PHPの脆弱性（php2shell）への対応と、当社ホームページの仕組みの変更について2026.10.23

10月21日の夜、Webサイトの多くで使われているプログラム言語PHPに、重大な脆弱性（通称 php2shell）が公表されました。外部からサーバーを乗っ取られるおそれがある種類のもので、修正版は同日23時ごろに公開されました。

当社のホームページは10年ほどWordPressで運用してきましたが、PHPとサーバーの仕組みが古く、修正版をすぐに適用できる状態ではありませんでした。そのため、安全を優先して21日22時にホームページの公開をいったん停止しました。翌22日の昼前に再開するまでの間、ご覧いただけない状態となり、ご不便をおかけしました。


■ 行った対応
・修正済みのPHP 8.3で動く環境を別に用意し、WordPressを最新版に更新
・すべての記事とページ（949のURL）を静的なHTMLに書き出し。各ページのURLはこれまでと変わりません
・お問い合わせと採用エントリーのフォームを、Microsoft Formsで作り直しました
・外部からはHTMLと画像を返すだけの構成とし、PHPが外部から一切動かない状態にしました

公開を再開した後、サーバー設定の点検を行い、必要な見直しも済ませました。最後に、全539ページと画像などの部品8,532件を外部から確認し、表示に問題がないことを確かめています。

今回の作業は、生成AIの「Claude」を活用して行いました。データの保存、フォームの作成、サーバー設定の作成と点検をAIが担い、私が確認しながら実行しました。作業の前にはバックアップを取り、いつでも元に戻せる状態で進めています。


■ そもそもCMSは必要か
今回あらためて考えたのは、当社のホームページにCMS（WordPressのような更新の仕組み）が本当に必要か、ということです。

CMSは1990年代半ば、新聞社や大企業のサイトで、大勢で大量のページを更新するために生まれました。2000年代にWordPressなどが無料で使えるようになり、中小企業のホームページにも広く普及しました。ただ、当社のような会社のホームページでCMSに求めていたのは、ほぼ「HTMLを書けなくても更新できる」という一点だったと思います。

一方で、CMSを使う限り、PHPやデータベース、プラグインの更新と脆弱性への対応は常に付いて回ります。今回のように、サイトの内容とは関係のないところで夜中に公開を止めることにもなります。

静的なHTMLで公開する考え方自体は、新しいものではありません。技術者の世界では、HugoやAstroのような静的サイトジェネレーターや、編集画面と公開サイトを分けるJamstack、ヘッドレスCMSといった構成が、10年ほど前から主流の一つになっています。ただ、組み立てて運用できる人がいないと使えないため、中小企業のホームページにはあまり広がってきませんでした。

そこがAIで変わったと考えています。今回のように組み立てはAIが担い、更新も文章と写真を渡せばHTMLの作成から反映まで対応できます。「HTMLを書けなくても更新できる」というCMSの役割も、静的化の壁だった「作れる人がいない」という点も、AIで補えるようになりました。この流れは、今後一気に進むのではないかと考えています。

もちろん、何人もの担当者が毎日のように更新するサイトでは、CMSは今も便利です。下書きや承認、権限の管理など、誰でも安心して更新できる仕組みとしての良さもあります。Cloudflareが発表したEmDashのように、PHPを使わない新しいCMSも登場しています。

また、ネットショップはShopifyやBASE、フォームはMicrosoft Formsのように、動く部分は専門のサービスに任せ、サイト本体は静的なHTMLにする。そうした組み合わせが、これからの標準になっていくのかもしれません。当社のホームページは、当面この静的な形で運用します。


■ お問い合わせフォームについて
お問い合わせと採用エントリーのフォームは、Microsoft Formsに変わりました。入力していただく項目はこれまでと同じです。営業・勧誘目的のご連絡はご遠慮いただきますよう、お願いいたします。

WordPressでホームページを運用されている方は、一度PHPのバージョンを確認されることをおすすめします。