ある朝、会社のホームページを開いたら真っ白になっていた。管理画面にも入れない。誰に何を頼めばいいか分からない。
このとき、多くの方が最初に「復旧の方法」を調べます。ただ、原因によっては、触るほど元に戻しにくくなります。
この記事では、まず何を確認するか、そして自分で触らないほうがよい場合を分けます。
読み終えると、社内で対応するか、外に頼むかを判断できます。
この記事で分かること
- サイトが表示されないときに、最初に見る3か所が分かる
- 自分で直してよい場合と、触らないほうがよい場合を切り分けられる
- 業者へ相談するとき、何を伝えればよいかが分かる
WordPressが表示されなくなる主な原因
大きく3つに分かれる
| 原因 | 起きること | 気づき方 |
|---|---|---|
| 更新の失敗 | 更新の途中で止まる／画面が真っ白 | 更新した直後に起きる |
| 不正アクセス | 見覚えのない表示に変わる／別サイトへ飛ぶ | 心当たりなく突然起きる |
| サーバー側の変更 | 表示が崩れる／一部機能が動かない | 何もしていないのに起きる |
どれに当たるかで、次にやることが変わります。
更新をしないまま放置した場合に起きること
2026年7月22日、IPA（独立行政法人情報処理推進機構）が、WordPressの脆弱性について注意を呼びかけています。
WordPress 6.9 以降では、これら 2 件の脆弱性の組み合わせにより、遠隔でのコード実行が生じる可能性があります。
対象となるバージョンは次のとおりです。
WordPress 6.9.0 - 6.9.4 WordPress 7.0.0 - 7.0.1 （CVE-2026-60137 は 6.8.0 - 6.8.5 も対象）
同資料には、こうも書かれています。
これらの脆弱性は、2026年7月21日（現地時間）、CISA の KEV カタログ
(Known Exploited Vulnerabilities Catalog) にも、悪用された脆弱性として掲載されました。
脆弱性を実証するコードが公開されており、今後、これらの脆弱性の悪用が拡大する可能性があります。
出典：独立行政法人情報処理推進機構「WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell)」（2026年7月22日公開） https://www.ipa.go.jp/security/security-alert/2026/alert20260722.html （参照日 2026-08-26）
「実証コードが公開されている」とは、攻撃の手順が誰でも見られる状態になっている、という意味です。
まず確認する3か所
何かを操作する前に、この3つを見ます。
1つ目 いつから表示されなくなったか
・更新した直後 → 更新の失敗の可能性が高い ・何もしていないのに → サーバー側の変更か、不正アクセス ・徐々におかしくなった → プラグインの相性
時期が分かるだけで、原因の範囲が狭まります。
2つ目 管理画面に入れるか
入れる → サイト全体ではなく、表示側だけの問題 入れない → システム側で止まっている
管理画面のアドレスは、通常「サイトのアドレス/wp-admin」です。
3つ目 バージョンが上がっているか
管理画面に入れる場合は、ダッシュボードでバージョンを確認します。
IPAの資料には、次のように書かれています。
WordPress.org は、影響を受けるバージョン向けに自動更新による強制更新を有効化したとしています。
しかしながら、WordPress を運用している環境・構成や設定状況によっては、
自動更新が有効ではなかったり、更新に失敗している可能性も考えられます。
自動更新が有効でも、失敗していることがあります。 そのため、実際の画面で確認します。
修正されたバージョンは次のとおりです。
WordPress 6.9.5 WordPress 7.0.2 （CVE-2026-60137 については 6.8.6 も公表）
原因ごとの見分け方
更新の失敗
起きる場面 更新ボタンを押した直後 表示 真っ白になる／「メンテナンス中」のまま止まる 管理画面 入れないことが多い
元のバージョンに戻せば復旧することがあります。 ただし、戻し方を誤ると記事や設定が消えます。
不正アクセス
起きる場面 心当たりがないのに突然 表示 見覚えのない広告／別サイトへ飛ぶ／英語のページになる 管理画面 入れることも、入れないこともある
