知人の店のWordPressサイトを作り直してほしいと、週末の副業で頼まれました。テーマの改修は二晩で終わる見込みが立ち、引き受けかけたところで「公開した後の更新も、何かあったときもお願いできますか」と聞かれ、返事に詰まりました。作る仕事には終わりがありますが、更新や万一の対応には終わりが見えないからです。WordPressの副業は、作る前に更新は誰が押すかを決めます。

1. WordPressの副業で迷いが生じる、作った後の仕事

終わりのある仕事と、終わりの見えない仕事

副業としてWordPressの仕事を考えるとき、まず頭に浮かぶのは作る作業のほうです。テーマを直す、ブロックを組む、表示の崩れを直す。本業でWebの開発や運用に関わっていれば、見積もりの勘も働きます。作業の量が読めれば、平日の夜と週末のどこに収めるかも決められます。

ただし、サイトは公開した日から別の仕事を生みます。本体やプラグインの更新、更新後に表示が崩れていないかの確認、管理画面に入れる人の管理です。これらは公開の翌週にも翌月にも発生し、作る作業のように「ここで終わり」という線を引きにくい仕事です。

さらに三つ目として、改ざんが疑われたときの対応があります。いつ起きるのかが分からず、起きたときは本業の会議中でも連絡が届くかもしれません。三つの形は、終わりがあるかどうかで性質が分かれます。

図の作成：Remogu編集部。仕事の性質を整理したもので、統計データではありません

引き受ける前に分けて考える

冒頭の「お願いできますか」は、作った人に続きも任せたいという自然な頼みです。ただ、断るか丸ごと受けるかの二択にすると、本業との両立が崩れるか、仕事そのものを手放すかのどちらかになります。

そこでこの記事では、三つの形を別々の仕事として扱い、それぞれを誰が持つのかを受ける前に決める進め方を取ります。資料に使うのは、IPA（情報処理推進機構）が公表している注意喚起、不正アクセスの届出状況の報告、情報セキュリティ10大脅威の解説書です。副業としての受け方そのものは資料に書かれておらず、書き手の見立てです。

次の節では、2026年7月のIPAの注意喚起を手がかりに、WordPress本体の更新を誰が確かめるのかを見ます。

2. 本体の更新は自動でも、確かめる人が要る

2026年7月の注意喚起の中身

IPAは2026年7月22日に、WordPressの脆弱性対策について注意喚起を公表しました。それによると、WordPress 6.9以降では、修正された2件の脆弱性の組み合わせにより、遠隔でのコード実行が生じる可能性があります¹。「可能性がある」との書き方は、そのまま受け取ります。すべてのサイトが危ないという話でも、被害の報告でもありません。

対応として、IPAはWordPress.orgが影響を受けるバージョン向けに自動更新による強制更新を有効化したと紹介しています¹。強制更新を有効化したのはWordPress.orgで、IPAではありません。サイトの持ち主が何もしなくても、本体が新しい版へ進む対応が取られた、という内容です。

一方で、同じ注意喚起は、運用している環境・構成や設定状況によっては自動更新が有効でなかったり、更新に失敗していたりする可能性もあるとしています。そのうえで、管理画面（ダッシュボード）でバージョンを確認し、更新されていなければ手動での更新を検討するよう求めています¹。

注意喚起の項目別の整理

注意喚起の内容は、対象、起こり得ること、WordPress.orgの対応、残る作業の四つに分けると見通しが立ちます。前半の二つが問題の側、後半の二つが対応の側です。最後の「残る作業」だけは、サイトを預かる誰かの手で行う作業として書かれています。

項目	2026年7月のIPAの注意喚起の中身
対象	遠隔でのコード実行の可能性が挙げられているのは、WordPress 6.9以降1
起こり得ること	修正された2件の脆弱性の組み合わせで、遠隔でのコード実行が生じる可能性1
WordPress.orgの対応	影響を受けるバージョン向けに、自動更新による強制更新を有効化1
残る作業	管理画面でバージョンを確認し、更新されていなければ手動での更新を検討1

自動で更新されることと、確かめたことは別

本体の更新が自動で進んでも、「更新された」と「更新されたと誰かが確かめた」は別のことです。IPAが管理画面でのバージョン確認を求めているのは、環境や設定によっては更新が進んでいない可能性があるためです¹。自動更新が働かないと言っているわけではありません。

