ホームページの保守とは、公開したあとも、WordPress や PHP・プラグインの更新、バックアップ、改ざんや不具合の確認を続けることです。作った時点で安全でも、あとから弱点（脆弱性）が見つかるため、放っておくと少しずつ危ない状態になります。
この記事では、サイバー攻撃と情報流出が増えていること、そして攻撃に先回りするのが難しいことを、公的機関と調査機関の数字で確かめたうえで、保守で何を続けるのか、頼むときに何を確かめるのかを整理します。
サイバー攻撃と情報流出は増えている
警察庁の「令和７年におけるサイバー空間をめぐる脅威の情勢等について」によると、2025 年に警察へ報告されたランサムウェア（データを暗号化して身代金を求める攻撃）の被害は 226 件で、そのうち中小企業が約 6 割でした。2026 年上半期の報告は 123 件で、半期としては最も多い件数だと警察庁は書いています。
ホームページそのものへの攻撃も増えています。国内のセキュリティ事故への対応を調整する JPCERT/CC の四半期レポートでは、2026 年 7〜9 月に報告を受けた Web サイトの改ざんは 603 件で、前の四半期の 181 件から大きく増えました。改ざんの例として、ページに隠しリンクを大量に埋め込まれたものや、通販サイトの入力内容を盗み取る仕掛けを入れられたものを挙げています。
情報流出も同じ流れです。企業の信用調査を行う会社、東京商工リサーチの調査では、2025 年に上場企業とその子会社が公表した個人情報の漏えい・紛失事故は 180 件で、漏えいした可能性のある個人情報は 3,063 万 6,910 人分と前の年のほぼ倍でした。原因で多いのは「ウイルス感染・不正アクセス」で、116 件（64.4%）です。
狙われるのは大企業だけではありません。IPA（情報処理推進機構）の「2024年度 中小企業における情報セキュリティ対策に関する実態調査」では、被害を受けた中小企業の被害額の平均は 73 万円、復旧までの期間の平均は 5.8 日でした。被害にあった理由として「脆弱性（セキュリティパッチの未適用等）を突かれた」が 48.0% と多く、被害の内容には「自社Webサイトの改ざん」（16.5%）も入っています。被害が自社だけで終わらず、約 7 割が取引先にも影響があったと答えています。
直近の出来事は 「最近のサイバー攻撃と対策」 に、新しいものから順にまとめています。
攻撃に先回りするのは難しい
理由の 1 つめは、弱点が公表されてから悪用されるまでが短くなっていることです。IPA の「情報セキュリティ10大脅威 2026」の解説書は、脆弱性の発見から悪用した攻撃が起きるまでの時間が短くなっていると書いています。Google Cloud（Mandiant）の分析では、悪用までにかかった日数の平均は、以前の 63 日から 44 日、32 日と縮み、2023 年の分析では 5 日でした。同社の「M-Trends 2026」では、この平均がマイナス 7 日、つまり修正版が出る前に悪用が始まっている計算になっています。
2 つめは、修正が出る前に悪用される「ゼロデイ攻撃」があることです。警察庁は、ゼロデイ攻撃を、メーカーが脆弱性を知ってから対策を講じるまでの猶予が 0 日しかない攻撃と説明しています。脆弱性の情報を集める米国の会社、VulnCheck の報告では、2026 年上半期に悪用が確認された脆弱性の約 23.4% が、公表の当日かそれより前に悪用されていました。
国も、防ぎきれない前提で備えるよう呼びかけています。国家サイバー統括室は 2026 年 10 月の文書で、CMS（WordPress などのサイトの仕組み）のセキュリティパッチやアップデートを速やかに適用するよう求めたうえで、侵入を完全に防ぐことは困難だとしています。
2026 年に入ってからも、ホームページの仕組みそのものの重大な弱点が続いて見つかっています（それぞれ開発元・IPA の発表で確認）。
| 公表 | 内容 |
|---|---|
| 7 月 | WordPress 本体の脆弱性（wp2shell）。WordPress は 7.0.2 で修正し、IPA が対策を呼びかけ |
| 9 月 | WordPress 7.1.2 のセキュリティ更新。修正した脆弱性の 1 つは、公開から数日で米国 CISA の「悪用が確認された脆弱性」の一覧に載った |
