BLOG
WordPressの使っていないテーマは削除すべき？放置する危険性と安全な管理方法
2026.11.9WordPress保守・復旧
「WordPressのテーマは、使っていなければ問題ない」
「以前使っていたテーマをそのまま残している」
「新しいテーマに変更したので、古いテーマは無効化している」
WordPressを長年運用していると、現在使用しているテーマ以外にも、複数のテーマがインストールされたままになっていることがあります。
しかし、使っていないテーマをサーバー内に残しておくことは、セキュリティ上のリスクにつながる可能性があります。
WordPressのテーマは、無効化してもサーバー上から削除されるわけではありません。
特に、長期間更新されていないテーマや、開発・サポートが終了したテーマが残っている場合は注意が必要です。
この記事では、不要なWordPressテーマを放置する危険性と、安全に削除する方法、残しておくべきテーマについて解説します。
WordPressの不要なテーマを放置していませんか？
WordPressでは、管理画面の「外観」→「テーマ」から、インストールされているテーマを確認できます。
テーマを変更した場合、以前使用していたテーマは通常、無効化された状態で残ります。
例えば、現在使用しているテーマが1つだけでも、次のようなテーマが残っていることがあります。
- 以前使用していたホームページのテーマ
- デザインを比較するためにインストールしたテーマ
- WordPressに付属する複数の標準テーマ
- 過去の制作会社が導入したテーマ
- 更新されなくなった古い有料テーマ
こうしたテーマの中には、今後使用する予定がないものもあるでしょう。
必要のないテーマを整理することは、WordPressの基本的なセキュリティ対策の一つです。
テーマを無効化しただけでは削除されない
WordPressでは、テーマの「無効化」と「削除」は異なります。
別のテーマを有効化すると、以前のテーマは無効化されますが、通常はテーマのファイルがサーバー内に残ります。
テーマのファイルは一般的に、次のディレクトリに保存されています。
/wp-content/themes/
例えば、過去に使用していたテーマが無効化されていても、そのテーマのPHPファイルやその他の構成ファイルは、削除するまで残っています。
テーマが無効化されている場合、通常のWordPressの表示処理では使用されません。
しかし、テーマ内に直接アクセス可能な脆弱なファイルなどが存在すれば、無効化されていても攻撃対象になる可能性があります。
「現在使用していないから安全」とは限らないのです。
使っていないテーマがセキュリティリスクになる理由
WordPressのテーマには、デザインを表示するためのCSSや画像だけでなく、PHPなどのプログラムが含まれる場合があります。
テーマに脆弱性が存在すると、その内容や利用条件によっては、攻撃者に悪用される可能性があります。
特に注意したいのは、次のようなテーマです。
- 何年も更新していないテーマ
- 開発元のサポートが終了したテーマ
- 正規の配布元が確認できないテーマ
- 既知の脆弱性が修正されていないテーマ
- 過去の制作時に改造され、現在の管理者が内容を把握していないテーマ
例えば、テーマ内の特定のPHPファイルに不適切なアクセス制御や入力処理が存在する場合、攻撃者がその問題を悪用する可能性があります。
ただし、無効化されたテーマに脆弱性があれば必ず攻撃できる、というわけではありません。
実際に攻撃が成立するかどうかは、脆弱性の内容やサーバー環境によって異なります。
不要なテーマを削除することで、管理すべきファイルや潜在的な攻撃対象を減らすことができます。
WordPress公式も不要なテーマの削除を推奨
不要なテーマの削除は、WordPress公式でも推奨されています。
WordPressの「サイトヘルス」には、インストール済みテーマの更新状況や、使用していないテーマを確認する機能があります。
不要なテーマが残っている場合、セキュリティを向上させるために削除を検討するよう案内されます。
確認するには、WordPress管理画面から次の場所を開きます。
「ツール」→「サイトヘルス」
また、「サイトヘルス」の「情報」タブでは、インストールされているテーマの情報を確認できます。
WordPress公式は、テーマを最新の状態に保つことも重要だとしています。
不要なテーマは削除し、必要なテーマは更新して管理することが基本です。
削除してはいけないテーマもある
不要なテーマを削除することは重要ですが、現在使用しているテーマ以外をすべて削除すればよいわけではありません。
特に注意したいのが、親テーマと子テーマの関係です。
① 現在使用しているテーマ
当然ですが、現在有効になっているテーマは削除しないでください。
② 子テーマが使用している親テーマ
子テーマを有効化している場合、その子テーマが参照する親テーマも必要です。
親テーマは管理画面上で無効化されているように見えることがありますが、子テーマの動作に必要なファイルです。
親テーマを削除すると、サイトの表示や動作に問題が生じる可能性があります。
③ 復旧用のWordPress標準テーマ
WordPress公式では、現在のテーマに問題が発生した場合の代替として、標準テーマを利用できる状態にしておくことも推奨しています。
例えば、Twenty Twentyシリーズなどの標準テーマを、必要に応じて1つ残す運用が考えられます。
ただし、残した標準テーマも更新して管理する必要があります。
基本的には「使用中のテーマ」「必要な親テーマ」「復旧用の標準テーマ」を残し、それ以外の不要なテーマを整理する考え方がおすすめです。
不要なテーマを安全に削除する方法
