2026年10月21日に公開されたPHPの重大な脆弱性（詳しくはこちらの記事）では、保守契約を結んでいるお客様に加えて、保守契約のないサイトの方からも、複数ご相談をいただきました。
今回は特別に、契約のないサイトのご相談にも可能な範囲で確認・助言・対応をしました。
そのうえで、この記事では当方の今後の方針をお伝えします。
- 保守契約のないサイトの緊急対応を、今回のように受けるのは原則今回限りとします。
- 今後、保守契約のないサイトの緊急対応は、調査・見積33,000円（税込・先払い）から始めます。
(作業が要らなければ調査とアドバイスだけで終わりますが、費用は頂きます) - 作業が必要となった場合は110,000円〜（税込・金額は要見積もり）かかります。
- 対応の順番は、保守契約のお客様が最優先です。緊急時は複数回、割り込み対応が入ることがありますが、その場合も常に保守契約をされているお客様を優先いたします。
- 「結局WordPressのままでいいの？」という疑問には、「ご自身で保守を続けられるなら、WordPressのままで問題ありません」とお答えします。続けられないなら、作り方を変える選択肢が複数あります。
今回のPHP脆弱性では、初めて慌てた方からのご相談が多くありました
ご連絡をくださった方の多くは、WordPressでホームページを運用していたけど、脆弱性で慌てるのが初めての方でした。
（高市総理の発言や地上波のニュースを受けて、気になった方が多いようです。）
「WordPressの更新ボタンを押せば直るのでは」「サーバー会社が直してくれるのでは」と思われていた方も少なくありません。
分からないのは当然で、そのために相談窓口があります。
中には「今回は費用をお支払いするので、見てもらえませんか」と言ってくださる方もいました。
事情を理解したうえでのご依頼は、本当にありがたいです。
一方で、保守契約をしていないにもかかわらず、見てもらうのが当然というご連絡もありました。
この点について、私の考えをはっきりお伝えします。
保守契約のないサイトの緊急対応は、原則として今回限りです
保守契約のないサイトの緊急対応を、今回のように引き受けるのは、原則として今回限りです。
次回も重大な脆弱性が出るかと思いますが、同じ形の対応はできかねます。
保守料は「何かあったときに、真っ先に見てもらう」ための約束です
保守契約のお客様は、何も起きていない月にも保守料をお支払いくださっています。
それは毎月の更新作業の対価であると同時に、今回のような日に、自分のサイトを先に見てもらうための約束でもあります。
契約のないサイトを、契約しているサイトと同じ順番・同じ条件で対応すれば、その約束を破ることになります。
それは、毎月お支払いいただいているお客様に対して失礼です。ここは譲りません。
今回は事情を考えて対応しましたが、有償かつ特別対応です。
毎月お支払いいただいている方との約束を、いちばん大事にしたいと考えています。
今後、保守契約のないサイトの緊急対応は「調査・見積33,000円（税込）」から始めます
今後、保守契約のないサイトから緊急のご相談をいただいた場合は、まず調査・見積の費用として33,000円（税込）を先にお支払いいただいてから、確認に入ります。
調査のあとは、サイトの状態と、次にやるべきことをメールでご報告します。
そのうえで作業が必要な場合は、110,000円（税込）〜かかります。
（お客様のサイトにより構成が様々なので、金額は大きく変わります）
作業の途中でお見積りの範囲を超えると分かったときは、いったん作業を止めて、追加のお見積りをお出しします。
サイトの状態が分からないまま「いくらで直ります」とお答えすることは、誠実ではないと考えるためです。
| 確認した結果 | 行うこと | 費用（税込） |
|---|---|---|
| 作業が要らない、またはご自身でできる範囲 | 調査と、何をすればよいかのアドバイスだけで済む場合 | 調査・見積の33,000円のみ |
| 作業が必要 | お見積りをお出しし、ご了承いただいてから作業 | 110,000円〜（調査・見積の33,000円は差し引き） |
調査では、サイトの状態を確かめて、対応方針とお見積りをお出しします
初めて見るサイトは、どのサーバーで、どのPHPのバージョンで、どのテーマとプラグインで動いているかを調べるところから始まります。調査では、次のことを行います。
