WordPressを更新しないと、見つかった弱点が直らないまま公開され続けます。古い版にはセキュリティ更新が出ません。

公式の Updating WordPress と日本語版の WordPress のアップグレード をもとに、更新の対象ごとの入り方を並べています。

プラグインを10個入れていれば、更新の対象も10個あります。使っていないプラグインは、止めるだけでなく削除すれば対象から外れます。

Hardening WordPress は、更新で直した内容が公開されると、古い版を狙う手がかりになると説明しています。そのうえで、古い版の WordPress にはセキュリティ更新が出ないと明記しています。表示が崩れていないことは、安全である理由になりません。

止めた期間が長いほど、一度に上げる版の差も大きくなります。本体だけ新しくしてプラグインが古いまま、という組み合わせでは、画面が白くなる、ログインできなくなるといった止まり方につながります。

公式の手順を、会社サイトで使う順に並べると次のとおりです。

1. ファイルとデータベースのバックアップを取ります。方法はバックアップの考え方に書きました。
2. 管理画面の通知か、「ダッシュボード」→「更新」を開きます。
3. 「いますぐ更新」を押します。ほとんどのサーバーでは、これで終わります。
4. キャッシュのプラグインを使っているなら、キャッシュを消します。消さないと古い表示が残ります。
5. 更新のあとログインできなければ、ブラウザのCookieを消します。

更新に失敗したという通知が消えないときは、FTPで WordPress のフォルダにある .maintenance ファイルを削除すると公式は書いています。ボタンでの更新がうまくいかないときのために、ファイルを手で入れ替える手動更新の手順も公式にあります。

更新のあとで不具合が出たら、バックアップから戻し、リリースアーカイブにある前の版のファイルに入れ替える方法が公式に載っています。プラグインを1つずつ上げて原因を絞る順番はテーマ・プラグインを安全に更新するに書きました。

社内で続けるなら、要るのは月1回「ダッシュボード」→「更新」を開く人と、バックアップの場所を知っている人です。同じ人が兼ねてもかまいません。更新のあとはトップページ、問い合わせフォーム、スマートフォンでの表示まで見ます。

管理画面を半年以上開いていない、壊れたときに戻す人がいない、という状態なら、制作会社などに保守を頼むほうが早く済みます。頼む場合も、何をいつ更新したかの記録は社内に残してもらいます。公開後に続く作業の全体は公開後に必要な作業に並べています。