副業の側から見ると、ここが分かれ目になります。納品して引き渡した後、管理画面を開いてバージョンを見るのは誰か。発注者が自分で見るなら、その手順を渡しておく必要があります。受けた側が見るなら、見る頻度と、手動で更新するかどうかを決める人を、先に決めておく仕事に変わります。

次は、本体とは別に更新が要る部品、プラグインの置かれた場所を見ます。

3. プラグインが置かれる、外から直接触れる場所

10大脅威の解説書が示す条件

IPA「情報セキュリティ10大脅威2026」の組織編の解説書は、CMS（プラグインを含む）のようにインターネットから直接アクセスできる製品・システムの脆弱性について、攻撃プログラム等が公開された場合に多くの企業に被害が及ぶおそれがあるとしています²。条件付きの記述で、組織向けの一般的な説明です。WordPressのプラグインが標的になっていると述べた文ではありません。

インターネットから直接アクセスできるとは、サイトを訪れる人と同じ入口から、第三者も触れられるということです。副業では、その入口に置かれた部品の版を誰が見るのかを、決めないまま引き渡すことになりかねません。

届出の数字の読み方

2025年の1年間にIPAへ寄せられた不正アクセスの届出は109件で、このうち実被害があった届出は85件でした³。これはIPAに届け出られた件数です。国内で起きた件数でも、WordPressの件数でもありません。

実被害があった届出の被害原因は、複数該当ありの集計です。「ID、パスワード管理の不備」が30件で最も多く、次いで「古いバージョンの利用や修正プログラム・必要なプラグイン等の未導入によるもの」が18件でした³。1件に複数の原因が当てはまるため、原因の何割がプラグインといった読み方はできません。

出典：情報処理推進機構「コンピュータウイルス・不正アクセスの届出状況［2025年（1月～12月）］」（2026年3月30日）をもとに作成。IPAへの届出のうち実被害があった85件が対象で、1件に複数該当あり

誰かが持たないと抜ける場所

2番目の項目の名前には「必要なプラグイン等の未導入」が入っています。WordPressに限った数字ではないので、WordPressの副業へそのまま当てはめることはしません。更新の担当を決める理由として使えるのは、名前に部品の更新が含まれているところまでです。

プラグインの版を見る、更新を押す、押した後に表示を確かめる。この三つを、副業の側が持つのか、発注者が持つのか、サーバーの契約者が持つのか。どの組み合わせでも成り立ちますが、誰も持たない状態だけは避けたいところです。一人の手に三つが揃っている必要はなく、分けて持つなら受け渡す点を書き残します。

更新と違い、改ざんは始まる日が決まっていません。次の節では、その場面で最初に要るものを見ます。

4. 改ざんが疑われたとき、最初に要る記録

調査の材料になるログ

IPAの届出状況の報告は、ウイルス届出で被害原因が「原因不明」のものが多い背景の一つに、調査に適したログが取得されていなかった等の被害者側の環境を挙げ、侵害調査には調査に適したログ取得が必須だとしています³。この文はウイルスの届出を述べた節にあり、ウェブサイトの改ざんを対象にしたものではありません。侵害の調査にはログが要る、という一般論として引きます。

ログは、起きた後から作ることができません。取得されていなければ、後から調べる材料がありません。そのため、改ざんが疑われた時点で最初に決めておきたいのは、記録をどこに残し、誰が取り出すのかです。

段ごとの持ち主を先に決める

改ざんが疑われてからの流れを、気づく、連絡、記録の確保、復旧、再発の防止の5段に分けます。この5段は書き手の整理で、IPAの資料に載っている手順ではありません。

各段について、発注者、受けた人、サーバーの契約者のどれが持つのかを決めます。たとえば記録の確保は、サーバーの管理画面に入れる人でなければ動けない段階です。受けた人がその権限を持たないなら、契約者への連絡が先になります。

図の作成：Remogu編集部。副業での受け方を整理したもので、IPAが示した手順ではありません

復旧の作業そのものは、この記事では扱いません。副業で先に決めておくのは、復旧を誰が担うのか、その作業を受けるのか別の人に回すのかです。これらの形を、次の節で受け方の単位に切り直します。

5. 副業で受けやすい、仕事の区切り方

保守を丸ごと受けない切り方

引き受けるか断るかの二択に見えるのは、仕事を「サイトの面倒を見ること」という大きな塊で捉えているからです。塊のまま受ければ、更新も確認も改ざん時の連絡も、いつ終わるとも知れない作業として自分に乗ります。断れば、制作の仕事まで手放すことになります。

