2026年に出た 2 つの注意喚起

WordPress（wp2shell）PHP（PHP2shell）
公表IPA 2026-07-22IPA 2026-10-22（10-27 更新）
内容2 件を組み合わせると、管理者権限などを要さずに遠隔でコードを実行される可能性2 件を組み合わせると、遠隔の第三者に任意のコードを実行される可能性
影響WordPress 6.9.0〜6.9.4、7.0.0〜7.0.1 などPHP 8.2.35 未満・8.3.36 未満・8.4.27 未満・8.5.12 未満
修正版6.9.5、7.0.2（6.8 系は 6.8.6）8.2.35、8.3.36、8.4.27、8.5.12
悪用米 CISA が悪用の確認された脆弱性の一覧（KEV）に追加米 CISA が KEV に追加。IPA は国内の被害を把握していないとしている

WordPress の注意喚起では、実証コードが公開されており悪用が広がるおそれがあるとして、直ちに更新するよう求めています[1]。PHP の注意喚起では、PHP 8.1 以前はサポートが終わっていて修正が提供されないこと、更新が難しい場合はアクセス制限やサービスの一時停止、データの移行や代替サービスも含めて計画することに触れています[2]。

使い続けると、何が続くのか

  • PHP のサポート期限：PHP 8.2 のセキュリティサポートは 2026年12月31日で終わります。8.3 は 2027年末、8.4 は 2028年末です[3]。サーバーの PHP を上げると、テーマやプラグインが動くかの確認も必要になります。
  • プラグインの脆弱性：Patchstack の 2026年版レポートでは、2025年に見つかった WordPress 関連の脆弱性 11,334 件のうち 91% がプラグイン、9% がテーマでした。46% は公開時点で修正が出ていませんでした[4]。
  • 改ざん：JPCERT/CC には 2026年7〜9月に Web サイト改ざんの報告が 603 件寄せられ、前の四半期の 233% でした。隠したリンクを大量に埋め込む SEO スパムや、決済画面で動く不正なスクリプトの例が挙がっています[5]（CMS の種類は特定されていません）。
  • 管理画面への総当たり：WordPress の公式ドキュメントも、ログイン画面への総当たり攻撃と、そのためのアクセス制限を説明しています[6]。

更新が止まったサイトほど危険です。担当者が異動した、制作会社との保守契約が切れた、というサイトでは、更新が止まったまま公開され続けていることがあります。

PHP を公開サーバーに置かない、という選択

更新を続ける体制を作るより、PHP とデータベースを公開サーバーから無くしてしまうほうが確実な場合があります。私たちは次の 2 つの移行先を提案しています。

移行先向いているサイト更新のしかた
microCMS社内の担当者が日常的に記事を書くサイト管理画面から更新。表示側は静的に書き出して配信
Cloudflare＋Astro（Markdown）更新が少ないサイト、更新を AI に任せたいサイト記事は GitHub の Markdown。AI が下書きし、確認して公開

どちらも、プラグインの更新やサーバーの PHP のバージョン管理が要りません。今の URL を変えずに移し、変える URL は 301 の対応表を作ります。移す前には、ページに埋め込まれた不正なスクリプトや外部への転送が残っていないかを調べ、取り除いてから公開します。

まず確かめること

  • サーバーの PHP のバージョンと、サポート期限
  • WordPress 本体・テーマ・プラグインのバージョンと、自動更新が効いているか
  • 使っていないプラグイン・テーマが残っていないか
  • 誰が更新しているか（社内か、制作会社か、誰もしていないか）
  • 問い合わせフォームの内容がどこに保存されているか

確かめた結果、更新を続けるのが難しそうなら、移行を検討する時期です。今の構成を見て、移すべきか・どちらへ移すかをお伝えします。サービスの全体像はサービス概要をご覧ください。