ミニこれしり「ウェブサイト制作の現場から」より
出演：大串肇（めがね） × さいき（mgn）
📺 動画で観る：https://www.youtube.com/live/xVzRscmXXmU
この回で話していること（約200文字）
WordPressのメジャーアップデートは、マイナーリリースが出るまで待つべきなのか。Toro_Unitさんが公開した記事を読みながら、mgn代表の大串肇（めがね）と、プラグインやテーマの実装を担当するさいきが話しました。待つことに根拠はあるのか、待つほど検証の手間はどう膨らむのか、放置されたサイトが静かに侵入されるリスクとどちらが重いのか。サイト規模別の現実的な進め方まで話しています。
まずは用語から：メジャーとマイナーって何が違うの？
WordPressのバージョンは 7.1.2 のような数字で表されます。
- メジャーアップデート：
7.0→7.1のように、小数第1位が上がるもの。新機能や大きな改善が入ります。 - マイナーアップデート：
7.1→7.1.1のように、小数第2位が上がるもの。主にセキュリティ対策やバグ修正です。
ポイントは2つ。
- WordPressの番号は0.1ずつ淡々と増えていくだけで、数字が大きく変わったからといって中身が激変するわけではありません（PHPなどの「7系→8系」とは考え方が違います）。
- マイナーアップデートは必須です。ニュースになるような脆弱性は、ここで塞がれます。初期設定ではマイナーは自動で当たるようになっているので、止めていなければひとまず大丈夫です。
今回のテーマは、そのうえで「メジャーのほうをいつ当てるか」という話です。
結論
①「マイナーが出るまで待てば安全」に根拠はありません。 過去には 7.0.1 で重大な脆弱性が見つかった例も、4.7.2 まで修正がかからなかった例もあります。何回待てば安全、という線は引けません。
②「プラグインやテーマの対応待ち」も同じく不透明。 WordPressは後方互換をとても大事にしていて、20年前の関数が残っているほど。本体の更新でプラグインが壊れるのは、実はかなり稀です。
③本当のリスクは、待っているうちに更新が止まること。 溜めるほど確認する手間が増え、やがて誰も触らなくなる。その状態で侵入されるほうが、少し表示が崩れるより深刻です。
そのうえで現実的な線引きは、サイトの体制に見合った戦略を選ぶこと。小規模で「崩れたらすぐ直しますね」と言える関係があるなら、メジャーもプラグインも自動更新に振り切ってしまう。責任の重いサイトなら、ベータ版・RC版の段階でテスト環境に当てておき、リリース後1週間以内に本番へ適用する。どちらにせよ「手間が小さいうちに、こまめに片付ける」に尽きます。
特徴的だった会話
1. 「マイナーを待つ」気持ちは分かる
さいき：アップデートにはセキュリティだけでなくバグ修正も入っていますし、新しい機能が使えるようになるのはユーザーさんにもプラスなので、追従するのは当然いいことなんです。ただ開発者としては、新機能が入って表示が崩れないだろうか、と考えてしまう。
めがね：マイナーが1本出てから対応したほうがいい、という言われ方ですね。
さいき：一昔前は普通に言われていましたし、今も言われますよね。僕は仕事でMacを使っているんですけど、Macは未だにそうです。新しいもの好きな人はすぐ上げるけど、「あれが動かない、これが動かない」となるのが嫌だから、マイナーが出てから上げます、というのはよく聞く話かなと。
さいき：WordPressについては、追従しようという努力はしているけれど、全部できているかと言われるとそうじゃない、というのが正直なところです。
2. 「真っ白になる」衝撃と、「何も起きていないように見える」怖さ
めがね：リスクで考えたら、メジャーのバグを踏むほうが、更新されなくなってハッキングされるより軽いと思うんですよ。ただインパクトの問題があって、アップデートしたら真っ白になりました、と言うと明確な衝撃があるじゃないですか。
さいき：分かります。真っ白になっちゃってるとかね。
めがね：そう。でも放っておいて、気がつかない間にハッキングされたケースって、衝撃がないままやられてるじゃないですか。
さいき：表示が書き換えられれば気づきますけど、そうじゃないハッキングも非常に多いので。見た目は何も変わっていないのに、いつの間にか知らないユーザーが増えていてデータを抜かれている、ということは実際に起こりうる。見た目が変わらないほうが、状況としてはやばいんですよね。
3. アップデートを避けたくなる、責任の非対称性
めがね：しかもアップデートしていなくても、偶然見つからなければ何も起きないこともあるじゃないですか。やられたとしても「悪意のある第三者のせい」にできる。それに対して、アップデートをして何か起きた場合は「アップデートした人の責任」が明確になる。このバランスの悪さが、更新のしにくさにつながっているというのは、気持ちとして分かります。
4. 小規模サイトなら「全部自動更新」も十分あり
めがね：記事には「極論、小規模のサイトで謝って済む場合であれば、メジャーもプラグインも自動アップデートという戦略もあり」とあります。どうですか？
さいき：全然ありだと思いますね。アップデートで100%崩れない、ということはまずないので、少し見た目が変わるのは起こり得ます。でも、マージンが変わった程度で機能に問題がないなら、「少し崩れたのですぐ直しますね」と言える関係がお客さんと取れているなら、これでいい。まずセキュリティの穴は確実に塞いで、崩れたら対応する、という形は全然ありだと思います。
