先日、筆者が個人で運用しているオープンソースのコンテンツ管理システム（CMS）「WordPress」をアップデートしたところ、表示はできるのに記事の更新ができないというトラブルに見舞われました。これは一大事です。きっと同じトラブルを抱えたWebサイトもたくさんあるのではと検索してみましたが、どうやらそんな状況に陥っているのは筆者だけのようでした。

　楽観的に「時間が解決するだろう」と思っていたものの、対応といえるような対応が行われた形跡もありません（報告もしていないので、当然といえば当然なのですが）。一応テスト環境を作って再現を試みましたが、そこでは問題なくアップデートができ、記事更新も可能という状況でした。

　結局、以前のバージョンに戻し、しばらくして公開されたさらなるアップデートを適用したところ、問題なくアップデートできました。原因は不明ながらも、結果的に「解決してしまった」というパターンです。

　この件には、筆者自身も少々反省するところがありました。というのも、普段から「アップデートは速やかに行おう！」と自ら発信しているからです。間違ったことを言っているつもりはありませんが、そうはいっても、やはり簡単なことではないのだなと実感しました。

　最近では、マイクロソフトの「Windows 11」で、アップデートによる大規模なトラブルが発生しています。アップデートを行ったことでPCが起動不能になり、BIOSと呼ばれる部分の修正が必要となるという深刻なものでした。こうした事態が起きてしまうと、アップデートを「慎重に考える」というより、アップデートは「怖い」と感じてしまうのも無理はありません。

PCが起動しない──「Windows Update」後の不具合でPCメーカーが相次ぎ注意喚起　富士通、マウス、GIGABYTEも

　ただし、だからといってアップデートを避け続けることも、大きなリスクとなります。以前も紹介しましたが、2024年5月に発生した岡山県精神科医療センターにおけるランサムウェア事案では、VPN機器のアップデートが行われておらず、脆弱（ぜいじゃく）性が放置されたまま運用が続けられていました。報告書ではこの運用を厳しく指摘するとともに、ベンダー側の体制についても問題視しています。

図1　「テストができないからアップデートが困難」は本当か？［クリックで拡大］ 出所：岡山県精神科医療センター ランサムウェア事案調査報告書（P50）

この事件を無駄にするな！　医療業界が伝える製造業セキュリティへの提言

　ここから導き出されるのは、アップデートそのものにも確かにリスクはある、という点です。しかし、それ以上に重要なのは、そのリスクを正しく把握した上で、「アップデートしない」という、さらに大きなリスクとの折り合いをどうつけるか――。そして、「いつアップデートするか？」をしっかりと考えていくことではないかと、筆者は捉えています。