最近、「WordPressなどのCMSで作られたサイトは危険」「HTMLにすれば安全」「生成AIで作り直せばセキュリティの心配がなくなる」といった広告や説明を見かけます。
WordPressの脆弱性やPHPのセキュリティ問題を知り、「自分のサイトも作り直した方がいいのでは」と感じた方もいるのではないでしょうか。
実際に、サイトの構成を見直すことで減らせる危険はあります。しかし、CMSを使っているという理由だけで危険と判断したり、HTMLや生成AIに変えれば安全になると考えたりするのは適切ではありません。
制作方法を選ぶときは、安全性に加えて、誰が更新するのか、どのくらいの頻度で変更するのか、公開後にいくらかかるのかまで考える必要があります。
この記事では、最近のPHPの脆弱性にも触れながら、WordPress・静的HTML・生成AIを使ったサイト制作の違いを整理します。
「WordPressだから危険」は正しいのでしょうか？
WordPressには、管理画面、ログイン機能、データベース、プラグインなどがあります。こうした仕組みに脆弱性が見つかったり、パスワードを盗まれたりすると、不正アクセスにつながる可能性があります。
特に注意したいのは、次のような状態です。
- WordPress本体やプラグインを長期間更新していない
- サポートが終了したPHPを使い続けている
- 使用していないプラグインや古い検証用サイトが残っている
- 管理者アカウントを共有し、退職者のアクセス権も残っている
- バックアップはあるものの、復旧できるか確認していない
- 保守を依頼しているが、何を管理してもらっているか分からない
ただし、これは「WordPressを使えば必ず危険」という意味ではありません。
どのような機能を公開し、どのように設定し、問題が見つかったときに対応できるかが重要です。
WordPress公式のセキュリティガイドでも、更新、アクセス管理、バックアップなど、複数の対策を組み合わせる考え方が示されています。
参考：WordPress公式「Hardening WordPress」
「記事の更新」と「安全のための更新」は別です
ここで区別したいのが、2種類の「更新」です。
記事や写真を追加するのは、サイトの内容を更新する作業です。一方、WordPress本体・プラグイン・PHPなどの修正を適用するのは、システムを維持するための更新です。
毎日ブログを書いていても、システムが古いままということはあります。反対に、掲載内容をほとんど変更しないサイトでも、システムの保守が必要な場合があります。
「更新しているから大丈夫」というときは、何を更新しているのかを確認しましょう。
最近のPHPの脆弱性は、WordPressだけの問題ではありません
2026年10月21日、PHPでは重大な脆弱性に対応する修正版として、PHP 8.5.12・8.4.27・8.3.36・8.2.35が公開されました。
対象は「CVE-2026-109618」「CVE-2026-109619」です。PHP Foundationの説明によると、条件によっては、認証していない攻撃者がPHPを動かすサーバー上でコードを実行できる問題でした。
これはWordPress固有の不具合ではなく、PHPという実行環境の問題です。 WordPress以外のシステムでも、PHPを利用していれば確認が必要になります。
出典：PHP Foundationによる2026年10月21日の発表
WordPressを更新しても、PHPまで更新されるわけではありません
WordPress本体の更新と、サーバーで動くPHPの修正は別の作業です。
レンタルサーバーの場合は、サーバー会社が対応する範囲と、利用者が設定を変更する範囲があります。管理画面に「PHP 8.3」と表示されているだけでは、今回の修正が適用されているか判断できません。
サーバー会社や保守担当者に、対象の脆弱性への対応状況を確認してください。提供元が修正を独自に適用している場合もあるため、表示される番号だけで結論を出さないことも大切です。
また、慌ててPHPの系列を変更すると、古いテーマや独自プログラムが動かなくなることがあります。互換性とバックアップを確認しながら、修正済みの環境へ対応する必要があります。
セキュリティプラグインやWAFも対策の一部ですが、PHP自体の修正を不要にするものではありません。
「PHPの問題が出たからCMSをやめる」で解決するとは限りません
PHPを使わない構成へ移行すれば、公開サイトでPHPを動かすことに伴う危険を減らせます。
ただし、ページをHTMLに変えても、お問い合わせフォームがPHPで動いていたり、移行前のWordPressが公開されたままだったりすれば、確認すべき部分は残ります。
移行を考える場合は、見えるページだけでなく、フォーム、旧サイト、管理用の仕組みまで含めて確認しましょう。
WordPress・HTML・生成AIは、同じ分類ではありません
比較するときに、混同しやすい点があります。
WordPressは、記事やページを管理するCMSです。HTMLは、ブラウザーに表示するページの構造を記述する言語です。生成AIは、文章やコードなどを作るための道具です。
