2026年10月21日、Webサイトを動かすプログラム「PHP」に、ログインしなくても外から乗っ取られるおそれのある重大な脆弱性（弱点）が公表されました。翌日には、国内大手のレンタルサーバー会社が管理画面を一時停止して対応にあたるほどの騒ぎになりました。
WordPress（ワードプレス）は、このPHPの上で動いています。お店のホームページがWordPressなら、無関係な話ではありません。
結論からお伝えします。「お知らせ・メニュー・アクセス」が中心で、毎日記事を書き換えるわけではないお店なら、WordPressをやめて、PHPを使わないCloudflare（クラウドフレア）のホームページへ引越すのがおすすめです。PHPの更新や、今回のような緊急対応の心配そのものがなくなります。
実は、まわれまわれのこのサイトも、現在Cloudflareへ移行して整えている最中です。整理が終わり次第、WordPressは削除する予定です。自分たちで引越しながら、お客様の引越しもお手伝いしています。
ニュース：2026年10月、PHPに何が起きた？
PHPの開発チームが「今すぐ更新を」と呼びかけ
PHPの公式サイト（php.net）は、2026年10月21日付で「重大な脆弱性が2件。今すぐ更新してください」というセキュリティ情報を出しました。
- ログイン不要で、外部から悪いプログラムを実行される（乗っ取られる）おそれがある
- Webサイトを表示しているPHPは、ほぼすべてが対象
- 修正版：PHP 8.5.12／8.4.27／8.3.36／8.2.35
- PHP 8.1以前は、PHP開発チームからの更新がすでに終わっている（今回は特別に最低限の修正だけ公開）
エックスサーバーは管理画面を止めて対応
国内大手のレンタルサーバー「エックスサーバー」は、脆弱性の詳細が公表される前の10月21日16時から、公式サイトや管理画面へのアクセスを予防的に停止しました。お客様のWebサイトの表示やメールは止めずに、各PHPバージョンへ修正を順番に当て、10月22日から順次再開しています。
同社のお知らせ（10月23日追記）では、PHP 5.6〜8.5は修正の適用が完了しており、利用者が急いでPHPのバージョンを変える必要はないとしています。不正アクセスが起きたための対応ではない、とも明記されています。
サーバー会社がすばやく動いてくれたのは心強いことです。一方で、WordPressを使っている限り、こうした緊急対応はサーバー会社まかせ、運まかせになるということでもあります。
そのほかの関連ニュース
- PHP 8.2のサポートは2026年12月31日で終了：あと2か月ほどです。8.2のサイトは、年内に8.3以上への切り替えが必要になります。
- WordPress 7.0で古いPHPを切り捨て：2026年5月公開のWordPress 7.0は、PHP 7.2と7.3のサポートをやめました。古いPHPのままのサイトは、WordPress本体も最新にできません。WordPressの推奨はPHP 8.3以上です。
- プラグインの弱点は増え続けている：セキュリティ会社Patchstackの集計として、2025年に見つかったWordPress関連の脆弱性は1万件を超え、その9割がプラグインだったと報じられています。
WordPressの「PHP問題」とは
PHPにはサポート期限があり、期限が切れると弱点が見つかっても直してもらえません。そのため、サーバー会社から数年ごとに「新しいPHPへ切り替えてください」という案内が届きます。
- PHP 8.1：2025年12月31日でサポート終了
- PHP 8.2：2026年12月31日でサポート終了予定
- PHP 8.3：2027年12月31日まで
困るのは、PHPを新しくすると、古いテーマやプラグインが動かなくなることがある点です。
- 切り替えたら、トップページが真っ白になった
- お問い合わせフォームが送れなくなった
- 作ってくれた業者さんと、もう連絡がつかない
こうして「怖いから触らない」状態が続き、古いPHP・古いプラグインのまま何年も動いているサイトが少なくありません。今回のような重大な脆弱性が出たとき、一番危ないのはこうしたサイトです。
乗っ取られると、お店のサイトが「攻撃する側」になる
乗っ取りの怖さは、自分のサイトが壊れることだけではありません。乗っ取られたサイトは、ほかの人を攻撃する「踏み台」に使われます。
- お店のサーバーから、大量の迷惑メールや詐欺メールが送られる
- サイトの中に、偽のログイン画面（フィッシング詐欺のページ）やウイルスを置かれる
- ほかのサイトを一斉に攻撃して止める作業に、お店のサーバーが加わる
- 見に来たお客様が、知らない広告や詐欺サイトへ飛ばされる
お店は被害者なのに、外から見ると攻撃している側に見えてしまいます。サーバー会社にサイトを止められたり、お店のメールが迷惑メール扱いされて届かなくなったりすることもあります。一番の痛手は、お客様からの信用を失うことです。
今回のPHPの脆弱性は、ログインなしで外から乗っ取られるおそれがあるものでした。「うちは小さいから狙われない」は通用しません。攻撃は機械で自動的に行われ、お店の大きさに関係なく、弱いサイトから順に狙われます。
Cloudflareに引越すと、何が変わる？
Cloudflareは、世界中で使われているWebの配信サービスです。Cloudflareの仕組みを使うと、PHPのサーバーを持たずにホームページを公開できます。
- PHPの更新が不要になる：そもそもPHPを使わないので、更新のお知らせも、今回のような脆弱性騒ぎも、お店のサイトには関係なくなります。
- 乗っ取られる入口が減る：WordPressのプラグインがないので、狙われる場所そのものが少なくなります。
- 表示が速くなりやすい：近くの拠点からページが届くので、スマホでも待たされにくくなります。