| 10 月 7 日 | Movable Type の複数の脆弱性。シックス・アパートが修正版を公開し、サポートが終わった版も影響を受けるとした |
| 10 月 19 日 | バックアップ用プラグイン UpdraftPlus の運営元が不正アクセスを受け、遠隔管理の接続キーが流出したと公表 |
| 10 月 21 日 | PHP の重大な脆弱性（PHP2Shell）。多くのレンタルサーバーやサービスが緊急メンテナンスに入った（詳しい経緯） |
IPA は PHP2Shell の注意喚起で、保守契約の終了などで対策が難しいシステムがあることにも触れています。弱点は作った会社の腕に関係なく、あとから見つかります。違いが出るのは、見つかったときにすぐ当てられる体制があるかどうかです。
だから保守がいる：「すぐ直せる」と「元に戻せる」
先回りが難しい以上、保守の役目は 2 つです。1 つは、修正版が出たらできるだけ早く当てることです。IPA の「中小企業の情報セキュリティ対策ガイドライン」は、まず取り組む 6 か条の最初に「OS やソフトウェアは常に最新の状態にしよう！」を挙げ、ウェブサイトについても対策を継続的に続けることが必要だとしています。
もう 1 つは、入られたときに元に戻せるようにしておくことです。警察庁の統計では、2025 年にランサムウェアの被害にあった組織のうち、バックアップから元に戻せたのは 20 件、戻せなかったのは 79 件でした。戻せなかった理由で多かったのは、バックアップも一緒に暗号化されたことです。バックアップは、取るだけでなく、別の場所に置き、戻せるかを確かめておく必要があります。
保守でやること
WordPress とレンタルサーバーで動かしている、一般的な会社のサイトの場合です（この記事での整理）。
| やること | 中身と目安 |
|---|---|
| 更新を当てる | WordPress 本体・テーマ・プラグインの更新。ふだんは定期的に、重大な脆弱性のときは公表の当日〜翌日を目安に。当てたあとに表示とフォームを確かめる |
| PHP のバージョンを保つ | サーバーの PHP が、公式のサポート期間内のバージョンかを確かめ、切れる前に上げる（確かめ方と上げ方） |
| 弱点の情報を追う | 使っているプラグインやサーバー会社の告知、IPA・JPCERT/CC の注意喚起を見る（プラグインの脆弱性の確かめ方） |
| バックアップ | ファイルとデータベースの両方を、サーバーとは別の場所にも残す。ときどき戻せるかを試す（取り方と戻し方） |
| 改ざん・不具合の確認 | サイトを外から開いて、見覚えのないページやリンクがないかを見る。Search Console のセキュリティの通知を受け取れるようにしておく |
| アカウントの整理 | 管理画面・サーバー・ドメインのログインを人ごとに分け、使っていないアカウントや退職者のアカウントを消す |
| 緊急時の連絡先 | 改ざんや停止に気づいたとき、誰に連絡し、誰がサイトを止めたり戻したりするかを決めておく |
最初に整える対策（パスワード・HTTPS など）は 「ホームページのセキュリティ対策」 で整理しています。
保守を頼むときに確かめること
- どこまでが保守の範囲か 更新を当てるだけか、当てたあとの表示の確認や、崩れたときの修正まで入るか。PHP のバージョンを上げる作業が入るか、別料金か。
- 重大な脆弱性のときに、どのくらいで動くか 今回の PHP の件のように、公表から数時間で各社が動く場面があります。緊急時にいつまでに更新するのか、夜間や休日はどうするのかを確かめます。
- バックアップと復旧 何日分を、どこに残すか。改ざんされたときに戻す作業が料金に含まれるか。
- ログイン情報を自社でも持てるか 保守の会社が替わったり、契約を終えたりしても困らないように、管理画面・サーバー・ドメインのログイン情報は自社でも控えておきます。
保守にかかる費用の考え方は 「ホームページの維持費」 で整理しています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、この記事の更新・バックアップ・確認を、公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
