WordPressはオワコンなのか？PHPの脆弱性問題から考える安全性と今後

「WordPressはもうオワコンなのでは？」そんな不安を感じていませんか。

2026年10月21日、WordPressの動作に使われるPHPで重大な脆弱性が公表されました。

ニュースを見て、「自社サイトをこのまま使い続けて大丈夫なのか」「別のサービスへ乗り換えるべきか」と迷っている方もいるでしょう。

しかし、今回問題が見つかったのはWordPress本体ではなくPHPです。

修正版の公開やレンタルサーバー側の対策も進んでおり、脆弱性の発見だけを理由にWordPressをやめる必要はありません。

この記事では、今回の問題がWordPressに与える影響や安全に使い続けるための対策、乗り換えを判断する基準をわかりやすく解説します。

これからもWordPressを使っていいか不安な人は、ぜひ参考にしてください。

2026年10月のPHP脆弱性問題で何が起きたのか

2026年10月、Webサイトの安全性に関するニュースが広がり、WordPressを使い続けてよいのか不安に感じた方も多いはずです。

まずは今回の出来事を正しく整理し、自社サイトへの影響を冷静に判断するための基礎を押さえましょう。

PHPに重大な脆弱性が発見された

2026年10月21日、PHPで「PHP2Shell」と呼ばれる重大な脆弱性が2件公表されました。

悪用されると、外部の第三者がサーバー上で不正なプログラムを実行するおそれがあるためです。

たとえば、攻撃者が管理画面にログインすることなく、サーバーに不正な操作を仕掛ける可能性があります。

何が危険なのかを正しく理解すれば、必要な安全対策を落ち着いて判断できるでしょう。

WordPress本体ではなくPHP側の問題だった

今回の脆弱性はWordPress本体ではなく、その動作を支えるPHPに存在していました。

問題が見つかったのは、Webサイトの情報を管理するWordPressの機能ではなく、サーバー上でプログラムを動かすPHPの処理になります。

具体的には、WordPress本体を最新版に更新していても、PHPが未修正なら影響を受ける可能性があります。

問題の原因を正しく把握すれば、WordPressを急いでやめることなく、必要な対策を見極められるでしょう。

PHP開発元が修正版を公開した

PHPの開発元は2026年10月21日、今回の脆弱性を修正したバージョンを公開しました。

問題のある処理を修正したPHPへ更新することで、攻撃の原因となる弱点を取り除けるためです。

たとえば、PHP公式サイトでは、8.2.35、8.3.36、8.4.27、8.5.12が修正版として案内されています。

修正済みのPHPを使用することで、今回の脆弱性を悪用した攻撃の危険性を減らせるでしょう。

エックスサーバーなどが緊急の安全対策を実施した

エックスサーバーなどのレンタルサーバー事業者も、今回の脆弱性に対して緊急の安全対策を実施しました。

利用者自身ではサーバー内部の修正を行えない場合があり、事業者側の対応が重要になるためです。

具体的には、エックスサーバーはPHP 5.6～8.5について、修正パッチの適用を完了したと発表しています。

契約しているサーバーの対応状況を確認すれば、自社サイトに追加の対策が必要か判断しやすくなるでしょう。

WordPressが「オワコン」と言われる主な理由

WordPressが「オワコン」と言われる背景には、さまざまな事情があります。

ネット上の否定的な意見だけで判断せず、なぜそのような評価が広がっているのかを整理することが大切です。

脆弱性に関するニュースが繰り返し報道される

WordPressが「オワコン」と言われる理由の一つは、セキュリティに関するニュースが繰り返し報じられることです。

問題が発生するたびに危険性が強調されると、WordPressそのものが安全ではないという印象を持たれやすいためです。

たとえば、一部のプラグインに脆弱性が見つかっただけでも、WordPress全体に問題があると受け取られる場合があります。

ニュースの内容と影響範囲を正しく理解すれば、必要以上に不安を感じず、自社サイトへの影響を冷静に判断できるでしょう。

WordPress本体やプラグインの更新が必要になる

WordPressは定期的な更新が必要なため、運用の手間を負担に感じる人もいます。

WordPress本体やプラグインには、新しい機能の追加だけでなく、不具合やセキュリティ上の問題を修正する更新もあるためです。

