WordPressの脆弱性が不安な方へ｜PHPを使わないホームページとは

2026年10月、Webサイトの多くを支えるプログラミング言語「PHP」に深刻な脆弱性が見つかり、新聞やテレビでも大きく報じられました。「うちのホームページはWordPressだけど、大丈夫なの？」と不安になった方も多いのではないでしょうか。

結論からお伝えすると、まずは「自分のサイトがPHPを使っているか」と「更新を誰がやるのか」を確認することが先決です。そのうえで、もしこれを機にサイトの作り方そのものを見直すなら、「PHPを使わず、公開サーバーにログイン画面も置かない」構成への乗り換えを強くおすすめします。会社案内やお知らせ中心の中小企業サイトであれば、守るべき場所そのものを減らすほうが、ずっと楽で確実だからです。

この記事では、今回の脆弱性の概要から、WordPress標準構成が狙われやすい理由、PHPを使わないホームページの仕組みまで、専門知識がなくてもわかるように解説します。

※本記事の脆弱性に関する情報は2026年10月23日時点のものです。最新情報はPHP公式サイトやIPA（情報処理推進機構）の発表をご確認ください。

今回のPHP脆弱性で何が起きたのか

PHPは、Webサーバー上でプログラムを動かしてページを作るための言語です。WordPressもPHPで作られており、世界中の非常に多くのサイトがPHPの上で動いています。

今回見つかったのは、ログインしていない第三者が、離れた場所からサーバー上で不正なプログラムを実行できるおそれがあるという種類の脆弱性で、深刻度は10点満点中9.2（最も深刻な区分）とされています。しかも修正版が出る前に情報が一部流出し、攻撃を試すためのコードも出回ったことから、各社が緊急メンテナンスに追われる事態になりました。

修正版は日本時間2026年10月21日に公開されています。

PHP 8.1以前は通常のサポート対象外です。古いバージョンのまま動いているサイトは、サーバー会社や制作会社への確認が特に重要です。

自分のサイトがPHPを使っているか確かめる方法

「PHPと言われても、自分のサイトが何で動いているのかわからない」という方がほとんどだと思います。それで当然です。次のどれかに当てはまれば、PHPを使っている可能性が高いと考えてください。

• 管理画面のURLが「https://（自社ドメイン）/wp-admin/」になっている（＝WordPress）
• サイトのURLの末尾に「.php」が付いたページがある
• レンタルサーバーの管理画面に「PHPバージョン設定」の項目がある
• 制作会社から「WordPressで作りました」「CMSで更新できます」と説明された

判断がつかない場合は、制作会社またはサーバー会社に「うちのサイトはPHPを使っていますか？今回の脆弱性への対応は済んでいますか？」とそのまま聞いてしまうのが早道です。本来、ここはお客様が調べることではなく、作った側・預かっている側が把握しておくべき情報です。

PHPを使っているサイトで今やること

PHPの更新作業そのものは、サーバー会社や保守を担当する制作会社が行うのが一般的です。サイトのオーナーとしては、次の3点を確認できれば十分です。

注意したいのが、「保守契約がなく、誰も更新を担当していない」ケースです。制作会社に作ってもらったあと保守契約を結んでいない、担当者が辞めてしまった、という状態は中小企業では珍しくありません。その場合は、まず作ってもらった会社に相談し、難しければ別の制作会社に「現状の確認だけ」を依頼する方法もあります。

WordPress標準構成が狙われやすい3つの理由

WordPressは無料で高機能な、とても優れた仕組みです。W3Techsの調査では、2026年10月時点で全Webサイトの約4割（40.2％）がWordPressで作られています。ただ、その普及率の高さと標準的な作りが、攻撃する側にとっては「効率のよい標的」になってしまう面があります。

理由1：ログイン画面の場所が世界共通

WordPressの標準構成では、管理画面が公開サイトと同じドメインの「/wp-admin/」や「/wp-login.php」に置かれます。場所が世界中で共通なので、攻撃する側は機械的に大量のサイトへパスワードを試し続けることができます。

理由2：アクセスのたびにサーバーでプログラムが動く

WordPressは、誰かがページを開くたびにサーバー上でPHPが動き、その場でページを組み立てます。つまり公開サーバーそのものが「プログラムを実行する場所」になっています。今回のようなPHP本体の脆弱性は、まさにこの部分を突かれるものでした。

理由3：プラグインの数だけ入口が増える

WordPressの便利さを支えるプラグインは、それぞれ別の開発者が作ったプログラムです。プラグインを増やすほど、更新が止まっているものや脆弱性を抱えたものが混ざる可能性も増えます。

もちろん、ログインURLの変更やアクセス制限、こまめな更新で守りを固めることはできます。ただしそれは、「守るべき入口がたくさんある構成を、手間をかけて守り続ける」ということでもあります。

PHPを使わないホームページ（JAMstack）とは

そこで選択肢になるのが、JAMstack（ジャムスタック）と呼ばれる構成です。仕組みをお店にたとえると、次のようになります。

• WordPress標準構成：お客様が来るたびに厨房（サーバー）で料理を作る。厨房とお店の裏口（管理画面）が客席と同じ建物にある
• JAMstack構成：料理はあらかじめ別の場所で完成させ、お店には完成品だけを並べる。仕込み場（管理画面）は別の建物にある

JAMstackでは、ページを事前に完成したファイル（HTML）として作っておき、公開サーバーにはそのファイルを置くだけです。お知らせやブログを更新すると、自動でページが作り直されて差し替わります。

この構成の公開サーバーには、PHPのような「アクセスに応じてプログラムを動かす仕組み」も、「ログイン画面」も存在しません。今回のPHP脆弱性はもちろん、WordPress本体やプラグインの脆弱性とも、そもそも無関係になります。鍵をどれだけ頑丈にするかではなく、「玄関そのものがない家」にするイメージです。

