WordPressは危険になった？重大な脆弱性から考える、企業サイトをCloudflareへ移す判断基準

2026年9月、WordPress 7.1.2がセキュリティアップデートとして公開されました。

今回修正されたのは「Critical（重大）」と評価されたWordPress本体の脆弱性です。

一定の条件がそろった環境では、ログインしていない攻撃者からの操作をきっかけに、最終的にはサーバー上で不正なコードを実行される可能性がありました。

WordPressを利用している企業からすると、

「やはりWordPressは危険なのでは？」

と不安になるニュースだと思います。

ただ、今回の出来事だけを見て、

「WordPressは危険だから使ってはいけない」

と結論づけるのは少し違います。

一方で、会社案内や採用サイトのようなホームページまで、これからもすべてWordPressで作る必要があるのか。

これは改めて考えてよいタイミングだと思います。

今回はプラグインではなくWordPress本体の問題

WordPressのセキュリティというと、

「古いプラグインを放置していた」

「更新されなくなったテーマを使っていた」

といった話をイメージする方も多いと思います。

しかし今回のWordPress 7.1.2で修正されたのは、WordPress Core、つまりWordPress本体側の脆弱性です。

さらに、その直前となるWordPress 7.1.1でも複数のセキュリティ修正が行われています。

だからといって、WordPressのセキュリティ対策が機能していないという意味ではありません。

脆弱性が発見され、修正版が公開され、利用者へ更新が呼びかけられる。

これは正常なセキュリティ対応でもあります。

大切なのは、

WordPressを使っている以上、継続的な更新と保守が必要になる

ということです。

WordPressは「作って終わり」の仕組みではない

WordPressには非常に大きなメリットがあります。

管理画面から記事を書ける。
お知らせを更新できる。
複数の担当者でサイトを運営できる。
プラグインによって機能を追加できる。

自社で頻繁にホームページを更新する企業にとって、今でも非常に便利なCMSです。

一方で、その便利さを実現するために、

• WordPress本体
• PHP
• データベース
• テーマ
• プラグイン
• 管理画面
• ユーザーアカウント

など、さまざまな仕組みを動かしています。

それぞれを正しく管理し続ける必要があります。

つまり問題は、

「WordPressが危険かどうか」ではなく、「その会社にWordPressが必要なのか」

だとTrusKiteでは考えています。

会社案内サイトに管理画面は本当に必要？

例えば、

• 会社概要
• 事業内容
• サービス紹介
• 採用情報
• お問い合わせ
• アクセス

といった内容が中心の企業サイトを考えてみます。

公開後に変更するのは年に数回。

更新作業も制作会社へ依頼する。

このようなサイトであれば、WordPressの管理画面を24時間公開しておく必要性は、それほど高くないかもしれません。

WordPressを使えば更新しやすくなります。

しかし、自社でほとんど更新しないのであれば、その便利さを使わないままWordPress本体やプラグインの更新だけを続けることになります。

そこで選択肢になるのが、Cloudflareを利用したWebサイトです。

Cloudflareを使ったサイトという選択肢

TrusKiteでは、新規ホームページについてWordPressだけでなく、Cloudflareを利用した構成も採用しています。

例えばCloudflare Workers Static Assetsでは、あらかじめ作成したHTML、CSS、JavaScript、画像などを配信できます。

会社案内サイトやLPなどであれば、WordPressのように公開サーバー上でPHPとデータベースを常時動かさなくてもサイトを構築できます。

管理する仕組みが減れば、それだけ管理対象も減らせます。

これは、

「Cloudflareだから絶対に安全」

という意味ではありません。

問い合わせフォーム、API、外部CMSなどを組み合わせれば、それらのセキュリティ管理は必要です。

それでも、必要のない機能を最初から持たないことで、攻撃される可能性のある場所を減らすことはできます。

WordPressをCloudflareへ移せばよい、ではない

ここで注意したいのが、

「WordPressよりCloudflareの方が新しいから移行する」

という考え方です。

技術の新しさだけで決めるものではありません。

例えば、

WordPressが向いているサイト

• 自社で頻繁に記事を投稿する
• お知らせを担当者自身で更新したい
• 複数人でコンテンツを管理したい
• CMSとしての使いやすさを重視する
• WordPressの機能や資産を活用したい

このような場合は、WordPressを適切に保守しながら利用する方が合理的です。

Cloudflareベースが向いているサイト

• 会社案内が中心
• 採用サイト
• 商品やサービスのLP
• 更新頻度がそれほど高くない
• 更新を制作会社へ任せる
• 管理する仕組みをできるだけ減らしたい

このようなサイトであれば、WordPressを使わない構成も十分検討できます。

「WordPressをやめる」ことが目的ではない

TrusKiteでもWordPressを利用したWebサイトを制作しています。

案件によってはオリジナルWordPressテーマを制作し、必要な部分だけを更新できるようにする方法も採用しています。

その一方で、今後の新規制作ではCloudflareベースのサイトも積極的に提案しています。

判断基準は、

どちらが新しいかではありません。

その会社が公開後にどう運用するのか。

誰が更新するのか。

どれくらいの頻度で更新するのか。

どこまで自社で管理したいのか。

それを確認したうえで構成を決めます。

TrusKiteではCloudflareベースのホームページ制作にも対応しています

Cloudflareを使うというと、

「では、原稿やページ構成を全部こちらで用意しないといけないのでは？」

と思われるかもしれません。

TrusKiteでは、そこからお客様に丸投げする形にはしていません。

ホームページ制作は、

ヒアリング
→ インタビュー
→ 情報整理
→ ページ構成
→ 原稿作成
→ デザイン
→ Web制作
→ ドメイン・公開環境の設定
→ 公開・保守

まで一緒に進めることができます。

「会社概要の文章を用意してください」

「載せたい内容を全部考えてください」

というところから始める必要はありません。

何を載せればよいか分からない状態から、会社やサービスについてお話を伺い、必要な情報を整理してサイトにしていきます。

Cloudflareを採用する場合でも、この制作方法は変わりません。

テンプレートへ会社の情報を当てはめるのではなく、その会社の情報からサイトを作る。

これがTrusKiteの基本的な考え方です。

WordPressを使い続けることも、正しい選択肢

今回のWordPress 7.1.2の脆弱性を見て、

「すぐWordPressをやめなければ」

と考える必要はありません。

現在WordPressを利用している場合は、まずセキュリティアップデートを適切に適用することが重要です。

そのうえで、次回サイトを作り直すときには、

本当にWordPressが必要なのか

を一度考えてみてもよいと思います。

自分たちで更新するならWordPress。

更新頻度が低く、シンプルな企業サイトとして運用するならCloudflareを使った構成。

サイトによって答えは変わります。

ホームページは公開した瞬間より、その後何年も運用する時間の方が長いものです。

だからこそTrusKiteでは、

作りやすい仕組みではなく、公開後に管理しやすい仕組みを選ぶこと

を大切にしています。

現在WordPressで運用しているサイトについても、WordPressを維持した方がよいのか、Cloudflareなど別の構成へ移した方がよいのか、現在の更新方法やサイトの役割を確認しながら整理できます。