たとえば、店舗のホームページを運営している場合、営業情報の更新とは別に、WordPressやプラグインの更新状況も確認する必要があります。

更新作業を日常的な管理に組み込めば、問題を放置するリスクを減らし、安心してサイトを運営できるでしょう。

プラグインに依存すると管理が複雑になりやすい

WordPressはプラグインを増やしすぎると、サイトの管理が複雑になりやすい仕組みです。

それぞれのプラグインで更新や設定が必要になり、組み合わせによっては不具合が発生することもあるためです。

たとえば、予約機能や問い合わせフォームなどを追加するたびにプラグインを導入すると、管理する項目が増えていきます。

本当に必要な機能だけを残すことで、管理の負担を減らし、トラブルにも対応しやすいサイトを維持できるでしょう。

古いWordPressサイトが放置されている

更新されずに放置された古いWordPressサイトも、WordPress全体の評価を下げる原因になっています。

古い状態のまま運用を続けると、修正済みの脆弱性が残り、不正アクセスなどの被害につながる可能性があるためです。

たとえば、数年前に制作した店舗サイトを一度も更新せず、古いプラグインを使い続けているケースがあります。

定期的に管理状況を確認して必要な更新を行えば、古いサイトでも安全性を高め、長く活用できるでしょう。

新しいホームページ作成サービスが増えている

手軽にホームページを作成できるサービスが増えたことも、WordPressが「オワコン」と言われる理由の一つです。

専門知識がなくてもサイトを制作でき、サーバー管理などの手間を抑えられるサービスが登場しているためです。

たとえば、WixやStudioなどでは、あらかじめ用意された機能を使ってホームページを作成できます。

各サービスの特徴を理解して比較すれば、自社の目的や管理体制に合った方法を選びやすくなるでしょう。

利用者が多いWordPressは本当に危険なのか

WordPressの利用者が多いことは、安全性を考えるうえで重要なポイントです。

一方で、利用者の多さだけで危険かどうかを判断することはできないため、さまざまな角度から安全性を確認する必要があります。

利用者が多いほど攻撃対象になりやすい

世界中で広く利用されているWordPressは、攻撃者に狙われやすい傾向があります。

多くのサイトが同じ仕組みを使用しているため、一つの攻撃方法が複数のサイトに通用する可能性があるからです。

たとえば、広く使われているプラグインに脆弱性が見つかると、それを利用する多数のサイトが攻撃対象になることがあります。

実際に筆者の顧客でも古いプラグインを経由して、不正アクセスに遭った方がいました。

攻撃されやすい理由を理解しておけば、必要なセキュリティ対策を優先して実施し、被害を防ぎやすくなるでしょう。

開発者や研究者が多く脆弱性を発見しやすい

WordPressは多くの開発者やセキュリティ研究者が関わっているため、脆弱性を発見しやすい環境にあります。

プログラムの内容が公開されており、世界中の専門家が問題点を調査できる仕組みだからです。

たとえば、セキュリティ研究者がプラグインの問題を発見し、開発者に報告することで、攻撃に悪用される前に修正される場合があります。

多くの専門家が安全性の向上に関わることで、問題の早期発見が期待できる環境が整っているのです。

不具合の報告や修正が活発に行われている

WordPressは、不具合やセキュリティ上の問題が見つかった際の報告や修正が活発に行われています。

世界中の開発者が継続的に改善に取り組んでおり、問題を共有して修正する仕組みが整っているためです。

具体的には、WordPress本体に脆弱性が発見された場合、開発チームが修正版を公開し、利用者に更新を案内することがあります。

継続的に改善される仕組みがあることで、利用者は新たな問題にも対応しながら、サイトを運営し続けられるでしょう。

修正が早くても適用しなければ安全にはならない

WordPressの脆弱性が素早く修正されても、自社サイトに反映されなければ安全性は確保できません。

修正版が公開されただけでは、古いプログラムを使用しているサイトの問題は解消されないためです。

たとえば、プラグインの修正版が公開されても、管理画面から更新せずに放置している場合は、脆弱性が残る可能性があります。

公開された修正を適切に適用することで、既知の脆弱性を悪用されるリスクを減らし、安全な運用につなげられるでしょう。

サポートが終了したPHPには特に注意が必要になる

