PHPの脆弱性が公開された今、公開サイトをAstroとmicroCMSに分ける

2026年10月21日に公開されたPHPの脆弱性について、状況は次のとおりです。

• PHP本体の重大な脆弱性で、PHP2Shellと呼ばれるものです。
• WordPressはPHPの上で動いているので、WordPressでサイトを運用している人にも関わります。WordPressを更新しても、この問題は解消しません。WordPress.orgも、そのように案内しています。
• サーバー側のPHPを新しいバージョンへ上げる作業は、ホスティング会社が進めていることが多いです。

公開サイトをWordPressとPHPの上で動かさないようにすると、WordPressやPHPを狙う攻撃の対象が減ります。ロンドマークの公開サイトは、すでにその形です。今回の脆弱性の対象には入りませんでした。勧めたいのは、公開サイトをAstroで組み、記事やページの管理をヘッドレスCMSに分けることです。

管理画面とプラグインも、同じPHPの上にある

WordPressは、記事を管理画面から追加できて、プラグインで機能も追加できます。企業のサイトで、今もよく使われています。

その管理画面とプラグインも、公開サイトと同じPHPの上で動いています。テーマを整えていても、PHPに脆弱性が見つかると、公開サイトが影響を受けます。

更新するものは、本体、プラグイン、テーマ、PHPと増えていきます。更新が止まるほど、確認する範囲も広がります。

自社サイトでは、公開サイトと更新を分けています

• 公開サイト：Astro
• 記事、実績、お知らせ：microCMS
• 配信：Cloudflare
• お問い合わせ：公開サイトやCMSとは別

文章を直す場所は、今までどおりCMSです。担当者の作業は、ほとんど変わりません。

公開サイトはWordPressでもPHPでもなくなります。PHP本体やWordPressのプラグインを狙う攻撃は、公開サイトには届きにくくなります。

攻撃対象がなくなるわけではありません。管理画面のアカウント、API、配信、フォームは、別に守ります。

WordPressのままだと、負担が残りやすい

更新のたびに、公開サイトの安全を見ることになる

WordPressでは、本体もプラグインもテーマもPHPも、サイトを出し続けるための作業になります。今回のような話題が出るたび、確認する範囲が広がります。

管理画面が、公開サイトと同じ場所にある

記事を直す画面が、公開サイトと一緒になっています。アカウントやプラグインの管理が、公開サイトの安全と分けにくくなります。

次もWordPressなら、制約は公開後も残る

次もWordPressで組み直すと、テーマやプラグイン、PHPという制約を公開後も抱えます。見た目を直すタイミングで、攻撃対象も見直す選択肢があります。

合いやすいサイト

公開サイトをAstroに分ける形が合いやすいのは、次のサイトです。

• コーポレートサイトやサービスサイトで、記事や実績の更新が中心
• WordPressの更新やプラグインの保守に、担当者の時間が取られている
• 次のリニューアルで、見た目と一緒に攻撃対象も見直したい

会員機能や予約がプラグインに乗っているサイトでも、公開サイトだけ先に分けられます。一度に全部を移す必要はありません。

まずは、公開サイトが何の上で動いているか

今回の脆弱性で、自社のWordPressが気になっているなら、更新手順の前に、公開サイトが今どの上で動いているかを見てみてください。

ロンドマークでは、WordPressで運用している公開サイトをAstroに移し、更新をヘッドレスCMSで続けることもできます。現状を一緒に見るところからご相談ください。