た目が変わっていないかは、ときどき自分の目で見ることになりそう（ここは見立て）。
使っていないテーマとプラグインを消した
ここからは、自分が管理画面で消した。
- テーマ7つ: WordPressに最初から入っている年ごとのテーマの古いもの4つと、ほかのテーマ3つ（子テーマ1つを含む）。残したのは、使っているCocoonの親・子と、予備のTwenty Twenty-Five
- プラグイン2本: もともと止めてあったもの
WordPressの公式のサイトヘルスの説明（Site Health screen、2026年10月26日に確認）にも、使う予定のない停止中のテーマは消すことがすすめられている。止めてあっても、入っている限りは、更新の通知が出続け、確認の手間が残る（ここは見立て）。
消したあとも、10か所の状態とエラーの有無、広告を外したページ、お問い合わせフォームは前と同じだった。
10月30日にページビルダーも消して、プラグインは使っている5本（すべて自動更新オン）だけになった。テーマも3つ。管理画面の一覧が、ずいぶんすっきりした。
PHPのサポートが終わる日を、予定に置いた
もう1つ分かったのが、PHPのサポートがいつ終わるかを書いておく、決まった場所が無かったこと。
PHP公式のSupported Versions（2026年10月26日に確認）では、今使っている8.3は、通常のサポートが2025年12月31日に終わっていて、セキュリティの修正だけが2027年12月31日まで続く。
そこで、自分の予定の一覧に、2027年9月1日の項目を置いた。中身は「8.3のサポートが終わる前に、サポート中の版（8.4以降）への切り替えを計画して、切り替えの前後で表示を確かめる」。期限の4か月ほど前になる。
前回、8.4ではなく8.3を選んだのは、プラグインとの相性を心配したからだった。今はプラグインを新しくして、自動更新もオンにしてある。次の切り替えでは、新しい版を選びやすくなっているはず。ただ、これは見込みで、8.4で試したわけではない。
なお、WordPressの公式の動作環境のページ（2026年10月26日に確認）では、すすめるPHPの版は「8.3以上」になっている。
オンにして6日後、自動更新は実際に動いていた
10月30日、ページビルダーを消す前に、AIがプラグインの一覧を見た。
- 使っている5本は、どれも自動更新が有効のまま
- 新しい版が出ていたのは、止めていたページビルダーだけ
お問い合わせフォームのプラグインの版を、WordPress.orgの配布の記録と照らすと、10月29日に出た版だった。10月23日に手で更新したときには、まだ無かった版になる。そのあとで手で更新した記録は無い。オンにした自動更新が、新しい版を入れたことになる。
残りの4本は、10月23日より前に出た版のままだった。手で更新したあと、新しい版が出ていない。
自分のメールにも、WordPressから自動更新のお知らせのメールが届いていた。最初に読んだ公式の説明（自動更新が成功・失敗したときは、管理者にメールが届く）のとおりだった。
オンにしたら、それで終わりにしない。版とメールの2つで、実際に動いたかを確かめられる。
確かめられていないこと
- 自動更新が、毎回うまく動くか: 動いたのを確かめたのは、オンにしてから最初の1回（お問い合わせフォームのプラグイン）だけ。テーマの自動更新が動いたところは、まだ見ていない
- 本体のメジャーの自動更新が、いつオンになったか: 最初からか、誰かがオンにしたのかは、記録が無い
- 子テーマが対象外になる、細かい理由: 画面の表示を見ただけで、仕組みまでは確かめていない
- これから先の自動更新で、表示が崩れないか: 一度手で更新して問題が無かったのは、その時点の版の話。次の版でどうなるかは分からない
- 攻撃を受けていないか: 今回の確認は、どれも表示と動きの確認。攻撃を受けていないことの確認ではない
- 新しい見張りの仕組み: 今回は作っていない。今ある自動更新とメールで足りるかどうかは、まだ分からない
チェックリスト
今ある仕組みを確かめる
- 本体の自動更新を見る。「ダッシュボード」→「更新」の画面で、小さな更新だけか、メジャーの版も含むかを確かめる
- プラグインの自動更新を見る。「プラグイン」の一覧の「自動更新」の列で、1本ずつオンかオフかが分かる