そこで、仕事を「終わりの形がある単位」に切り分けます。終わりの形とは、渡す物と、渡した時点で仕事が終わる条件のことです。テーマの改修なら納品物と動作確認の結果、更新の作業なら作業の記録と確認結果が、それに当たります。切り方は書き手の見立てで、IPAの資料に副業の受け方が書かれているわけではありません。

切り分けると、発注者との会話も変わります。「お願いできますか」への返事が「はい」か「いいえ」ではなく、「この範囲なら、この形でお渡しします」になるからです。本業の予定に収まる単位から受けていけば、作業の量も自分で見積もれます。

仕事の形ごとの、終わりの形

下の表では、副業で受けやすい4つの仕事の形に、それぞれ終わりの形を対応させています。いずれも、渡す物が決まっているので、検収の場面で食い違いが起きにくい単位です。改ざん時の初動は、起きたときの作業ではなく、起きる前に連絡表と記録の置き場所を決める仕事として切ります。

仕事の形	終わりの形
テーマ・ブロックの改修	納品と、動作確認の結果
プラグインの棚卸し	使っているプラグインの一覧と、更新の計画
更新作業のスポット受け	作業の記録と、更新後の確認結果
改ざん時の初動の取り決め	連絡表と、記録の置き場所

この4つのうち、副業と相性がよいのは、期日と範囲を先に決められる前の3つです。一方、4つ目は作業を受けるのではなく、取り決めを作る仕事です。取り決めがあれば、実際に起きたときに誰へ連絡し、どこに記録があるかが分かり、副業の側が本業の最中に判断を迫られる場面が減ります。

次の節では、仕事を受ける前に発注者と決めておく項目を見ていきます。

6. 受ける前に決めておく項目

発注者と書き残す6つの項目

仕事を区切っても、持ち主が決まっていない項目が残れば、そこが抜けます。たとえば、更新を押す人は決まっていても、更新後に表示を確かめる人が決まっていなければ、図3の流れの最初の段で止まります。受ける前に、次の6項目を発注者と書き残すと、引き渡した後の「誰に聞けばよいか」が消えます。

表の「例」は、決め方の一つの形です。この通りにする必要はなく、仕事の大きさやサイトの持ち主の事情に合わせて組み替えます。大切なのは、各項目の欄に誰かの名前か、「決めていない」という記載が入っている状態にすることです。

決めること	例
管理者アカウントの持ち主	管理者は発注者の名義で作り、受けた人には編集に必要な権限だけを渡します
本体・プラグインの更新を押す人と、確かめる頻度	更新は受けた人が押し、確かめる頻度は仕事の範囲として契約書に書きます
バックアップの置き場所と、戻す人	置き場所は発注者のサーバー側とし、戻す作業は契約者が担います
ログの保管場所	サーバーの契約者が取得し、発注者が取り出せる場所に残します
改ざんが疑われたときの連絡先と、連絡の時間帯	連絡先は発注者の窓口とし、受けた人が応じられる時間帯を先に決めます
サーバー・ドメインの契約者	契約者は発注者とし、受けた人は契約の名義人にならないようにします

とくにログの保管場所は、第4節で見たとおり、起きた後からは作れません。引き渡しの前に、取得されているか、誰が取り出せるかを確かめておく項目です。

連絡の時間帯と本業との両立

6項目のうち、副業でいちばん生活に響くのが連絡の時間帯です。改ざんが疑われたときの連絡は、いつ届くか分かりません。本業の予定が詰まっている時間帯に連絡が入っても応じられない場合は、応じられる時間帯を先に伝えておく必要があります。

たとえば、平日の夜と週末の特定の枠なら応じられると決め、それ以外で連絡が来たときの代わりの連絡先を発注者の側に置きます。応じられる時間帯と、応じられないときの連絡先をセットで書いておけば、発注者も待ち方が分かります。

本業と副業を並べるときの考え方は、別の記事でも整理しています。ここでは、連絡の時間帯が本業の時間と重ならないように決める、という一点だけを押さえます。

次の節では、ここまでの内容を、受け方の順番として並べ直します。

7. 本業と並べるための受け方

資料が言っていることと、見立ての境目

この記事で資料に基づいて言えるのは、次の範囲です。2026年7月のIPAの注意喚起は、WordPress 6.9以降で遠隔でのコード実行が生じる可能性を伝え、WordPress.orgの強制更新に触れたうえで、管理画面でのバージョン確認を求めています¹。2025年の届出状況は、被害原因の一つに、古い版の利用や必要なプラグイン等の未導入が挙がっていることを示しています³。

