コラム

PHPの緊急パッチ騒動で、AIの力を借りてWordPressをやめて静的サイトにしておいてよかったと思った話

2026.10.28

この記事の作成担当：株式会社テンタス　代表取締役　小泉智洋

PHPがざわついた10月21日

Web業界の人はたぶん全員ちょっとヒヤッとしたと思います。

10月21日、PHPに「すぐ直してね」レベルの脆弱性が2つ見つかって、緊急のアップデートが出ました。通称「PHP2Shell」。深刻度は10点満点で9.2。見つけたセキュリティ会社の人たちは、ログインなしでWordPressやDrupalのサイトを乗っ取れることまで確認していたそうです。

しかも、修正版が出る前に情報が漏れてしまって、出る前から攻撃が始まっていたという報告まであります。IPA（情報処理推進機構）も注意喚起を出していました。

ポイントはここです。サイトの作りがちゃんとしていても、土台のPHPに穴があるだけで狙われる。プラグインをきれいに更新していても、今回ばかりは関係なかったわけです。こわい。

で、うちのサイトはどうだったかというと

実はテンタスのサイト、長いことWordPressで動いていたのですが、今年の春にClaude（AI）と一緒に、HTMLだけの「静的サイト」に作り替えました。

過去の記事100本以上も含めて、まるっと約270ページ。

静的サイトというのは、ページを見に来た人にあらかじめ用意したHTMLをそのまま渡すだけのサイトです。表示するたびにPHPやデータベースが動いたりしません。なので今回みたいな「PHPの穴を突く攻撃」は、そもそも入口がないんです。

ついでに、管理画面のログインページも、毎月のプラグイン更新祭りも、まとめて消えました。最高です。

ちなみに同じ時期に、Deliverus（デリバラス）のサイトもStudioで作っていたものをClaudeで静的HTMLに引っこ抜いて、リニューアルの方向性まで考えてもらって作り替えました。所要時間2時間くらい。すっげー！ってFacebookに書いたらけっこう反応がありました。

とはいえ「絶対安全」ではないです

ここは正直に書いておきます。

問い合わせフォームは外部のフォームサービスにお任せしていますし、サーバーそのものの管理も残っています。サイトを更新する仕組みも、ちゃんと管理しないといけません。

なので「静的だから無敵」ではなくて、「守らなきゃいけない場所を、思いっきり小さくした」というのが正確なところです。家の鍵を増やすんじゃなくて、そもそもドアの数を減らした、みたいなイメージですね。

AIがいて初めて現実的になった

じゃあなんで今までやらなかったのか。答えはシンプルで、めんどくさいし、お金がかかるからです。

数百ページを手作業で静的HTMLに移すなんて、普通に見積もったらけっこうな金額になります。「セキュリティのために」と言われても、なかなか予算は出ませんよね。わかります。

それがAIのおかげで、現実的な作業量になりました。

しかも作ったあとも楽なんです。今月も「スマホでメニューを押すと変なページに飛ぶ」という不具合があったのですが、スマホからClaudeに「なんか変なとこ飛ぶんだけど」と送ったら、原因を調べて、直して、テスト環境で確認して、公開の準備まで全部やってくれました。わたしがやったのは「マージして（公開して）」と返事をしただけ。

最後のGOだけは人間が出す。ここは大事にしています。