WordPressのPHP脆弱性でホームページは止まるのか、保守と移行の判断の目安

2026年10月、多くのホームページを動かしているPHPというプログラムに、重大な脆弱性（攻撃の入り口になる欠陥）が見つかりました。WordPressはPHPで動いているため、WordPressのホームページも影響を受けます。止まるリスクを自社で抱え続けるのか、サイトの作りそのものを見直すのか。一度検討してよい時期に来ています。

10月21日の午後から夜にかけて、BASEやpixiv、DMM.comといった名前の知られたサービスが、次々にメンテナンスに入りました。一方、当社の公式サイト（jairo.co.jp）は止まりませんでした。急いで修正版に更新したからではなく、そもそもPHPを動かさない作りに移していたからです。

今回、何が起きたのですか

PHPに重大な脆弱性が2件見つかり、10月21日に修正版が公開されました。経過は次のとおりです。

• 10月20日、PHP公式（The PHP Group）が、脆弱性2件を含むセキュリティリリースを翌日に公開すると予告しました。深刻さを表す目安として広く使われているCVSS v4.0で、2件とも9.2という高い値です。
• 10月21日、修正版のPHP 8.5.12・8.4.27・8.3.36・8.2.35が公開されました。2件（CVE-2026-109618、CVE-2026-109619）は、ログインなしで外部からプログラムを実行される恐れがあるもので、Webのリクエストを処理するPHPはすべて対象です。公式はすぐの更新を強く推奨しています。PHP 8.1以前は公式の更新対象外です（一部の配布元が独自に対応しています）。
• 同じ日、IPA（情報処理推進機構）が事前準備を呼びかける注意喚起を出しました。サポートが終わった古いPHPを使い続けるサイトがあること、修正版の公開後ごく短時間で攻撃が始まりうることを指摘しています。

Impress Watchの報道によると、21日午後からBASEとコドモンがメンテナンスに入り、pixiv、DMM.com、niconicoが緊急メンテナンス、さくらインターネットも一部サービスで緊急メンテナンスを行いました。修正版の公開直後の攻撃を警戒して、予防的にサービスを止める動きが広がったということです。

当社が確認した範囲でも、あるレンタルサーバーが予防のメンテナンスに入り、契約者のサイトがまとめて表示できない状態になりました（10月22日朝）。自社で何もしていなくても、サーバー側の事情でサイトが止まることがあります。

WordPressのサイトは、なぜ今回の影響を受けるのですか

WordPressはPHPで動いているからです。ページが表示されるたびに、サーバー上でPHPがプログラムを実行して画面を組み立てています。今回の脆弱性はPHPを使うサイトすべてに関わるもので、WordPressが特に弱いわけではありません。ただ、PHPで動く以上、サーバーのPHPの更新に左右されます。

今回の修正版は同じ系列の中の更新なので、適用しても表示が崩れる心配は比較的小さいものです。注意が要るのは、PHP 8.1以前のような古い系列を使っている場合です。新しい系列へ上げる必要があり、そのとき古いテーマ（デザインの部品）やプラグイン（機能の追加部品）が動かなくなることがあります。更新を先送りにすれば攻撃を受けるリスクが残り、上げれば部品の手直しが要る。この板挟みが、サイトを運用する側の負担になります。

当社の公式サイトは、なぜ止まらなかったのですか

PHPを動かさない作りだからです。全面リニューアルの際に、ページをあらかじめ作っておいてそのまま配信する「静的サイト」に移し、PHPを動かさない配信サービスに置きました。表示のたびにサーバーでプログラムを動かさないので、今回の脆弱性の影響を受けませんでした。お問い合わせの受付もPHPを使っていません。

ここで大事なのは置き場所です。静的なページでも、PHPが動くレンタルサーバーに置いていれば、サーバーごと止まれば一緒に止まります。作りと置き場所の両方を変えて、はじめて今回のような停止と無縁になります。

このリニューアルは、生成AIとノーコード（プログラムを書かずに作る方法）で行いました。数千ページの移行を含む進め方は、公式ウェブサイトをAIで全面リニューアルしたお知らせで紹介しています。

