2026年10月29日時点の情報です。WordPress は10月28日にセキュリティリリース 7.1.4 を出しました（版ごとの内容はWordPressの脆弱性・緊急更新一覧）。「更新しなければいけないのは分かるが、押した瞬間にサイトが壊れたら困る」という方向けに、この記事では WordPress 公式の更新手順（Updating WordPress）を土台に、壊さないための順番と、失敗したときの戻し方を整理します。
結論：バックアップ→本体の更新→表示確認→キャッシュ削除の4段で、ほとんどは管理画面だけで終わる
公式ドキュメントは、更新の前に「サイトをバックアップしておくのがよい（it’s a good idea to back up your website）」と書き、そのうえで「ダッシュボード」→「更新」画面の「今すぐ更新」ボタンを押すワンクリック更新を「ほとんどの人に使える一番簡単な方法」としています。手動更新はワンクリックが効かなかったときの代替です。
順番 | やること | 目安 |
|---|---|---|
1 | バックアップ（ファイルとデータベースの両方） | 更新前に必ず |
2 | 今の版と PHP の版を控える | 1分 |
3 | 「ダッシュボード」→「更新」→「今すぐ更新」 | 数分 |
4 | トップ・問い合わせフォーム・管理画面ログインを確認 | 5分 |
5 | キャッシュを消す | 1分 |
今の版がいくつかはWordPressとPHPのバージョン確認の手順で、管理画面に入れなくても確かめられます。
更新の前にやること
1. バックアップは「ファイル」と「データベース」の2つ
WordPress のサイトは、テーマ・プラグイン・画像などのファイルと、記事・設定が入ったデータベースの2つでできています。片方だけでは元に戻せません。レンタルサーバーの自動バックアップを使っている場合も、何日前まで戻せるか・データベースも含まれるかを更新前に一度確認しておくと安心です。
2. 今の版を控えておく
WordPress 本体・PHP・主要なプラグインの版をメモしておくと、不具合が出たときに「何が変わったか」をすぐ説明できます。制作会社やサーバー会社に問い合わせるときも、最初に聞かれるのはここです。
3. 本体のファイルを直接書き換えていないか
公式ドキュメントの冒頭には「更新はWordPress本体に含まれるすべてのファイルとフォルダに影響する。本体のファイルに手を加えていた場合、その変更は失われる」という警告があります。過去に制作会社が wp-admin や wp-includes の中を直接いじっていた場合は、更新前に確認が必要です。
ワンクリック更新の手順
- 管理画面の新しい版のお知らせ（バナー）のリンク、または「ダッシュボード」→「更新」を開く。
- 「WordPress の更新」の画面で「今すぐ更新」を押す。
- 終わるまで画面を閉じずに待つ。公式ドキュメントは「ほかに何もする必要はない」としています。
FTP の接続情報を求める画面が出た場合、それはファイルの所有者の設定によるもので、故障ではありません。公式ドキュメントによれば、WordPress はファイルの所有者を見て、自分で書き換えられない場合に接続情報を求めます。共用サーバーでは、ファイルを最初にアップロードした FTP アカウントの情報を入れれば進みます。
自動更新はどこまで効いているか
公式ドキュメントは、WordPress 3.7 以降はマイナー更新とセキュリティ更新はバックグラウンドで自動適用され、大きな機能更新（メジャーリリース）は「今すぐ更新」を押す必要があると説明しています。ただし、次のどれかに当てはまると自動更新は止まります（WordPress 本体のソース class-wp-automatic-updater.php で確認）。
自動更新が止まる設定 | どこに書かれるか |
|---|---|
AUTOMATIC_UPDATER_DISABLED が true | wp-config.php |
WP_AUTO_UPDATE_CORE が false | wp-config.php（'minor' ならマイナー更新だけ、true なら全部） |
サイトのフォルダに .git・.svn などのバージョン管理用フォルダがある | 制作会社がバージョン管理で納品した場合など |
「自動更新に任せているから大丈夫」と思っていたのに、実は wp-config.php で止められていた、という例は珍しくありません。版を確かめて最新でなければ、自動更新が止まっていないかを疑ってください。
