静的サイト移行センター｜WordPress静的化・PHP移行・ヘッドレスCMS

2026年10月21日、PHPの公式サイトは、深刻な脆弱性2件（通称PHP2Shell）を直した修正版を公開しました。WordPressのプラグインではなく、PHPそのものの欠陥で、認証なしで外部からプログラムを実行されるおそれがあります。翌22日にはIPA（情報処理推進機構）が注意喚起を出しています。

まず必要なのは、修正版への更新です。レンタルサーバーをお使いなら、事業者のお知らせで、お使いのPHPのバージョンが対応済みかを確かめてください。

そのうえで考えておきたいのが、次の脆弱性です。米国CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）の悪用確認リストには、2012年、2019年、2024年に見つかったPHP本体の脆弱性が載っています。今回の脆弱性では、修正版が出る4日前の10月17日に攻撃の試みが観測されていました（Amazonの報告）。IPAの注意喚起は、更新した後の維持管理の体制を確保できない場合には、保守を受けられる製品への移行、提供する機能の縮小、システムの廃止も含めて検討するよう求めています。

PHPの公式サイトによると、PHP 8.1以前はすでにサポートが終わり、PHP 8.2も2026年12月31日でセキュリティの修正が止まります。10月の公式の修正版も、8.1以前のバージョンには出ていません。バージョンを上げるか移行するかの選び方は、PHPサイトの移行で詳しく扱っています。

2026年7月には、WordPress本体の深刻な脆弱性（通称wp2shell）を直した7.0.2が公開され、IPAが対策を呼びかけました。9月にも、別の深刻な脆弱性を直した7.1.2が出ています。詳しい経緯と件数は、WordPressの静的サイト化で扱っています。

セキュリティ企業Patchstackの年次報告によると、WordPressのまわりで2025年に新しく見つかった脆弱性は、前年より4割あまり増えています。大半はプラグインで見つかっており、修正が出る前に公表されたものも少なくありません。毎月の更新だけでは防ぎきれない理由がここにあります。

W3Techsの調査（2026年10月22日時点）では、使っているCMSがわかる日本語のサイトのうち83.0%がWordPressでした。利用者が多いソフトウェアほど、脆弱性が見つかったときに狙われるサイトも多くなります。

JPCERT/CC（JPCERTコーディネーションセンター）の四半期報告では、2026年7月〜9月に報告されたウェブサイトの改ざんは603件で、前の四半期の181件の約3.3倍でした。報告書は、増えた原因を特定のCMSと結びつけてはいません。

静的サイトにしても、守る対象がなくなるわけではありません。ヘッドレスCMSの管理画面、フォームの外部サービス、ドメインとDNSの管理画面、配信サービスやソースコードを置くサービス（GitHubなど）のアカウント、ビルドで使う外部の部品（依存パッケージ）は残ります。WordPressを社内の非公開な場所に残してHTMLを書き出す方法なら、残したWordPressとPHPの更新も続きます。二段階認証と、管理者アカウントを必要な人だけに絞ること、部品の更新は、移行後も欠かせません。WAF（攻撃の通信を手前で止める仕組み）も、移行後に併用できます。

ログインした人ごとに表示が変わるページ、在庫や予約の空きがその場で変わる機能、多くの人が一日に何度も記事を更新するニュースサイトは、静的なHTMLだけでは作れません。外部サービスと組み合わせる方法はありますが、費用と手間が増えます。サイトの一部だけを静的にして、会員ページなどは今の仕組みに残す分け方もあります。

WordPressの編集画面に慣れた担当者にとって、CMSが変わるのは負担です。ヘッドレスCMSの管理画面は、記事を書いて画像を入れる作業ならWordPressと大きく変わりませんが、保存してからサイトに出るまでにビルドの時間がかかります。ふだん記事を更新している方に、移行前に管理画面を試してもらうのが確実です。