PHPの重大な脆弱性とWordPressサイト運用で確認したいこと
2026年10月21日、IT業界に広く波紋を広げる事態が発生しました。IPA（独立行政法人 情報処理推進機構）が「【事前準備のお願い】PHPのセキュリティリリース公開予定について」と題したアラートを発信したのです。
これを受け、高市早苗首相も当日の夜に「今夜に対応して頂きたい大至急のお願い」として公式X（旧Twitter）に投稿。「修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つ」と呼びかけました。
当社でも、クライアントのウェブサイトを急遽一時的に停止し、ホスティングサーバー側でのPHPバージョンアップやパッチ適用が確認できてから順次復旧させるなど、夜通しの対応に追われました。（クライアントサイトの安全確保と復旧対応を何よりも最優先に動いた結果、自社サイトの復旧対応は後回しになりました。。。）
今回は、このPHPの脆弱性の詳細と、多くの企業が利用しているWordPressへの影響、そしてリスクを低減するための「静的化」という運用方法について解説します。
今回の脆弱性「PHP2Shell」と必要な対応
The PHP Groupから発表された2つの重大な脆弱性（CVE-2026-109618、CVE-2026-109619）は、組み合わせて「PHP2Shell」と呼ばれています。PHP公式の説明によれば、「認証なしで遠隔から任意のコードを実行されるおそれ（RCE）」がある非常に深刻なものです。
Reutersによると、オランダでは国家サイバーセキュリティセンターのウェブサイトのほか、ロッテルダム港や政府ポータルなどが予防措置としてオフラインになりました。フランスでは、内務省が自省のウェブサイトを予防的メンテナンスに切り替えました。
【現在の対応状況】
PHP公式からはすでに10月21日付で修正版（8.5.12、8.4.27、8.3.36、8.2.35など）が公開されており、更新が強く推奨されています。ご利用中の環境に対応する修正版がどれになるかはサーバーによって異なるため、まずはホスティング事業者のアナウンスや対応状況をご確認いただき、速やかに更新等の対応を進めるようにしてください。
WordPressへの影響：WordPress自体の脆弱性ではない
W3Techsの直近のデータ（2026年10月時点）によると、WordPressは「全ウェブサイトの約39.6%」「CMSが判明しているサイトの約58.3%」という高いシェアを誇ります。
利用者が多いため、セキュリティに関するご相談（「WordPressは危ないですか？」「セキュリティが弱い理由は？」など）をいただくことも多くあります。一般的なセキュリティリスクとしては、WordPress本体やテーマ、プラグインの脆弱性、あるいは設定不備などが挙げられ、常にシステムを最新版へアップデートしておくことが重要な対策の一つとなります。
しかし今回の問題は、「WordPress自体の脆弱性」ではなく、「WordPressを動かしている基盤（PHP）の脆弱性」です。そのため、WordPress本体やプラグインを最新にアップデートしても解決しません。サーバー側のPHP環境を更新する必要があります。
脆弱性リスクを低減する「静的化」という選択肢
PHPやデータベースを使うシステムでは、脆弱性のリスクを完全になくすことは困難です。そこで当社では、公開側の攻撃対象を減らす方法の一つとして、WordPressの静的化を提案しています。
WordPress（CMS）を動かす非公開のサーバーと、ユーザーが閲覧するウェブサイト（静的HTMLファイル）の公開サーバーを分離します。「Simply Static」などのプラグインを使用して静的なHTMLファイルを生成し、公開用サーバーに転送して表示させます。
静的化のメリット
公開用のサーバーにはPHPもデータベースも存在しないため、公開サイトに対するPHP実行やデータベースへの直接攻撃のリスクを大幅に下げることができます。
導入時の注意点とデメリット
静的化は有効なリスク低減策ですが、サイト全体の安全を保証するものではありません。導入の際は以下の点に注意が必要です。
- CMS側の保護は引き続き必要： 万が一、非公開のCMS側が侵害された場合、改ざんされたファイルが公開サーバーに転送されてしまう可能性があります。CMS環境へのアクセス制限（IP制限やBasic認証）や、転送経路の保護は必須です。
- 更新にひと手間かかる： 通常のWordPressのようにボタン一つで即公開とはいきません。「静的ファイルの書き出し」→「表示崩れがないかの公開前確認」→「ファイル転送」という手順が必要になります。
- 動的システム（検索やフォーム）が使えない：
- 【検索の解決策】 Googleカスタム検索のほか、当社では静的サイトでもインクリメンタルサーチやカテゴリ絞り込みなどを実装できる「Fuse.js」を活用して構築した実績があります。
- 【フォームの解決策】 WordPressのフォームプラグインは動かないため、GoogleフォームやHubSpotなどの外部ツールを利用する必要があります。
まとめ：AI時代に備えるサイト運用
今回のPHPの脆弱性（PHP2Shell）は、AIを活用した調査によって発見されたと言われています。これに関連し、OpenAIは「今後数か月で、同様の発見が急増する」との見解を示しています。
ウェブサイトの運用においては、利便性と運用コストを重視して現状のリスクを管理していくか、あるいは手間やコストをかけてでもシステム分離（静的化）を行い攻撃面を減らすか、各組織のフェーズに合わせた判断が求められます。
また、サーバーを分離するといっても、そのセキュリティにはいくつかの段階があります。
「WordPressで効率的に運用したいが、セキュリティリスクへの備えも見直したい」「自社のサイト構成が安全か診断してほしい」といったお悩みがありましたら、株式会社スパイスワークスまでご相談ください。