WordPress標準構成とJAMstack構成の比較

こうして並べると、中小企業や店舗のホームページの多くは、JAMstackが得意な用途にそのまま当てはまります。会員ログインや複雑な予約システムが不要なら、わざわざサーバーでプログラムを動かし続ける理由は多くありません。

乗り換えをおすすめしたいサイトのチェックリスト

次の項目に2つ以上当てはまるなら、今回の報道をきっかけに乗り換えを検討する価値は十分にあります。

• WordPressで作ったが、保守契約を結んでいない／担当者がはっきりしない
• 管理画面に「更新があります」の表示がたまったままになっている
• サイトの中身は会社案内・サービス紹介・お知らせが中心
• 何のプラグインが入っているか把握していない
• 今回の脆弱性について、制作会社やサーバー会社から連絡がなかった
• 表示が遅い、デザインが古いなど、もともとリニューアルを考えていた

「更新の手間がかかる仕組みを、誰も手入れできていない」状態こそ注意が必要です。手入れする体制を整えるか、手入れがほとんど要らない仕組みに替えるか。中小企業にとっては、後者のほうが現実的なことが多いはずです。

PHPを使わなくても残るリスクと対策

JAMstackにすればあらゆるリスクがゼロになる、というわけではありません。正直にお伝えすると、次のような点は引き続き注意が必要です。

• 管理ツールのアカウント：更新用の管理ツールのパスワードが漏れれば、内容を書き換えられるおそれがあります。推測されにくいパスワードと2段階認証の設定が基本です。
• ドメインの管理：ドメインの更新切れや、登録サービスのアカウント乗っ取りはどんな構成でも起こりえます。管理者を明確にしておきましょう。
• お問い合わせフォーム：迷惑メールの送信に悪用されないよう、スパム対策が必要です。

それでも、「公開サーバーで常にプログラムが動き、ログイン画面が誰でも見える場所にある」状態と比べれば、気にすべき場所は大きく絞られます。

ちなみに当社では

株式会社山のむこうでは、制作するすべてのホームページをJAMstack構成でつくっており、公開サーバーでPHPを使っていません。管理画面も公開サイトとは別の場所にあるため、今回のPHP脆弱性による対応作業は、お客様のサイトでは一切発生していません。お知らせやブログは、ブラウザから使える専用の管理ツールで、HTMLの知識がなくても更新できます。

料金は初期費用12万円・月額5,000円（税別）で、月額にはサーバー・ドメイン・SSL・月次アクセスレポートが含まれます。WordPressからの乗り換え（リニューアル）も同じ料金です。制作期間は通常2〜4週間で、今のサイトは公開したまま裏側で新しいサイトをつくり、完成したら切り替えるので、サイトが表示されない期間はありません。

また、ご契約前にプロトタイプ（仮デザイン）を無料でご確認いただけます。今のサイトの内容やヒアリングしたご要望をもとに、文章や画像も当社で用意して組み込みますので、お客様は印刷したものに赤ペンで直したいところを書き込むだけです。「乗り換えたいけど、原稿を用意する時間がない」という方でも進められます。

山形県内のホームページ制作の詳細はこちらのページをご覧ください。

よくある質問

Q. WordPressはもう使わないほうがいいのですか？

A. いいえ、WordPress自体が悪いわけではありません。会員機能や大規模なネットショップなど、WordPressが力を発揮する場面もあります。ただし、PHPやプラグインを継続的に更新する体制が前提になります。会社案内やお知らせ中心のサイトで、その体制を用意するのが難しいなら、JAMstackへの乗り換えが合理的です。

Q. PHPを使わないと、お知らせやブログは更新できないのでは？

A. 更新できます。JAMstackでは、別の場所にある管理ツールから記事を投稿すると、自動でページが作り直されて公開されます。操作感は一般的なブログサービスとほぼ同じです。

Q. 乗り換えると検索順位が下がりませんか？

A. ページのURLが変わる場合は、古いURLから新しいURLへ転送する設定（リダイレクト）を行うことで、評価の引き継ぎを図ります。また、JAMstackは表示が速く、表示速度は検索順位にも影響するため、乗り換えがプラスに働くこともあります。

Q. 自分のサイトが今回の件で改ざんされていないか、どうすればわかりますか？

A. 見た目だけでは判断できないことが多いため、サーバー会社や制作会社に確認を依頼してください。見覚えのないページやファイルが増えていないか、管理画面に知らないユーザーが追加されていないかなどを調べてもらうのが一般的です。乗り換えを検討する場合も、まず現状の安全確認から始めましょう。

まとめ：守りを固めるより、守る場所を減らす

今回のPHP脆弱性は、PHPで動くサイトを持つすべての人に「更新は誰がやるのか」という問いを突きつけました。まずは自分のサイトの状況と更新の担当を確認してください。

そのうえで、会社案内やお知らせが中心のホームページなら、PHPを使わず、公開サーバーにログイン画面も置かないJAMstack構成への乗り換えが、これからの安心につながる選択です。今回のような報道のたびに不安になる必要も、更新作業に追われる必要もなくなります。

あわせて読みたい記事：

• ホームページの維持費が高い？見直し方と乗り換えの進め方
• ホームページのリニューアル時期はいつ？放置する5つのリスクと費用の目安
• ホームページ制作を頼む前にデザインを見せてもらえる？契約前確認の3パターン

山のむこうでは、「今のサイトがPHPを使っているかわからない」「乗り換えたらどんなサイトになるか見てみたい」といったご相談も無料で承っています。まずは無料相談フォームからお気軽にお問い合わせください。