「WordPressを最新版に更新したから、もう大丈夫」——そう思っていませんか？
2026年10月21日（日本時間）に修正版が公開されたPHPの重大な脆弱性（CVE-2026-109618／CVE-2026-109619）は、WordPressやプラグインを更新しても解消しません。サーバー側のPHP本体を修正版に更新する必要があり、あわせてサーバー設定・プラグイン・テーマも点検しておくと安心です。
「うちは小さな会社だから狙われない」という思い込みも禁物です。攻撃の多くは自動化されており、規模に関係なく無差別にスキャンされています。実際、中小企業のサイトが踏み台にされるケースは後を絶ちません。
この記事では、Web担当者や経営者の方に向けて、今すぐ確認すべき3つのポイントと、根本的な守り方である「静的サイト」という選択肢をわかりやすく解説します。
結論として、PHPを使ったWordPressサイトを運営中の中小企業には、PHP本体のバージョン確認・サーバー設定の見直し・プラグインの棚卸しという3ステップを今すぐ実施することをおすすめします。
目次
なぜ「WordPressを更新するだけ」では不十分なのか
WordPressはPHPという言語で動いています。WordPress本体を最新版にアップデートしても、土台であるPHP本体に脆弱性が残っていれば、攻撃の入口はふさがれていません。今回の脆弱性はまさにこのケースで、PHPのコア処理に関わる問題であるため、WordPressやプラグインを更新しただけでは対処にならないのです。
今回の脆弱性は、PHP 8.2〜8.5系の修正前のバージョンが対象で、ログインなしで外部から不正なプログラムを実行されるおそれがあるとされています。修正版は8.5.12／8.4.27／8.3.36／8.2.35として公開されましたが、サーバーのPHPバージョンをホスティング会社が自動で上げてくれるとは限りません。管理画面やコントロールパネルで現在のバージョンを自分で確認する必要があります。
さらに、WordPressはプラグインやテーマを経由した攻撃も非常に多い。PHPの脆弱性と組み合わせて悪用されるケースもあるため、WordPress本体・プラグイン・テーマ・PHP本体、すべての層を同時に点検することが不可欠です。
中小企業が今すぐ確認すべき3つのポイント
① 現在のPHPバージョンを確認する
まず自社サイトのサーバーがどのバージョンのPHPで動いているかを確認してください。確認方法はホスティング会社によって異なりますが、コントロールパネル（cPanelやさくらのコントロールパネルなど）にログインすると「PHPバージョン」の項目から確認・変更できることが多いです。
- PHP 8.2系〜8.5系：修正版（8.2.35／8.3.36／8.4.27／8.5.12）以降になっているか確認する。
- PHP 8.1系以前（7.x系を含む）：すでに公式サポートが終了していて、今回の修正版も提供されません。8.4系・8.5系など、サポート中の新しい版へ早急に移行が必要です。
- 自社で変更できない場合：ホスティング会社のサポートに問い合わせ、PHP更新を依頼してください。対応が難しければサーバー乗り換えも検討する価値があります。
「自分では確認できない」という場合は、制作会社やエンジニアに相談するのが確実です。放置するリスクの方が、対応コストよりはるかに高くつきます。
② プラグイン・テーマを棚卸しする
WordPressに入っているプラグインは、使っていないものでも有効化したままにしていると攻撃の入口になります。今すぐ管理画面の「プラグイン」一覧を開いて、次の観点で見直してください。
- 更新が止まっているプラグイン：最終更新日が2年以上前のものは、脆弱性が発見されても修正されない可能性が高く、削除を検討してください。
- 使っていない（無効化している）プラグイン：有効化していなくても、ファイルがサーバー上に残っているだけでリスクになるケースがあります。不要なものは削除しましょう。
- テーマも同様：使っていない旧テーマがインストールされたままになっていることも多いです。アクティブなテーマ以外は削除するのが基本です。
プラグインの数が多ければ多いほど攻撃面（アタックサーフェス）が広がります。機能の重複があれば統合・整理し、できるだけスリムな構成を目指してください。
③ サーバー設定・バックアップ体制を見直す
PHPの脆弱性を突いた攻撃で最も多い被害の一つが、サイトの改ざんです。気づかないうちにファイルを書き換えられ、訪問者をフィッシングサイトに飛ばすコードを埋め込まれるケースもあります。万が一の際に素早く復旧できるよう、次の点を確認してください。