WordPressも、最終的にはブラウザーにHTMLを返します。一般に「WordPressからHTMLへ変更する」という場合は、あらかじめ作ったHTMLファイルなどを配信する「静的サイト」への変更を指していることが多いでしょう。
静的サイトの一例として、GitHub Pagesの公式説明でも、HTML・CSS・JavaScriptなどのファイルを公開する仕組みが紹介されています。
一方、生成AIはWordPressのテーマ制作にも、静的HTMLの制作にも使えます。サーバー側でプログラムが動くWebアプリを作ることもできます。
「AIで作った」という情報だけでは、そのサイトの安全性や保守内容は分かりません。
何を使って作ったかに加えて、公開後に何が動いているのかを見る必要があります。
静的HTMLにすると、安全になる部分はあります
公開環境でCMSの管理画面やデータベース、PHPなどを動かさない構成にすれば、それらを狙う攻撃の入口を減らせます。
掲載内容があまり変わらない会社案内や、シンプルな紹介ページでは、静的サイトが適している場合があります。
これは実際のメリットです。ただし、「攻撃される部分を減らせる」と「何も管理しなくてよい」は別です。
静的サイトでも管理が必要なもの
静的サイトでも、次のようなものは残ります。
- サーバーや公開サービスのアカウント
- ドメインやDNSの設定
- ファイルを公開するための権限
- 外部のお問い合わせフォーム
- 読み込んでいるJavaScriptや外部サービス
- サイトを生成・公開するためのツール
公開用アカウントを盗まれれば、HTMLファイルを書き換えられる可能性があります。外部フォームを使っていれば、そのサービスの設定や個人情報の扱いも確認が必要です。
静的サイトは、構成を簡単にしやすい選択肢です。それでも、運用上の責任がなくなるわけではありません。
HTMLに変える前に、更新のしやすさを確認しましょう
WordPressでは、担当者が管理画面から記事を書いたり、写真を変更したりできます。
静的HTMLでは、構成によってはファイルの編集や公開作業が必要です。小さな修正でも制作会社へ依頼する運用なら、そのたびに費用や待ち時間が発生することがあります。
たとえば、次のようなサイトです。
- 営業日や休業日を頻繁に案内する
- 商品やメニューを入れ替える
- お知らせや事例紹介を毎週追加する
- 複数の担当者が記事を更新する
こうした運用では、公開後の更新方法が仕事の進めやすさに直結します。
静的サイトでも、更新しやすい仕組みは作れます
静的サイトだから、すべてのページを手作業で直すとは限りません。
共通部分をまとめて変更する仕組みや、入力した内容からページを生成する仕組みもあります。CMSを編集用に使い、公開側には静的なページを配信する構成も可能です。
ただし、その仕組みを作り、維持するための費用や専門知識は必要になります。
「HTMLだから安い」「CMSだから高い」と決めず、誰が、どの画面で、どこまで変更できるのかを確認しましょう。
生成AIで作るサイトは、公開後の費用まで確認しましょう
生成AIを使うと、ページの試作や文章の修正、コードの作成を進めやすくなります。
一方で、「簡単に作れる」と「安く運営し続けられる」は、必ずしも同じではありません。
利用するサービスによって、費用の仕組みが違うからです。
月額料金だけで使い放題とは限りません
AIを使った制作サービスには、月額料金のほかに、生成や修正に使うクレジット、処理量に応じた料金、追加購入などがある場合があります。
また、制作時のAI利用だけでなく、公開したサイトの稼働やAI機能の利用が使用量に含まれるサービスもあります。
たとえば、Lovableの公式説明では、制作・チャット・ホスティングや組み込みバックエンド・公開後のAI機能に共通のクレジットを使う仕組みが説明されています。v0でも、プランに含まれる利用枠や追加クレジットなどの確認が必要です。
料金や対象範囲は変更されることがあるため、契約時の公式情報を確認しましょう。
更新が多いほど、確認したい費用も増えます
AIに修正を依頼する運用では、変更回数が増えたり、何度もやり直したりすることで、使用量が増える可能性があります。
ただし、「記事を1本追加するたびに必ず課金される」というわけではありません。自分でファイルを編集できる構成や、別に用意したCMSから記事を追加できる構成なら、その更新にAIを使わないこともできます。
確認したいのは、次の点です。
- 文章や画像の変更にもAIの利用が必要か
- 月額料金にどの程度の作業が含まれるか
- 利用枠を超えた場合に追加料金がかかるか
- サーバーや独自ドメインの費用は別か
- 解約後もサイトを公開・編集できるか
- データやソースコードを別の環境へ移せるか
更新頻度が高いサイトでは、試作のしやすさだけでなく、日常の更新方法を確認しておくことが大切です。
制作費だけでなく、年間の運用費で比較しましょう
比較するときは、初期費用と月額料金だけでなく、次の費用を整理すると分かりやすくなります。
| 費用の種類 | 確認する内容 |
|---|---|
