2026年10月21日、PHPに重大な脆弱性が発見され、セキュリティアップデートが公開されました。
今回の問題は、悪意のある第三者がサーバー上で不正なプログラムを実行できる可能性があるという、非常に深刻なものです。
脆弱性の技術的な詳細は、すでに多くの専門家が解説していますので、今回は割愛します。詳しくしりたい方はググるなりAIに聞くなりしてみてください。
さて、この影響もあり、22日、23日は弊社の電話も私の携帯もよく鳴る1日でした。
この件に関して私藤井の今の気持ちを書いておこうと思います。
なお、弊社の保守契約をいただいているお客様のホームページについて、影響を確認しながら順次PHPのバージョンアップを進めており、10月24日時点、弊社の全てのお客様の対応は完了しておりますのでご安心ください。
では本題に。
PHPの脆弱性＝WordPressが危険、ではない
今回のニュースを受け、これからおそらく「WordPressは危険」「WordPressはもう使わない方がいい」といった投稿や広告が増えると予想しています。
中には、不安をあおりながら、自社が提供する別のホームページ制作サービスへの移行を勧めるものも出てくるでしょう。
ただ、ここで理解して頂きたいことは、今回発表された脆弱性は、WordPressそのものではなく、その動作環境であるPHPに存在する問題です。
PHPとは、ホームページやWebサービスの裏側で動くプログラミング言語の一つです。
WordPressはPHPを使って構築されているため影響を受けますが、PHPを利用するほかのWebシステムにも同様に注意が必要です。
つまり、今回の問題だけを理由に「WordPressだから危険」と判断するのは、少し違うのではないかと思います。
PHPという名前には馴染みがなくても、PHPを利用しているサービスは皆さんの身近にあります。
例えば、以下のようなサービスやシステムです。
〇メルカリ
あなたも私もお世話になっている国内最大級のフリマサービス。
〇Facebook
日本では下火？ですが、世界シェアNo1のSNS。PHPをベースに開発されました。
〇Slack
企業などで利用されるビジネスチャット。
〇Wikipedia
世界中の人が利用するインターネット百科事典。
〇EC-CUBE
日本国内で利用されているECサイト構築システム。
もちろん、これらのサービスはPHPだけで動いているわけではありません。事業の成長に合わせ、ほかのプログラミング言語やシステムへ移行しているケースもあります。
WordPressは利用者が多いからこそ、問題が目立ちやすい
WordPressは、世界中で最も広く利用されているホームページ制作・管理システムの一つです。
だからこそ、脆弱性に関するニュースも大きく取り上げられやすいのだと思います。
私はこれを、自動車のリコール発表に少し似ていると感じています。
トヨタのように販売台数やラインナップが非常に多いメーカーでは、リコール対象となる車の台数も大きな数字になりやすく、ニュースでも目立ちます。
ただし、リコール台数が多いという情報だけで、そのメーカーの車がほかより危険だとは判断できません。
ホームページも同じです。
利用者が多いWordPressは、それだけセキュリティの問題が注目されやすい環境にあります。
もちろん、利用者が多いことを理由に安全だと言い切れるわけでもありません。
大切なのは、どのシステムを使っているかだけでなく、そのシステムを適切に管理できているかどうかです。
WordPressから別のシステムへ移行すれば安全なのか？
確かに、今回のような問題をきっかけに、別のシステムに移行することも選択肢の一つだと思います。
しかし、別のシステムに変更したからといって、セキュリティリスクがなくなるわけではありません。
新しいシステムには、また別のリスクが潜んでいる可能性があります。
特に最近はAIの普及もあり、新しいWebサービスが山のように登場し、既に山のように消えています。
「AIでホームページを自動制作」「専門知識がなくても簡単」「誰でも安全に運用できる」
こうした言葉は確かに魅力的です。
ただ、インターネットの仕組みがよく分からない方にとって、便利そうなサービスと、長期間安心して使い続けられるサービスを見分けることは簡単ではありません。
また、ワードプレスのような有名なCMSは脆弱性発覚に対して今回のように各サーバー会社の迅速な対応もしていただけますが、AIなどでオリジナルで構築したシステムはそうはいきません。全て自分での対応となってしまいます。
新しいサービスを否定するつもりはありませんし、優れたサービスもたくさんあります。
しかし、導入する際には、手軽さだけでなく、運営会社の継続性、データの移行方法、将来的な保守体制なども確認する必要があると考えています。
今回のPHPの脆弱性には、一日でも早い対応が必要
ここまでWordPressを擁護するような内容を書いてきましたが、今回の脆弱性を軽く考えてよいという意味ではありません。
PHP、WordPress本体、プラグインなどの更新を放置することは、大きなリスクにつながります。
特に今回のPHPの脆弱性については、早急な対応が必要です。
これは断言します。
ホームページを運営されている方は、まず現在のPHPのバージョンと、サーバー側の対応状況を確認してください。
ただし、古いWordPressやプラグインを使用しているサイトでは、PHPを更新することでホームページが正常に動作しなくなる場合もあります。
そのため、更新前のバックアップや互換性の確認などを行いながら、できる限り速やかに対策することが重要です。
脆弱性への対応は急ぐべきですが、ホームページのシステムそのものを変更する判断まで、慌てて行う必要はないと思います。
まとめ：今、大切なのはWordPressをやめることではない
今回のPHPの脆弱性により、WordPressへの不安が広がることは理解できます。
しかし、不安が大きくなっているときほど、落ち着いて判断することが大切です。セキュリティ面の意識を向けないといけないのは、ワードプレス制作だろうがAI制作だろうが同じ事。
セキュリティ対策は迅速に行う。一方で、ホームページの全面的な移行やシステム変更は、メリットとリスクを十分に比較してから決める。
WordPressが絶対に正しいとは思いませんし、将来的にもっと優れた仕組みが主流になる可能性も十分にあります。
ただ、必要以上に不安をあおる情報ではなく、お客様が冷静に判断できる情報を発信していきたいと思います。
これが、16年間、日々お客様のホームページを制作・管理している私藤井の頭の中です。
全体的に、「今」は、WordPressを少し擁護する表現とさせていただきました。