- 管理画面・サーバーに入れるかの確認
- PHP・WordPress本体・テーマ・プラグインの状態の確認
- 作業が要るかどうかの判断と、要る場合の方針・お見積りのご提示
たとえば、サーバーの管理画面でPHPのバージョンを切り替えるだけで済むなら、手順をお伝えして、調査の費用だけで終わります。
バージョンがサポート対象外など、作業をご依頼いただく場合は、調査の費用を作業代に充てます。
作業が必要な場合に10万円以上かかるのは、それまでの管理状態のツケを一度に払うことになるからです
今回ご相談をいただいたサイトでも、確認とアドバイスだけで済んだケースから、15万円ほどかかったケースまでありました。
ご相談の多くは、レンタルサーバー会社が修正版を自動で当ててくれていたため、様子を見るだけで済みました。
一方で、そうはいかないサイトもありました。
差を生んだのは、サイトの規模よりも、それまで更新や管理をしてきたかどうかです。
今回のPHPの修正版は、サポート中のPHP 8.2以上にしか出ていません。
何年も更新していないサイトは、PHPを上げると古いテーマやプラグインが動かなくなり、表示崩れやお問い合わせフォームの修理まで、直す範囲が広がります。
緊急時には、それを他の作業を止めて短時間で行う必要があります。
この金額は、保守契約のお客様との釣り合いも考えて決めています。
毎月の保守料をお支払いいただいている方より、何もせずにいた方が安く直せるのでは、はっきりいって筋が通りません。
実際に10万円以上かかったのは、PHPの世代が大きく古かったサイトです
10万円以上かかったサイトは、PHPのメジャーバージョンから古いままでした。
メジャーバージョンとは、バージョンの数字の先頭のことです。ここが変わるのは、中身が大きく作り替えられたときです。
この状態でPHPを上げると、古い仕組みで作られた部分が動かなくなります。そのサイトでは、次の順に作業が広がりました。
- PHPを上げると、テーマやお問い合わせフォームが崩れる
- テーマを新しくすると、世代が変わって見た目が崩れるので、元の見た目に整え直す
- プラグインにも脆弱性が見つかるので、一つずつ確認し、要らないものは整理し、残すものは更新する
PHPの脆弱性を直すために始めた作業が、テーマとプラグインの手直しにまで広がったわけです。
日頃から少しずつ更新していれば、一度にここまで広がることはありません。放置した年数ぶんの更新を、緊急時にまとめて行うことになるので、時間も費用もかかります。
放置したサイトの改修が高くつくのは、当方だけの話ではありません
これは当方の言い分だけではありません。WordPressの公式、セキュリティの専門企業、他の制作会社も、同じことを公開の場で伝えています。
| 改修が大きくなる理由 | 誰が言っているか |
|---|---|
| PHP 8は、古いPHPとの互換性を壊す大きな変更を含む。以前は注意で済んだ書き方がエラーになり、古い機能は削除された。テーマとプラグインの側に対応が必要で、上げる前に十分なテストが強く勧められている | WordPress公式（開発者向けブログ） |
| 2025年にWordPressまわりで見つかった脆弱性は11,334件で、前年より42%増えた。そのうち91%がプラグイン、9%がテーマ。本体は6件だった | Patchstack（WordPressのセキュリティ企業） |
| 長く更新していないサイトは、見た目は問題なくても、中で脆弱性や互換性の危うさがたまっていることがある。サーバー側でPHPが上がると、表示されない・フォームが動かない・管理画面に入れない、といったことが起きる。問題が起きてからでは、復旧の費用が高くなりやすい | 株式会社サンクユー（制作会社）のお知らせ（2026年7月） |
WordPress本体の脆弱性は少なく、見つかる脆弱性のほとんどはプラグインとテーマにあります。
10万円以上かかったサイトで、プラグインを一つずつ確認して整理したのは、このためです。
PHP・テーマ・プラグインの3つを、放置した年数ぶん一度に上げる。それぞれを確かめながら進めるので、時間がかかります。
110,000円は、作業およそ10時間ぶんです
当方の料金は、すべて「作業1時間 11,000円（税込）」の掛け算で決めています（料金のページ）。
110,000円は、作業およそ10時間ぶんです。
「PHPを上げるだけなのに10時間？」と思われるかもしれません。
