「WordPressはやめた方がいい」と言われる理由は、主に3つです。①本体・テーマ・プラグイン（機能を足す部品）の更新を、誰かが見続けなければならない。②脆弱性（攻撃に使われる不具合）は本体にもプラグインにも見つかり、更新しないサイトが狙われる。③サーバー、ドメイン、バックアップを自分で用意して守る手間がかかる。どれも事実で、2026年7月にもWordPress本体に、管理者の権限なしに遠隔から操作されるおそれのある脆弱性が見つかっています（IPAの注意喚起による）。
ただし、危ないのは「WordPress」そのものより、「更新を見る人がいないWordPress」です。会社のホームページで向くかどうかは、次の2つの質問でほぼ分かれます。
- 公開したあと、更新を見る人がいますか（社内でも、頼んだ外の会社でもかまいません）。
- 業務ごとのページや記事を、これからも増やしていきますか。
1が「いない」なら、WordPressは避けて、基盤の管理をサービス側が引き受けるノーコードのサービス（Wix・Jimdo・STUDIOなど）を選ぶ方が無理がありません。1が「いる」で、2も「増やす」なら、WordPressの手間に見合うものがあります。当社自身もWordPressを使い続けていますが、それはAIとつないで記事を作り、管理しているからで、どの会社にも当てはまる理由ではありません。以下、言われる理由を一つずつ事実で確かめ、最後に判断表を置きます。
「やめた方がいい」と言われる理由を、事実で確かめる
よく挙がる理由と、公式の説明で確かめられることを並べます（2026年10月8日時点の公式の説明による）。
| 言われること | 確かめられた事実 | 会社のサイトでの意味 |
|---|---|---|
| 更新が多くて面倒 | 本体の小さな更新は標準で自動。テーマとプラグインの自動更新は、管理者が自分で有効にする | 自動にしても、失敗していないかを誰かが見る |
| 脆弱性が多い | 2026年7月に本体の脆弱性でIPAが注意喚起。古いプラグインは攻撃に使われる | 本体もプラグインも、更新を止めると危ない |
| 手間がかかる | サーバー、ドメイン、バックアップは自分で用意。入れたものを守るのは持ち主の側と公式の手引き | 持ち主か、頼んだ先の仕事が毎月ある |
| スパムが来る | コメント欄はスパムの入口になる | 会社のサイトならコメントを止められる |
コメントのスパムは、設定で止めれば済む話です。止め方はWordPressのコメントを無効にする方法に書きました。残る3つは、止めて終わりにはできない手間なので、次から一つずつ見ます。
理由1：更新を見続ける人が要る
WordPressの公式の手引きによると、本体の小さな更新（マイナーリリース、主に不具合や安全性の修正）は、既定で自動的に入ります。WordPress 5.6以降に新しく入れたサイトは、大きな更新も自動で入る設定です。テーマとプラグインの自動更新はWordPress 5.5からあり、テーマごと、プラグインごとに管理者が自分で有効にする仕組みです。自動更新は1日2回動き、成功したときも失敗したときも、既定でサイトの管理者にメールが届きます。
つまり、「自動にしておけば何もしなくてよい」とは言えません。公式の手引きは、更新の前にバックアップを取ることを勧めています。自動更新が失敗した、更新したら表示が崩れた、というメールや画面に気づいて動く人が要ります。後で書くIPAの注意喚起でも、自動更新が効いていない場合や失敗した場合があるので、管理画面で確かめるよう書かれています。
当社の見立てでは、月に一度、管理画面の「ダッシュボード」→「更新」を開き、残っている更新がないか、更新のあとに表示が崩れていないかを見る人がいれば、ここは回ります。その一人が社内にいないなら、保守として外に頼むことになります。更新の順番はWordPressのアップデート手順に、外に頼むなら何を頼むかはWordPressの保守とはにまとめています。
理由2：脆弱性は本体にもプラグインにも見つかる
IPA（情報処理推進機構）は2026年7月22日に、WordPressの脆弱性（CVE-2026-60137、CVE-2026-63030）について注意喚起を出しました。内容は次のとおりです。
- 標準の構成で、管理者の権限などがなくても、攻撃者が遠隔からプログラムを動かせるおそれがある。
- 対象はWordPress 6.8.0〜6.8.5（一方の脆弱性のみ）、6.9.0〜6.9.4、7.0.0〜7.0.1。修正版は6.9.5と7.0.2（一方については6.8.6も）。
- 悪用されたことが報告され、試すためのプログラムも公開されているので、直ちに更新することが勧められている。
- WordPress.orgは、対象のバージョンに自動更新で強制的に更新を入れたとしているが、効いていない場合もあるので、管理画面で確かめ、上がっていなければ手動で更新するよう書かれている。
本体だけではありません。WordPressの公式のセキュリティの手引きは、攻撃には古いプラグインやソフトウェアの脆弱性が使われるとし、プラグインを常に更新すること、使っていないプラグインは削除することを勧めています。古いバージョンのWordPressには、安全のための更新が提供されないとも書かれています。IPAの「安全なウェブサイトの運用管理に向けての20ヶ条」にも、ソフトウェアの脆弱性対策を定期的にしているか、不要なアプリケーションやアカウントがないか、という項目があります。