WordPressを使い続ける場合、どんな保守が必要ですか

WordPressを続ける選択も十分ありえます。ただし、PHPの更新を前提にした保守が欠かせません。

• PHPの更新。 重大な修正版が出たら、速やかに更新します。古い系列なら、新しい系列への移行を計画します。
• テーマ・プラグインの互換確認。 PHPの系列を上げる前に、動かなくなる部品がないかを試します。
• WordPress本体とプラグインの更新。 PHPだけでなく、これらも継続して行います。
• 止まったときの連絡体制。 誰が状況を確かめ、お客さまやお取引先へどう知らせるかを決めておきます。

修正版の公開と同時に攻撃が始まる前提で、サービスを止めて守る動きは今後も起こりえます。そのたびに対応を迫られるため、WordPressを自社で運用し続ける負担は重くなっていくと当社は考えています。保守を任せられる人や会社がいれば続けられますが、更新を後回しにしがちな体制のままでは不安が残ります。WordPressを続けながら更新の手間を減らす方法は、AIでWordPressの記事更新を半自動化する仕組みで紹介しています。

静的サイトへの移行は、どんな会社に向いていますか

お知らせ・会社案内・事例・セミナー案内が中心のサイトに向いています。PHPを動かさない置き場所を選べば、守る入り口が減り、完成したページを届けるだけなので表示も速くなります。PHPの更新やプラグインの互換確認も要らなくなり、保守が軽くなります。

一方で、会員機能やネットショップのように、利用者ごとに画面が変わったり、登録や購入までをサイトの中で完結させたりする用途は、サーバー側で処理をする仕組み（WordPressや、ネットショップ用のサービスなど）が向いています。すべての会社が移行すべきとは限りません。お知らせや会社案内は静的サイトに、会員機能やショップは今の仕組みのまま残す、と分ける方法もあります。

次の5つの目安で考えてみてください。

目安	WordPressを続ける方向	静的サイトを検討する方向
更新の頻度	記事や商品を頻繁に更新する	更新は少なく、お知らせが中心
プラグインの数	多くの部品で機能を補っている	ほとんど使っていない
PHPのバージョン	把握していて、更新の手順もある	誰も把握していない
保守する人	任せられる人・会社がいる	特にいない
必要な機能	会員機能・ネットショップが必要	情報発信が中心

右の列に当てはまる項目が多ければ、移行を検討する価値があります。左の列が多ければ、WordPressを続けたうえで保守の体制を整えるのが現実的です。どちらとも言えないときは、今のサイトの構成を伺ったうえで、続けるか移すかを一緒に整理します（お問い合わせ）。

自社のホームページは、どう確かめればよいですか

制作会社かサーバー会社に、次の3点を聞けば分かります。専門知識は要りません。

1. このサイトはPHPで動いていますか。 WordPressで作っていれば、PHPで動いています。お問い合わせフォームだけがPHPで作られている場合もあります。
2. PHPのバージョンはいくつで、公式の更新対象に入っていますか。 サーバーの管理画面や、WordPressの管理画面の「サイトヘルス」で見られるのが一般的です。PHP 8.1以前なら、優先して相談してください。
3. 今回の修正版への更新は、誰がいつ行いますか。 サーバー会社が自動で行うのか、自社や制作会社が手で行うのか。ここにすぐ答えが返ってこなければ、保守の体制を見直す合図です。

あわせて、サーバー会社からのお知らせも確かめてください。登録している連絡先のメールアドレスが古いままだと、予防のメンテナンスの連絡にも気づけません。

当社が静的サイトへ移した考え方は、仕様書として無料で公開しています（仕様書の公開ページ、プレスリリースのお知らせ）。PHPのバージョンの確認から、続けるか移すかの見極め、移行の進め方まで、お問い合わせからご相談いただけます。

参考

• The PHP Group「Upcoming Critical PHP Security Release」（2026年10月20日）
• The PHP Group「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日）
• IPA（情報処理推進機構）「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）
• Impress Watch「国内大手サービスで緊急メンテやサービス停止 PHP脆弱性で対策」（Yahoo!ニュース、2026年10月21日）