ただ、実際に手を動かすのは、PHPを切り替える数分だけではありません。
| 作業 | 内容 |
|---|---|
| 状態の確認 | サーバー・PHP・テーマ・プラグインの洗い出し |
| バックアップ | 壊れても元に戻せるように、作業前に取る |
| 検証 | PHPを上げても動くかを、先に試す |
| 修理 | 動かなくなったプラグインの入れ替え、テーマの修正 |
| 確認 | 全ページの表示と、お問い合わせフォームの送信を実際に試す |
| ご報告 | 何をしたか、次に何が起きそうかをお伝えする |
この中のどれか1つでも省くと、「直ったように見えて、実はフォームが届いていない」といったことが起きます。
なお、月額保守のお客様は1時間8,800円（税込）で、日頃の更新があるぶん、作業そのものも短く済みます。
1〜3万円の単発依頼で頼めるのは、どこまでか
緊急時には、1〜3万円ほどの単発の依頼で済ませたいと考える方もいると思います。
依頼すること自体は悪くありません。
ただ、その金額で頼めるのは、多くの場合「PHPを切り替える作業そのもの」までです。
依頼する前に、次の点を確かめてください。
- 作業前にバックアップを取るか。壊れたら、誰が元に戻すのか
- 表示崩れやお問い合わせフォームの不具合が出たときに、そこまで見てもらえるのか
- 管理画面やサーバーのパスワードを、初めての相手に渡して大丈夫か
- 作業が終われば、それきりではないか。次の脆弱性のときは、また相手を探すところから始まる
金額の差は、作業の手間の差だけではありません。
「壊れたときに責任を持つかどうか」の差です。
対応の順番は、保守契約のお客様が常に優先です
重大な脆弱性が出た日は、限られた時間の中で、どのサイトから確認するかを決めなければなりません。
最初に手を付けるのは保守契約のお客様のサイトで、契約のないサイトのご相談は、その対応を終えてから順番に伺います。調査の費用をお支払いいただいても、この順番は変わりません。
保守をちゃんと請け負っている会社は、どこも緊急時にはまず自社の契約先を守ります。
「何かあったら、そのとき誰かに頼めばいい」は、今回のような日には通用しにくいと考えてください。
事件の前に「保守が大事だ」とご連絡をくださった皆さま、ありがとうございます
今回の件が起きる前に、「やはり保守は大事だと思って」とご連絡をくださったお客様もいらっしゃいました。
その判断は、本当に正しかったと思います。
メリットが見えづらい保守にお金をかけるのは、勇気が要ることです。
目に見える成果が出るわけではありませんし、「今のところ困っていないから」と後回しにするほうが自然です。
それでも先に動いてくださった方のサイトは、状態が分かっていたからこそ、今回も落ち着いて対応できました。
保守契約は、事件が起きてから慌てるためのものではなく、事件が起きても慌てずに済むためのものです。
先に決めてくださった皆さまに、あらためてお礼を申し上げます。
事前にご連絡をくださった皆さま、本当にありがとうございます。
何も起きていないときに保守を依頼するのは、いちばん難しく、そしていちばん正しい判断です。
結局、WordPressのままでいいの？ → 保守を続けられるなら、そのままで問題ありません
今回の件で「WordPressは危ないから、やめたほうがいいのでは」と心配された方もいると思います。答えは、保守を続けられるなら、WordPressのままで問題ありません。
今回の脆弱性はWordPressではなく、WordPressを動かしているPHPのものです。
PHPで動く仕組みはWordPress以外にもたくさんあり、WordPressだけが特別に危ないわけではありません。
危ないのは、誰も更新していない状態のまま公開を続けることです。
お知らせやブログを自分で更新したい方にとって、WordPressは今でも使いやすい仕組みです。
使い方を知っている人や、困ったときに相談できる会社が多いことも強みです。
保守を続けられないなら、WordPressをやめる選択肢もあります
当方は、どのお客様にも「WordPressで作りましょう」とお勧めすることはありません。
保守を続けられないのであれば、サイトの作り方そのものを変えるほうが、安全で、長い目で見て安上がりなことがあります。
ほとんど更新しないサイトなら「静的サイト化」が現実的