- テーマの自動更新を見る。「外観」→「テーマ」で、テーマを1つずつ開くと表示がある
- まとめて見るなら、サイトヘルス。「ツール」→「サイトヘルス」→「情報」で、使っている・止めているテーマとプラグインごとに、版と自動更新の状態が並ぶ
- サーバー会社のお知らせが、どこに届くかを確かめる
自動更新をオンにする前
- 比べる相手を記録する。公開ページの状態とエラーの文字、主なページの見た目、プラグインが受け持っている機能（お問い合わせフォームなど）
- 使っていないものは、まず止める。消すのは様子を見てから
- 一度手で更新して、同じ項目を比べる
- 自動更新をオンにして、読み込み直しても残っているかを見る
そのあと
- 使っていないテーマ・プラグインを消して、もう一度比べる。予備のテーマは1つ残す
- PHPのサポートが終わる日の数か月前に、予定を置く
- 数日後に、自動更新が実際に動いたかを見る。プラグインの版が配布元の新しい版になっているか、自動更新のお知らせのメールが届いているか
こんな人に向いている
レンタルサーバーで、個人のWordPressブログを運営している人に向いている。特に、「本体は自動で更新されているから大丈夫」と思っている人や、昔試したテーマやプラグインが入れっぱなしになっている人。脆弱性のニュースに気づく仕組みを考え始めた人にも、その前にやることの順番として役に立つと思う。
まとめ
次の脆弱性にどう気づくかを考える前に、今ある自動更新が何をしているかを確かめた。本体は自動で最新だったけれど、プラグインとテーマは自動更新がすべてオフで、プラグインは8本すべてに新しい版が出ていた。一度手で更新して前後を比べてから自動更新をオンにし、使っていないテーマとプラグインは消した。6日後には、お問い合わせフォームのプラグインが自動で新しい版になり、お知らせのメールも届いていた。PHPのサポートが終わる日は、予定に置いた。
| 項目 | 内容 |
|---|---|
| 結論 | 本体だけが自動更新で、プラグイン8本とテーマは全部オフだった。一度手で更新して前後の表示を比べてから、自動更新をオンにした |
| 教訓 | 気づく仕組みを足す前に、今ある自動更新がどこまでを受け持っているかを確かめる。本体とプラグイン・テーマは別のスイッチ |
| 対象読者 | 共有のレンタルサーバーでWordPressブログを個人で運営している人 |
同じ状況に陥ったときの回避策
- 本体の自動更新だけを見て安心しない。プラグインとテーマは、自分でオンにするもの
- サイトヘルスの「情報」で、テーマとプラグインごとの版と自動更新の状態をまとめて見る
- 新しい版が溜まっているときは、いきなり自動更新をオンにせず、一度手で更新して前後を比べる
- 前後で比べる項目には、プラグインが受け持っている機能を入れる
- 使っていないものは、止めて様子を見てから消す。予備のテーマは1つ残す
- オンにしたら、数日後に版とお知らせのメールで、実際に動いたかを確かめる
- PHPのサポートが終わる日を、数か月前の予定として置く
次に読むなら
- XserverのWordPressがPHP 8.1だった。緊急の脆弱性修正で8.3へ切り替えた判断と、前後の確かめ方 — この記事の前日にやったPHPの切り替え。テーマとプラグインの見直しを「別の作業として後で」と書いていた、その続きが今回になる
- Node.jsの脆弱性修正でMacのnvmを24.22.1に。入れただけでは、動いているAIのセッションは古い版のままだった — 同じ週に、手元のMacのNode.jsを上げた話。「入れた」と「動いているものが切り替わった」は別、という確かめ方を書いている
参考にした公式の情報（2026年10月26日に確認）
- WordPress: Configuring Automatic Background Updates
- WordPress: Plugin and themes auto-updates
- WordPress: Site Health screen
- WordPress: Requirements
- PHP: Supported Versions
この記事は、筆者が個人で運営しているこのブログの運用記録（2026年10月21日〜10月30日）と、WordPress・PHPの公式の情報を基に、独自調整したAIが下書きを作成し、筆者が事実確認・編集を行った上で公開しています。
