株式会社スパイスワークスは、PHPの重大な脆弱性「PHP2Shell」が公表されたことを受け、WordPressの「静的・動的環境分離（静的化）」に関する提案および支援体制を強化します。現状のサイト診断から設計、構築、運用までを一貫してサポートする相談受付を開始しました。公開サーバー上でPHPを実行せずデータベースを置かない構成により、公開側の攻撃対象を減らすサイト運用を提案するとしています。

PHPの脆弱性「PHP2Shell」とWordPressへの影響

2026年10月21日、PHP開発チームは2件の重大な脆弱性（CVE-2026-109618、CVE-2026-109619）に対する修正版（PHP 8.5.12、8.4.27、8.3.36、8.2.35）を公開しました。「PHP2Shell」と呼ばれるこれらの脆弱性は、認証なしのリモートコード実行（RCE）につながるおそれがあります。

これを受け、米国サイバーセキュリティ・社会基盤安全保障庁（CISA）がパッチ適用を促す警告を出し、日本の独立行政法人情報処理推進機構（IPA）も注意喚起を公開しました。また、Reutersの報道によると、政府関連を含む一部の組織では予防措置としてWebサイトが一時停止・制限される事態も生じています。

W3Techsのデータで世界のWebサイトの約39.6%を占めるとされるWordPressは、PHP環境に依存しているため、該当する脆弱なPHP環境を利用しているWebサイトは直接的な影響を受けます。この問題は本体やプラグインの更新だけでは解消せず、サーバーのPHP環境自体への修正適用が必要です。なお、今回の脆弱性発見にはAIを活用した調査が関わっており、OpenAIの発表によると同社のAIモデルが一方の特定に関与したほか、セキュリティ企業のWizも両方の脆弱性を独自に発見・報告しています。

静的・動的環境分離の仕組みと留意点

スパイスワークスでは、脆弱性リスクへの対応策として、WordPress（CMS）を動かす環境と閲覧用の公開環境を分ける「静的・動的環境分離」の提案・支援体制を強化します。公開サーバー上でPHPを実行せず、データベースを置かない構成にすることで、公開サイト側の攻撃対象を減らす仕組みです。

一方で、静的化はすべてのリスクを排除するものではないとしています。CMS環境へのアクセス制限や静的ファイルの生成・転送経路の保護、公開ファイル自体の対策は引き続き必要となります。また、記事編集環境は維持されるものの、公開時に静的ファイルの書き出しや表示確認、サーバーへの転送といった追加手順が発生する場合があるほか、CMS側でもPHPの修正版適用と継続的な対策が求められます。

動的機能の代替策と想定対象

静的化を行うと、WordPressのPHP処理に依存する「サイト内検索」や「問い合わせフォーム」はそのままでは動作しなくなります。同社では代替手段として以下の実装実績を挙げています。

• サイト内検索の代替: Google Programmable Search Engine（旧Google Custom Search）の導入や、要件に応じたFuse.jsを利用した実装
• フォームの代替: Google FormsやHubSpotなどの外部フォームサービスとの連携（セキュリティレベルは各サービスや設定内容に依存）

想定される対象として、上場企業・金融機関、大学・研究機関・官公庁のほか、利用中のWordPressサイトにおける将来的な脆弱性リスクの低減を検討しているWeb担当者を挙げています。

株式会社スパイスワークス 会社概要

• 会社名: 株式会社スパイスワークス
• 所在地: 東京都千代田区麹町6-6-2
• 代表者: 関根 聖二
• URL: https://www.spiceworks.co.jp/
• 事業内容: Webサイト制作、システム開発、インフラ構築・保守、セキュリティ対策支援

本記事は株式会社スパイスワークスの発表をもとに作成されています。

Dellows News編集部

ビジネスパーソンの課題解決と納得感にこだわるDellows News編集部。キャリア論からAI、健康法まで幅広い分野に対応し、複雑なテーマでも平易な言葉で丁寧に解説。読者が「明日から使える」知識やヒントを得られるよう、具体的な事例・データ・専門家の見解を交えて執筆。情報を整理し、納得感ある記事づくりを心がけています。