WordPressをやめれば安全なのか？PHP2Shellから考える、ホームページの管理責任
2026年10月、PHPの深刻な脆弱性「PHP2Shell」が大きな話題になりました。
WordPressを利用している人の中には、「うちのホームページは大丈夫なのだろうか」と不安になった人もいるかもしれません。
SNSなどでは、WordPressから静的サイトへ移行するという話も目にしました。
「WordPressはもう危ない」
「静的HTMLなら安心」
「AIがあればWordPressは必要ない」
そんな意見を見ながら、Web制作に携わる者として、いろいろと考えることがありました。
確かに、WordPressにはセキュリティ上のリスクがあります。定期的なアップデートも必要ですし、管理を怠れば大きな問題につながる可能性もあります。
一方で、静的サイトなら絶対に安全というわけでもありません。
そもそも、ホームページの安全性は、使っている技術だけで決まるものなのでしょうか。
今回のPHP2Shellをきっかけに、WordPressと静的サイトの違い、AIによる変化、そしてホームページを安心して使い続けるために必要なことを考えてみたいと思います。
目次
（※クリックで開閉します）
PHP2ShellはWordPressそのものの脆弱性ではない
まず、今回のPHP2Shellについて整理しておきます。
PHP2Shellは、2026年10月に公表されたPHPの2つの脆弱性（CVE-2026-109618、CVE-2026-109619）の総称です。
PHPはWordPressをはじめ、さまざまなWebサイトやシステムで使われているプログラミング言語です。
今回の脆弱性を悪用されると、攻撃者が外部からサーバー上で不正なプログラムを実行できる可能性があります。
深刻度はCVSS 9.2と非常に高く、米国のサイバーセキュリティ機関CISAも、実際に悪用が確認された脆弱性として登録しています。
決して軽視できる問題ではありません。
ただし、ここで理解しておきたいのは、今回の問題はWordPressそのものではなく、WordPressを動かすPHPに見つかった脆弱性だということです。
そのため、WordPress以外のPHPを利用したWebサイトやシステムにも影響する可能性があります。
また、同じWordPressでも、PHPのバージョンやサーバーの構成、修正プログラムの適用状況によってリスクは異なります。
2026年10月21日には、今回の問題を修正したPHP 8.2.35、8.3.36、8.4.27、8.5.12が公開されています。
PHP 8.1以前は公式サポートが終了しているため、利用している場合は、サーバー事業者による個別の修正対応や、サポート対象バージョンへの移行を確認する必要があります。
つまり、「WordPressを使っているから危険」とひとくくりにするのではなく、まず自分のサイトがどのような環境で動いているのかを確認することが必要です。
WordPressから静的サイトへ移行する理由
今回の騒動を受けて、WordPressから静的サイトへ移行するという話も見かけました。
ただ、個人的には、この流れは以前から少しずつあったように感じています。
特にIT系の企業や開発者の間では、WordPressを使わずにWebサイトを構築する選択肢が広がっています。
WordPressは便利な仕組みですが、運用には手間がかかります。
WordPress本体やプラグインの更新、PHPのバージョン管理、バックアップ、動作確認。
サイトを公開したあとも、こうした管理が必要です。
一方、静的サイトは、あらかじめ用意したHTMLやCSSなどのファイルを配信する仕組みです。
例えば、Gitでソースコードを管理し、Cloudflare Pagesなどを使って公開する方法があります。
この構成なら、公開サーバーでPHPやデータベースを動かす必要がありません。
今回のようなPHPの脆弱性による攻撃経路を減らせますし、管理するソフトウェアも少なくできます。
これは明確なメリットです。
特に、Gitやデプロイ環境を普段から扱っているIT企業にとっては、WordPressより静的サイトの方が管理しやすい場合もあるでしょう。
今回のPHP2Shellは、以前からWordPressの運用に負担を感じていた人たちが、別の方法を選ぶきっかけになったのかもしれません。
ただし、ここで考えたいことがあります。
ITに詳しい人にとって管理しやすい方法が、すべての人にとって管理しやすいとは限らないということです。
WordPressの管理画面は本当に必要なのか
WordPressの大きな特徴は、専門的な知識がなくても管理画面からホームページを更新できることです。
例えば、飲食店で営業時間が変わった場合。
WordPressなら管理画面にログインして、該当するページを編集すれば変更できます。
新しいメニューを追加したり、お知らせを掲載したりすることもできます。
これは便利な仕組みです。
ただ、実際の運用を考えると、別の問題も見えてきます。
更新できる仕組みがあっても、更新する時間がなければ意味がない。
お店の経営者は、毎日の営業や接客、仕入れ、経理など、さまざまな仕事を抱えています。