ここから言えるのは、「WordPressは脆弱性が多いからやめる」より、「更新されないWordPressを置いておくのをやめる」が正確だということです。WordPressの脆弱性は、このように公的機関からも修正の情報が出ます。それを受け取って動く人がいるかどうかが分かれ目です。自社のサイトが対象に当てはまるかの確かめ方はWordPressの脆弱性とはに書いています。
ノーコードのサービスでも、不具合がまったくないわけではありません。違うのは、基盤を直すのが誰かです。たとえばWixは公式のセキュリティの説明で、サイトの保護を運営側が管理する形（フルマネージド）で24時間行い、通信の暗号化にはHTTPSと自動のSSL（https で表示するための仕組み）を使うとしています。基盤の修正をサービスに任せられる代わりに、できることはサービスが用意した範囲に限られます。
理由3：サーバー・ドメイン・バックアップを自分で持つ手間
WordPressの本体は無料ですが、自分で置く場合は、サーバー（サイトのデータを置く場所）、独自ドメイン（〜.co.jp のようなサイトの住所）、SSL、バックアップを自分で用意します。公式のセキュリティの手引きは、レンタルサーバーの会社の責任がどこで終わり、どこから持ち主の責任かを理解することが大事で、サーバーの土台はサーバー会社が守っても、その上に入れたものは持ち主が守る、という考え方を示しています。データベースを含めて定期的にバックアップを取ることも勧めています。
会社のサイトで実際に手間になるのは、作業そのものより、「誰の名義で、誰が見ているか」が曖昧になることだと当社は見ています。サーバーの契約者が辞めた担当者の個人アドレスになっている、管理者のアカウントが共有されていて誰が使っているか分からない、といった状態です。こうした名義とアカウントの整理は、WordPressをやめても続ける場合でも、最初に手を付けるところです。
費用の比べ方は、この記事では金額を書きません。サービスの料金は改定されるので、各社の公式の料金表で確かめてください。当社が公式の料金表で並べたときの考え方（3年使い続けたときの合計で比べる）は会社のホームページは自作か依頼かにあります。
それでもWordPressが向く会社：ページを増やし、移せる形で持ちたい
手間の代わりに得られるものも、公式の説明で確かめられます。
記事やページを増やしても、管理の形が崩れにくい
WordPressは、記事（投稿）と固定ページを管理画面で増やし、カテゴリーで分けて管理する仕組みです。WordPress 5.5からは、Googleなどにページの一覧を知らせるサイトマップも標準で作られ、/wp-sitemap.xml で公開されます。公開した記事や固定ページは自動で載ります。
当社のサイトもWordPress標準のサイトマップを使っています。2026年10月8日にSearch Consoleで見たところ、投稿のサイトマップで検出された記事は161、固定ページは12でした。記事を書くたびにサイトマップを手で直すことはしていません。
過去の版に戻せる、URLを変えても転送される
保存した下書きや公開済みの更新は「リビジョン」として記録され、前の版に戻せます。当社も2026年10月に固定ページの見た目を作り直したときは、差し替える前の版にリビジョンから戻せるようにしてから作業しました。投稿のスラッグ（URLの末尾）を変えると、WordPressが古いURLから新しいURLへ自動で転送します。
中身を書き出して、別の場所へ移せる
公式ドキュメントによると、「ツール」→「エクスポート」で、投稿、固定ページ、コメント、カスタムフィールド、カテゴリー、タグ、メニューなどをXMLファイル（WXR形式）に書き出し、別のWordPressに読み込めます。運営を別の会社に移すときや、サーバーを替えるときに、作り直しから始めずに済みます。一方、ノーコードのサービスには、作ったサイトを他のサーバーで使える形では持ち出せないと公式ヘルプに書いているものもあります（当社が確かめた内容は、上で挙げた自作か依頼かの記事の表にあります）。
AIや外の道具とつなげる
WordPressはプラグインで機能を足せます。当社は、WordPressにAI Engine（Meow Apps）というプラグインのMCP機能（AIが外の道具やデータにつながるための共通の決まり）を入れ、Anthropic社のAI「Claude」から、記事や固定ページの作成、下書き保存、公開、設定の読み取りを行っています。AIに調査と下書きをさせ、別のAIに校閲させ、最後に人（当社）が読者の側から読んで確かめてから公開します。お問い合わせフォームはContact Form 7、迷惑メール対策はAkismet、Googleの道具との連携はSite Kit by Googleで足しています。
これが当社がWordPressを使い続けている理由です。ただ、この使い方は、記事を数多く書いて管理することが前提です。数ページの会社案内を年に数回直すだけなら、この利点はほとんど効きません。つなぎ方と、AIに任せないことはClaudeでWordPressのホームページを作る方法に書きました。
ノーコード（Wix・Jimdo・STUDIO）との違い
金額ではなく、仕組みの違いを並べます。ノーコード側は、各社の公式の説明で確かめられた範囲です（2026年10月8日時点）。
| 項目 | WordPress（自分で置く） | ノーコードのサービス |
|---|---|---|
