PHPの重大な脆弱性「php2shell」に関する更新情報が公開されました。PHP公式は、認証なしのリモートコード実行につながる可能性があるとして、修正の適用を強く勧めています。 出典1
2026年10月21日の夜には、高市早苗首相もXで対応を呼びかけました。INTERNET Watchが紹介した投稿では、PHPの利用状況の確認と修正パッチの速やかな適用に加え、すぐに修正できない場合の一時的なサイト停止にも言及しています。Webサイトの裏側で使われるソフトウェアの問題が、首相の注意喚起にもつながるニュースになりました。 出典2
実際に、多くのサイトやサービスで緊急メンテナンスや予防的な公開停止が告知されました。たとえば、保育・教育施設向けサービスのコドモンは、修正プログラムの公開を待つ間のリスクを避けるため、サービスを一時停止したと説明しています。セガも、製品情報サイトでPHPの脆弱性対応に伴う緊急メンテナンスを告知しました。 出典2 出典3 出典4
ここで分けて考えたいのは、サイトが止まったことと、攻撃の被害が出たことは同じではないという点です。コドモンは、被害を未然に防ぐための予防措置だったと説明し、告知時点で本件による不正アクセスや情報漏えいは確認されていないとしています。安全を守るために、あえて止めるという判断もあります。 出典3
サービスが使えなくなると、普段は意識しないサーバーやソフトウェアの保守が、日々の生活や仕事とつながっていることが見えてきます。サイトを運営する側にとっても、「何で動いているのか」「誰が更新するのか」「緊急時に誰へ連絡するのか」を確認しておく大切さを考えさせられる出来事でした。
このサイトは、その少し前にEmDashへ移したばかりです。今回の一連の動きは、つくりやすさや更新のしやすさだけでなく、公開した後にどう守り続けるかを考えるきっかけにもなりました。「CMSを変えると何が変わって、何は変わらないのか」を、自分の移行経験と合わせて整理してみます。
先に書いておくと、このサイトはもともとWordPressではなく、手書きのHTMLでつくった静的サイトでした。今回の脆弱性を避けるために移行したわけでもありません。これは「EmDashにすれば全部安心」という話ではなく、使い始めてみた経験から、サイトを保守する仕組みを考える話です。 出典5
1．そもそも、PHPの脆弱性って何？
PHPは、Webサーバー側でプログラムを動かすための言語です。WordPressなどのCMSも、このPHPの実行環境の上で動いています。
「脆弱性」は、その仕組みの不具合が、意図しない操作に悪用される可能性のある状態だと考えると分かりやすいと思います。
今回のphp2shellは、CVE-2026-109618とCVE-2026-109619という2件の問題を指します。PHPがWebからのリクエストを処理する際のメモリ管理に問題があり、条件がそろうと、ログインしていない第三者にサーバー上でコードを実行される可能性があります。PHP公式の告知日は2026年10月21日です。 出典1
難しい仕組みをすべて理解するより、まず押さえたいのは、今回の問題はWordPressのプラグインではなく、PHP本体にあるという点です。サイトのコードやプラグインだけを更新しても、PHP本体への修正適用の代わりにはなりません。 出典6
2．サイト運営者は、まず何をすればいい？
確認することは、大きく3つです。
- 自分のサイトがPHPを使っているか。 分からなければ、制作担当者やホスティング会社に確認する。
- 今回の修正が適用されているか。 PHP公式だけでなく、利用しているOSやホスティング会社の対応情報を見る。
- 利用者側に必要な作業があるか。 PHPの切り替えや更新が必要な場合は、提供元の手順に従い、更新後に表示や主要機能を確認する。
ホスティング会社への問い合わせなら、「このサイトで利用しているPHPについて、CVE-2026-109618／109619への対応状況と、こちらで必要な操作を教えてください」で伝わります。
なお、OSやサービス提供元が修正を取り込む場合もあるため、画面に出ているバージョン番号だけで未対策と決めつけないようにします。 出典1
CloudflareはWAFによる防御も案内していますが、PHPの更新も引き続き推奨しています。WAFは追加の防御であって、更新しなくてよくなる仕組みではありません。 出典6
3．では、EmDashは何が違うのか
EmDashは、Astroを土台にしたCMSです。TypeScriptでつくられ、Cloudflare WorkersやNode.jsの環境で動きます。PHP上で動くCMSとは、使っている実行環境が違います。 出典7
CMSを「記事を書くための道具」とすると、実行環境は「その道具を動かす土台」です。今回問題になったのは、PHPという土台の部分。EmDashがPHPを必要としないことと、EmDashを含むシステム全体に問題が起きないことは、別の話です。
