2026年7月、WordPress で重大なセキュリティ問題が修正されました。
WordPress 公式のリリース情報では、2026年7月17日に公開された WordPress 7.0.2 が「Critical」1件と「High」1件のセキュリティ問題に対応したリリースであり、影響を受けるサイトには自動更新も有効化されたと説明されています。また、WordPress 6.9 系には 6.9.5、WordPress 6.8 系には 6.8.6 の修正版が提供されています。
この一連の問題は、セキュリティ研究者や各種注意喚起の中で「wp2shell」と呼ばれています。細かな技術内容はこの記事の主題ではありませんが、WordPress の本体に関わる問題だったこともあり、不安に感じた方も多いのではないでしょうか。
そして、こういう出来事があると、
- WordPress を使い続けても大丈夫なのか
- 静的HTMLにすれば安全なのか
- 別のサービスへ移行したほうがよいのか
- 制作会社から移行を勧められたけれど判断できない
といった相談や検討が出てくるかもしれません。
この記事では、技術者向けの詳しい脆弱性解説ではなく、Webサイトを運営している方、管理している方、または制作会社へ管理を依頼している方に向けて、WordPress から別の仕組みへ移行する前に確認しておきたいことを整理してみます。
個人的には、最終的に大切なのは「WordPress を使うかどうか」そのものではなく、サイトを運営する人、更新する人、そして見る人が困らない形を選べるかどうかだと考えています。
まず、今すぐ移行を決める必要はありません
大きなセキュリティ問題を知ると、すぐに「WordPress をやめたほうがいいのでは」と考えてしまうかもしれません。
ただ、最初にやるべきことは、移行先を決めることではありません。まずは、現在の WordPress が修正版へ更新されているか、バックアップがあるか、不審な変更がないかを確認することです。
WordPress 公式ドキュメントでも、更新前にはバックアップを取ること、更新後に問題がないか確認することが案内されています。セキュリティリリースの場合は急ぎの対応が必要になりますが、それと「中長期的にどの仕組みを使うか」は分けて考えたほうがよいです。
たとえば、家の鍵に不具合が見つかったとき、まず鍵を交換したり修理したりする必要があります。そのうえで、「そもそもこの家に住み続けるか」「管理方法を変えるか」を考える、という順番に近いかもしれません。
WordPress の更新や被害確認がまだの場合は、まず現在の管理者・制作会社・サーバー会社に確認しましょう。
自分のサイトがWordPressで動いていることを知らない場合もあります
これは意外と大事な話だと思っています。
Webサイトを持っている方が、自分のサイトが WordPress で作られていることを把握していない場合もあります。これは、その方が悪いという話ではありません。
Webサイトは、事業や活動のために使う道具です。車を使う人がエンジンの構造をすべて理解している必要がないように、サイトの所有者が内部の仕組みを細かく理解していないこと自体は、自然なことだと思います。
ただし、移行を検討する段階では、少なくとも次のことは確認しておきたいところです。
- 現在のサイトは WordPress で作られているのか
- WordPress 以外に、どのようなサービスを使っているのか
- ドメインやサーバーは誰の名義で契約しているのか
- 普段の更新は誰が行っているのか
- 管理画面やサーバーのログイン情報は共有されているのか
- 問題が起きたとき、誰が対応しているのか
- バックアップはどこにあり、誰が戻せるのか
もし分からない場合は、現在の制作会社や管理業者に聞いてみるところから始めるとよいでしょう。
WordPressが選ばれている理由は一つではありません
WordPress は「自分で更新できる仕組み」として導入されることが多いです。
お知らせを追加したり、文章を少し直したり、画像を差し替えたりする作業を、管理画面から行える。これは、Webサイトを運営する側にとって大きなメリットです。
一方で、サイト所有者自身が WordPress を触っていない場合でも、WordPress が使われていることがあります。
たとえば、更新を代行している制作会社や管理業者にとっても、WordPress の管理画面から内容を変更できることは、作業時間を短くしやすいというメリットがあります。HTMLファイルを直接編集して、確認して、公開するよりも、管理画面から変更したほうが早い場合もあります。
つまり、WordPress が導入されている理由には、少なくとも次の2つの側面があります。
- サイト所有者や社内担当者が、自分で更新しやすくするため
- 外部の業者が、更新作業を効率化し、工賃を抑えやすくするため
ですので、「自分では管理画面を触っていないから WordPress の意味がない」とは限りません。
