「更新して5日で、また更新」
──WordPressとPHPの緊急対応が続く今、ホームページの守り方を見直す

2026年9月、世界でもっとも使われているホームページの仕組み「WordPress」は、緊急のセキュリティ更新（7.1.1）を公開したわずか5日後に、ふたたび最も深刻なレベルの不具合を修正する更新（7.1.2）を出しました。

さらに10月21日には、WordPressを動かしているプログラム「PHP」そのものに、外部から勝手にサーバーを操作されるおそれのある重大な不具合が2件公表されました。PHPは、世界のWebサイトのおよそ7割で使われているとされるプログラムで、影響を受けるサイトは非常に多いと見られています。高市首相が自身のXで「今夜に対応して頂きたい大至急のお願い」と呼びかけ、国内の大手サービスでも緊急メンテナンスが相次ぎました。

なぜ、狙われ続けるのか

• 使っているサイトが多い：WordPressは世界のWebサイトの約4割で、その土台のPHPは約7割で使われているとされ、攻撃する側にとって効率がよい
• 攻撃の準備が速くなっている：AIの活用で、弱点の発見や攻撃の準備が短期間でできるようになっている
• 放置されたサイトが足場になる：更新されないままのサイトが、次の攻撃の足場にされている

「個人情報を扱っていないから大丈夫」ではありません

• サイトを見に来た人のパソコンやスマートフォンに、ウイルスを送り込まれる
• 偽の決済画面や、偽のお知らせを勝手に置かれる
• Googleで「危険なサイト」と表示され、検索から人が来なくなる
• 別の会社や団体を攻撃するための踏み台にされる

被害を受けるのは、サイトを見に来たお客様や取引先です。その結果として、自社の信用が損なわれます。

守るべき範囲は、3つあります

WordPressのサイトを安全に保つには、WordPress本体、サーバー（PHPなど）、追加機能（プラグイン）の3つを、それぞれ更新・確認し続ける必要があります。今回のように、夜中に緊急の対応が必要になることもあり、その手間と費用は今後も増えていく見込みです。

「守り続ける」以外の選択肢

WordPressは、社内の多くの人で更新できる便利な仕組みです。社内で更新を回せる体制があるなら、きちんと守り続けるのが正解です。

一方、更新を外部に任せているサイトや、更新の頻度が高くないサイトでは、仕組みそのものを変える選択肢があります。

わたしたちにできること

わたしたちのホームページ（roden.co.jp）も、HTMLで作っています。WordPressのサイトを、今のデザインやURLのまま、HTMLへ切り替えることもできます。

作って終わりではなく、公開後の更新や改善、ホームページ以外の販促のことまで、一緒に考えていけたらと思っています。デジタルが苦手な方にも、専門用語を使わずにご説明します。

ほかに、AIチャットボットの設置、デジタル広告（Google広告認定資格保有）、SNS運用などもお手伝いしています。

ご自身のサイトがWordPressかどうか分からない場合は、WordPress判定ツールで、URLを入れるだけで確認できます。