ホームページの更新が後回しになるのも無理はありません。
せっかくWordPressで作っても、管理画面にほとんどログインしない。
そんな状況も考えられます。
つまり、WordPressを導入すれば、必ずホームページが活用されるわけではないのです。
では、静的サイトならどうでしょうか。
以前はHTMLやCSSを直接編集する知識が必要でしたが、今はAIに修正を依頼することもできます。
例えば、
「来週から営業時間が変わるので、ホームページの記載を変更して」
と伝えれば、AIが該当箇所を探し、修正することも可能です。
適切な環境を整えれば、公開作業まで支援してもらうこともできます。
そうなると、WordPressの管理画面がなくても困らないかもしれません。
しかし、ここでもう一つ気づきます。
AIがあればWordPressはいらなくなるのか
AIの進化によって、Webサイトの制作や更新は以前より身近になりました。
これまで専門知識が必要だった作業を、自然な言葉で依頼できるようになっています。
そう考えると、WordPressの必要性は今後小さくなっていくのかもしれません。
ただ、AIを使えるのは静的サイトだけではありません。
WordPressでも、APIを利用して記事を投稿したり、AIに管理画面を操作してもらったりすることができます。
つまり、AIの登場によってWordPressが不要になるというより、WordPressでも静的サイトでも、更新作業をAIに任せられるようになってきたと考える方が自然だと思います。
そして、どちらの方法でも変わらないことがあります。
それは、ホームページに何を掲載するのかを決める必要があるということです。
営業時間が変わった。
新しい商品を販売することになった。
サービス内容を変更した。
こうした情報は、まず事業者自身が把握し、発信する必要があります。
AIが作業を代行してくれても、情報が正しいか、意図した内容になっているかは確認しなければなりません。
また、AIにホームページの操作権限を与えるのであれば、誤操作や意図しない変更への対策も必要です。
AIによって作業時間は短縮できても、ホームページを運営する人の役割がなくなるわけではありません。
むしろ、これからは「誰が更新作業をするか」よりも、「誰が情報を判断し、誰が運用を管理するか」が重要になっていくのかもしれません。
静的サイトなら安全なのか
ここで、最初のセキュリティの話に戻ります。
静的サイトには、WordPressと比較してセキュリティ上のメリットがあります。
公開環境でPHPやデータベースを動かさなければ、それらに起因する攻撃経路をなくすことができます。
更新が必要なソフトウェアも少なくできるため、保守の負担を軽減できる場合があります。
ただし、静的サイトなら絶対に安全というわけではありません。
例えば、Gitのアカウントが乗っ取られれば、公開するファイルを不正に変更される可能性があります。
外部サービスやJavaScriptのライブラリに脆弱性が見つかることもあります。
お問い合わせフォームを外部サービスで動かしているなら、そのサービスの安全性も考える必要があります。
静的サイトは、管理すべき対象を減らしやすい仕組みです。
しかし、管理そのものが不要になるわけではありません。
WordPressについても同様です。
適切にアップデートし、不要なプラグインを減らし、バックアップやアクセス制御を行うことで、リスクを下げることはできます。
ただし、どれだけ対策していても、今回のように新たな脆弱性が発見される可能性は残ります。
安全性を高めることはできても、絶対の安全を保証することはできない。
これはWordPressでも静的サイトでも変わりません。
だからこそ、どの技術を使うかだけでなく、問題が起きたときに対応できる体制があるかどうかを考える必要があります。
経営者が技術を選ぶ必要はあるのか
ここまでWordPressと静的サイトを比較してきましたが、そもそもホームページを必要としている経営者が、こうした技術の違いを理解して選ぶ必要はあるのでしょうか。
私は、必ずしも必要ではないと思っています。
例えば、お店の経営者がホームページを作りたいと考えたとき。
もっと多くの人にお店を知ってもらいたい。
商品やサービスの魅力を伝えたい。
問い合わせを増やしたい。
営業時間や所在地を分かりやすく掲載したい。
そうした目的が先にあるはずです。
WordPressを使いたいからホームページを作るわけでも、静的HTMLを使いたいから作るわけでもありません。
技術は、目的を実現するための手段です。
そして、その目的に合わせて適切な技術や運用方法を考えることは、私たちWeb制作者の仕事でもあります。
更新頻度が低く、シンプルな会社案内があれば十分なら、静的サイトが適しているかもしれません。
複数人で記事を投稿したり、継続的に情報を発信したりするなら、WordPressが便利な場合もあります。
また、経営者自身が更新する時間を取れないのであれば、CMSの種類よりも、更新を代行する仕組みを考えた方がよいかもしれません。
お客様に必要なのは、技術の選択肢を並べられることではなく、自分の事業に合った方法を提案してもらえることではないでしょうか。
