「PHPに緊急の欠陥、WordPressからCloudflareに乗り換えよう」
ここ数日、こんな記事や投稿を見かけて、自社のホームページは大丈夫なのかと気になっていませんか。
私の中でCloudflareは、お問い合わせフォームに出る「私はロボットではありません」の仕組み、reCAPTCHA（リキャプチャ）の代わりになるもの、という印象でした。
以前、reCAPTCHAが有料になる話を書いたときに、その代わりとしてCloudflareのサービスを紹介していたからです。
【知っ得！】Google reCAPTCHAの有料化対策！無料の対策を教えます
調べてみると、Cloudflareは、サイトの前に立つ「受付と警備」の会社でした。
reCAPTCHAの代わりは、その中の1つのサービスです。
いま騒がれているのは、WordPressを動かしている土台の「PHP」に欠陥が見つかった話と、PHPを使わないCloudflareの新しいサービスの話が、重なったものです。
WordPressのサイトでまずやるのは、乗り換えではありません。
自社のサイトのPHPに、今回の修正が当たっているかを確かめることです。
この記事では、次のことが分かります。
- Cloudflareが何の会社で、何をしてくれるのか
- reCAPTCHAの代わり（Turnstile）とCloudflareの関係
- 「WordPressから乗り換え」と言われている理由
- WordPressのままCloudflareを使う方法と、乗り換えの違い
- 中小企業がいま確かめること
Cloudflareとは、サイトの前に立つ「受付と警備」の会社です
Cloudflare（クラウドフレア）は、アメリカの会社の名前で、その会社が出しているサービスの名前でもあります。
お店の入口に立つ、警備員つきの受付を思い浮かべてください。
お客さん（サイトを見に来た人）は、まず受付に来ます。
受付は、よく聞かれるページの控えを手元に持っていて、その場で渡します。
そのぶん奥の店（サイトのサーバー）まで行く回数が減り、ページが速く開きやすくなります。
怪しい客は、入口で止めます。
大勢で押しかけて店を止めようとする攻撃も、受付が引き受けます。
Cloudflareは、見に来た人とサイトのサーバーのあいだに立ちます。
やっていることは、大きく分けて3つです。
- 速く届ける（ページの控えを世界中に置いて、近くから渡す）
- 守る（攻撃と分かる通信を、サーバーに届く前に止める）
- 見分ける（フォームを送るのが人かロボットかを見分ける）
このうち、速く届けることと守ることの基本は、無料のプランで使えます。
調査会社W3Techsによると、世界のサイトの27.8%がCloudflareを通しています（2026年10月）。
reCAPTCHAの代わりは、Cloudflareのサービスの1つです
冒頭で書いた「CloudflareはreCAPTCHAの代わり」だと思っていたのは、あながち間違いではありませんでした。
Cloudflareの「Turnstile（ターンスタイル）」というサービスが、reCAPTCHAの代わりになります。
上の3つでいうと「見分ける」の役です。
reCAPTCHAの代わりになるTurnstileは、Cloudflareの「見分ける」役のサービスです。
| Turnstile（Cloudflare） | reCAPTCHA（Google） | |
|---|---|---|
| 無料で使える量 | 判定の回数に上限なし | 月10,000件まで（組織全体の合計） |
| 無料の量を超えたとき | 上限がないので起きない | 10,001〜100,000件は月8ドル、それ以上は1,000件ごとに1ドル |
Turnstileは、サイト全体をCloudflareに通していなくても使えます。
reCAPTCHAの無料の範囲が狭くなったときに、入れ替え方をまとめた記事があります。
【知っ得！】Google reCAPTCHAの有料化対策！無料の対策を教えます
「WordPressから乗り換え」と言われているのは、2つの話が重なったからです
「乗り換えよう」という話は、PHPの欠陥と、Cloudflareの新サービスの話が重なって出てきました。
1つめ：PHPそのものに、緊急の欠陥が見つかった
PHP（ピーエイチピー）というのは、サーバーの中でWordPressを動かしているプログラムの言葉です。
このPHPに、外から勝手にプログラムを動かされるおそれのある欠陥が2件見つかりました。
「PHP2Shell」と呼ばれています。
勝手にプログラムを動かされると、ホームページを書き換えられたり、偽のページを置かれたり、サーバーの中の情報を抜かれたりするおそれがあります。
深刻さを表す点数は、どちらも10点満点中9.2で、いちばん重い区分に入ります。
修正版は、2026年10月21日に出ました。