| 初期費用 | 制作、移行、初期設定、操作説明 |
| 固定費 | サーバー、ドメイン、サービスの月額料金 |
| 利用量に応じた費用 | AIの追加利用、外部API、通信量など |
| 更新費用 | 文章・画像の変更、ページ追加、公開前の確認 |
| 保守費用 | 修正適用、バックアップ、不具合や障害への対応 |
| 社内の作業時間 | 更新、確認、依頼、担当者への引き継ぎ |
契約に含まれている作業を二重に計上しないよう、見積もりの範囲も確認してください。
更新頻度で費用が変わる計算例
仮に、文章や画像の変更を1回3,000円で依頼する契約だとします。
- 月2回なら、月6,000円・年間72,000円
- 月8回なら、月24,000円・年間288,000円
これは相場ではなく、更新頻度の影響を見るための想定例です。実際には、修正内容、まとめて依頼できる範囲、最低料金、税、保守契約などで変わります。
WordPressで社内更新できれば、この外注費を減らせる可能性があります。ただし、担当者の作業時間や、システムの保守費用は必要です。
AIを使う場合も、月額料金に加えて、追加利用料と人による確認作業を含めて比較しましょう。
「無料で作れる」「月額が安い」だけでなく、自分の更新頻度で年間いくらになるかを考えることが大切です。
AIで作ったコードも、確認と保守が必要です
生成AIが作ったプログラムにも、入力チェックの不足、権限設定の誤り、秘密情報の扱いなどの問題が生じる可能性があります。
画面が正常に表示されることと、安全に運用できることは別です。
お問い合わせフォーム、会員機能、予約、決済などがある場合は、表示だけでなく、データの扱いや不正利用への対策まで確認する必要があります。
「AIで制作」と「サイト内でAIが動く」は分けて考えます
AIにHTMLを作ってもらい、そのファイルを公開する場合と、サイト内にAIチャットなどを組み込む場合では、確認する内容が異なります。
制作にAIを使っただけで、公開サイトにAIへの指示を悪用する「プロンプトインジェクション」の入口が自動的に生まれるわけではありません。
公開後もAIが入力を受け取り、外部の情報や機能を扱う場合は、その権限や入力の扱いを別途設計する必要があります。
AIを使うかどうかに関係なく、実際の構成に合った確認が必要です。
自分のサイトには、どの方法が合うのでしょうか？
| サイトの運用 | 検討しやすい方法 | 確認したいこと |
|---|---|---|
| 会社案内が中心で、変更が少ない | 静的サイト | 修正の担当者、費用、フォームの管理 |
| お知らせや記事を頻繁に追加する | WordPressなどのCMS | 更新担当者、権限、保守の範囲 |
| 社内で編集し、公開側の構成を簡単にしたい | CMSと静的配信の組み合わせ | 構築費、公開手順、編集側の安全管理 |
| 制作や修正を効率化したい | 各方式に生成AIを活用 | コードの確認、利用料、引き継ぎ方法 |
| 予約・会員・決済などが必要 | 必要な機能に合うサービスやシステム | 個人情報、権限、障害対応、運用費 |
CMSと静的配信を組み合わせる場合でも、編集用のCMSや連携部分の管理は残ります。
選択肢は「WordPressを使い続けるか、すべて捨てるか」の二択ではありません。必要な機能と更新方法に合わせて組み合わせることもできます。
作り直す前に、現在の問題を整理しましょう
サイトの移行には、制作費以外の作業も発生します。
URLが変わる場合の転送設定、検索向けの情報、画像、フォーム、アクセス解析などを引き継ぐ必要があります。見た目が同じでも、以前のページへアクセスできなくなったり、お問い合わせが届かなくなったりする可能性があります。
また、静的HTMLへ変更しただけで、検索順位が上がると保証されるわけではありません。
まずは、現在のサイトについて確認しましょう。
- 実際に問題があるのは、PHP・プラグイン・設定のどこか
- 更新や不要な機能の整理で改善できるか
- 移行すると、どの危険が減り、何の管理が残るか
- 現在の更新作業を、移行後も無理なく続けられるか
- 制作費と運用費を含めて、負担に見合うか
脆弱性への修正が必要な場合は、将来の作り直しの検討だけで対応を先延ばしにせず、現在の環境への対処も進める必要があります。
安全性と更新のしやすさを、一緒に考えましょう
WordPressには、更新や保守が必要です。静的サイトには、公開側の仕組みを減らせる利点があります。生成AIには、制作や修正を助ける利点があります。
それぞれの特徴を理解したうえで、自分のサイトに合う方法を選ぶことが大切です。
すべての技術を自分で理解する必要はありません。ただし、誰が管理し、何を保守し、問題が起きたときに誰が対応するのかは、任せる側も把握しておきましょう。
GRMでは、WordPressを使い続ける場合の見直しや、静的サイトへの変更、更新方法や保守体制についてのご相談を受け付けています。
「今のサイトは大丈夫だろうか」「作り直すべきか判断できない」と悩んだら、気軽にご相談ください。ご相談は無料です。 調査・制作・改修などの作業が必要な場合は、内容と費用をご案内します。