誰がホームページの安全と運用に責任を持つのか
今回のPHP2Shellをきっかけに、改めて考えたことがあります。
それは、ホームページを作ることと、ホームページを運用し続けることは別の仕事だということです。
ホームページは、公開したら終わりではありません。
情報が古くなれば更新する必要があります。
不具合が見つかれば修正する必要があります。
セキュリティ上の問題が発生すれば、影響を確認し、必要な対策を講じなければなりません。
では、それを誰が行うのでしょうか。
ホームページを所有する経営者でしょうか。
制作したWeb制作会社でしょうか。
サーバー会社でしょうか。
それとも、別に契約している保守担当者でしょうか。
実際には、それぞれが異なる役割を担っています。
例えば、サーバー会社がPHPの更新を管理していても、WordPress本体やプラグインの更新までは対応していない場合があります。
制作会社がホームページを作っていても、公開後の保守契約がなければ、継続的なセキュリティ対応は業務に含まれていないかもしれません。
また、保守契約があっても、記事の投稿や営業時間の変更は対象外ということもあります。
つまり、「誰かが管理してくれているはず」と思っていても、実際には担当者が決まっていない作業が存在する可能性があるのです。
今回のような脆弱性が発見されたとき、自分のホームページに影響があるのか、何を確認すればよいのかを、ITに詳しくない経営者が一人で判断するのは難しいでしょう。
だからこそ、技術的なことを相談できる相手が必要なのだと思います。
ただし、制作会社が無条件にすべての責任を負うという話ではありません。
大切なのは、誰が何を担当するのかを、あらかじめ明確にしておくことです。
そして、問題が起きたときに連絡できる相手がいること。
これはWordPressでも、静的サイトでも変わりません。
今回のPHP2Shellについて、まず確認してほしいこと
現在WordPressを利用していて、今回の問題への対応状況が分からない場合は、制作会社や保守担当者、サーバー会社に次のような確認をしてみてください。
今回のPHP2Shellについて、当社のホームページに影響があるか確認したいです。
現在利用しているPHPのバージョンと、必要なセキュリティ対策が実施されているか教えていただけますか。
また、今後同様の問題が発生した場合、どちらに連絡すればよいかも確認させてください。
難しい技術用語を理解していなくても、まずはこれだけで構いません。
PHPの更新が必要な場合は、バックアップや動作確認を含めて、担当者に対応方法を相談しましょう。
もし管理している人が分からなければ、まずはホームページを制作した会社や、契約しているサーバー会社に問い合わせてみるとよいでしょう。
WordPressを使い続ける理由を、無理に探さなくてもいい
私はこれまで、WordPressを使ったホームページ制作に携わってきました。
その仕組みを理解していますし、便利なところも、不便なところも知っているつもりです。
だからといって、これからもWordPressを使い続けなければならないとは思っていません。
AIが進化し、静的サイトでも十分な運用ができるようになれば、WordPressを使わない選択肢も増えていくでしょう。
反対に、WordPressの管理機能や拡張性が役立つ場面も残ると思います。
技術は変わります。
今まで便利だったものが、別の方法に置き換わることもあります。
それは自然なことです。
Web制作者として大切なのは、特定の技術を使い続けることではなく、変化に合わせて適切な方法を考えられることではないでしょうか。
そして、その判断をお客様に押し付けないこと。
ホームページを必要としている人が、技術の変化に振り回されず、本来の仕事に集中できる環境を整えること。
そこに、Web制作者としての役割があると思っています。
まとめ｜ホームページの安全は、作り方だけでは決まらない
PHP2Shellのような深刻な脆弱性が発見されると、どうしても「この技術は危険だ」「別の技術に乗り換えた方がいい」という話になりがちです。
もちろん、セキュリティ対策は重要です。
今回の脆弱性についても、影響のある環境では速やかな対応が必要です。
静的サイトに移行することでリスクや管理負担を減らせるのであれば、それも合理的な選択肢でしょう。
ただ、ホームページの安全性は、WordPressか静的HTMLかという違いだけで決まるものではありません。
どのような環境で公開されているのか。
誰が管理しているのか。
問題が起きたとき、誰が対応するのか。
そして、日々の情報更新を誰が担うのか。
そうしたことまで含めて考える必要があります。
WordPressを使うことが目的ではありません。
静的サイトに移行することも目的ではありません。
ホームページを安心して使い続けられること。
そのために必要な技術と運用方法を考えることが大切なのだと思います。
今回のPHP2Shellは、単にWordPressの安全性を見直す機会ではなく、ホームページを誰が、どのように支えていくのかを考える機会になりました。
そして、それはWeb制作者である私自身も、改めて考え続けなければならないことだと思っています。