CloudflareのCEO（最高経営責任者）は、公表から2時間以内に、攻撃の試みが数十万件に達したとXで報告しています（ITmedia、2026年10月22日）。
2つめ：CloudflareがPHPを使わない新しいサービスを出していた
Cloudflareは2026年9月28日に、「EmDash（エムダッシュ）」というサイト作りの仕組みの正式版を出していました。
WordPressと同じ役割をするものですが、EmDashはPHPを使わずに動きます。
そこへ10月にPHPの欠陥が公表され、10月21日から22日にかけて、EmDashへの移行をすすめる記事がいくつも出ました。
PHPの欠陥は、乗り換えなくても直せます
PHPの欠陥は、サーバーのPHPに修正が当たれば直ります。
サイトを作り直す必要はありません。
気をつけたいのは、WordPress本体を更新しても、この欠陥は直らないことです。
PHPはWordPressの外側、サーバーの側にあるからです。
直す必要があるのは、WordPressの外側にあるPHPです。
レンタルサーバーの多くは、すでに修正を当てています
中小企業のサイトの多くは、レンタルサーバーの上で動いています。
この場合、使っているPHPの版の中の修正は、サーバー会社が当てます。
2026年10月23日時点の案内です。
- さくらインターネット：10月22日の朝6時30分に更新を終えた
- エックスサーバー：10月22日の朝6時45分に、PHP 8.2〜8.5の対象サーバーへ修正を当て終えた
- ロリポップ・お名前.com・Zenlogic：緊急のメンテナンスを案内
エックスサーバーは、それより古い版のPHPには、独自の修正を準備して順に当てていくとしています。
対応の状況は日ごとに変わるので、いま使っているサーバー会社の公式のお知らせを必ず確かめてください。
PHP 8.1以前の版を使っているサイトは、版を上げる必要があります
今回、修正版が出たのは、PHP 8.2から8.5までです。
PHP 8.1以前の版には、ふつうの修正版が出ていません。
| PHPの版 | 安全のための更新が終わる日 |
|---|---|
| 7.4 | 2022年11月28日（終了） |
| 8.0 | 2023年11月26日（終了） |
| 8.1 | 2025年12月31日（終了） |
| 8.2 | 2026年12月31日 |
| 8.3 | 2027年12月31日 |
| 8.4 | 2028年12月31日 |
| 8.5 | 2029年12月31日 |
8.2も、2026年12月31日で更新が終わります。
サーバー会社がPHPの版を自動で上げない場合、サイトは作った当時の版のまま動き続けます。
自社のサイトのPHPの版は、WordPressの管理画面で分かります
- WordPressの管理画面にログインする
- 左のメニューの「ツール」から「サイトヘルス」を開く
- 「情報」のタブを開き、「サーバー」を押す
「PHP バージョン」の欄に、8.2のような数字が出ます。
エックスサーバーなら、サーバーパネルの「PHP Ver.切替」でも確かめられます。
サーバーパネルは10月21日の夕方から予防のために止められていたので、開けないときは公式のお知らせで再開を確かめてください。
版を上げるとプラグインが動かなくなることもあるので、自分で切り替えるのが不安なときは、作った制作会社に頼んでください。
WordPressのまま、Cloudflareを前に置くこともできます
「Cloudflareを使う」には、2つのやり方があります。
1つは、WordPressはそのままにして、Cloudflareを前に置くやり方です。
もう1つは、WordPressをやめて、サイトをCloudflareの上に作り直すやり方です。
前に置くならWordPressはそのまま、作り直すならWordPressをやめることになります。
| 前に置く | 作り直す（乗り換え） | |
|---|---|---|
| やること | サイトの住所録（DNS）をCloudflareに移し、サイトへの通信がCloudflareを通るように設定する | サイトを新しい仕組みで作り直す |
| WordPress | そのまま使う | やめる |
| PHPの修正 | これまでどおり必要 | 要らなくなる |
| いまのデザインと追加機能 | そのまま使える | そのままでは使えない |
前に置くと、何が変わるか
画像やデザインのファイルを控えから配るので、ページが開くのが速くなりやすいです。
攻撃と分かる通信を、サーバーに届く前に止めてくれます。
今回のPHPの欠陥でも、Cloudflareは詳しい内容が公表される前に、攻撃を止める決まりを入れていました。
ただし、Cloudflareを前に置いても、PHPの修正の代わりにはなりません。