会社案内のように、内容を年に数回しか変えないサイトであれば、完成したページのファイルだけを公開する「静的サイト」にする方法があります。
公開しているサーバーでPHPを動かさない構成にできれば、今回のようなPHPの脆弱性の影響を受けにくくなります（仕組みはPHP脆弱性の記事で説明しています）。
実は、このサイトもWordPressで直接表示する形から、静的なページを配信する形へリニューアルしています。
記事はWordPressで書き、公開するページは静的なファイルとして配信しています。
ただし、静的にすれば何もしなくてよい、というわけではありません。
元のWordPressが外から見える場所に残っていれば、そこが狙われます。
文章や写真を自分で変えたいときに、どこまで自分でできるかも、事前に決めておく必要があります。
新しいCMS「EmDash」は注目ですが、無理に飛びつかない
最近、WordPressに代わる仕組みとして「EmDash（エムダッシュ）」の名前を見かけるようになりました。
Cloudflareが2026年4月に発表した、無料で使えるオープンソースのCMS（ホームページを更新するための仕組み）です。追加機能を隔離した環境で動かすなど、WordPressで起きがちな問題を避ける設計になっています。
新しい仕組みを検討すること自体は良いことです。
ただ、小規模な事業者のサイトで今すぐ乗り換えるかというと、私は様子を見るべきだと考えています。
- 費用が読みにくい⋯ソフト自体は無料でも、標準ではCloudflareのサービスの上で動き、使った分だけ請求される「従量課金」の部分があります。毎月いくらかかるかを、事前に言い切りにくい仕組みです
- まだ新しい⋯発表から1年経っていません。困ったときに頼れる情報や使える追加機能は、WordPressに比べてまだ多くありません
- 任せられる人が少ない⋯乗り換えたあとに何かあったとき、相談できる会社が近くに見つかるとは限りません
新しいものは、評判を見てから選んでも遅くありません。
「話題だから」ではなく、「自分のサイトの使い方に合うか」で決めることをお勧めします。
どれを選ぶかは「更新の頻度」と「見てくれる人がいるか」で決める
| サイトの使い方 | 向いている形 | 気をつけること |
|---|---|---|
| お知らせやブログを頻繁に更新する | WordPressのまま＋保守 | PHP・本体・プラグインの更新を続ける |
| 内容をほとんど変えない | 静的サイト化 | 元のWordPressを外から見える場所に残さない |
| 更新はしたいが、保守を任せる人がいない | まずは保守の相談 | 「誰も見ていない」状態のまま公開を続けない |
| 新しい仕組みを試したい | EmDashなどの新しいCMS | 費用の仕組みと、任せられる人がいるかを先に確かめる |
次の脆弱性が出る前に、今日決めておく3つのこと
重大な脆弱性は、今回で終わりではありません。
次に慌てないために、今のうちに次の3つを決めておいてください。
- 誰がサイトを見るのかを決める
→ 自分で更新するのか、保守を頼むのか。「誰も見ていない」状態だけは避ける - ログイン情報とサーバーの契約者を確認する
→ いざというときに、ここが分からないと誰も手を付けられません - WordPressのままでよいかを考える
→ 更新が少ないなら、静的サイト化も含めて作り方を見直す機会です。
当方の月額保守では、WordPress本体・テーマ・プラグインの更新（作業前のバックアップ込み）と、サイトが止まっていないかの確認をお引き受けしています。料金は料金のページにまとめています。WordPressを続けるか、静的サイトに移すかで迷っている段階のご相談も歓迎します。
次に何かが起きてからではなく、何も起きていない今のうちにご相談ください。
最後までお読みいただき、ありがとうございました。
Service
同じことでお困りでしたら
記事のとおりに進めるのが難しいときは、次のご相談で承っています。
- 修正・トラブル対応表示が崩れた、エラーが出る、フォームが届かない。原因を調査し、直せる形でご報告・修正します。
- 月額保守・管理WordPress本体・プラグインの更新、稼働の確認、軽微な修正、毎月のご報告まで。月々の定額で任せられます。
どれにあたるか分からないときは、ホームページの自己点検リストで、いまの状態からお確かめいただけます。
