「WordPressはオワコン」は本当？PHPの脆弱性（PHP2Shell）で作り直す前に確認したい6つのこと

何が起きたのか：問題はWordPressではなく「PHP」

2026年10月21日、ホームページやネットショップの土台になっている「PHP」というプログラミング言語について、開発チームが2件の重大な弱点（CVE-2026-109618、CVE-2026-109619）を直した修正版を公開しました。深刻さはどちらも10点満点中9.2で、悪用されると外部から勝手にプログラムを動かされるおそれがあります。海外では「PHP2Shell」と呼ばれ、公開前から攻撃の試みも報告されています。

ただし、問題があるのは「PHPそのもの」です。PHPはWordPressだけでなく、ネットショップや予約システム、会社が独自に作った業務システムなど、非常に多くのサービスを動かしています。WordPress側も「この件でWordPressを更新する必要はなく、更新の予定もない」と公式に発表しています。

つまり今回の対策は、「WordPressをやめること」ではなく「サーバーのPHPを修正版に更新すること」です。反対に、WordPressの管理画面で本体やプラグインを更新しても、それだけでは今回の問題は解消しません。

見直すべきは「そのサイトの目的」

今回あらためて考えたいのは、「そもそも自社のサイトに、どんな仕組みが必要なのか」ということです。ホームページの作り方は、大きく2つに分かれます。

• 静的なサイト：用意したページをそのまま表示する作りです。サーバー側でプログラムが動かないため、攻撃の入り口が少なく、今回のようなPHPの弱点の影響も受けにくい構成です
• 動的なサイト：訪問者の操作や登録内容に応じて表示が変わる作りです。ネットショップや会員サイト、予約システムがこれにあたり、PHPなどのプログラムが欠かせません

WordPressは、動的なサイトを扱いやすくした仕組みです。選ばれる一番の理由は、「専門知識がなくても、社内でお知らせやブログを更新できること」。私自身も、特にご要望がなければ、更新のしやすさからWordPressで構築しています。判断の目安は次のとおりです。

• ほとんど更新しない会社案内：静的なサイトでも十分
• お知らせやブログを社内で更新したい：WordPressなどの更新しやすい仕組みが便利
• ネットショップや予約など、訪問者の操作で内容が変わる：動的な仕組みが必要

最近は、WordPressの管理画面で編集し、公開するときだけ静的なページとして書き出す方法もあります。「更新のしやすさ」と「守りやすさ」を両立したい場合の選択肢です。

今日から自分でできる6つの確認

専門的な作業は制作会社やサーバー会社に任せるとしても、次の6つは事業者の方ご自身で確かめられます。

• 1. サーバーのPHPのバージョンを確認する（WordPressなら、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で分かります）
• 2. 契約しているレンタルサーバー会社のお知らせで、今回の件への対応状況を確かめる
• 3. WordPress本体・テーマ・プラグインが最新になっているかを確かめる
• 4. 使っていないプラグインや、古いテスト用サイトが残っていないかを確かめる
• 5. バックアップが取れているか、どこに保存されているかを確かめる
• 6. 「サイトの更新・保守は誰の担当か」「制作会社との保守契約はどうなっているか」を確かめる

注意したいのは、「修正版に更新すること」と「それ以前に不正に入られていないか確かめること」は別の作業だという点です。見覚えのない管理者アカウントやファイルがある、表示がおかしいなど気になる点があれば、更新とあわせて専門家に相談してください。

まとめ：作り替えではなく「見直し」を

今回のPHPの弱点は、確かに重大な問題です。ただしそれは「WordPressが終わった」ということではなく、「保守されていないサイトの危なさが見えやすくなった」ということだと私は考えています。確かめたいのは次の2つです。

• そのサイトに、本当に動的な仕組みが必要か
• そのサイトは、誰がどのように保守しているか

「今すぐ作り直しましょう」ではなく、「この機会に見直しましょう」。それが、今回の件から山梨の事業者の皆さんにお伝えしたいことです。「自社のサイトがどういう状態か分からない」「何から確かめればいいか分からない」という方は、現状の整理からお手伝いします。