2026年10月に公表されたPHPの脆弱性「PHP2Shell」をきっかけに、「もうWordPressはやめたほうがいいのでは」という相談が増えています。実際、静的HTMLやノーコードのサービスへ乗り換えたという話も目にするようになりました。
ただ、PHP2Shellで問われたのは、WordPressという製品そのものよりも、公開しているサーバーでPHPを動かし、更新し続けるという運用のほうです。そうであれば、WordPressをやめる以外にも打ち手があります。
この記事では、脱WordPressを決める前に一度比べてほしい「WordPressのまま静的化する」という選択肢について、仕組み、メリット、注意点、判断のチェックリストまでまとめます。
なぜ今「脱WordPress」が増えているのか
PHP2Shell：WordPressを更新しても直らない脆弱性
PHP2Shellは、WordPressではなく、WordPressを動かしているプログラミング言語PHPの処理系にある2件の脆弱性（CVE-2026-109618、CVE-2026-109619）の通称です。深刻度はCVSS v4で9.2と評価され、ログインなしでサーバー上の任意のコードを実行できるおそれがありました。PHPの開発チームは2026年10月21日に修正版（8.5.12、8.4.27、8.3.36、8.2.35）を公開しています。
WordPress.orgは、この問題はWordPress固有のものではなく、本体の更新は必要ないとしたうえで、サイト運営者にPHPの更新を求めました。研究者は、最新版のWordPressであっても、修正前のPHPの上では攻撃が成立することを示しています。つまり、WordPressやプラグインをきちんと更新していても、それだけでは防げなかったということです。PHPの中で動くセキュリティプラグインも、PHPそのものの欠陥は直せません。
見つかり方も象徴的でした。PHP2Shellを発見したセキュリティ企業は、最先端のAIモデルと自社の自律型AIシステムを脆弱性の調査に使っていたと報じられています。10年以上見つからなかった穴が、AIによって掘り起こされた形です。
2026年は、本体の重大な修正も続いた
これまでWordPressの脆弱性は、大半がプラグインやテーマに由来するものでした。Patchstackの年次報告によると、2025年に見つかったWordPress関連の脆弱性は11,334件で、そのうち91%がプラグイン由来です。
ところが2026年は、7月にログインなしでリモートコード実行に至る本体の脆弱性（通称wp2shell）が修正され、9月にも重大な脆弱性を修正する7.1.2が公開されるなど、本体側の大きな修正が続きました。そこへ10月のPHP2Shellが重なり、「更新を追い続けること自体がつらい」という声が一気に表に出てきたと言えます。
W3Techsの統計では、全Webサイトに占めるWordPressのシェアは2025年12月の43.2%から、2026年10月末には39.5%まで毎月下がっています。それでも世界のサイトのおよそ4割を占める最大のCMSであることに変わりはありませんが、「離れる」という選択肢が現実味を帯びてきたのは確かです。
脱WordPressの主な移行先と、見落としやすいコスト
脱WordPressの移行先としてよく挙がるのは、次のような選択肢です。どれも「サイト運営者がPHPを更新しなくて済む」点では共通しています。違いが出るのは、移行したあとの更新のしかたと、将来また別の場所へ移るときの自由度です。
| 移行先 | サーバー・PHPの保守 | 移行後の更新作業 | 将来の移行（データの持ち出し） |
|---|---|---|---|
| 静的HTML・静的サイトジェネレーター | PHPは不要 | HTMLやGitなどの知識が必要になりやすい | 広い（ファイルそのもの） |
| Wix・Studioなどのノーコードサービス | サービス側が保守 | 新しい管理画面に慣れる必要がある | 狭い（記事やCMSデータの書き出しに制限がある） |
| 新しいCMS（EmDashなど） | PHPは不要 | 新しい管理画面と運用ルール | 製品の成熟度・提供元の方針しだい |
表には出てこない「移行そのもののコスト」も見落とせません。
- サイトの作り直し：デザインやページを、新しい環境で組み直すことになる
- URLの引っ越し：URLが変わると、検索評価や外部からのリンクを引き継ぐためのリダイレクト設定が必要になる
- フォーム・検索の作り直し：お問い合わせフォームやサイト内検索は、移行先ごとに仕組みが変わる
- 更新担当者の再教育：慣れたWordPressの管理画面から、新しい操作に切り替わる
- 出口の狭さ：サービスによっては、ブログ記事やCMSのデータをほかへ書き出す機能がない
特に最後の点は、乗り換えるときには気づきにくいポイントです。たとえばWixの公式ヘルプでは、ブログ記事は現時点でほかのプラットフォームへ書き出せないとされ、Studioの公式ヘルプでも、デザインやCMSデータを書き出す機能は用意されていないと案内されています。入るのは簡単でも、出るときには作り直しになる可能性があるわけです。
「WordPressのまま静的化」とは
そこで検討してほしいのが、WordPressをやめずに、公開側だけを静的なHTMLに置き換える方法です。仕組みはシンプルです。
- 記事やページの編集は、これまでどおりWordPressの管理画面で行う
- 更新したら、WordPressの内容をHTMLファイルとして書き出す（静的化）
- サイトを訪れた人には、書き出したHTMLファイルだけを配信する
- WordPress本体と管理画面は、外部から見えない・届かない状態にしておく
つまり、編集するための道具としてはWordPressを使い続け、公開する場所からはWordPressとPHPを外すという考え方です。訪問者がアクセスするたびにPHPやデータベースを動かす必要がなくなるため、公開サイトが攻撃される入口を大きく減らせます。