図：CMSと実行環境を分けて考える。PHP本体の修正適用と、将来どのCMSを使うかの判断は別に進める。
EmDashのもうひとつの特徴は、対応するプラグインに、必要な権限だけを与えて隔離して動かす仕組みがあることです。たとえるなら、「建物全体の鍵を渡すのではなく、必要な部屋の鍵だけ渡す」考え方です。
ただし、すべてのプラグインが自動的に隔離されるわけではありません。公式ドキュメントでも、サンドボックス用の実行設定が必要なこと、ネイティブプラグインはEmDash本体と同じプロセスで動くことが説明されています。 出典8
そして、プラグインの権限を制限する話と、今回のPHP本体の脆弱性の話は別の層の問題です。ここをひとまとめにして「新しいCMSだから安全」とは言えません。
4．EmDashには、どんな期待と慎重な声がある？
EmDashは2026年4月1日に発表され、2026年9月28日には1.0が公開されました。2026年10月15日の1.3では、変更履歴の表示や編集画面、WordPressからの取り込みなどが改善されています。今回のPHPのニュース以前から、CMSとしての使いやすさを整える開発が続いていたことが分かります。 出典7 出典9 出典10
いくつかの論評を読むと、期待されているところと、慎重に考えたいところの両方が見えてきます。
開発者のMaciek Palmowskiは、発表時の論評で、プラグインの権限を明示する設計や、MCPを含むAIとの連携を評価しています。一方で、自分のブログはMarkdownと静的サイトで足りており、CMSを追加する理由はない、とも書いています。機能が優れていても、すべてのサイトに必要とは限らない、という視点です。 出典11
また、Essam Amdaniの比較記事は、EmDashの設計を評価しながらも、WordPressのテーマやPHPプラグインがそのまま動くわけではないと指摘しています。記事データを移せることと、サイトの見た目や機能、日々の運用までそのまま移せることは別です。 出典12
これは個別の論評であり、利用者全体の意見を調べたものではありません。ただ、「WordPressの後継かどうか」だけでなく、どんなサイトに合い、誰が運用するのかで考えた方がよさそうです。
5．ひと足先に移行してみて、変わったこと
このサイトでEmDashに変えた理由は、PHPの更新から逃げるためではなく、サイトを更新しやすくするためでした。
以前は、文言を1行直すだけでもコードを開く必要がありました。いまは「デザインはコード、文言はEmDash」と役割を分けています。文言の変更は管理画面から行い、ページの見た目や機能を変えるときはコードを触る、という形です。前回の記事でも、文言の修正が管理画面から数分で済むようになったと書きました。 出典5
Notion AIからMCP経由で記事の下書きを扱えることも、自分の使い方には合っています。考えたことや作業の記録がある場所と、記事を書く場所をつなげやすくなりました。公開するかどうかは人が判断する、という分担は続けたいところです。 出典5
ただし、静的HTMLからCMSへ移したので、仕組みが減ったわけではありません。記事や画像の保存先、管理画面の認証、AIに渡す権限、バックアップなど、運用として考えることは増えます。
よかった点は、何もしなくてよくなったことではなく、普段の更新で触る場所を分けられたこと。今回のニュースを機に考えると、CMS選びは、機能を比べるだけでなく「何を、誰が、継続して面倒を見るか」を選ぶことでもあると思います。
6．CMSを変えても、保守がなくなるわけではない
PHPを使っているなら、まずは今回の修正が適用されているかを確認する。それと、将来どんな仕組みでサイトを運用するかは、分けて考えるのがよさそうです。
WordPressには、長く使われてきたテーマやプラグイン、運用の知見があります。EmDashには、新しい構成やAIとの連携を前提に設計されている面白さがあります。いまの機能や運用を続ける方が合理的なサイトもあれば、構成を見直す機会になるサイトもあるでしょう。 出典12
判断するときは、次の3つを考えてみると整理しやすくなります。
- 何を更新したいか。 記事や文言だけか、ページ構成や機能も頻繁に変えるか。
- 誰が更新するか。 自分だけか、複数の担当者か、AIも使うか。
- 誰が保守するか。 CMSと依存関係の更新、権限管理、バックアップを継続して見られるか。
「PHPだから悪い」「EmDashなら安心」ではなく、自分が続けられる運用になっているか。
今回のニュースと、サイトをつくり直した経験を合わせて考えると、そこを見ておくことが大切だと感じます。
サイトをEmDashへ移した制作過程は、 前回の記事「Notion AIとEmDashで、AIと一緒にサイトをつくり直した話」 にまとめています。