| 基盤の更新と保護 | 持ち主か、頼んだ先が見る | サービス側（Wixは運営側が管理する形と説明） |
| ページと記事 | 投稿と固定ページを増やせる | プランごとにページ数の上限がある（STUDIOの料金表など）。STUDIOは記事やコレクションを作るCMSを機能に挙げる |
| 機能の追加 | プラグインで足せる。足すほど更新の対象が増える | サービスが用意した範囲で選ぶ |
| 計測 | プラグインやタグで設定 | STUDIOはGoogleアナリティクスとSearch Consoleの設定を機能に挙げる |
| 持ち出し | 標準のエクスポートで書き出せる | サービスによって違う。持ち出せないと明記するものもある |
ノーコードのサービスは、画面を触ってページを直すことを前提に作られていて、作ったあとの手間が小さく済みます。STUDIOは料金ページで、フォームの設置をノーコードで完結できること、メンバーの追加や権限の管理ができることも挙げています。社内に画面を触れる人がいて、ページの数がプランの範囲に収まるなら、十分に会社のホームページになります。
ジンドゥー（Jimdo）は公式の料金ページで、有料プランなら独自ドメインをジンドゥーへ移すことも、ドメインの管理元を変えずに外から接続することもできると案内しています。ノーコードを選ぶ場合も、ドメインを自社の名義で持っておけば、後でサービスを替えるときにサイトの住所は手元に残ります。
どちらが上という比べ方ではなく、「基盤を誰が守るか」と「どこまで自由にするか」の交換だと当社は考えています。作り方ごとの料金と独自ドメインの扱いは自作か依頼かの記事で、AIで作る場合の違いはAIでホームページを作る方法で比べています。
自社はどちらか：判断表
| 自社の状況 | 合いやすい作り方 | 先に決めること |
|---|---|---|
| 更新を見る人が社内にも外にもいない | ノーコード | ドメインを自社名義で持つか |
| 数ページの会社案内で、直すのは年に数回 | ノーコードで足りる。WordPressでも可 | 直す人と、直す画面 |
| 業務ページや記事を増やし、検索から問い合わせを受けたい | WordPress | 更新を月に一度見る人 |
| 将来、運営を別の会社に移すかもしれない | WordPress（持ち出せる形） | 管理者のアカウントと名義 |
| 機能をプラグインで次々に足したい | WordPress。ただし数を絞る | 使わないものを消す人 |
表の「WordPressでも可」は、すでにWordPressで作ってあり、更新を見る人がいる場合です。いまから新しく作るなら、手間の少ない方を選ぶ方が続きます。
いまWordPressのサイトがあり、やめるか迷っているとき
すでにWordPressのサイトがあるなら、やめるかどうかを決める前に、次の3つを確かめてください。
- 管理画面の「ダッシュボード」→「更新」を開き、本体・テーマ・プラグインに残っている更新がないかを見ます。
- 「プラグイン」の一覧で、使っていないもの（停止中のものを含む）がないかを見ます。公式の手引きは、使っていないプラグインは削除するよう勧めています。
- 管理者の権限を持つユーザーが誰かを見ます。退職した人や、契約が終わった制作会社のアカウントが残っていないかを確かめます。
更新が何か月も止まっていても、それだけでWordPressをやめる理由にはなりません。更新を見る人を決めれば済むことが多いからです。反対に、見る人をどうしても決められないなら、ノーコードへ移ることも現実的な選択です。その場合は、ページを作り直す手間に加えて、URLが変わるページの転送と、検索での見え方の引き継ぎを考えます。進め方はホームページのリニューアル前に確かめることに書きました。
当社は、ホームページの運営に加わり、問い合わせが来るところまでを引き受けています。WordPressのサイトも、それ以外で作られたサイトも、作り替えずにそのまま引き継ぐところから始められます。続けるか移るかを決めかねている段階でも、相談するから、今のサイトのURLと、誰が更新しているかを書いてお送りください。
参考にした公式の説明
- IPA「WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell)」
- IPA「安全なウェブサイトの運用管理に向けての20ヶ条 〜セキュリティ対策のチェックポイント〜」
- WordPress Developer Resources「Hardening WordPress」（英語）
- WordPress Developer Resources「Upgrading WordPress」（英語）
- WordPress.org「Plugins & Themes Auto-Updates」（英語）
- WordPress.org「Revisions」（英語）
- WordPress.org「Tools Export Screen」（英語）
- Make WordPress Core「New XML Sitemaps Functionality in WordPress 5.5」（英語）
- Wix「Trust Center: Security」（英語）
- STUDIO「料金プラン」
- ジンドゥー「プラン」
※各サービスの機能は、2026年10月8日に各社の公式サイトで確かめたものです。機能や料金は変わることがあるので、検討するときは最新の公式の説明を見てください。