ニュースノート · IDAEO AI Newsニュース本文
Webサイト制作・システム開発を手掛ける株式会社スパイスワークス（本社：東京都千代田区、代表取締役：関根 聖二、以下「スパイスワークス」）は、PHPの重大な脆弱性「PHP2Shell」の公表を受け、これまで対応してきたWordPressの「静的・動的環境分離（静的化）」に関する提案および支援体制を強化いたします。本リリースの公開時点より、現状のサイト診断から、要件に応じた設計、構築、運用までを一貫してサポートする相談受付を開始します。公開サーバー上でPHPを実行せずデータベースを置かない構成により、公開側の攻撃対象を減らすサイト運用をご提案します。
■ 背景：PHPの重大な脆弱性「PHP2Shell」とWordPress環境への影響
2026年10月21日、PHP開発チームは2件の重大な脆弱性（CVE-2026-109618、CVE-2026-109619）に対する修正版（PHP 8.5.12、8.4.27、8.3.36、8.2.35）を公開しました（PHP公式の修正版情報）。「PHP2Shell」と呼ばれるこれらの脆弱性は、認証なしのリモートコード実行（RCE）につながるおそれがあります。
これを受け、米国サイバーセキュリティ・社会基盤安全保障庁（CISA）は直ちにパッチを適用するよう促す警告を公開し（CISAの警告）、日本のIPA（独立行政法人情報処理推進機構）も注意喚起を公開しました（IPAの注意喚起）。また、政府関連を含む一部の組織では予防措置としてWebサイトが一時停止・制限される事態も生じています（Reutersの報道）。
世界のWebサイトの約39.6%（WordPressのシェア数値 - W3Techs）を占めるWordPressはPHP環境に依存しているため（WordPress公式の説明）、該当する脆弱なPHP環境を利用しているWebサイトは直接的な影響を受けます。この問題は、WordPress本体やプラグインの更新だけでは解消せず、サーバーのPHP環境自体への修正適用が必要です。
■ 脆弱性の発見経緯について
今回の脆弱性発見にはAIを活用した調査が関わっています。OpenAIの発表によれば、同社のAIモデルが一方の脆弱性の特定に関与し、今後同様の発見が大幅に増えると見通しを示しています（OpenAIの発見経緯・見通し）。また、セキュリティ企業のWizが両方の脆弱性を独自に発見・報告しています（Wizの調査）。
■ 「静的・動的環境分離」による支援体制の強化
スパイスワークスでは、こうした脆弱性リスクへの対応策として、従来より行ってきたWordPressの「静的・動的環境分離」の提案・支援体制を強化します。現状のサイト構造の診断から、企業ごとの要件に応じた設計、構築、運用フェーズまで、一貫してご相談いただける体制を整えました。
【静的化の仕組みと効果】
環境の分離による攻撃対象の削減： WordPress（CMS）を動かす環境と、ユーザーが閲覧する公開環境を分離します。公開サーバー上でPHPを実行せず、データベースを置かない構成とすることで、公開サイト側の攻撃対象を減らします。
残存するリスクと運用上の留意点： 静的化はすべてのリスクを排除するものではありません。CMS環境へのアクセス制限、静的ファイルの生成・転送経路の保護、公開ファイル自体の対策は引き続き必要です。また、WordPressでの記事編集環境は維持されますが、公開時には静的ファイルの書き出し、表示確認、サーバーへの転送といった追加の手順が発生する場合があります。
静的化は、CMS環境で利用するPHPの更新や、CMS環境自体の保護に代わるものではありません。CMS側でも修正版の適用と継続的なセキュリティ対策が必要です。
動的機能（検索・フォーム）の代替策
静的化を行った場合、WordPressのPHP処理に依存する「サイト内検索」や「問い合わせフォーム」はそのままでは動作しません。当社では代替手段として、以下のような実装・構築実績があります。
サイト内検索の代替： 「Google Programmable Search Engine（旧Google Custom Search）」の導入のほか、要件に応じて「Fuse.js」を利用した検索機能の実装が可能です。
フォームの代替： WordPressプラグインに代わり、Google FormsやHubSpotなどの外部フォームサービスとの連携を行います。セキュリティレベルは利用する各サービスや設定内容に依存します。
想定されるお客様
上場企業・金融機関
大学・研究機関・官公庁
ご利用中のWordPressサイトにおける将来的な脆弱性リスクの低減を検討されているWeb担当者様
詳細解説ブログ
本件の技術的背景や対策の詳細については、当社の技術ブログで解説しています。
記事タイトル：PHPの重大な脆弱性とWordPressサイト運用で確認したいこと
ご相談・お問い合わせ先
現状の診断や設計・構築に関するご相談は、本リリース公開時点より以下の窓口にて受け付けております。 お問い合わせ先：https://www.spiceworks.co.jp/contact/
■会社概要
会社名：株式会社スパイスワークス
所在地：東京都千代田区麹町6-6-2
代表者：関根 聖二
URL：https://www.spiceworks.co.jp/
事業内容：Webサイト制作、システム開発、インフラ構築・保守、セキュリティ対策支援（詳細については公式サイトをご参照ください）