目次

結論：WordPressは、使い続けていい。ただし「更新できる体制があること」が条件です

結論から言うと、WordPressは、これからも使い続けて大丈夫です。フリーライも、自社のホームページとお客様のホームページで、WordPressを使い続けます。

ただし、条件がひとつあります。PHPやWordPress、プラグインを、きちんと更新し続けられる体制があることです。今回の脆弱性で危なかったのは、WordPressを使っていたサイトではなく、更新されていないサイトです。

逆に、誰も更新していない、どこのサーバーで動いているかも分からない。そういうWordPressのサイトは、いますぐ確認が必要です。

そもそも、何が起きたのか

2026年10月21日、PHPに重大な脆弱性が見つかったことが公表されました。「PHP2Shell」と呼ばれています（CVE-2026-109618、CVE-2026-109619）。

  • PHPとは：WordPressを動かしている、サーバー側のプログラムの言語です。WordPressのサイトは、すべてPHPの上で動いています
  • 何が危ないのか：ログインしなくても、外からサーバーの上でプログラムを動かされてしまうおそれがあります。サイトの改ざんや、情報の流出につながります
  • 対策：PHPの開発元は、修正版（8.5.12、8.4.27、8.3.36、8.2.35）を公開し、「更新することが唯一の安全な選択肢」としています

日本でも、IPA（情報処理推進機構）とJPCERT/CCが注意を呼びかけ、予防のためにサイトを一時的に止めた自治体や企業も出ました。WordPressの公式も、「WordPress側の更新は不要。PHPを更新してください」と案内しています。

つまり今回の問題は、WordPressそのものではなく、その土台のPHPの問題です。そして、土台を更新すれば防げる問題です。

フリーライのホームページで、実際に確かめたこと

このニュースを受けて、フリーライのホームページ（WordPress）で、実際に次のことを確かめました。2026年10月28日時点の結果です。

  • PHPのバージョン：8.3.36。修正済みのバージョンに、すでに更新されていました
  • WordPressのバージョン：7.1.3。最新です
  • 誰が更新したか：PHPの更新は、レンタルサーバー会社が行っていました。こちらで作業をする必要はありませんでした

調べ方は簡単で、WordPressの管理画面の「ツール」→「サイトヘルス」→「情報」の「サーバー」の欄に、PHPのバージョンが出ています。

ポイントは、大手のレンタルサーバーを使っていれば、PHPの更新はサーバー会社がやってくれることが多いということです。逆に、自分でサーバーを管理している場合（VPSなど）や、古いPHPのまま放置されている場合は、自分で更新しなければいけません。

危ないのは「WordPress」ではなく「更新されていないWordPress」

WordPressは、世界中のサイトの約4割で使われています。使われている数が多いので、狙われやすいのは事実です。

ただ、問題が起きるのは、ほとんどが更新されていないサイトです。

  • プラグインやテーマ：2025年に見つかったWordPress関連の脆弱性は、9割以上がプラグインとテーマでした（Patchstackの年次レポートより）。使っていないプラグインを放置していると、そこが入り口になります
  • WordPress本体：2026年は本体にも重大な脆弱性がありましたが、修正版が出て、多くのサイトでは自動で更新されました。ただし、自動更新が止まっているサイトもあるので、確認が必要です
  • PHP：PHPの古いバージョン（8.1以前）は、すでにサポートが終わっていて、今回の修正版も出ていません。いまもWordPressのサイトの3分の1ほどが、サポートの切れたPHPで動いていると言われています

PHPの8.2も、2026年12月31日でサポートが終わります。8.2を使っているサイトは、年内に8.3以上へ上げておくのがおすすめです。

WixやSTUDIOに乗り換えれば、安全になるのか

「それなら、サーバーの管理がいらないWixやSTUDIOの方が安全では？」と考える方もいると思います。

たしかに、WixやSTUDIOのようなサービスは、サーバーやPHPの管理を運営会社がやってくれます。自分で更新をする必要はありません。これは大きなメリットです。

一方で、運営会社のシステムが攻撃されると、利用者全員が一度に影響を受けるという面もあります。実際に2026年10月にも、国内のノーコードサービスで、不正アクセスによる情報流出の可能性が公表されています。

どの仕組みでも、「絶対に安全」はありません。違いは、誰が、どこまで守るかです。

  • WordPress：自分（または保守を頼んだ会社）が守る。そのかわり、自由に作れて、引っ越しもできる
  • ノーコード：運営会社が守る。そのかわり、自由度や引っ越しのしやすさに制約がある

WixとSTUDIOの違いや、フリーライがおすすめしない理由は、こちらの記事でくわしく書いています。

WordPressを使い続けるために、やっておきたいこと

WordPressを安全に使い続けるために、最低限やっておきたいのは次の6つです。

  1. PHPのバージョンを確かめる：サイトヘルスで確認し、8.3以上にしておく
  2. WordPress本体を最新にする：自動更新が止まっていないかも確かめる
  3. プラグインとテーマを更新し、使っていないものは削除する
  4. バックアップを、日付ごとに取っておく：何かあったときに、元に戻せるようにする
  5. 管理画面のログインを守る：推測されにくいユーザー名とパスワード、二段階認証
  6. 誰が更新するのかを決めておく：自社なのか、制作会社なのか、保守会社なのか

6つ目が、いちばん大事です。「制作会社が作ってくれたけれど、そのあと誰も触っていない」というWordPressのサイトは、とても多いです。今回のようなニュースが出たときに、すぐ確認できる人がいるかどうかで、被害の大きさが変わります。

この記事の結論が、当てはまらないケース

次のような場合は、WordPressを使い続けるかどうかを、あらためて考えた方がいいかもしれません。

  • 更新や保守をする人が、社内にも社外にもいない：数ページで十分なら、管理を運営会社に任せられるサービスの方が合っていることもあります
  • 何年も更新されていない、古いWordPressとPHPのサイト：更新すると表示が崩れるなど、直すより作り直した方が早い場合があります

よくある質問

自分のWordPressが、今回の脆弱性の影響を受けるか知りたいです。

管理画面の「ツール」→「サイトヘルス」→「情報」の「サーバー」で、PHPのバージョンを確かめてください。8.2.35、8.3.36、8.4.27、8.5.12のいずれか以上なら、修正済みです。それより古い場合や、8.1以前の場合は、サーバー会社や制作会社に確認してください。

サーバー会社が更新してくれるなら、何もしなくていいですか？

PHPの更新はサーバー会社がしてくれることが多いですが、WordPress本体、プラグイン、テーマの更新は、サイトを管理する側の仕事です。両方がそろって、はじめて安全と言えます。

古いWordPressのサイトを、更新してもらうことはできますか？

はい、できます。いまの状態を確認したうえで、更新するか、作り直すかをご提案します。フリーライの保守管理では、更新、バックアップ、セキュリティの確認まで、月1万円からお引き受けしています。

最後に：「何を使うか」より、「誰が守るか」

PHPの脆弱性のニュースを見ると、WordPressそのものが危ないように感じるかもしれません。でも、今回の問題も、更新していれば防げるものでした。

WordPressは、自由に作れて、記事を増やし続けられて、引っ越しもできる仕組みです。その良さを生かすには、守る人が必要です。

いまのWordPressのサイトが大丈夫か気になる方は、無料ホームページ診断かお問い合わせから、お気軽にご相談ください。

関連記事