10月21日、PHPに重大な脆弱性が見つかり、緊急の修正版が公開されました。「PHP2Shell」と呼ばれるこの問題は、アカウントを持たない第三者でも、外部からサーバー上で命令を実行できてしまうというもの。フランスでは行政機関のサイトが予防的に止められるなど、海外でも大きなニュースになりました。
私も、保守を担当しているお客様のサイトを一つずつ確認する日々が続いています。
そんな中、うれしい声もいただきました。2年前、私の呼びかけでPHPを7系から8系に上げていたお客様から、「さすが甲田さん!」と喜んでいただけたんです。今回の修正版が出ているのは8.2以降のバージョンで、7系には公式の修正が届きません。あのとき一緒に作業しておいてよかったと、私もほっとしました。
WordPressを更新しても直らない、という話
PHP2Shellは、WordPress本体ではなく、その下で動いているPHPという言語の問題です。WordPress.orgも「WordPress固有の問題ではない」として、本体の更新は予定していないと表明しています。
つまり、管理画面に「すべて最新です」と表示されていても、それだけでは安心できません。確認するのは、サーバーのPHPのバージョン。ここは、ホームページを持っている方にぜひ覚えておいていただきたいところです。
「もうWordPressはやめたほうがいい?」
この騒ぎをきっかけに、「PHPを使わない作り方に移ったほうがいいのでは」という声も聞こえてくるようになりました。知り合いのWeb事業者さんも、自社サイトをPHPなしに移行したらどうなるか、検証を始めています。
実際、後継の候補はいくつも出てきています。2026年1月には、CloudflareがWebフレームワークのAstroを買収しました。4月には、そのAstroをベースにした新しいCMS「EmDash」を、「WordPressの精神的な後継」として発表しています。
私自身もAstroを使ったサイトづくりに取り組んでいて、新しい作り方の手応えは感じています。それでも、「次はこれです!」とは、簡単には言い切れません。
数字で見るWordPressの現在地
WordPressが生まれたのは2003年。私がWeb制作の仕事を始めた1999年には、まだ存在していませんでした。最初はブログを書くための道具として広がり、2011年の時点では全Webサイトの13.1%。そこから2013年ごろに約20%、2015年に25%、2019年には3分の1を超え、2021年には「5サイトに2つ」と言われるところまで来ました。ピークは2024年8月の43.5%です。
面白いのは、13.1%から20%へ伸びたあたりが、このあと触れる「16%の壁」とちょうど重なること。WordPressもかつては新参者で、その壁を越えて今の場所にたどり着いたんですね。
では、なぜWordPressはここまで広がったのでしょうか。
まず、無料で使えるオープンソースであること。レンタルサーバーの多くが簡単インストールに対応していて、専門知識がなくても始められました。デザインを整えるテーマや、機能を足すプラグインも豊富で、プラグインだけで7万個以上あります。
もうひとつ大きいのが、使う人が多いからこそ生まれる安心感。困ったときに検索すれば日本語の情報がすぐ見つかり、頼める制作会社もたくさんある。使う人が増えるほど情報も作り手も増え、さらに使う人が増える。この好循環が、WordPressを「当たり前の道具」に押し上げたのだと思います。2019年には、日本語サイトのCMSのうち8割以上がWordPressという調査結果も出ていました。
W3Techsの調査によると、2026年9月時点でWordPressは全Webサイトの40.7%で使われています。2位のShopifyは5.3%なので、7倍以上の差。CMSを使っているサイトに限れば58.9%です。
ただ、2024年のピーク43.5%、2025年12月の43.2%からは、少しずつ下がってきています。下がっているというより、ピークを越えた時期に入ったのかもしれません。新しく使い始める人が減り、次の選択肢を試す人が現れ始める。実はこの動き、イノベーター理論で見るとよく説明がつきます。
イノベーター理論で見ると
新しい商品やサービスが世の中に広がっていく様子を説明する、「イノベーター理論」という考え方があります。社会学者のエベレット・ロジャースが提唱したもので、新しいものを取り入れる人を、早い順にイノベーター(2.5%)、アーリーアダプター(13.5%)、アーリーマジョリティ(34%)、レイトマジョリティ(34%)、ラガード(16%)の5つに分けています。
この理論では、新しく使い始める人の数を時期ごとに並べると、きれいな山の形になると仮定しています。理論上は、その頂上が全体の半分が使い始めたあたり、つまりアーリーマジョリティとレイトマジョリティの境目です。
もちろん、現実はそうきれいにはいきません。一気に盛り上がってすぐに消えていくものもあれば、時間をかけてじわじわ広がるものもあります。
それでも、仮にこの物差しを当ててみると、CMSの約6割を占めるWordPressは、山の頂上を越えてレイトマジョリティまで行き渡った「当たり前の道具」の位置にいると言えそうです。新しく使い始める人が減っていくのも、この段階なら自然な流れなのかもしれません。
一方、AstroやEmDashは、まだイノベーターやアーリーアダプターが試している段階。EmDashは公開されたばかりで、バージョンもまだ0.x台です。
マーケティングの世界では、アーリーアダプターとアーリーマジョリティの間、つまり16%のところに大きな溝があると言われています。ジェフリー・ムーアが「キャズム」と名付けたもので、ここを越えられずに消えていく商品も少なくありません。
新しいCMSがこのキャズムを越えられるかどうかは、まだこれから。だからこそ、どれが生き残るかを今決めるのは早い気がしています。
作る側と使う側、両方の目線で
私たちWeb制作者は、新しい技術にいち早く触れられる立場にいます。作る側としては、実際に試して手応えを確かめておくことが大切だと思っています。
一方で、お客様にとってのホームページは、毎日の仕事を支える道具です。更新のしやすさ、頼れる制作会社の多さ、困ったときに情報がすぐ見つかるかどうか。そうした「使う側」の安心は、たくさんの人が使っているからこそ生まれる部分も大きいと感じています。
PHP 8.5系は、セキュリティサポートが2029年末まで続く予定です。すぐに乗り換えられる環境の方ばかりではないので、まずはサーバーのPHPを最新の状態に保ちつつ、次の選択肢をじっくり見極める。それで十分間に合うのではないでしょうか。
まとめ
新しいものに簡単には飛びつかない。かといって、目を背けもしない。自分で触って試しつつ、お客様にすすめるのはしっかり見極めてから。
今回「さすが」と言っていただけたのも、派手な新技術ではなく、目の前のサーバーを地道に整えてきた結果でした。流行を追いかけるより、現実を見据えて一歩ずつ。そんなスタンスで、これからもWebの変化と付き合っていこうと思っています。
PHPのアップデートは、サーバーの管理画面でボタンを押すだけの作業に見えるかもしれません。でも、使っているテーマやプラグインが新しいPHPに対応していないと、エラーで画面が表示されなくなったり、最悪の場合はデータが失われたりすることもあります。
だから私は、作業の前の診断に時間をかけています。どのテーマやプラグインが使われているか、新しいバージョンで動くか、バックアップは確実に取れているか。ここを丁寧に確認してから、アップデートに入ります。地味ですが、いちばん大切な工程です。
