制作会社と連絡がつかず、自社サイトのCMSの種類もバージョンも分からない…脆弱性のニュースが出たとき発注者が最初に調べる5つのこと

2026年10月15日

「サイトの脆弱性（＝悪用されうる弱点）のニュースが流れてきたけれど、うちのサイトが対象なのか分からない。作ってもらった制作会社とは、もう連絡がつかない」。長年サイトを放置してきた会社ほど、こうした状況に陥りがちです。

「制作会社が連絡不能で、自社サイトのCMSの種類もバージョンも分からない。脆弱性のニュースが出ても何から調べればいいのか…」

先に結論をお伝えします。開発の知識がなくても、まず「CMSの種類」「バージョン」「管理画面に入れる人」「サーバーの契約元」「頼れる相手」の5つは、手元の情報だけで調べられます。これが分かれば、ニュースの対象かどうかを判断でき、分からない部分だけを専門家に依頼できます。

この記事では、この5つの調べ方と、ニュースが出たときの動き方、開発会社に聞く質問例を解説します。

なぜ「CMSもバージョンも分からない」状態になるのか

CMS（＝サイトの文章や画像を、管理画面から更新できるようにする仕組み。WordPress や Movable Type など）は、制作時に選ばれ、納品後は発注者側が意識しないまま動き続けることが多いものです。

制作時の資料（納品物・マニュアル）が、担当者の異動や退職で社内に残っていない
制作会社が事業をやめた、担当者が辞めた、保守契約を結んでいなかった
サイトは表示できているので、更新の必要性に気づかない

つまり、発注者が悪いわけでも、制作会社が悪いわけでもなく、「納品後に誰が持ち主として管理するか」が決まっていなかったことが背景にあります。

脆弱性のニュースが出たとき、何が起きるのか

具体例として、IPA（情報処理推進機構）が2026年10月7日に注意喚起した、CMS「Movable Type」の脆弱性を見てみます。

📰 出典：IPA「「Movable Type」における複数の脆弱性について（JVN#91153973）」

IPAによれば、この脆弱性は悪用されると、システム上で任意のコードが実行されたり、データベースの操作をされたりする可能性があるものです。対象は「9.2.1以前」のようにバージョンの範囲で示され、対策は「最新版へのアップデート」とされています。サポートが終了した古い版も影響を受けると書かれています（いずれも2026年10月時点の公表内容）。

ここから分かるのは、脆弱性のニュースは必ず「どの製品の」「どのバージョンが」対象かという形で出るということです。だから発注者が最初に知るべきなのは、この2つ（種類とバージョン）です。分からなければ、対象かどうかを判断できません。

発注者が最初に調べる5つのこと

1. CMSの種類を調べる

次の順で、上から確認してください。コストはかかりません。

管理画面のログインページを探す：納品資料やメールの履歴に、管理画面のURLが残っていないか探します。ログイン画面のデザインやロゴで、種類の見当がつくことがあります。
過去のメール・請求書・契約書を検索する：「WordPress」「CMS」「管理画面」「保守」などの語で社内メールを検索します。
サイト運営の担当者に聞く：日々の更新をしている人がいれば、どの画面で更新しているかが最大の手がかりです。

それでも分からない場合は、サイトの制作に詳しい専門家に「外から見て判定してもらう」ことも可能です。外から見える情報で、種類の見当がつくことがあります。ただし確実ではないため、最終的には管理画面かサーバーの中身で確かめます。

2. バージョンを調べる

バージョンは、多くの場合管理画面にログインして確認します（WordPress なら、管理画面の更新に関する画面や画面下部に現在のバージョンが表示されます。製品ごとに場所は異なります）。ログインできない場合は、次の3で説明する「管理画面に入れる人」を先に確保します。

ここで大切なのは、バージョンを「新しい／古い」の感覚で判断しないことです。ニュースの対象範囲（例：「9.2.1以前」）と、自社のバージョンを数字で突き合わせます。

3. 管理画面に入れる人（ID・パスワード）を確保する

管理画面に入れないと、バージョン確認も更新もできません。

納品資料・パスワード管理ツール・過去のメールに、ログイン情報が残っていないか探す
見つからない場合は、パスワード再設定（管理画面の「パスワードを忘れた場合」）を試す。登録メールアドレスがすでに使われていない場合は、サーバー側で対応する必要がある
社内の誰が管理者かを決め、1人に依存しないように2人以上で管理する

4. サーバー・ドメインの契約元を確認する

サイトが動いているサーバー（＝サイトのデータを置いている場所）と、ドメイン（＝サイトの住所にあたる「〇〇.co.jp」など）の契約元を確認します。

毎年・毎月の請求が来ている会社はどこか（経理の支払い記録で分かります）
契約者名義は自社か、制作会社か
ドメインの更新期限はいつか

名義が制作会社になっている場合は、制作会社と連絡がつかなくても、契約元の会社に自社の身元を示して相談できる場合があります。必要書類は契約元ごとに違うため、早めに問い合わせてください。

5. 頼れる相手を決める

調べても分からない、または更新作業が怖い、という場合は、無理に自分で触らず専門家に頼みます。

今の制作会社と連絡がつかないなら、別の開発会社・保守会社に調査から依頼する
依頼するときは「調査だけ」「更新まで」を分けて、見積もりを出してもらう
以前の制作会社が提供した資料（あれば）を渡す

ニュースが出たときの動き方（流れ）

脆弱性のニュースを見たら、次の順で動きます。

対象製品か確認する：ニュースの製品名と、自社のCMSの種類が一致するか
バージョンを突き合わせる：対象範囲に自社のバージョンが入るか
対象なら、最新版への更新を優先する：IPAも、まずは開発元の情報をもとにアップデートすることを案内しています
すぐ更新できないなら、開発元が案内する回避策（ワークアラウンド）を検討する：IPAの上記ページでも、更新できない場合の緩和策が紹介されています。ただし作業内容が専門的なため、専門家に依頼します
更新前にバックアップを取る：更新で表示が崩れる場合に戻せるようにします