脱WordPressと比べたときの3つのメリット
1. 公開ページの表示にPHPを使わない
公開側は、あらかじめ書き出したHTMLや画像のファイルを返すだけです。PHP2Shellのように「PHPが動いているサーバーへ外から攻撃が届く」タイプの脆弱性に対して、外から届く入口そのものを絞れます。脱WordPressで得たかった安全性の大部分は、WordPressをやめなくても手に入れられるということです。
2. 更新担当者の操作が変わらない
記事の投稿やページの修正は、使い慣れたWordPressの管理画面のままです。静的HTMLへ移行した場合のように、更新のたびに制作会社へ依頼したり、担当者が新しいツールを覚え直したりする必要はありません。サイトを作り直さずに導入できるので、デザインもURLもそのまま引き継げます。
3. 将来の選択肢が狭まらない
WordPressは記事を標準のXML形式で書き出せ、公開しているのはただのHTMLファイルです。数年後に別のCMSへ移ることになっても、データを連れて出られる状態が保たれます。いま慌てて出口の狭いサービスへ移るより、安全性を確保したうえで、移行するかどうかを落ち着いて判断できるのも大きな利点です。
正直にお伝えしたい、静的化の注意点
静的化は万能ではありません。導入前に知っておいてほしい点もあります。
- フォームとサイト内検索は置き換えが必要：PHPで動いていたお問い合わせフォームや検索は、静的なページでは動きません。外部のフォームサービスや、ブラウザ内で動く検索の仕組みに置き換えます。
- 更新は「書き出し」をしてから反映される：管理画面で保存しただけでは公開側は変わらず、静的化を実行して初めて反映されます。
- 動的な機能が中心のサイトには向かない：会員ログインやネットショップのように、訪問者ごとに表示や処理が変わるサイトは、静的化の対象外になります。
- WordPress本体とPHPの更新がゼロになるわけではない：外から見えない場所に置くとはいえ、WordPress自体は動いています。緊急度は下がりますが、定期的な更新は続けるのがおすすめです。
静的化のプラグインを使って自分で導入することもできます。ただ、実際の運用では、フォームや検索の置き換え、管理画面の非公開化、書き出しに失敗したページやリンク切れへの対処など、導入後の手間が意外とかかります。社内に担当できる人がいない場合は、運用まで含めて任せられるサービスを選ぶと安心です。
静的化に向いているサイト・向いていないサイト
向いているサイト
- 会社案内・サービス紹介などのコーポレートサイト
- キャンペーンや採用などのLP・特設サイト
- お知らせ・ブログを月に数回ほど更新するサイト
- 更新は止まりがちだが、閉じるわけにはいかないサイト
- 親会社や取引先のセキュリティ診断で、WordPressやPHPのバージョンを指摘されているサイト
向いていないサイト
- ネットショップ（カート・決済をWordPress上で行うもの）
- 会員登録・ログインが必要なサイト
- 予約システムなど、訪問者ごとに内容が変わる機能が中心のサイト
- 1日に何度も記事を公開するニュースサイト
脱WordPressか、静的化か：判断のチェックリスト
次の質問に答えてみてください。「はい」が多いほど、WordPressのまま静的化する方法が合っています。
- 更新担当者は、今のWordPressの管理画面に慣れている
- デザインやURLは、できれば今のまま残したい
- サイトの作り直しにまとまった予算や期間はかけられない
- 会員機能やネットショップは使っていない
- WordPressやPHPの更新を、誰がいつやるのかが決まっていない
- 数年後に別の仕組みへ移る可能性も残しておきたい
なお、どの選択肢を選ぶにしても、まずは今のサイトが動いているPHPのバージョンを確認しておきましょう。WordPress.orgの統計では、2026年11月時点でもWordPressサイトの約3割が、通常のセキュリティ更新が終わったPHP 8.1以前で動いているとされています。レンタルサーバーの管理画面や、WordPressの「サイトヘルス」画面で確認できます。
まとめ：WordPressをやめる前に、公開の仕方を変える
PHP2Shellは、「WordPressを使っていること」より、「公開サーバーでPHPを動かし、その更新を誰かが続けなければならないこと」のリスクを浮き彫りにしました。
脱WordPressは有力な選択肢ですが、作り直しや更新フローの変更、将来の移行のしにくさといった新しい負担もついてきます。管理画面はそのままに、公開側だけを静的化するという方法なら、その負担を抑えながら、安全性の大部分を手に入れられます。
制作会社の方にとっても、クライアントの更新フローを変えずに提案できるため、「更新が止まったまま」のサイトを抱えている場合の現実的な打ち手になるはずです。
WordPressの静的化を、運用まで任せたい方へ
WPセンターの「安心スタティック」は、今のWordPressサイトを作り直さずに静的化し、そのまま運用まで引き受けるサービスです。診断から公開先の準備、フォーム・検索の置き換え、WordPress本体の非公開化、公開後の静的化の実行や監視、定期的な更新まで対応します。導入は最短1週間です。
「うちのサイトは静的化できる？」というご相談からお気軽にどうぞ。
参考
- Critical PHP Security Release（WordPress.org）
- PHP: News Archive – 2026（php.net）
- State of WordPress Security in 2026（Patchstack）
- Historical trends in the usage statistics of content management systems（W3Techs）
- Wix Blog Request: Exporting Blog Posts to Other Platforms（Wix）
- Studioのサイトデータのエクスポートについて（Studio Help）
