Webサイトのセキュリティ
どんな脆弱性も怖くない！ウェブサイト静的化でPHP脆弱性対策
PHPの重大な脆弱性をきっかけに、WordPressサイトを「編集」と「公開」に分ける静的化を解説。仕組みを図解し、安全性と維持費のメリット、Sitesauceによる方法を紹介します。
2026年10月、ホームページの裏側で使われている「PHP」というソフトウェアに、重大な脆弱性が見つかりました。ホームページの担当者には「すぐに更新してください」と案内が届き、対応に追われた方もいるかもしれません。
でも、会社のホームページを公開するために、そもそもPHPは必要なのでしょうか？
実は、見る人に情報を届けるだけのホームページなら、PHPを使わずに公開できます。今回は、ウェブサイトから攻撃されやすい機能を切り離す「静的化」という方法をご紹介します。
2026年10月のPHP脆弱性で何が起きた？
今回問題になったのは、PHP本体の不具合です。悪用されると、外部の攻撃者がサーバー上で不正なプログラムを動かせるおそれがありました。 場合によっては、情報の窃取やサーバーの不正利用につながります。
そのため、PHPの開発元は2026年10月21日に修正版を公開し、速やかな更新を呼びかけました。PHPを使うホームページでは、修正版への更新や、レンタルサーバー事業者による修正プログラムの適用が必要になりました。
詳しい攻撃の仕組みはここでは省きます。気になる方はIPAの注意喚起とPHP公式発表をご覧ください。
ここで少し、考え方を変えてみましょう。
そもそも、ホームページにPHPは必要？
ホームページを表示する基本的な仕組みは、とてもシンプルです。
Webサーバーというプログラムが、文章や画像などのデータを、訪問者のブラウザーに届けます。HTMLや画像などのファイルを置いて配信するだけなら、PHPは必須ではありません。
PHPは、訪問者の操作に応じてページの内容を作ったり、データベースと連携したりするために使われるプログラムです。
そしてWordPressはPHPで動く代表的なソフトウェアです。管理画面から文章や画像を編集し、内容を保存して、ホームページに反映できます。
従来の構成：配信と編集を同じサーバーで行う
一般的なWordPressサイトでは、訪問者に見せる機能と、サイトを編集する機能が、同じ公開サーバー上で動いています。
便利な一方、公開サーバーにPHPなどのプログラムがある以上、それらの脆弱性への対応を続けなければなりません。
発想を変える。「配信」と「編集」を分ける
ここで登場するのが、ウェブサイトの静的化です。
手順はシンプル。WordPressで作ったホームページを、HTML・画像・CSSなどの配信用ファイルに変換してコピーし、そのコピーだけをインターネットに公開します。
一方、WordPressやPHPが動く編集用の環境は、外部から直接接続できない場所に置きます。たとえば、社内のパソコンです。
静的化した構成：公開サーバーには配信機能だけ
編集が必要になったら、社内のパソコンでWordPressを開いて内容を変更し、出来上がった配信用ファイルを公開サーバーにコピーします。
こうすれば、公開サーバーにはWordPressもPHPも置かずに済みます。 今回のようなPHPの脆弱性が見つかっても、公開サーバーにPHPが存在しなければ、そのPHPの不具合を狙った攻撃は成立しません。
静的化は、PHPやWordPressの脆弱性を狙う攻撃への非常に有効な対策です。 公開サーバーからPHPとWordPressそのものを取り除けば、公開サーバー上のそれらの不具合を悪用する攻撃経路をなくせます。
すべてのセキュリティ対策が不要になるわけではありませんが、攻撃されやすい機能をインターネットに公開しないという方法は、脆弱性への対処に追われないウェブサイト運用を実現するための、大きな一歩になります。
静的化のメリットは、安全性だけではない
1. 公開サイトを攻撃するための入口が減る
インターネットからアクセスできるのは、原則として配信用のファイルだけ。WordPressのログイン画面やPHPの実行環境を公開しないことで、攻撃の対象になる機能を大幅に減らせます。
2. サイトの維持費を下げられる
表示するたびにPHPやデータベースを動かす必要がないため、シンプルで安価な静的サイト向けサービスを選べます。
たとえばCloudflare Pagesなどには無料枠があります。条件を満たす小規模なサイトなら、公開用ホスティング費用を月額0円にできる場合もあります。
もちろん、独自ドメイン代、編集環境の維持費、変換サービスの利用料、保守費用までゼロになるわけではありません。無料枠の条件や制限も確認が必要です。
3. 表示が速く、アクセス増にも対応しやすい
完成済みのファイルをそのまま配信するため、アクセスのたびにページを生成する処理が不要です。CDNと組み合わせれば、多くのアクセスに効率よく対応できます。
静的化はどうやる？「Sitesauce」という選択肢
「WordPressで作ったページを、一つひとつ手作業でコピーするの？」と思うかもしれません。
そこで使えるサービスの一つが、Sitesauceです。既存のウェブサイトから静的なページを生成し、公開する仕組みを提供しています。
Sitesauceの特徴は、次のような点です。
- 既存のWordPressなどのサイトを元に、静的サイトを生成できる
- WordPress用の連携機能などを使えば、編集後の再生成を自動化できる
- ローカル環境で動くWordPressから、CLIを使って公開する方法も案内されている
Sitesauceは有料サービスです。2026年10月時点の公式サイトでは、Teamプランが月額19米ドル、7日間の試用期間が案内されています。利用条件や価格は最新の公式情報をご確認ください。
注意したいのは、Sitesauceを導入しただけで元のWordPressが自動的に非公開になるわけではないことです。編集用環境への外部アクセスを止めるための設定や、必要に応じたドメイン・公開先の切り替えは別途行います。
また、お問い合わせフォーム、会員ログイン、サイト内検索など、サーバー側で処理が必要な機能は、そのままコピーするだけでは動かない場合があります。事前の機能確認と代替手段の検討が重要です。
ブンブンデジタルテクノロジーが静的化をお手伝いします
ブンブンデジタルテクノロジーでは、既存のウェブサイトを静的化して公開する対応に加え、WordPressなどの編集環境をインターネット上のサーバーから社内のパソコンへ移す構成についてもご相談いただけます。
「更新頻度は低いのに、毎月の保守費や脆弱性対応が気になる」「WordPressの編集画面は残したいが、公開サーバーでは動かしたくない」といった場合に、現在のサイトを確認し、適した方法を検討します。
ホームページを守るために、公開しなくてもよい機能は公開しない。 これが静的化の考え方です。