PHPの脆弱性を知った夜、WordPressを続ける理由

01PHPの問題を知って、不安になった夜

今回公表されたのは、攻撃者がログインせずに、外部からサーバー上で不正なコードを実行できる可能性があるという脆弱性です。PHP公式は10月21日に修正版を公開し、速やかな更新を呼びかけました。

しかしあまり慣れていない人にとっては、技術的な説明だけでは「何が危険なのか」分かりにくいと思います。

家にたとえるなら、玄関には鍵をかけているのに、壁に外から入り込める穴が見つかったようなものです。その穴を悪用されると、鍵を持っていない人でも侵入し、中にある物を壊したり、持ち出したりできてしまうおそれがあります。自分の家に変えてしまうこともできます。

サイトでは、これがデータの改ざんや情報の盗み出しなどにつながる可能性があります。実際にできることは環境や権限によって変わりますが、放置して良い問題ではありません。

もちろん、穴が見つかったことと、実際に誰かが侵入したことは別です。今回の修正版への更新は、その穴をふさぐための対応になります。

この問題を知る前後から、僕の目に入るSNSで、「WordPressはもうやめたほうがいい」「別のサービスに移ったほうがいい」という発信が目立つようになりました。インフルエンサーによる発信もあり、正直、不安になりました。

ただ、実際に自分の環境を確認し、サポートとやり取りした今、僕は引き続きWordPressで制作を続けていくことにしました。

今回強く感じたのは、技術に詳しくない人ほど、「困ったときに誰に相談できるかまで確かめてから移行を判断することが大切だ」ということでした。

02最初は、僕も何をすればいいのか分からなかったです。

PHPの問題を知ったとき、僕はすぐに必要な対応を判断できたわけではありません。

自分でPHPを更新する必要があるのか。WordPress.com側で対応してくれるのか。そもそも自分のサイトは、今どのような状態なのか。

その夜は、一時的にサイトや記事を開けない場面もありました。その後、再び閲覧できるようになりましたが、この表示の問題とPHPの脆弱性との関係は確認できていません。

サイトが表示されても、心配は残っていました。ページを開けることだけでは、セキュリティ上の対応が済んでいるとは判断できないからです。

そこで、ChatGPTも活用しながら、何を確認するべきか、サポートには何を伝えるべきかを整理し、確認を進めました。そして、WordPress.comのサポートへ連絡しました。

AIを使うことで、分からないことを整理し、問い合わせるための準備ができました。そのうえで、自分のサイトが置かれている環境については、サービスを運営する側に確認しました。

最初の対応は、AIのサポートでした。

その後、人間の担当者に代わってもらい、技術的な内容について直接やり取りすることができました。10月21日の夜から22日未明にかけてのことです。

僕はサイトのURLを伝え、追加の対応が必要かを尋ねました。担当者からは、次のような返信がありました。

「最近のPHPの脆弱性に関してですが、お客様側での対応は一切不要であり、サイトは完全に保護されておりますのでご安心ください。

WordPress.comのマネージドプラットフォームでは、PHPはインフラレベルで弊社が直接インストール、管理、パッチ適用を行っております。

弊社のセキュリティチームはこのリリースに向けて十分な事前準備を行っており、弊社のプラットフォーム上のすべてのサイトが完全にカバーされ、安全な状態に保たれるようにしております。

弊社がどのようにサイトの安全を維持しているかについては、セキュリティガイドをご覧ください。」

これは、今回の問い合わせに対して受け取った返信の日本語表示です。案内されたのは、WordPress.comのセキュリティガイドでした。

つまり、今回のPHPの問題については、WordPress.com側で管理と修正への対応を行っていて、僕が追加の作業をする必要はないという説明です。

この回答を得られたことで、安心できました。

自分だけでは分からなかったことを、プロの担当者に相談し、利用しているサービスの対応状況を確認できた。このサポートの存在は、非常に大きかったです。しかも迅速に確認してくれました。返信のスピードは早かったです。