WordPressを安全に運用するには、サポートが終了したPHPを使い続けないことが重要です。

サポートが終了したバージョンでは、新しい脆弱性が発見されても、公式の修正版が提供されないためです。

たとえば、PHP 7.4はすでに公式サポートが終了しており、サーバー側の独自対策がなければ、新たな問題に対応できない可能性があります。

とくにWordPress6.x系はPHP7.4が最低動作バージョンになっていたため、注意してください。

WordPressが今もオワコンではないと考える理由

WordPressは古い仕組みという印象を持たれることもありますが、現在の価値をイメージだけで判断することはできません。

自社サイトで使い続けるべきか考えるために、今も選ばれている理由を確認しましょう。

世界中の多くのWebサイトで利用され続けている

WordPressは現在も世界中の多くのWebサイトで利用されており、オワコンとはいえません。

企業サイトから個人ブログまで幅広い用途に対応でき、多くの利用者に選ばれ続けているためです。

たとえば、2026年10月のW3Techsの調査では、世界のWebサイトの約4割がWordPressを使用しています。

現在の普及状況を正しく理解すれば、ネット上の否定的な意見に左右されず、継続利用を判断できるでしょう。

専門知識がなくてもコンテンツを更新できる

WordPressは、プログラミングの専門知識がなくても、文章や画像を更新できる仕組みです。

管理画面から直接コンテンツを編集できるため、日常的な情報発信を社内で行いやすいからです。

たとえば、飲食店の営業時間や新メニューのお知らせも、管理画面から文章を入力して画像を追加するだけで公開できます。

自社で情報を更新できれば、制作会社への依頼を減らし、必要な情報をすばやく発信できるでしょう。

テーマやプラグインによって機能を拡張できる

WordPressは、テーマやプラグインを活用することで、サイトの見た目や機能を柔軟に変更できます。

さまざまな用途に対応したテーマやプラグインが公開されており、一から開発しなくても必要な機能を追加できるためです。

たとえば、飲食店向けのテーマでデザインを整え、予約フォーム用のプラグインを導入することも可能です。

必要な機能を選んで追加すれば、事業の成長やサービスの変化に合わせてサイトを発展させられるでしょう。

自社の方針に合わせてサイトを自由にカスタマイズできる

WordPressは、自社の目的や運営方針に合わせてサイトを細かくカスタマイズできます。

デザインやページ構成、機能などを変更できるため、決められた形式に縛られずにサイトを制作できるからです。

たとえば、店舗の魅力を伝える写真を大きく配置したり、予約ボタンを目立つ位置に設置したりできます。

自社の強みや利用者の行動に合わせて調整することで、集客や問い合わせにつながりやすいサイトを目指せるでしょう。

制作会社や開発者が多く運用を引き継ぎやすい

WordPressは対応できる制作会社や開発者が多く、サイトの運用を引き継ぎやすいことも強みです。

世界中で広く使われているため、制作や保守に関する知識を持つ専門家を探しやすいからです。

仮に現在の制作会社との契約が終了しても、WordPressに対応した別の会社へ管理を依頼できる場合があります。

相談先の選択肢が多ければ、特定の会社に依存するリスクを減らし、長期的にサイトを運営しやすくなるでしょう。

WordPressを安全に使い続けるための対策

WordPressを安全に運営するには、サイトを公開した後も適切な管理を続けることが重要です。

特別な専門知識がなくても取り組める対策があるため、自社で確認すべきポイントを押さえておきましょう。

レンタルサーバーのPHP対応状況を確認する

WordPressを安全に使い続けるには、契約しているレンタルサーバーのPHP対応状況を確認することが重要です。

PHPの脆弱性はサーバー側で対策される場合があり、利用者自身では対応状況を判断しにくいためです。

たとえば、エックスサーバーなどの公式サイトで、今回の脆弱性に対する修正パッチの適用状況を確認できます。

サーバー側の対応状況を把握しておけば、自社サイトに追加の対策が必要か判断しやすくなるでしょう。

サポート対象のPHPバージョンを使用する

WordPressを安全に運用するには、公式サポートが継続しているPHPバージョンを使用することが大切です。

サポート対象のバージョンであれば、新たな脆弱性が発見された際にも修正版の提供を受けられるためです。

