WordPressの引っ越しを頼みたい｜PHPの緊急修正を機に、移すべきサイト・更新で足りるサイト・依頼先に確かめること(2026年10月)

PHPの緊急修正とWordPressの関係(2026-10-22 09:00時点)

PHP公式は2026-10-21 23:00(日本時間)に、CVSS v4.0で9.2と評価された脆弱性2件(CVE-2026-109618・CVE-2026-109619)の修正版、8.5.12・8.4.27・8.3.36・8.2.35を公開しました。対象は、Webのリクエストを処理しているすべてのPHP環境(PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeed)で、WordPressが動いているサーバーはこれに当たります。8.1以前には公式の修正版が出ません(ディストリビューションやサーバー会社の修正を確かめるか、サポート中の系列へ上げる)。詳しくは当社のPHPの解説(「今日のうちにできること」の節の出典)にまとめました。

WordPressはPHPというプログラミング言語で動いています。WordPress.orgの動作要件では、PHPは8.3以上、データベースはMariaDB 10.11以上またはMySQL 8.0以上が推奨で、古いバージョンでも動きはするが公式サポートが終わっていて脆弱性にさらされる可能性がある、と書かれています(2026-10時点)。

ここで効いてくるのが「自社のサイトのPHPを誰が更新するか」です。レンタルサーバーなら、PHP本体の修正はサーバー会社が当てます。利用者側がすることは、管理画面で使うPHPのバージョンを新しいものに切り替えることです。自社やクラウドでサーバーを立てている場合は、自社(か保守を頼んでいる会社)が当てます。

レンタルサーバー大手の動きも出ています。エックスサーバー株式会社は2026-10-21 16:00に公式サイトと管理画面を予防的に一時停止し(不正アクセスの発生によるものではなく、利用者のサーバーには影響なし)、2026-10-22 06:45時点で、PHP 8.2〜8.5について対象のすべてのサーバーへの修正パッチの適用が完了したと告知しました。旧バージョンは同社独自の修正を順次適用中としています(同社告知)。自社のサーバー会社の告知で、いつ・どのバージョンに適用されたかを確かめてください。

仕様の出典: PHP公式「Security advisory: Critical remote code execution vulnerabilities, update now」(2026-10-21) / PHP公式「Upcoming Critical PHP Security Release」(2026-10-20) / WordPress.org 日本語「動作要件」 / PHP公式 Supported Versions / PHP公式 Unsupported Branches / エックスサーバー株式会社「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」(2026-10-21 16:00)

引っ越したほうがよいサイト、更新で足りるサイト

先に言い切ると、ほとんどのWordPressサイトは引っ越す必要がありません。いまのサーバーでPHPを8.3以上に切り替えられて、WordPress本体とプラグインを更新する人がいるなら、やることは更新とバックアップです。引っ越しは、更新そのものを邪魔している事情があるときの手段です。

引っ越しという大きな作業を、脆弱性の対応と混ぜないほうが安全です。2026年7月にはWordPress本体にも深刻な脆弱性があり、修正版7.0.2(2026-07-17)などが自動更新で配られました。あのときも必要だったのは更新であって、引っ越しではありませんでした。

仕様の出典: WordPress.org「WordPress 7.0.2 Release」(2026-07-17) / ScanNetSecurity「WordPress 6.9 以降で 2 件の脆弱性の組み合わせで遠隔コード実行の可能性」(2026-07-24)

行き先は2つ。WordPressのまま移すか、WordPressをやめるか

「引っ越し」には2つの意味があります。1つ目は、WordPressのまま別のサーバーへ移すこと。2つ目は、WordPressをやめて、別の作り方のサイトに作り直すことです。頼むときは、どちらの話をしているかを最初にそろえてください。

WordPressのまま移す引っ越しは、見た目も管理画面もそのままで、PHPの更新をサーバー会社に任せられる環境に移るのが目的です。改造の少ないサイトなら作業は数日以内が目安で、社内の運用は変わりません。ただし、WordPress本体・テーマ・プラグインの更新は、引っ越した後も自社の仕事として残ります。

WordPressをやめる引っ越しは、記事や会社案内を静的なファイル(あらかじめ作ったHTML)として配信する構成に作り直すものです。PHPもデータベースもサーバー上で動かないので、今回のようなPHPの修正に追われることがなくなり、WordPressの管理画面への不正ログインという入口は無くなります(社内で編集を続けるための画面を別に用意する場合は、そちらの守りが要ります)。当社のサイト(westeria.jp)はこの構成で、WordPressを使わずCloudflare Pagesで配信しています。これは自社の例であって、お客様への導入の実績ではありません。