表からは見えにくいですが、WordPress があることで更新費用や対応時間が抑えられている場合もあります。移行を考えるときは、この点も含めて比較したほうがよいでしょう。
静的HTMLにすれば安全になるのでしょうか
よくある選択肢として「静的HTMLへ移行する」というものがあります。
静的HTMLという言葉も少し分かりにくいのですが、ざっくり言えば「完成したページをそのまま表示する仕組み」と考えるとよいかもしれません。
WordPress のように、表示するたびにプログラムが動き、データベースから情報を取り出してページを組み立てる仕組みではなく、あらかじめ作っておいたHTMLファイルを公開する形です。
この構成にすると、公開サーバー上で WordPress の管理画面やデータベースを動かさなくてよい場合があります。そのため、外部から狙われる入口を減らせる可能性があります。
これは大きなメリットです。
ただし、「静的HTMLにすれば安全です」と言い切ってしまうのは少し危険です。
静的なサイトにしても、次のようなものは引き続き管理が必要になります。
- ドメイン
- サーバーやホスティングサービス
- 更新用のアカウント
- 問い合わせフォーム
- アクセス解析
- 外部のJavaScript
- 画像やPDF
- バックアップ
- 公開作業の手順
つまり、静的化は「セキュリティ対策が不要になる方法」ではありません。
どちらかというと、注意する場所が変わると考えたほうが現実に近いです。
移行すると減る負担と、新しく増える負担があります
WordPress から別の仕組みへ移行すると、減らせる負担があります。
たとえば、公開サーバー上で WordPress を動かさない構成にできれば、WordPress 本体、プラグイン、テーマの更新に追われる場面は減るかもしれません。ログイン画面を外部へ公開しない構成にできる場合もあります。
一方で、新しく増える負担もあります。
たとえば、静的サイトジェネレーターを使う場合、原稿から公開用ページを作る作業が必要になります。GitHub、Netlify、Vercel、Cloudflare Pages などのサービスを組み合わせる場合は、それぞれのアカウントや権限、支払い、設定を管理する必要があります。
問い合わせフォームを外部サービスに移す場合は、そのサービスに個人情報が保存されることもあります。
こうなると、WordPress 一つで行っていたことが、複数のサービスに分かれる場合があります。
その結果、
- どのサービスを誰が契約しているか分からない
- 退職した担当者の個人アカウントで管理されている
- 支払いが止まってフォームやサイトが使えなくなる
- パスワードや権限の管理が複雑になる
- 制作会社を変更すると引き継ぎが難しい
といった問題が起きる可能性もあります。
WordPress から離れることで分かりやすくなる部分もありますが、逆に管理先が増えて分かりにくくなることもある、ということです。
更新費用が上がる可能性もあります
WordPress では、管理画面から数分で変更できていた内容が、静的HTMLでは制作会社への依頼になる場合があります。
たとえば、
- 営業時間を変更したい
- お知らせを追加したい
- スタッフ紹介を差し替えたい
- 料金表を直したい
- 年末年始の案内を掲載したい
といった作業です。
WordPress では管理画面から変更できていたものが、移行後はファイル編集、確認、公開作業を伴う形になるかもしれません。そうなると、小さな修正にも費用や時間がかかる場合があります。
もちろん、現在もすべての更新を業者へ依頼している場合は、日常の操作感はあまり変わらないかもしれません。
大切なのは、移行前と移行後で、次の点がどう変わるかを具体的に確認することです。
- 誰が更新するのか
- 1回の更新にどれくらい時間がかかるのか
- 更新のたびに費用が発生するのか
- 急ぎのお知らせをすぐ出せるのか
- 担当者が変わっても引き継げるのか
セキュリティだけを見て移行した結果、日々の更新が止まってしまうのであれば、それはあまり幸せな移行とは言えないかもしれません。
「自分で更新できる」と「実際に更新できる」は違います
WordPress は自分で更新できる仕組みですが、実際には更新できていないケースもあります。
- 操作方法を忘れてしまった
- 更新すると表示が崩れそうで不安
- 担当者が退職した
- ログイン情報が分からない
- どこを変更すればよいか分からない
- 制作会社に依頼したほうが早い
こういう状態であれば、形式上は「自分で更新できる」サイトでも、実質的には更新できる状態とは言いにくいでしょう。
ただ、この場合の問題は、WordPress そのものではない可能性もあります。
操作説明が足りないのかもしれません。編集画面が複雑すぎるのかもしれません。更新できる範囲が整理されていないのかもしれません。保守契約の内容が、今の運用に合っていないのかもしれません。
その場合、全面的に別の仕組みへ移行しなくても、
- 編集画面を分かりやすく整える