たとえば、WordPress公式サイトではPHP 8.3以上を推奨していますが、切り替える前にテーマやプラグインの対応状況を確認する必要があります。

動作確認を行ってから適切なバージョンへ移行すれば、サイトの不具合を防ぎながら安全性を高められるでしょう。

WordPress本体・テーマ・プラグインを更新する

WordPress本体だけでなく、テーマやプラグインも定期的に更新することが重要です。

古いバージョンを使い続けると、すでに修正された脆弱性が残り、不正アクセスなどの被害につながる可能性があるためです。

WordPressの管理画面に更新通知が表示された場合は、バックアップを取得したうえで更新し、正常に動作するか確認します。

定期的に更新する習慣をつければ、既知の脆弱性を悪用されるリスクを減らし、安定したサイト運営につなげられるでしょう。

不要なプラグインを削除して管理を簡素化する

使用していないプラグインは、無効化するだけでなく削除しておくことが大切です。

不要なプラグインを残していると、管理する項目が増えるだけでなく、脆弱性が発見された際のリスクにもつながるためです。

たとえば、以前使用していた問い合わせフォームや画像表示用のプラグインが不要になった場合は、削除を検討してください。

筆者も定期的に使わなくなったプラグインを停止したり、削除して管理を簡素化しています。

必要なプラグインだけを残すことで、更新や管理の負担を減らし、セキュリティ上の問題も把握しやすくなるでしょう。

バックアップを取得して復旧できる状態にする

WordPressを安全に運用するには、定期的にバックアップを取得し、復旧できる状態を整えておくことが重要です。

不正アクセスや更新時の不具合などでサイトが正常に動かなくなっても、保存したデータから復元できる可能性があるためです。

たとえば、レンタルサーバーの自動バックアップ機能を利用し、データの保存期間や復元方法を確認しておきます。

万が一の際にも復旧できる体制を整えておけば、サイトが利用できない時間を短縮し、事業への影響を抑えられるでしょう。

WordPressを使い続けるか乗り換えるかの判断基準

WordPressを使い続けるか別のサービスへ乗り換えるかは、流行や評判だけで決めるものではありません。

自社の状況に照らして考えることで、納得できる選択がしやすくなります。

自社で更新や保守を続けられる体制があるか

WordPressを使い続けるかどうかは、自社で更新や保守を継続できるかを基準に判断しましょう。

サイトは公開後も管理が必要で、担当者や作業時間を確保できないと対応が遅れやすいためです。

たとえば、毎月の更新確認を担当者が行い、難しい作業だけ制作会社へ依頼する体制が考えられます。

役割を明確にしておけば、問題を放置しにくくなり、無理のないサイト運営を続けられるでしょう。

ブログやお知らせなどの情報発信を続けるか

ブログやお知らせを継続して発信するなら、WordPressを使い続ける価値があります。

管理画面から記事を追加・編集できるため、情報発信を日常業務に取り入れやすいからです。

たとえば、飲食店が季節限定メニューや休業日を定期的に掲載する場合、制作会社に依頼せず社内で更新できます。

必要な情報を自分たちで発信できれば、顧客に最新情報を届けやすくなり、集客にもつながるでしょう。

予約や問い合わせなど独自の機能が必要か

独自の予約機能や問い合わせフォームが必要なら、WordPressの継続利用が有力な選択肢になります。

WordPressはプラグインや個別の開発によって、自社の業務に合わせた機能を追加しやすいためです。

たとえば、予約時に人数や希望時間を入力してもらう仕組みを、自社の受付方法に合わせて設けることも可能です。

必要な機能を維持しながら運用できれば、顧客の利便性を高めつつ、社内の業務効率も改善できるでしょう。

運用の手軽さを優先するなら他サービスも検討する

運用の手軽さを最優先するなら、WordPress以外のホームページ作成サービスも検討するのが適切です。

サーバーやシステムの管理をサービス提供会社に任せられる仕組みなら、自社の保守負担を減らせるためです。

たとえば、WixやSTUDIOなどのサービスでは、サーバーの管理を自分で行わずにホームページを運営できます。

管理にかける時間を減らせれば、店舗運営や顧客対応など、本来の業務に集中しやすくなるでしょう。

乗り換えに必要な費用や移行リスクを比較する

