2026年10月21日、PHPに重大な脆弱性が見つかり、緊急の修正版が公開されました。翌22日には、情報処理推進機構（IPA）も注意を呼びかけています。
こうしたニュースを見ると、改めて考えます。ホームページは本当に必要なのか。維持費を払い、更新し、セキュリティ対策までして、自社サイトを持ち続ける意味があるのか。
最近、SNSがあればホームページは不要ではないか、という意見を目にしました。確かに、管理の手間や費用を考えれば、そう感じるのもわかります。ただ、私は自社サイトを手放す方向には賛成しません。問題は、サイトが必要か不要かという二択ではないからです。
今回のPHP問題でわかったこと
今回の問題は「PHP2Shell」と呼ばれ、CVE-2026-109618とCVE-2026-109619という二つの脆弱性が関係しています。悪用されると、外部から不正なコードを実行されるおそれがあります。深刻度はCVSS v4.0で9.2と評価されました。
修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35です。サーバー会社などが独自に修正を取り込んでいる場合もあるため、画面に表示されたバージョンだけで安全性を決めつけず、提供事業者の対応状況も確認する必要があります。
ここで重要なのは、これはWordPressだけの問題ではないことです。WordPress、Drupalなど、PHPを使うさまざまな仕組みに関係します。一方、すべてのサイトが同じ条件で攻撃されるわけでもありません。サーバーの構成や更新状況で影響は変わります。
私自身、以前制作した数件のホームページについても、運用状況を確認しています。画面が普通に表示されているから安全とは限らない。これが一番やっかいです。
WordPress本体やプラグインだけでなく、PHPやサーバーまで見る必要がある。ホームページは、作ったら終わりではありません。
だからホームページをやめる。それで解決するのか
保守が面倒だから、FacebookやInstagramだけにすればいい。そういう考え方もあります。確かに、発信だけが目的であれば合理的な場合はあります。
でも、SNSは自分たちの土地ではありません。表示される仕組みも、利用規約も、サービスの継続も、運営会社が決めます。投稿が広がらなくなることもあるし、アカウントを使えなくなるリスクもあります。
Amazon、楽天市場、Yahoo!ショッピング、メルカリ、ヤフオクも同じです。販売力は大きい。それは利用すればいい。ただし、そこで積み上げた評価や顧客との接点を、すべて自分の会社の資産として持ち出せるわけではありません。
外部のサービスは使う。しかし、会社の情報と販売基盤まで丸ごと預けてしまわない。この線引きが必要だと考えています。
AI検索の時代には、むしろ情報の置き場所が重要になる
今はGoogle検索だけでなく、ChatGPTなどに直接質問する人も増えています。「この製品は何が違うのか」「どんな試験をしているのか」。そんな問いに、AIが公開情報を参照して答えることがあります。
SNSの公開投稿も検索されたり、AIに参照されたりする可能性があります。「SNSはAIに引用されない」という言い方は正確ではありません。ただし、公開範囲や取得の制限があり、必ず参照されるわけでもない。これは自社サイトでも同じです。
それでも、自社サイトには強みがあります。製品仕様、開発の経緯、試験条件、結果、注意点を、一つの場所に整理して残せることです。間違いがあれば修正できる。関連記事同士をつなげることもできます。
私たちNEXT SCIENCEは、ORBITRONやGERHONなどの製品を開発しています。試作した理由、測定の条件、良かった結果も思うようにいかなかった結果も、本来は積み重ねていくべき情報です。SNSに投稿して、タイムラインに流れて終わりでは、あまりにもったいない。
WordPressかShopifyか、という話でもない
ここで勘違いしたくないのは、ホームページを持つことと、WordPressを使うことは別だという点です。更新の少ない案内サイトなら静的なサイトが合う場合もあります。商品を販売するなら、ShopifyのようなECサービスを利用する選択もあります。
Shopifyも外部サービスです。そこへの依存はゼロにはなりません。だから独自ドメインを持ち、商品や記事のデータを適切に保管し、移行できる状態を意識しておくことが大切です。
必要なのは特定のシステムを守ることではなく、自社の情報と顧客との接点を守ること。そのために何を自分たちで管理し、何を専門のサービスに任せるかを決めるべきでしょう。
作るだけでは意味がない。売れなければ改善する
もちろん、サイトを持てばそれで良いという話ではありません。アクセスがあっても、商品の違いが伝わらず購入されないのなら改善が必要です。セキュリティが古いままなら、まず直すべきです。更新する人がいないなら、運用方法から見直した方がいい。
私たちのサイトもまだ改善途中です。検索で見つけてもらい、製品を理解してもらい、信用してもらい、必要な方に購入していただく。その流れを作ることが課題です。
同じテーマについて、Shopifyを作ったのに売れない原因や、GA4・GSC・Clarityの使い分けでも整理しています。
SNSは入口。自社サイトは会社の記録が残る場所
Facebookで新しい取り組みを知らせる。noteで開発の背景を伝える。YouTubeで試験の様子を見せる。Amazonで初めて商品を知っていただく。それぞれの役割を生かせばいいと思います。
そして、詳しい情報とその根拠は、自社サイトに残す。何年か後に読み返しても内容がわかるように。検索エンジンにもAIにも、必要な方にも見つけてもらえるように。
今回のPHP問題は、ホームページを捨てる理由にはなりません。管理を人任せにせず、何を守るべきか考え直すきっかけです。
目先のアクセス数や売上だけでは測れない価値があります。会社が長年やってきたことを、自分たちの言葉で残しておく。その場所を失ってはいけないと思っています。
NEXT SCIENCE
参考資料
IPA：PHPの脆弱性対策について（2026年10月22日）
PHP公式：PHP 8.3.36 Security Release
Google 検索セントラル：AI機能とウェブサイト
写真：Manuel Luikenga / Unsplash