- 更新できる範囲を限定する
- 操作マニュアルを作る
- 更新代行の契約を見直す
- 担当者向けに操作説明を行う
といった改善で解決できることもあります。
外部サービスにもリスクはあります
WordPress から離れて、Webサイト作成サービスやヘッドレスCMS、静的サイトホスティングなどへ移行する選択肢もあります。
これらのサービスは、運用の手間を減らしてくれる場合があります。サーバー管理やセキュリティ更新をサービス側に任せられる部分もありますし、使い方によってはとても便利です。
ただし、外部サービスには外部サービスなりの注意点があります。
- 料金が変わる可能性がある
- 無料プランの条件が変わる可能性がある
- サービスが終了する可能性がある
- データを自由に取り出せない場合がある
- 独自ドメインの移管や設定に注意が必要
- 特定の制作会社やサービスに依存しすぎる可能性がある
また、GitHub Pages の公式ドキュメントでは、独自ドメインを使う場合にドメインを確認することで、第三者によるドメインの乗っ取りを防ぎやすくなると説明されています。つまり、静的サイトを置くサービス自体が便利であっても、ドメインとのつなぎ方やアカウント管理を間違えると、別の問題が起きる可能性があります。
「WordPress ではないから安心」ではなく、「移行先では何を誰が管理するのか」を確認することが大切です。
外部の部品やJavaScriptにも注意が必要です
静的なサイトでも、完全に何も動かないわけではありません。
アクセス解析、広告、チャット、予約、地図、SNSの埋め込みなどで、外部サービスの JavaScript を読み込むことがあります。
OWASP の Third Party JavaScript Management Cheat Sheet では、第三者が提供する JavaScript について、提供元が侵害された場合に、利用しているサイト側にも影響が及ぶ可能性があることが説明されています。
また、OWASP Top 10:2025 では、外部の部品、開発ツール、配布・更新の仕組みに関わる問題を「Software Supply Chain Failures」として取り上げています。
一般向けに言い換えるなら、静的サイトでも「サイトを作るための部品」や「外部から読み込んでいる部品」に問題が入り込む可能性はある、ということです。
WordPress のプラグインを管理しなくてよくなっても、別の部品やサービスの管理が必要になる場合があります。
問い合わせフォームと個人情報は別に考える必要があります
静的HTMLだけでは、通常、問い合わせ内容を受け取ってメール送信する処理はできません。
そのため、問い合わせフォームを使う場合は、
- 外部のフォームサービスを使う
- 別のサーバーにフォーム機能だけ置く
- Googleフォームなどを利用する
といった対応が必要になります。
このときは、次の点を確認しておきたいところです。
- 問い合わせ内容はどこに保存されるのか
- 誰が閲覧できるのか
- 保存期間はどれくらいか
- 添付ファイルを扱う場合、安全に管理できるのか
- スパム対策はあるのか
- サービス障害時に問い合わせを受け取れるのか
- プライバシーポリシーの記載を変更する必要があるのか
WordPress のフォームプラグインをやめたからといって、個人情報の管理が不要になるわけではありません。
むしろ、どこに保存されるのか、誰が管理するのかが変わるため、移行時にきちんと確認したい部分です。
WordPressを使い続けたほうがよい場合もあります
今回のような問題があると、WordPress をやめることが正解のように見えるかもしれません。
しかし、次のようなサイトでは、WordPress を使い続けながら保守体制を見直すほうが現実的な場合もあります。
- 複数人が頻繁に更新している
- お知らせやブログ記事が多い
- 会員機能、予約、決済などがある
- 管理画面での下書きや公開予約が必要
- WordPress に慣れた担当者がいる
- 既存のテーマやプラグインに大きく依存している
- 移行後の技術担当者がいない
- 移行費用をかけるより、まず保守体制を整えたほうがよい
WordPress 公式サイトでは、セキュリティチームが脆弱性の報告を受け、修正、テスト、リリースを行っていることが説明されています。また、公式には最新バージョンのみがサポート対象である一方、古いバージョンへも重要な修正が提供される場合があるとされています。
もちろん、だから何もしなくてよい、という意味ではありません。
WordPress を使い続ける場合は、
- 本体、プラグイン、テーマを更新する
- バックアップを取る
- 不要なプラグインを減らす
- 管理者アカウントを整理する
- ログイン情報を適切に管理する
- 何か起きたときの相談先を決めておく
といった基本的な保守が必要です。
WordPress が危険なのではなく、放置された仕組みが危険になりやすい、と考えたほうがよいかもしれません。
