こんにちは。Simploop開発チームです。
「またセキュリティ対応の連絡が来た」「更新するとサイトが壊れないか心配」。企業のWebサイトを担当していると、情報を発信する仕事以上に、サイトを維持するための調整に時間を取られることがあります。
2026年10月21日、IPAはPHPのセキュリティリリースに備えるよう呼びかけました。この機会に考えたいのが、PHPの更新に対応し続けることに加え、次のサイトではPHPを使わない構成を選ぶという方法です。
その候補が、Cloudflareが開発するCMS「EmDash」です。この記事では、今のサイトで必要な対応を整理したうえで、次のリニューアルで減らせる保守負担を紹介します。
1. IPAの事前告知から、PHPの修正版公開へ
重大な脆弱性の事前告知が意味すること
IPAは10月21日、PHPの2件の脆弱性について、修正版を速やかに適用できるよう事前準備を求めました。告知時点ではIPAが悪用した攻撃を確認したというものではなく、予防的な情報発信でした。IPAの事前告知
本記事の公開日である10月22日時点では、PHP公式が修正版の公開を案内しています。 対象はCVE-2026-109618とCVE-2026-109619で、認証なしのリモートコード実行につながる重大な脆弱性です。修正を含むバージョンはPHP 8.5.12、8.4.27、8.3.36、8.2.35です。利用している系統や提供元に応じて、修正済みパッケージへの更新を確認してください。PHP公式のセキュリティ情報・リリース案内
WordPress自体の更新だけで、PHPの修正まで済むとは限りません。まず現在の環境について、ホスティング事業者や保守担当者に対応状況を確認することが必要です。CMSの移行には準備期間がかかるため、今のサイトへの対処を移行完了まで待つことはできません。
「制作会社に任せている」なら、担当範囲を確認する
外部に保守を委託することは有効です。ただし、契約によって対象範囲は異なります。記事の更新代行、WordPressやプラグインの更新、PHPやサーバーの管理は、それぞれ別の担当になっていることもあります。
発注者が細かな技術を覚える必要はありません。「PHPの更新は誰が担当するか」「今回の修正は適用済みか」「適用後の表示やフォーム送信を誰が確認するか」。この3点を確認できれば、対応の抜けを見つけやすくなります。
2. なぜWordPressの保守対応は続くのか
アプリ・実行環境・サーバーという複数の保守対象
WordPressサイトは、WordPress本体だけで動いているわけではありません。一般的には、プログラムを動かすPHP、記事などを保存するMySQLやMariaDB、Webサーバーなどが組み合わさっています。WordPressの動作要件
さらにテーマやプラグインを加えると、確認する対象も増えます。マネージドサービスを使えば作業の多くを事業者に任せられますが、どこまで委託でき、どこから自社で確認するかを整理する必要があります。
更新したいのに、互換性が気になる
PHPやプラグインを更新すると、古いテーマや独自の改修が動かなくなる場合があります。画面が表示されない、問い合わせフォームが送信できない、といった問題を避けるには、バックアップや動作確認、復旧手順の準備が欠かせません。WordPress公式のPHP更新ガイド
更新による不具合を避けたい一方、更新を止めれば既知の脆弱性への対応が遅れる。この調整が、担当者の負担になります。
保守費用の中身を、次の構成から見直す
保守にはサイトを守る価値があります。費用を単純に削るだけでは、確認や復旧の体制まで失いかねません。
そこで私たちが提案したいのは、管理する対象そのものを減らす設計です。次のリニューアルで構成を見直せば、従来必要だった作業の一部をなくし、サイトの改善や情報発信へ時間を振り向けられる可能性があります。
3. PHPを使わないCMS「EmDash」とは
TypeScriptとAstroを基盤にしたオープンソースCMS
EmDashはTypeScriptで書かれ、Webサイトを構築するAstroを基盤とするオープンソースCMSです。Cloudflareは2026年9月28日に安定版のEmDash 1.0を発表しています。開発者がサイトを構築し、編集担当者が管理画面からコンテンツを更新する仕組みです。CloudflareのEmDash紹介、EmDash 1.0の発表
PHPを構成から外すと、何が変わるか
EmDashのサイトをPHPに依存しない形で構築すれば、そのサイトの実行環境にPHPを置く必要がありません。使っていないPHPに対して、サイト担当者がパッチを適用する作業も発生しません。
PHPの脆弱性ニュースが出るたびに、サイトのPHPのバージョンを調べ、対応を依頼し、更新後の挙動を確認する。その一連の作業を、構成の選択によって減らせるのが大きなメリットです。