めがね：うちはたくさんの数を見ていますけど、最近そんなにめちゃくちゃ壊れることってないですよね。
さいき：大きく崩れたのはだいぶ前に記憶があるくらいで、ここ何年かは全くないです。マージンが少し増えた・減ったとか、CSSの当たり方が変わった程度。機能的にどうにかなってしまったという記憶はないですね。
5. 攻撃する側も、AIを使っている
めがね：手動にしておくと、脆弱性の発表が連休前だったりするんですよ。対応できるのが連休明けの出社後になって、その間にやられる可能性がある。
さいき：昨今は皆さんAIをお使いなので、攻撃する側も皆さんAIをお使いなんです。今まで見つけられなかったバグやセキュリティホールが見つけやすくなっていて、前回の7.0系は毎週のようにマイナーが上がることもありました。それを1個ずつ全部見た目まで検証するのは大変で、保守のほうで手いっぱいになりかねない。だったらまずセキュリティの穴を塞ぐ、という最低限のところはやっておかなきゃいけないなと。
6. 「このハンバーグには脆弱性があるかもしれません」
めがね：私、ここがすごく疑問で。最初に壊れてないものを作ったのなら、バグがあるのはメーカーの問題でしょ、なぜアップデートなんてもんが出てくるんだいって思うんですよ。ハンバーグを食べに行って「このハンバーグには脆弱性があるかもしれません」って言われたことないでしょ。
さいき：いやいや、あるかもしれないけど言わないじゃないですか（笑）。食べている途中にアップデートもないでしょ。
めがね：じゃあ、車のアップデートってある？
さいき：ナビの地図とか、ありますね。
めがね：あるある。それは道が変わるからね。WordPress自体が変わらなくても、周りのPHPやブラウザーは変わるので、その影響で対応しないといけないことがある。だからアップデートは必須なんだ、ということだけ思っていただけたらいいかなと。
7. 更新が止まったプラグインを見つける方法
さいき：自動更新はお勧めしたいんですけど、任せきりだと「実は3〜4年メンテナンスされていないプラグイン」に気づけないんですよね。公式ディレクトリをわざわざ見に行かないと分からない。放置されたプラグインは、それ自体がセキュリティホールになり得ます。
さいき：川森さんという方が作られている「Plugins Condition & Site Check」というプラグインを入れると、どのバージョンに対応していると宣言されているか、最後に更新されたのはいつかが管理画面に出るようになります。何年以上経っているかが赤字で表示されるので、お客さんのサイトをメンテナンスしている方は活用できると思います。
いま、あなたのサイトで確認してほしいこと
- バージョンの小数第2位を見る。
7.0.1のように古いままなら、既知の脆弱性が残っている可能性があります（この収録時点では7.0.4まで出ています）。 - マイナーの自動更新が止まっていないか確認する。管理画面で止めていなければ大丈夫です。
- プラグインの自動更新をオンにする。各プラグインの一覧に「自動更新を有効化」ボタンがあります。
- バックアップがあるか、そして戻せるかを確認する。サーバー側の機能で取れることも多いです。
- 試す場所を用意する。レンタルサーバーのステージング機能や、ローカル環境（Local、Studio など）で本番の複製を作れば、当ててから公開できます。
サイトの保守・アップデートに不安がある方へ — mgnからのご案内
めがね：自動でポチポチするのはいい、としたとして。翌日にアップデートが入って「なんかおかしくなりました」となったとき、ご自身の責任になるのは嫌じゃないですか。3人の会社ならまだしも、100人・1000人の会社でウェブサイトが売上に貢献しているなら、なかなかできない。そういうときはプロを頼っていただくのがいいかなと思います。
🏢 こんな状態になっていませんか
- WordPressやプラグインの更新を、何年も止めたままになっている
- 自動更新にしたいが、崩れたときに誰が直すのかが決まっていない
- 制作会社との契約が切れて、誰もサイトを見ていない
- 試す環境がなく、いきなり本番に当てるしかない
- 使っているプラグインがメンテナンスされているのか判断できない
mgnは、WordPressを利用したWebサイト制作を通して、企業のビジネスが成功するためのお手伝いをしています。保守運用の引き受け、更新・バックアップ体制の整備、ステージングやローカル環境を使った検証フローづくりまで、サイトの規模と体制に見合ったアップデートの進め方をご一緒に設計します。
📮 お問い合わせ
- mgn ウェブサイトのお問い合わせフォームから
- X（旧Twitter）@megane9988 へのDMでも構いません
「まだ相談できる段階じゃないかも」という状態でも構いません。まずはお気軽にお声かけください。
番組について
ミニこれしり「ウェブサイト制作の現場から」 は、Web制作を続けていく中で現場で出てくる疑問・質問に回答を試みる番組です。mgn代表の大串肇（めがね）とmgnのスタッフでお送りしています。毎週水曜日ごろ、30分程度で配信中。
必ずしも正解ではないかもしれませんので、コメント・ご感想もぜひお寄せください。フォロー・いいね・高評価もお願いします。