- サーバー代を抑えやすい：小さなお店のホームページなら、無料プランで収まることがほとんどです（2026年10月23日確認）。
向いているお店・向いていないお店
| Cloudflareへの引越しが向いている | WordPressのままが向いている | |
|---|---|---|
| 更新の頻度 | 月に数回のお知らせ程度 | 毎日のように記事を書く |
| サイトの中身 | 店の紹介・メニュー・料金・アクセス | ネットショップ・会員ページ・予約システムを内蔵 |
| 更新する人 | 店主が少し書く、または任せたい | 複数のスタッフが管理画面から投稿する |
| 今の困りごと | PHP更新が怖い／サーバー代を見直したい | 機能を増やしたい |
右側に当てはまるお店は、無理に引越すより「PHPとプラグインを安全に更新する」ほうが合っています。その作業もご相談いただけます。
引越しで気をつけること
良いことばかりではありません。事前に知っておいてほしい点です。
- 管理画面の使い方が変わる：お知らせの更新方法は、更新する人に合わせて決めます。
- お問い合わせフォームは作り直す：PHPで動いていたフォームは使えません。Googleフォームや、LINE公式アカウントへの案内などに置き換えます。
- メールの設定に注意：お店のメールを今のサーバー会社で使っている場合、ドメインの設定を移すときにメールの設定（MXレコード）も正しく引き継ぐ必要があります。ここを間違えると、メールが届かなくなります。
- ページのURLはなるべく変えない：URLが変わると、Googleの検索順位やGoogleマップからのリンクに影響します。旧URLから新URLへの転送も設定します。
引越しの流れ
- 今のサイトを確認：ページ数、フォーム、メール、ドメインの管理場所を一緒に確認します。
- 記事とページを移す：今の記事・画像を移すか、この機会にスマホで見やすく作り直します。
- Cloudflareで試しに公開：本番の前に確認用のURLで、表示・リンク・フォームをチェックします。
- ドメインを切り替え：メール設定を引き継いだうえで、お店のドメインをCloudflareのサイトへ向けます。
- WordPressと旧サーバーを片づける：問題なく表示されることを確認してから、WordPressを削除し、古いサーバーを解約します。データの控えはお渡しします。
まわれまわれのサイトは、いまちょうど3の段階です。記事49本と画像69枚を移し終え、確認用のURLで見比べています。
実際に測ってみた：表示の速さ
2026年10月22日、Googleの「PageSpeed Insights」で、スマホでの表示の速さを100点満点で比べました。
| ページ | 今のWordPress | Cloudflare版 |
|---|---|---|
| 記事ページ | 81点 | 100点 |
| トップページ | 78点 | 100点 |
| LINE制作のページ | 63点 | 100点 |
表示されるまでの時間は、およそ4分の1〜10分の1になりました。ただし、トップページはCloudflare版のほうがまだ簡単な作りなので、まったく同じ条件の比較ではありません。Cloudflareの利用料は、無料プランのまま0円です。
引越しの途中で気づいたことは、このブログでも紹介していきます。
費用について
Cloudflare側は、小さなお店のホームページなら無料プランで収まることがほとんどです。ドメイン代は今まで通りかかります。
引越し作業の費用は、ページ数・フォームの有無・作り直すかどうかで変わるため、今のサイトを拝見してから個別にお見積りします。
よくある質問
Q. エックスサーバーを使っています。今すぐ何かしないと危ないですか？
今回の脆弱性については、急いでPHPのバージョンを変える必要はないと、エックスサーバーが案内しています。同社がPHP 5.6〜8.5に修正を適用済みのためです。ただし、PHP 8.2のサポートは2026年12月31日で終わるので、8.2以下のサイトは年内に切り替えの準備をしておきましょう。
Q. ドメイン（お店のURL）は変わりますか？
変わりません。今のドメインのまま、表示する場所だけをCloudflareに切り替えます。
Q. 自分でお知らせを更新できますか？
できます。更新する人に合わせて、簡単に書き換えられる方法を用意します。
まずは「うちのサイト、引越せる？」から
サーバー会社のメールが来ている、管理画面へのログイン方法が分からない、作った業者さんと連絡が取れない。そんな状態からでも大丈夫です。
サイトのURLを教えていただければ、引越しが向いているか、WordPressのまま更新したほうがいいかをお伝えします。
参考にした情報
- PHP公式「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日）https://www.php.net/
- エックスサーバー「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」（2026年10月22日、10月23日追記）https://www.xserver.ne.jp/news_detail.php?view_id=19734
- PHP公式「Supported Versions」https://www.php.net/supported-versions
- WordPress公式「Dropping support for PHP 7.2 and 7.3」（2026年1月9日）https://make.wordpress.org/core/2026/01/09/dropping-support-for-php-7-2-and-7-3/
※確認日：2026年10月23日。脆弱性の対応状況は日々更新されます。最新の情報は各公式サイトでご確認ください。
コメント