一方で、副業で誰が更新を押し、改ざんが疑われたときに誰へ連絡するのかは、資料には書かれていません。第5節と第6節の区切り方や決める項目は、書き手の見立てです。資料が述べているのは、確かめる作業が残ることと、記録が調査の材料になることまでです。

更新の担当から契約までの順番

受ける前に決める順番は、更新の担当、改ざん時の連絡先、仕事の区切り、契約の4つです。更新の担当が決まらないまま契約の条件を詰めると、契約書に更新の項目が書かれず、後から揉める余地が残ります。順番を逆にしない、というのが要点です。

図の作成：Remogu編集部。副業での受け方を整理したもので、統計データではありません

更新の担当が決まれば、その作業の頻度から、本業の予定に収まるかどうかが見えてきます。収まらないなら、更新は発注者かサーバーの契約者が持ち、受けた人は制作と、更新の手順の引き渡しだけを受ける形も選べます。

改ざん時の連絡先は、更新の担当の次に決めます。連絡の窓口が発注者側にあれば、受けた人は本業の最中に判断を迫られず、応じられる時間帯に作業を始められます。仕事の区切りと契約は、この2つが決まった後で、書面に落とす作業です。

冒頭の頼みへの返事

冒頭の「公開した後の更新も、何かあったときもお願いできますか」に戻ります。返事に詰まったのは、更新と万一の対応が、終わりの見えない塊に見えたからでした。塊を、更新の担当、改ざん時の連絡先、仕事の区切りに分け、それぞれの持ち主を決めれば、返事は「この範囲なら受けます」の形で返せます。

決める順番が分かっても、副業で次に迷うのは、どんな案件を本業と並べるかです。Remogu（株式会社LASSIC運営）は、リモートワーク案件特化のエンジニアマッチングで、案件の90%以上がフルリモート可能です。まず登録して、PHPの案件でどんな条件が示されているのかを見てから、更新や連絡の持ち主を何から決めるかを考えても遅くありません。

WordPressの副業は、作る前に更新は誰が押すかを決めます。

8. よくある質問

公開後の保守契約を断っても、制作だけの副業として受けられますか

受けられます。ただし、保守を断ることと、更新の担当を決めないことは別です。引き渡しのときに、本体とプラグインの更新を誰が押し、誰がバージョンを確かめるのかを書面で渡しておくと、制作だけの仕事として完結します。

書面には、管理画面でバージョンを確認する手順と、更新されていなかったときの連絡先を入れます。IPAの注意喚起が管理画面での確認を求めていることを踏まえた項目です¹。引き渡し後の作業が発注者に移ることを、双方が分かっている状態にします。

プラグインの選定にはどこまで責任を持てばよいですか

選んだ理由と更新の状況を一覧で残し、選定の判断は発注者と合意する形にします。一覧があれば、後から更新の担当が替わっても、なぜそのプラグインが入っているのかを説明できます。選定を受けた人の独断にしないことが、責任の範囲を切る手がかりになります。

保守でどこまで負うのかという範囲の詳細は、WordPress保守案件の責任範囲を扱った別の記事で整理しています。ここでは、副業として受けるときに、一覧と合意を書き残す点だけを押さえます。

ウェブアクセシビリティの対応も頼まれたらどうしますか

対象のページと確認の方法を決めて、区切った仕事として受けます。サイト全体を対象にすると、終わりの形が決まりません。たとえば、問い合わせフォームのあるページだけ、といった単位に切れば、改修と確認結果の提出で仕事を完結できます。

制度や規格の内容は、この記事では扱いません。頼まれた時点で、対象と確認の方法を発注者と書面にし、受ける範囲を先に決めます。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 情報処理推進機構「WordPressの脆弱性対策について」（2026年7月22日・2026年10月確認）
＊2 情報処理推進機構「情報セキュリティ 10 大脅威 2026」（2026年3月1日・2026年10月確認）
＊3 情報処理推進機構「コンピュータウイルス・ 不正アクセスの届出状況」（2026年3月30日・2026年10月確認）