03初心者にとっては、「サポートを受けられるかどうか」は大切な選択条件になる。

技術に詳しい人なら、問題が起きたときに自分で調べ、原因を特定し、必要な修正を進められるかもしれません。

でも、僕のように専門的な知識が十分ではない場合には、何が起きているのかを判断すること自体が難しい場面があります。

そんな時に、

相談先がある。

自分が対応する必要があるのかを確認できる。

必要に応じて、管理している側が対応してくれる。

これらは、サービスを選ぶ上で重要な条件だと感じました。

仮に、移行によってある種類の攻撃を受けるリスクが下がったとしても、移行先で自分の管理する範囲が増え、相談先も十分に確保できなければ、問題への対応に困る可能性があります。

異常に気づいても原因が分からない。

必要な更新を判断できない。

復旧方法が分からず、対応が遅れる。

そうした可能性も含めて考えていく必要がります。そして、「そもそもそのサービスは自分のやりたいことができるサービスなのか」も考える必要があります。

今回僕が利用した有人サポートは、WordPress.comのものです。WordPress.comでは有料プランで担当者に相談できますが、別のサーバーでWordPressを運営している場合は、契約先のサポートなどを確認する必要があります。また、WordPress.comにもサポート対象外の作業はあります。

そして僕はその夜に担当者とやり取りできましたが、いつでも必ず同じ速さで対応されるという意味ではありません。

それでも自分の環境について相談できた経験は、「まだWordPressで制作する」と決めた理由のひとつになりました。

0423年続いてきたことにも、意味があると思う

WordPressは2003年に誕生しました。この記事を書いている2026年で、23年になります。長い間、多くの開発者や利用者に支えられながら、開発が続けられてきました。

僕は、これほど長く利用され続けていることにも、理由があると思っています。

記事を公開しやすいこと。必要に応じて機能やデザインを変えられること。使い方を学ぶための情報や、開発・運用に関わる人たちがいること。こうした積み重ねも、選ばれ続ける理由なのだと思います。

もちろん、歴史が長いことだけで安全性を証明できるわけではありません。利用者が多いことも、すべての人に最適であることを意味しているわけではありません。

それでも長年積み重ねられてきた仕組みや知識、人の支えは、僕にとって判断材料です。

05そして、PHPを使っていることだけで、危険だと決めつけないこと。

今回の問題は重大です。必要な更新や対策を省いて良いとは思っていません。

ただ、「PHPに脆弱性が見つかった」という事実から、「PHPを使うものはすべてやめるべきだ」と結論づけるのは、思考停止に近いと思っています。

そもそも、PHPを使っているのはWordPressだけではありません。例えば、サイトを制作・管理するCMSのDrupalもPHPを利用しています。

確認すべきなのは、自分の環境が今回の問題の影響を受けているのか、修正が適用されているのか、誰がその対応を担当するのかということです。

「静的なサイトの方がいい」という声も多いですが、PHPを使わない環境へ移ればインターネット上の危険がすべてなくなるわけでもありません。アカウントの乗っ取りや設定の不備など、別の問題への対策は引き続き必要です。

リスクの種類や大きさは、サービスや運用方法によって違います。だからこそ、それぞれの環境にどんなリスクがあり、どう対処できるのかを考えたいと思います。

06最後に今回の件で改めて感じたこと。それは「SNSの意見を鵜呑みにしない」ということです。

インフルエンサーや技術に詳しい人の発信から、学べることはたくさんあります。自分の知らなかった選択肢を知るきっかけにもなります。

しかし一方で、発信している人と自分では、技術力も、運営するサイトの目的も、困ったときに頼れる相手も違います。

その人にとって便利な環境が、今の自分にも合うかどうかはわかりません。

「WordPressはもうやめたほうがいい」という投稿も多かったです。でも、一度立ち止まってよく考える必要があると思います。何が問題で、自分の環境ではどう対応されていて、移行すると何が改善するのか。その根拠を確かめてから、自分の頭で考え判断していかないといけません。