警備員がいても、壊れた鍵は直さないといけません。
前に置くときは、メールの設定に気をつけてください
住所録（DNS）には、サイトの行き先だけでなく、会社のメールの行き先も書かれています。
Cloudflareに移すときにメールの行き先を写し忘れると、会社のメールが届かなくなります。
住所録を移すときに、メールの行き先を写し忘れると、メールが届かなくなります。
ほかにも、https の設定を「Flexible」にしてページが開かなくなる、サイトを直しても古いページが出続ける、といったつまずきがあります。
切り替えは、メールの設定まで分かる人と一緒に行ってください。
乗り換えは、急がなくて大丈夫です
EmDashのようなPHPを使わない仕組みには、PHPの欠陥の影響を受けないという良さがあります。
一方で、いまのWordPressのデザインや追加機能（テーマやプラグイン）は、そのままでは使えません。
移す準備をしている間も、いまのサイトのPHPには修正を当てておく必要があります。
EmDashの一部の機能はCloudflareの上でしか働かず、EmDashに移したあとは、Cloudflareから離れにくくなるという指摘もあります（Search Engine Journal）。
乗り換えには良い所もありますが、作り直しと、離れにくさがついてきます。
乗り換えは、サイトの作り直しと同じくらいの大きな話です。
欠陥のニュースをきっかけに慌てて決めるより、まずPHPの修正を確かめ、乗り換えは次の作り直しのときに検討するくらいで十分です。
中小企業がいま確かめること
確かめる順番は、サーバー会社のお知らせ、自社のPHPの版、制作会社への相談です。
- サーバー会社のお知らせで、PHPの修正が終わったかを見る
- WordPressの「サイトヘルス」で、自社のサイトのPHPの版を見る
- 8.1以前なら、制作会社に版の上げ方を相談する
8.2のサイトも、年内に版を上げる相談をしておくと安心です。
制作会社に任せているなら、次のように聞くだけで話が進みます。
「PHP2Shellの件、うちのサイトのPHPは何の版で、修正は済んでいますか？」
Cloudflareを前に置くか、乗り換えるかは、そのあとで決めれば間に合います。
ニュースが出たときに、慌てないために
自社のサイトが、どのサーバーの、どの版のPHPで動いているか、すぐに答えられますか？
それが分かっていれば、次に欠陥のニュースが出ても、判断は早くなります。
次のどれかに心当たりがあれば、一度話を聞かせてください。
- サイトを作った会社と、いまは連絡がつかない
- どのサーバーで動いているか分からない
- Cloudflareを入れるべきか、判断できない
お問い合わせフォームから、いまの状況を送ってください。
「お問い合わせの種類」は「Web制作・改善について」を選び、「ご相談内容」には、たとえば次のように書いてもらえれば十分です。
ブログの「Cloudflareなら〜」の記事を読みました。
ホームページ：https://（自社のホームページのアドレス）
作り方：WordPress（作った制作会社とは、いま連絡がついていません）
知りたいこと：PHPの修正が済んでいるか、版を上げる必要があるか分からない所は「分からない」と書いてもらえれば、こちらで確かめます。
すぐに相談するほどではないという方は、サイトやAIの話をメルマガで届けています。
登録すると、特典も届きます。
サイトの管理や運用の記事は、こちらにまとめています。
参考にした情報
エックスサーバーのPHP脆弱性対応（THREE D PLUS、2026年10月22日）
Cloudflare Releases EmDash 1.0（CMSWire、2026年9月30日）
EmDash 1.0とCloudflareへの依存（Search Engine Journal）
いま受け取れる特典は、全部で9つ。すべて無料です。
- Claude Codeで作る 動画キット … 日本語で頼むだけで、告知動画を作る指示文とサンプル一式。
- AIが作る見た目を選べる デザイン様式50 … 名前をひとつ添えるだけで、サイトも資料も50通りに。
- AIの仕上がりを毎回そろえる 型プロンプト … コピペするだけ・作成フォーム付き。
- ChatGPT超入門ガイド … 「何ができるの？」がスッキリ分かる入門書。
- AIで仕事をラクにする 業務改善チェックリスト … “任せられる仕事”を見つける。
- 今日から使えるAI活用シーン10選 … まねするだけ。
- NotebookLMでスライドを作ろう … 資料づくりを10倍速に。
- 撮った動画を“見返せる資産”に変える 手順書 … 文字起こし→目次→字幕まで。
- AI活用ガイドブック（全70ページ） … 登録＋3分のアンケートで無料（Kindleでは980円）。
この記事は役に立ちましたか？
コメント