WordPressからの乗り換えを決める前に、費用だけでなく移行に伴うリスクも比較することが大切です。

デザインの作り直しや機能の再設定が必要になり、想定以上の費用や作業時間が発生する場合があるためです。

たとえば、既存ページのURLが変わると、検索結果や外部サイトからのアクセスに影響する可能性があります。

費用とリスクを事前に整理すれば、移行後のトラブルを抑え、自社に合った選択をしやすくなるでしょう。

WordPressの安全性や今後に関するよくある疑問

WordPressを使い続けるうえでは、基本的な対策を知っていても判断に迷う場面があります。

よくある疑問を整理し、必要以上に不安を抱えずに運用するための考え方を確認しましょう。

PHPの脆弱性が修正されれば過去の被害も解消される？

PHPの脆弱性が修正されても、すでに発生した被害まで自動的に解消されるわけではありません。

修正は新たな攻撃を防ぐためのもので、侵入後に残された不正なファイルなどは別途対処が必要だからです。

たとえば、攻撃によって不審な管理者アカウントが作られていた場合、PHPを更新してもそのアカウントは残ります。

被害の有無を確認して必要な復旧を行えば、問題を残したまま運用を続ける危険性を減らせるでしょう。

PHPを更新するとテーマやプラグインが動かなくなる？

PHPを更新すると、古いテーマやプラグインが正常に動かなくなる場合があります。

新しいPHPでは一部の処理方法が変わるため、対応していないプログラムに不具合が生じることがあるからです。

たとえば、PHPの切り替え後に問い合わせフォームが送信できなくなったり、ページの表示が崩れたりするケースがあります。

事前にバックアップと動作確認を行えば、不具合が起きても復旧しやすくなり、安心して更新できるでしょう。

レンタルサーバーが対策済みなら何もしなくていい？

レンタルサーバーがPHPの脆弱性に対応していても、サイト側の管理が不要になるわけではありません。

サーバー側の修正だけでは、WordPress本体やプラグインに存在する別の問題まで解決できないためです。

たとえば、PHPの修正が完了していても、古いプラグインに脆弱性が残っている場合があります。

サーバーとWordPressの両方を適切に管理すれば、対策の抜けを減らし、サイトの安全性を高められるでしょう。

WordPress以外のCMSならセキュリティの心配はない？

WordPress以外のCMSを選んでも、セキュリティ上の心配がなくなるわけではありません。

CMSはサイトの情報を管理する仕組みであり、どの製品にも不具合や不正アクセスの危険性があるためです。

たとえば、別のCMSでも管理者のパスワードが漏れてしまえば、第三者に不正ログインされる可能性があります。

サービスごとの安全対策や管理範囲を理解して選べば、乗り換え後も適切なセキュリティ対策を続けられるでしょう。

WordPressの開発やサポートは今後も続く？

WordPressの開発やサポートは現在も続いており、直ちに終了する状況ではありません。

世界中の開発者が新機能の開発や不具合の修正に参加し、更新版が継続的に公開されているためです。

たとえば、2026年10月にもWordPress公式サイトでセキュリティ修正版の公開が案内されています。

公式情報を定期的に確認しておけば、今後の変更にも対応しながら、長期的な運用計画を立てやすくなるでしょう。

まとめ

2026年10月に発覚したPHPの重大な脆弱性は、WordPress本体ではなく、その動作を支えるPHPに関する問題でした。

修正版の公開やレンタルサーバー側の対策も進んでおり、今回の問題だけを理由にWordPressを「オワコン」と判断する必要はありません。

WordPressは利用者が多いため攻撃対象になりやすい一方、開発者やセキュリティ研究者による問題の発見や修正が活発に行われています。

現在も世界中で広く利用されており、更新のしやすさや機能の拡張性など、多くのメリットがあります。

ただし、安全に使い続けるには、PHPやWordPress本体、テーマ、プラグインの更新など、継続的な保守が欠かせません。

今後もWordPressを使い続けるか、別のサービスへ乗り換えるかは、自社の管理体制や必要な機能、費用などを踏まえて判断することが大切です。

現在のサイトに大きな不満がないのであれば、まずは運用状況を見直し、必要な安全対策を整えることから始めてください。

適切に管理すれば、WordPressは今後も自社の情報発信や集客を支える有効なツールとして活用できるでしょう。