PHP2Shell後のWordPressについて考えてみました。
今回のPHP2Shellを受けて、PHPを土台にして動いているWordPressについて心配されている方も多いのではないでしょうか。今回の脆弱性はWordPress自体の問題ではなく、PHPそのものの問題なのですが、SNSではWordPressはオワコン！というポストも多数見ました。
１番安全なのは昔ながらの静的HTMLのホームページ
まず、１番安全なホームページは昔ながらの静的HTMLとも言われる形式です。ネットに繋ぐ以上、100％完璧とまでは言えませんが、PHPやその他のプログラムで動くものより攻撃を受ける範囲が限定的です。
ブルジョネでも、2010年頃まではお客様からのご要望がない限りはこの静的HTMLで制作していました。
しかし静的HTML形式のホームページは、更新にはHTML等の知識が必要なためなかなかご自身では更新できません。ご存知の通り、ホームページは作った時のままで動かしていないと集客は難しいですから、日々の更新もその都度ご依頼いただくというのが以前のホームページの形でした。
私のようなHTMLを使う人間も、ホームページのページ数が増えてくると静的HTMLでの管理はとても面倒なので、自身のホームページも現在こうやってWordPressを使っています。
とても便利な動的サイトだけど…
ここ十数年は動的サイトといわれるものが大半だと思います。予め作られたページ（HTMLファイル）を閲覧するという静的サイトに対して、ユーザーのリクエストに対してデータベースから情報を取ってきて組み立ててページを生成するというものなのですが、これによって、HTMLの知識がなくてもホームページの更新が簡単にできるようになりました。
ここに脆弱性が生まれてしまいます。（これはYouTube等でも多数の解説動画が出ていますね）
動的サイトを運営する以上（厳密に言えば静的サイトであってもなのですが）、危険が付きまとってしまうこととなります。ちなみに、今回の件があっても、静的サイトを作れる私自身ですらも「この程度では今更静的サイトには戻れない」と思っています。
WordPressという選択肢はどうなのか？
さて、動的サイトはWordPressだけではありません。各種ブログサービス、Wix、Studio等様々なものがあります。動的サイトで行くにしても、WordPressという選択肢はどうなの？という心配はありますよね。
PHPというのはプログラミングの中でも比較的簡単で、WordPressはオープンソース（中身が公開されている）なので、扱いやすく開発しやすい。これはコインの裏表でメリット兼デメリットでもあります。
扱いやすく開発しやすいからこそ、様々な動的システムが登場する中でもずっと廃れず残ってきているという大きな実績があります。新しいものが登場するたびに「WordPressからの乗り換え」が話題になりつつ、結局残っているのはWordPressです。
現に今回の件で言われている通り世界中のサイトの7割はPHPでできていて、その中でもWordPressは大きなシェアを占めています。だからこそ狙われやすい。
これは弱点でもありますが、だからこそWordPressの対策もどんどん充実しています。独自で様々なセキュリティ対策をとることができますし（AIとの勝負で厳しさは強いられますが）、サーバー各社もWordPressに関してはとても力を入れていて、少し前では考えられなかったほど機能もセキュリティも充実しています。
これは大きな利点ではないでしょうか。
もっと難しいプログラミング言語で、公開されていないソースでホームページを作るとすると、標的にされる可能性は減るでしょう。けれどいざ攻撃を受けた時の復旧はWordPressほど簡単にはいかないはずです。なにより、制作コストがWordPressとは段違いです。
クローズドソースのサービスの動的サイトなら大丈夫なのか？
各種ブログサービス、最近ではnote、またWixやStudioなどもクローズドソースのサービスになります。ですので狙われにくいと思われてきたのですが、Studioはサービスのシステムが不正アクセスを受け、下記のような案内が出ています。
第三者がStudioの一部機能の脆弱性を悪用して弊社のクラウド環境に不正にアクセスし、環境内のデータを外部から取得できる状態にしていたことを確認いたしました。この状態は、2026年10月14日に弊社が対処するまで続いておりました。
https://studio.design/ja/whats-new/unauthorized-access-2026-10
Studioの件では、クローズドソースのサービスは運営会社に任せられる反面、自分でセキュリティ対策を工夫したり、緊急時に対処したりできないという弱点を感じました。これは他のサービスにも共通する問題だと思います。
完璧なものはない
ざっと様々なサイトの形式を辿ってきましたが、どこも一長一短です。
費用対効果、セキュリティ、運用のしやすさ等、様々な点から考えて妥当な落とし所を探るしかなく、その妥当な落とし所というのは、「今のところ」という条件をつけるにしてもWordPressではないかと考えています。
今試していること：WordPress本体＋静的HTML
今回の件を受けて、WordPress本体と公開するサイトを切り分けられないかと試しています。WordPress本体を第三者にはアクセスできないように隠して、更新はWordPressで行いつつ、公開するサイトは静的HTMLにするのはどうかと。
実際これを行うプラグインもあるのですが、納得いくものではないので、それこそAIの力を借りながら開発を試みています。6割くらいは出来上がって気に入っているのですが、ご提供できるようならまた改めてご案内したいと思います。
脱WordPressのご相談もお気軽に
私自身は「WordPressが妥当な落とし所では？」と考えていますが、やはり心配という方もいらっしゃるかと思います。他システムへの移行や、静的HTMLでの構築も承っておりますので、お気軽にご相談ください。
会社案内として名刺がわりにあればよい（ネットで集客する必要はない）という場合は静的HTMLサイトで十分だと思います。