ホームページの保守を自社で回すのが負担になってきたら、更新作業ごと任せる方法もあります。私たちもホームページの制作と、その後の更新・保守をお手伝いしています。記事の途中で恐縮ですが、よろしければ合わせてご覧いただけたら嬉しいです。
更新したあとに確認すること
- トップページと主要ページが表示されるか：レイアウト崩れや真っ白な画面がないか。
- 問い合わせフォームが送れるか：自分宛てにテスト送信します。表示は無事でもフォームだけ壊れることがあります。
- 管理画面にログインできるか：入れない場合はWordPressのログイン画面が404・真っ白になる原因の順で確認。
- キャッシュを消す：公式ドキュメントは、キャッシュを有効にしている場合はこの時点で消すよう書いています。消さないと、自分も訪問者も古い版を見続けます（更新したのに古い表示のままのときの対処）。
更新に失敗したときの戻し方
「メンテナンス中」のまま戻らないとき
公式ドキュメントは、更新に失敗したメッセージが出たら WordPress のフォルダにある .maintenance ファイルを FTP で削除するよう書いています。更新のあと、サイトにメンテナンス中の表示が出続ける場合も、まず疑うのはこのファイルです。詳しくは「ただいまメンテナンス中です」が戻らないときの原因5つにまとめました。
ワンクリックで直らないときは手動更新
公式の手動更新の要点は次のとおりです。wp-content フォルダは消さないのが一番大事な注意点です（テーマとプラグインがここにあるため）。
- 最新の WordPress の zip を入手して展開する。
- プラグインを停止する。
- サーバー上の古い wp-includes と wp-admin を削除し、新しいものをアップロードする。
- 新しい wp-content の中のファイルだけを、既存の wp-content に上書きする（フォルダごと置き換えない）。
- ルート直下のファイル（index.php・wp-login.php など）を新しいものに置き換える。wp-config.php はそのまま残るので心配いりません。
- /wp-admin を開き、データベースの更新を求められたら指示に従う。
- プラグインを有効に戻し、キャッシュを消す。
手動更新に不安がある場合や、更新後に表示が崩れて戻らない場合は、更新前のバックアップから戻すのが一番確実です。
セキュリティ更新が出たときは「待たない」
新しい機能の更新は、不具合の報告が出そろうまで数日様子を見る判断もありえます。一方で、セキュリティリリースは待つほど攻撃を受ける時間が延びます。今回の 7.1.4 のようなセキュリティリリースは、バックアップを取ったらその日のうちに当てるのが基本です。PHP 側の脆弱性（PHP2Shell など）への対応はPHP を更新したあとの確認リストも合わせて確認してください。
まとめ
- 更新前にファイルとデータベースの両方をバックアップする。
- 通常は「ダッシュボード」→「更新」→「今すぐ更新」で終わる。
- マイナー・セキュリティ更新は自動で入るが、wp-config.php の設定やバージョン管理フォルダで止まっていることがある。
- 失敗して「メンテナンス中」のままなら .maintenance を削除。手動更新では wp-content を消さない。
よくある質問
WordPressの更新前にバックアップは必要ですか？
必要です。WordPress公式ドキュメントは、更新の前にサイトをバックアップしておくよう勧めています。テーマ・プラグイン・画像などのファイルと、記事や設定が入ったデータベースの両方を取っておかないと元に戻せません。
WordPressは自動で更新されますか？
WordPress 3.7以降は、マイナー更新とセキュリティ更新がバックグラウンドで自動適用されます。大きな機能更新は管理画面で「今すぐ更新」を押す必要があります。wp-config.phpでAUTOMATIC_UPDATER_DISABLEDやWP_AUTO_UPDATE_COREを設定している場合や、サイトのフォルダに.gitなどのバージョン管理用フォルダがある場合は自動更新が止まります。
更新に失敗してメンテナンス中のまま戻りません。
WordPress公式ドキュメントは、更新に失敗したときはWordPressのフォルダにある.maintenanceファイルをFTPで削除するよう書いています。それでも直らない場合は手動更新か、更新前のバックアップから戻します。
手動更新で消してはいけないフォルダは？
wp-contentフォルダです。テーマとプラグインが入っているため、新しい版の中のファイルだけを上書きし、フォルダごと削除・置き換えはしません。wp-config.phpもそのまま残ります。