WordPressの不要なテーマは、管理画面から削除できます。
一般的な操作手順は次のとおりです。
- WordPress管理画面にログインする
- 「外観」→「テーマ」を開く
- 削除したいテーマを選択する
- テーマの詳細画面を開く
- 「削除」をクリックする
- 確認画面で削除を実行する
ただし、削除前には次の項目を確認してください。
- 現在使用しているテーマではないか
- 子テーマが参照している親テーマではないか
- 独自のカスタマイズが含まれていないか
- 今後の復旧や検証に必要なテーマではないか
- 必要なバックアップを取得しているか
特に、制作会社が独自にカスタマイズしたテーマの場合は、削除すると元に戻せなくなる可能性があります。
用途が分からないテーマは、削除する前に制作会社や保守担当者へ確認しましょう。
古いテーマを放置するとバックドアの原因になる？
WordPressへの不正侵入が成功した場合、攻撃者がバックドアを設置することがあります。
バックドアとは、攻撃者が後から再び不正アクセスするために残す仕組みです。
例えば、脆弱なテーマやプラグインなどを経由して侵入された場合、サーバー内の別の場所に不正なPHPファイルを設置される可能性があります。
その後、侵入原因となったテーマを削除したとしても、別の場所にバックドアが残っていれば、再び不正操作されるおそれがあります。
そのため、すでに不正アクセスが確認されている場合は、単に不要なテーマを削除するだけでは不十分です。
次のような確認も必要になります。
- WordPress本体のファイルに改ざんがないか
- プラグインやテーマに不正なコードがないか
- アップロードディレクトリに不審なファイルがないか
- データベースに不正な変更がないか
- 不審な管理者アカウントが追加されていないか
- サーバーの認証情報が流出していないか
一度侵入されたWordPressは、侵入原因の修正だけでなく、バックドアなどが残っていないか調査することが重要です。
旧サイト・テストサイトに残るテーマにも注意
WordPressのセキュリティ対策では、現在公開しているホームページだけを確認していても不十分な場合があります。
実際に、過去のテストサイトやリニューアル前の旧WordPressがサーバー内に残っており、その古いWordPressが攻撃対象となった事例もあります。
例えば、次のような場所にWordPressが残っている場合があります。
- example.com/test/
- example.com/old/
- example.com/wp-old/
- test.example.com
これらは一般的なURLの例です。
現行サイトのテーマやプラグインを最新にしていても、旧サイトのテーマが古いまま放置されていれば、別の攻撃対象になる可能性があります。
また、同じサーバーアカウント内で複数のWordPressを運用している場合、サーバーの構成や権限設定によっては、他のサイトに影響が及ぶ可能性もあります。
現在使用しているWordPressだけでなく、サーバー内に残っている旧サイトやテストサイトも含めて確認することが重要です。
テーマ以外にも確認したいセキュリティ対策
不要なテーマの削除は、WordPressのセキュリティ対策の一つです。
しかし、テーマを整理しただけですべてのセキュリティリスクがなくなるわけではありません。
併せて次の項目も確認しましょう。
- WordPress本体の更新
セキュリティ修正を適切に適用する。 - プラグインの整理
使用していないプラグインは削除し、必要なプラグインは更新する。 - PHPのバージョン確認
サポート対象のPHPを使用しているか確認する。 - Wordfenceなどの導入
WAFやマルウェアスキャンを活用する。 - 管理者アカウントの保護
強固なパスワードや二要素認証を利用する。 - バックアップ
定期的に取得し、必要に応じて復元できる状態にする。 - 旧サイト・テスト環境の整理
使用していないWordPressが公開状態で残っていないか確認する。
特に、長年保守管理が行われていないWordPressでは、テーマだけでなく、プラグインやPHPも古いままになっていることがあります。
WordPressのセキュリティ対策は、テーマだけではなく、サイト全体・サーバー全体で考えることが大切です。
まとめ｜使っていないテーマは整理しよう
WordPressで使用していないテーマは、無効化されていてもサーバー内にファイルが残っています。
古いテーマに脆弱性が存在する場合、脆弱性の内容によっては攻撃対象になる可能性があります。
そのため、WordPress公式でも不要なテーマの削除が推奨されています。
ただし、現在使用しているテーマや必要な親テーマ、復旧用の標準テーマまで削除しないよう注意が必要です。
「使っていないテーマは整理する」「残すテーマは更新する」「旧サイトやテスト環境も確認する」ことが、WordPressを安全に運用するための基本です。
大阪本町を拠点とする株式会社リバースでは、WordPressの保守管理、PHP・WordPressのアップデート、セキュリティ対策、サーバー移行などに対応しています。
「WordPressに使っていないテーマが大量に残っている」
「古いテーマやプラグインを長期間更新していない」
「以前の制作会社が導入したテーマの用途が分からない」
「ホームページのセキュリティ対策を見直したい」
そんな場合は、お気軽にご相談ください。
参考情報：
WordPress公式｜サイトヘルス
WordPress公式｜テーマの更新・不要テーマのチェック
Learn WordPress｜テーマの選択・インストール・削除
ホームページ・WordPress・Web改善の
無料相談はこちら
株式会社リバース