ただし、旧WordPressサイトを公開したまま残したり、PHP製のフォームや別サービスを連携させたりすれば、その部分の対応は残ります。移行では、公開ページだけでなく、周辺機能と旧環境の終了まで確認することが大切です。
Workers・D1・R2で、サーバー管理をサービス側へ
Cloudflare上では、処理を実行するWorkers、データベースのD1、画像などを保存するR2を組み合わせて運用できます。この構成では、自社でOSを管理するサーバーを用意せずにサイトを動かせます。EmDashのCloudflareデプロイガイド
PHPの保守対象がなくなり、実行基盤の管理はサービス提供側が担います。一方、CMSや依存ライブラリの更新、アカウントの権限管理、データのバックアップなどは引き続き必要です。EmDashを自社のNode.jsサーバーで動かす場合は、そのサーバーの保守も残ります。
4. WordPressからEmDashへ、日々の運用はどう変わる？
セキュリティ・保守：PHPの更新対応を運用から外せる
- WordPress： PHPを含む実行環境と、CMS・テーマ・プラグインの更新を管理します。委託できる範囲は契約によって異なります。
- EmDashをCloudflare上で運用： PHPの更新や自前のOS管理が不要になります。CMSや拡張機能の更新、権限・バックアップの管理は継続します。
「すべてのパッチ対応から解放される」とは言えません。それでも、PHPに関する確認・更新の工程を一つなくせることは、少人数で企業サイトを運用するチームにとって検討する価値があります。
日常の更新：編集担当者は管理画面から操作
EmDashにも記事を編集する管理画面があります。公式ガイドでは、記事を開いてタイトルを変更し、保存して公開する流れが紹介されています。開発担当者が更新項目を整えておけば、お知らせを追加するたびにプログラムを書き換える必要はありません。EmDashの編集・公開手順
WordPressで使っていた画面や操作をそのまま引き継ぐわけではないため、移行前には実際のお知らせ原稿で操作を試すとよいでしょう。画像の差し替え、下書きの確認、公開までを担当者が無理なく行えるかが判断の基準です。
表示速度・コスト：配信設計と総費用で比べる
Cloudflare上の配信やキャッシュを活用し、閲覧者に素早くコンテンツを届ける構成を検討できます。ただし、画像の重さ、外部スクリプト、データ取得方法によって速度は変わります。WordPressもキャッシュやCDNで高速化できるため、CMS名だけで優劣は決まりません。
費用も、サーバー代だけで比べると判断を誤ります。EmDash側の利用料金に加え、移行作業、機能の作り直し、保守や操作説明まで含めた総費用で比較しましょう。Cloudflareの利用料はリクエスト数や処理時間、データの保存・読み書きなどで変わります。Workersの料金、D1の料金、R2の料金
小規模なコーポレートサイトでは、必要な機能を絞り、保守対象を減らすことで運用費用を抑えられる可能性があります。具体的な削減額は、現在の契約とアクセス状況を確認して見積もる必要があります。
5. 次のリニューアルで「PHPからの脱却」を検討する
WordPressを続けることが合理的なケース
既存のプラグインや独自機能が業務に深く結びついている場合、WordPressを継続する利点があります。運用体制が整い、更新や復旧を問題なく行えている場合も、脆弱性のニュースだけを理由に急いで全面移行する必要はありません。
EmDashが候補になるケース
会社紹介、お知らせ、導入事例、採用情報など、必要な機能を整理しやすい企業サイトは、EmDashを検討しやすい対象です。特に、リニューアルを予定していて、PHPの更新やプラグインの互換性確認を今後の運用から減らしたい場合に候補になります。
移行の際は、記事や画像を移すだけでなく、URLとリダイレクト、検索向けの設定、フォーム、アクセス解析も確認します。WordPressのテーマやPHPプラグインがそのまま動くわけではなく、代替手段や再実装の検討が必要です。EmDashのWordPress移行ガイド
EmDashへの移行・コーポレートサイト構築のご相談
私たちSimploopでは、EmDashへの移行や、コーポレートサイトの新規構築に関するご相談を承っています。
最初に確認したいのは、現在のサイトで使っている機能、日常の更新方法、保守にかかる費用と時間です。それをもとに、WordPressを継続する場合と、EmDashへ移行する場合の作業・費用・運用を整理します。
次のリニューアルでは、見た目とあわせて「何を保守し続けるサイトにするか」も選んでみませんか。
この記事は2026年10月22日時点で確認した公式情報をもとにしています。脆弱性への対応状況や製品の仕様・料金は、リンク先の最新情報をご確認ください。