移行が向いている場合もあります
一方で、次のようなサイトであれば、静的サイトや別のサービスへの移行を検討しやすいと思います。
- 数ページから数十ページ程度の小規模サイト
- 更新が年に数回程度
- 問い合わせフォーム以外の動的機能がほとんどない
- 更新は制作会社が担当している
- 会社案内やサービス紹介が中心
- 管理画面をインターネット上に置きたくない
- WordPress の保守担当者がいない
- 大量アクセス時の安定性を高めたい
ただし、この場合でも「更新方法」と「費用」は必ず確認したいです。
安全性が上がっても、料金変更が反映できない、休業日のお知らせをすぐ出せない、制作会社を変えたら誰も触れない、という状態になると困ります。
移行は、サイトを運営しやすくするための手段です。WordPress をやめること自体が目的にならないようにしたいところです。
制作会社や管理業者に確認したい質問
移行を検討する場合は、制作会社や管理業者に次のような質問をしてみるとよいと思います。
- このサイトは WordPress で作られていますか。
- 現在の WordPress のバージョンは何ですか。
- 今回のセキュリティ問題への対応は済んでいますか。
- WordPress 以外に、どのようなサービスを使っていますか。
- ドメインとサーバーは誰の名義で契約していますか。
- 管理画面やサーバーのログイン情報は共有されていますか。
- 普段の更新は、どのような作業を行っていますか。
- WordPress を使うことで、更新作業や費用はどの程度抑えられていますか。
- 静的サイトへ移行した場合、更新方法や費用はどう変わりますか。
- 問い合わせフォーム、検索、予約など、移行時に見直しが必要な機能はありますか。
- 過去の記事や画像をすべて引き継げますか。
- URLは変わりますか。変わる場合、リダイレクトできますか。
- 移行後の保守やトラブル対応は誰が担当しますか。
- 将来、別の制作会社へ依頼する場合でも引き継げますか。
これらの質問に対して、専門用語だけでなく、費用、作業内容、責任範囲まで分かりやすく説明してもらえるかどうかも大切です。
判断するときに大切にしたいこと
最終的には、次のような観点で考えるとよいのではないでしょうか。
更新する人が困らないか
お知らせや文章の変更を誰が行うのか。その人が新しい操作方法を覚えられるのか。担当者が変わっても引き継げるのか。
ここが曖昧なまま移行すると、サイトが更新されなくなる可能性があります。
費用を継続して払えるか
移行費用だけでなく、毎月・毎年の費用、更新依頼の費用、トラブル対応の費用も確認しておきたいです。
最初は安く見えても、外部サービスが増えることで長期的な費用が上がる場合もあります。
必要な機能が残るか
問い合わせ、検索、予約、会員、決済、多言語、公開予約など、今のサイトで使っている機能を洗い出しておきましょう。
見た目だけ移行できても、業務に必要な機能がなくなると困ります。
データを自分たちで扱えるか
過去の記事、画像、問い合わせ履歴、顧客情報などを、必要なときに取り出せるか確認しておきたいです。
サービスや制作会社に依存しすぎると、将来の移行が難しくなる場合があります。
トラブル時に戻せるか
サイトが表示されなくなったとき、誰に連絡するのか。バックアップはあるのか。元に戻す手順はあるのか。
静的サイトだから壊れない、というわけではありません。どんな仕組みでも、トラブル時の戻し方は必要です。
まとめ
wp2shell と呼ばれている一連の問題は、WordPress を使っている方にとって不安を感じるきっかけになったと思います。
ただ、WordPress から別の仕組みへ移行すれば、自動的にすべてが安全になるわけではありません。
静的サイトには、公開側の仕組みをシンプルにし、外部から狙われる入口を減らせる可能性があります。一方で、更新方法、フォーム、外部サービス、アカウント管理、費用、障害時の対応など、新しく考えなければならないこともあります。
また、WordPress を自分で触っていない場合でも、更新を代行している業者が WordPress を使うことで作業時間や費用を抑えられている場合があります。その仕組みをなくしたとき、日々の更新がどう変わるのかは確認しておきたいところです。
大切なのは、WordPress を使うか使わないかではなく、そのサイトを誰が、どのように、無理なく維持していけるかです。
移行によって管理が分かりやすくなり、安心して運営でき、必要な情報を無理なく発信し続けられるのであれば、それは良い移行だと思います。
一方で、更新が難しくなり、費用が増え、誰にも相談できなくなるのであれば、技術的に新しい仕組みであっても、運営する人にとって幸せな結果とは言えないかもしれません。
今回の問題をきっかけに、まずは自分のサイトがどのように作られ、誰が管理し、何か起きたときにどう対応するのかを確認してみる。
そこから始めるだけでも、今後の安心感はかなり変わるのではないかと思います。