- バックアップが取れているか：ファイルとデータベース（MySQL）の両方を定期バックアップしているか確認する。ホスティングの自動バックアップだけに頼らず、プラグイン等で二重化するのが安心です。
- ファイルパーミッション（権限）の設定：PHPファイルへの書き込み権限が不必要に広くなっていないか確認する。wp-config.phpは特に厳しく設定する必要があります。
- WAF（Webアプリケーションファイアウォール）の導入：ホスティングやプラグイン（Wordfenceなど）でWAFを有効にすると、既知の攻撃パターンを自動でブロックできます。
PHPに依存しない「静的サイト」という守り方
ここまで「WordPressをどう守るか」について解説してきましたが、そもそもPHPを使わない仕組みにすれば、PHPの脆弱性は根本的に関係なくなります。それが静的サイト（Static Site）という選択肢です。
静的サイトとは、HTMLとCSSをあらかじめ生成してサーバーに置いておく形式のWebサイトです。ページを表示するたびにPHPがデータベースを参照してHTMLを生成するWordPressとは異なり、リクエストに対してHTMLファイルをそのまま返すだけなので、PHPの脆弱性・データベース攻撃・プラグインの問題とほぼ無縁になります。
静的サイトとWordPressの比較
| 項目 | WordPress（動的） | 静的サイト |
|---|---|---|
| PHPの脆弱性リスク | 常に存在 | ほぼなし |
| プラグインのリスク | 多い（入れるほど増加） | なし（または最小限） |
| 表示速度 | 設定次第（重くなりがち） | 高速 |
| 更新・メンテナンス | 継続的に必要 | 少なくて済む |
| コンテンツ更新のしやすさ | 管理画面から直感的に操作できる | やや専門知識が必要（ヘッドレスCMS併用で改善可） |
| 向いているサイト | ブログ・更新頻度が高いサイト | コーポレートサイト・LP・採用サイト |
コーポレートサイトや採用ページ、ランディングページなど、更新頻度がそこまで高くないサイトは、静的サイトに切り替えることでセキュリティリスクを大きく下げながら、表示速度の向上も期待できます。「SEO的にも高速なサイトの方が有利」という点でも、静的サイトのメリットは小さくありません。
一方で、ニュースや採用情報をよく更新したい、ECカートが必要、会員機能がある——といったケースは、WordPress等の動的CMSの方が向いていることも事実です。自社の運用スタイルに合わせて検討することが大切です。
「うちのサイト、今どんな状態か分からない」という方へ
「PHPのバージョンって、どこで見ればいいの？」「プラグインが何個あるかも把握していない」——こうした状況は、中小企業のWeb担当者やオーナーさんに非常によくある話です。恥ずかしいことではなく、専門家でなければ把握できていなくて当然の領域でもあります。
ただ、状況を把握しないまま放置していると、ある日突然サイトが改ざんされて、お客様に迷惑をかけたり、Googleから危険なサイトとして警告表示されたりするリスクがあります。今すぐ全部対処できなくても、まず「現状確認だけ」から動き始めることが大切です。
グラフィティーでは、コーポレートサイト・採用サイト・LPの制作・リニューアルのご相談を承っています。既存サイトの状況整理や、静的サイトへの移行、WordPressのセキュリティ強化を含めたリニューアル提案など、まずはお気軽にご相談ください。営業スタッフを挟まず、デザイナーが直接ヒアリングから一緒に考えます。
まとめ：PHPの脆弱性対応、チェックリスト
- PHPバージョンを確認する：8.1系以前は即移行。8.2〜8.5系は修正版（8.2.35／8.3.36／8.4.27／8.5.12）以降か確認する。
- プラグイン・テーマを棚卸しする：使っていないものは削除。更新が止まっているものは代替を検討する。
- バックアップとWAFを整備する：万が一の被害を最小化するための備えを今すぐ確認する。
- 静的サイトへの移行を検討する：コーポレートサイトやLPは、PHPに依存しない構成に変えることでリスクを根本から下げられる。
「難しそう」と感じたら、一人で抱え込まずにプロに相談するのが最短ルートです。セキュリティの問題は、対処してしまえばシンプルなことがほとんど。まず現状を把握することから始めてみてください。