2026年10月、PHPに未認証の遠隔コード実行につながる重大な脆弱性が公表されました。これを受けて、「WordPressは危険」「もう静的サイトへ移るべき」といった声もあります。
不安になるのは当然です。ただし、PHP、WordPress本体、テーマ、プラグイン、サーバー運用を一括りにすると、正しい判断ができません。ここでは危険性を小さく見せず、何を更新し、どんな場合に移行を検討すべきかを整理します。
今回のPHP脆弱性で何が起きたのか
PHP公式は2026年10月21日、認証なしで遠隔コード実行につながる可能性がある2件の重大な脆弱性を公表し、修正版への即時更新を呼びかけました。対象はWordPressだけではなく、PHPでWebリクエストを処理する幅広い環境です。
完全な対策は、PHP 8.5.12、8.4.27、8.3.36、8.2.35など、修正を含むバージョンへ更新することです。レンタルサーバーでは運営会社がPHPの修正やWAF対策を行う場合がありますが、利用者側でも告知と適用状況を確認する必要があります。
WordPress固有の問題ではない
今回の問題はWordPressのコードから発生したものではありません。PHP自体にあるため、同じPHP上で動く別のCMSや独自システムも影響を受け得ます。「WordPressから別のPHP製CMSへ移れば解決」とは限りません。
また、WordPress本体にも脆弱性が見つかることはありますが、修正版とセキュリティ更新が継続して提供されています。WordPress 3.7以降では、小規模な保守・セキュリティ更新を自動適用できる仕組みもあります。
つまり論点は「WordPressか否か」だけではなく、次の4層を更新できるかです。
- サーバーとPHP
- WordPress本体
- テーマとプラグイン
- 管理者のパスワード、権限、バックアップ
WordPressの弱点は確かにある
今回の問題がWordPress固有でないからといって、WordPressのリスクまで否定するのは適切ではありません。
- 更新対象が多い：本体だけでなく、PHP、テーマ、プラグインを継続して確認する必要がある
- 拡張機能の品質差：更新が止まったプラグインや入手元不明のテーマは危険性を高める
- 管理画面が攻撃対象になる：ログイン試行、権限奪取、不正な管理者追加への対策が必要
- 利用者が多い：広く使われているため、自動攻撃の標的にもなりやすい
- 放置運用に弱い：数年間更新しないサイトは、静的HTMLより攻撃面が大きい
「簡単に作れる」と「保守しなくてよい」は別です。更新担当者がいない、バックアップを戻せない、不要なプラグインを整理できない場合は、構成を簡素化する判断が必要です。
それでもWordPressが強い理由
- 記事更新がしやすい：HTMLを直接編集せず、複数人でも投稿・修正できる
- 情報と人材が豊富：トラブル事例、制作会社、運用担当者を見つけやすい
- 用途を広げやすい：予約、会員、EC、多言語、検索などを段階的に追加できる
- データを自分で管理できる：外部サービスだけに依存せず、記事やURLを維持しやすい
- テーマの選択肢が多い：ブログ、企業、店舗、メディアなど、目的に合う設計を選べる
更新頻度が高いサイト、担当者が複数いるサイト、事業に合わせて機能を増やすサイトでは、WordPressの管理画面と拡張性は今も大きな強みです。
静的サイトとWordPressの比較
| 判断項目 | 静的HTML | WordPress |
|---|---|---|
| 攻撃面 | 管理画面やデータベースがなく、比較的小さい | PHP、DB、管理画面、拡張機能の管理が必要 |
| 記事更新 | HTML編集や制作環境が必要 | ブラウザーの管理画面から更新しやすい |
| 複数人運用 | 仕組みを別途用意する必要がある | ユーザーと権限を分けて運用できる |
| 機能追加 | 個別開発または外部サービス連携 | テーマ・プラグインで追加しやすい |
| 保守 | 公開後の更新対象は少ない | 定期更新、監視、バックアップが必要 |
| 向くサイト | 更新が少ない案内サイト、保存サイト | ブログ、メディア、店舗、事業サイト |
更新が年に数回で問い合わせも外部サービスに任せるなら、静的HTMLは合理的です。一方、記事を継続的に増やし、検索・会員・予約などを運営するなら、WordPressを適切に保守する方が総作業量を抑えられる場合があります。
WordPressを使う最低条件
- サポート中のPHPを使用し、サーバー会社の緊急告知を確認する
- WordPress本体、テーマ、プラグインを最新版に保つ
- 使っていないテーマとプラグインを削除する
- 管理者IDを共有せず、強いパスワードと多要素認証を使う
- 定期バックアップと、実際に戻せる復旧手順を用意する
- WAF、ログ監視、ログイン試行制限など、サーバー側の防御も利用する
WordPress公式はPHP 8.3以上、HTTPS、現行のデータベース環境を推奨しています。古いPHPでも動くことと、安全に運用できることは同じではありません。
WordPress公式の推奨環境 ／ WordPress公式のセキュリティ強化手順
侵入被害と静的化を経験して思うこと
当サイトは、旧WordPressサイトへの侵入被害を経験しました。その後、公開内容を静的HTMLへ移し、不要なプログラムやメール配信システムを取り除いて再出発しています。
その経験から、保守できないWordPressをそのまま公開し続けることは勧めません。しかし、被害の原因を「WordPressだから」の一言だけで終わらせると、古いPHP、放置された拡張機能、弱い認証、復旧手順の不足といった本当の改善点を見失います。
静的化して分かったのは、安全性と引き換えに、記事追加、共通部分の修正、公開作業を自分で管理する必要があることです。静的サイトにも運用コストはあります。
まとめ
WordPressは「何もしなくても安全な道具」ではありません。しかし、今回のPHP脆弱性だけを理由に、WordPressそのものを終わった技術と判断するのも適切ではありません。
更新や機能追加が少なく、保守担当者がいないなら静的サイト。継続的に記事を増やし、複数人運用や機能拡張が必要なら、保守体制を整えたWordPress。この基準で選ぶのが現実的です。
目的別にWordPressテーマを探す ／ 国産テーマを比較する ／ ブログ向けTCDテーマを比較する
調査日：2026年10月26日。脆弱性・修正版・サーバー対応は変化するため、PHP、WordPress、利用中サーバーの最新告知を確認してください。