これは自分で触らないほうがよい場合です。 理由は次章に書きます。
サーバー側の変更
起きる場面 何もしていないのに、ある日から 表示 一部の機能だけ動かない／フォームが送信できない 管理画面 入れることが多い
サーバー会社がPHPというプログラムのバージョンを上げたときに起きます。サーバー会社からの通知メールを探すと、日付が一致することがあります。
自分で触らないほうがよい場合
ここが、この記事で一番お伝えしたいところです。
次の場合は、操作を止めて相談してください。
不正アクセスの可能性がある場合
・見覚えのない広告やリンクが表示されている ・英語や中国語のページに変わっている ・別のサイトへ自動で飛ばされる ・管理画面に見知らぬ利用者が増えている
理由：削除すると、原因の特定ができなくなります。
不正なファイルを消すと、その場では直ったように見えます。しかし、 入り口が塞がっていなければ同じことが繰り返されます。何が起きたかの記録も消えます。
IPAの資料が挙げている脆弱性は、管理者権限がなくても遠隔でコードを実行できるものでした。
標準構成において、管理者権限などを要さないで、攻撃者が遠隔でのコード実行に至る可能性が指摘されています。
バックアップがない場合
元に戻す先がない状態で操作すると、失敗したときに戻せません。
先にバックアップを取ってから作業します。サーバー会社の管理画面に、 自動バックアップの機能があることがあります。
契約している会社が分からない場合
・サーバー会社が分からない ・ドメインの契約先が分からない ・以前の担当者と連絡が取れない
この状態では、作業する権限があるかどうかも確認できません。 先に契約先を調べるところから始めます。
逆に、自分で対応してよい場合
・更新した直後に起きた ・管理画面に入れる ・バックアップがある ・止まっても業務に支障がない期間がある
この4つがそろっていれば、更新の取り消しを試す価値があります。
触らないほうがよい場合に当たったら
上の3つに当てはまる場合、まず状況を確認するところから相談できます。 サーバー会社が分からない、以前の担当者と連絡が取れないという状態でも、 契約先を調べるところから対応します。
相談するときに伝えること
外に相談する場合、次の5つが分かっていると話が早く進みます。
1 いつから表示されなくなったか（日付・時刻） 2 その直前に何をしたか（更新した／何もしていない） 3 管理画面に入れるか 4 サーバー会社の名前 5 バックアップがあるか
分からない項目があっても構いません。 分からないこと自体が情報になります。
たとえば「サーバー会社が分からない」場合、契約先を調べるところから作業が始まります。 先に伝えておくと、見積もりの前提が変わります。
よくある質問
Q. 自分で直そうとして失敗しました。もう手遅れですか
手遅れとは限りません。ただし、何をしたかを覚えている範囲で書き出してください。 削除したファイル、変更した設定、実行した操作の順番が分かると、復旧の手がかりになります。
Q. サイトが表示されない間、何をすればよいですか
不正アクセスの可能性がある場合は、サイトを公開したままにしないほうがよい場合があります。 訪問者に被害が及ぶことがあるためです。サーバー会社に「サイトを一時的に非公開にできるか」を確認してください。
Q. 他社が作ったサイトでも見てもらえますか
確認できます。ただし、管理画面とサーバーに入れる情報が必要です。 以前の制作会社と連絡が取れない場合は、契約先を調べるところから始めます。
Q. 更新しないまま使い続けてはいけませんか
IPAの資料は「影響を受けるウェブサイトでは、直ちに更新することが推奨されています」としています。 ただし、更新によって表示が崩れることもあります。 先にバックアップを取ってから更新します。
まとめ
サイトが表示されないとき、原因は「更新の失敗」「不正アクセス」「サーバー側の変更」のどれかに分かれます。まず、いつから起きたか、管理画面に入れるか、バージョンが上がっているかの3つを確認してください。見覚えのない表示に変わっている場合は、削除すると原因が特定できなくなるため、操作を止めてご相談ください。
「表示されない状態が続いている」「何をしたか分からなくなった」「そもそも契約先が分からない」という状態でも、まず何が起きているかの確認からご相談いただけます。見積もりの前に、現在の状態をお伝えします。