向き不向きははっきりしています。会員機能や予約、ECなど、訪問者が書き込む仕組みが本体にあるサイトは、静的にするだけでは成り立ちません。社内の非技術者が毎日記事を書くサイトも、書く場所(見出し付きの編集画面)を別に用意する必要があります。反対に、会社案内・採用・お知らせ・ブログが中心で、更新が週1回以下のサイトは、静的にする効果が大きい部類です。

引っ越しの作業の中身と、依頼先に確かめること

WordPressのまま移す場合の作業は、おおむね次の順です。どこまでが依頼先の範囲かで、仕上がりがまったく違います。

• 現状の調査: WordPress・PHP・テーマ・プラグインのバージョン、サイトの容量、メールをそのサーバーで使っているか、ドメインの管理はどこか
• バックアップ: ファイルとデータベースの両方。移転前の状態に戻せることを先に確かめる
• 移転先の用意: サポート中のPHPが選べるサーバー・プランを決め、SSL(https)の証明書を用意する
• データの移動: ファイルとデータベースを移し、URLの設定を直す
• 動作確認: 公開前に、移転先で全ページ・問い合わせフォーム・画像・ログインを確かめる
• DNSの切り替え: ドメインの向き先を移転先に変える。ここで初めて訪問者が移転先を見る
• メールの扱い: サーバーでメールも使っていた場合は、メールの移転か別サービスへの切り出しが要る。ここを忘れると、サイトは動いてもメールが止まる
• 旧サーバーの停止: 切り替え後しばらく様子を見てから解約する。旧サーバーを放置すると、そこが攻撃の入口として残る

依頼先に確かめる質問

• 動作確認とDNSの切り替えは料金に含まれますか。含まれない場合、誰がやりますか
• メールもこのサーバーで使っています。メールはどうなりますか
• 移転先のPHPのバージョンは何ですか。8.3以上を選べますか
• 移転前のバックアップは、いつ・どこに取り、いつまで残しますか
• 切り替えの日時はこちらで決められますか。サイトが見られない時間はありますか
• 問い合わせフォームや予約など、外部サービスとつないでいる部分は、移転後も動きますか
• 移転後に表示が崩れた場合、どこまで直してもらえますか。テーマやプラグインの更新は範囲に入りますか

費用はどう決まるか

この記事に金額は書きません。同じ「WordPressの引っ越し」でも、下の要素で作業量が数倍変わるからです。見積もりを取るときは、この要素を先に伝えると早く正確になります。

• サイトの数とページ数、画像や動画の容量
• テーマやプラグインの改造の有無(改造が多いほど、移転先で壊れる箇所が増える)
• メールをそのサーバーで使っているか
• ドメインとDNSの管理者が誰か(自社・制作会社・サーバー会社)
• 問い合わせフォーム・予約・決済など、外部サービスとの接続の数
• サイトを止めてよい時間(夜間に数分か、1秒も止めたくないか)
• WordPressをやめる場合は、作り直すページの数と、社内で編集を続けたいかどうか

当社に頼めること、頼めないこと

当社はAIを使ってシステムを作る会社で、WordPressの引っ越しは「システムを作る側の仕事」としてお受けします。流れは、フォームから状況を送っていただき、初回1時間のヒアリング(無料)で範囲を決め、見積もりをお出しする、の順です。決まっていない段階、「移すべきかどうかから聞きたい」という段階でかまいません。

お受けするのは、現状の調査、バックアップ、サポート中のPHPが動く移転先の用意、ファイルとデータベースの移動、URLとSSLの設定、動作確認、DNSの切り替えの段取り、旧サーバーの停止までの一式です。メールの切り出しも、必要なら範囲に入れます。WordPressをやめる場合は、静的なサイトへの作り直しと、社内で編集を続けるための仕組みづくりまで行います。

お受けしないのは、改ざんの調査(フォレンジック)、脆弱性診断(サーバーへの検査)、24時間の監視です。これらは専門会社の仕事です。改ざんの疑いがある場合は、IPAの相談窓口や事故対応の専門会社に先に連絡してください。調査が終わって「移す」と決まった段階からは、当社がお手伝いできます。

当社にはWordPressの引っ越しの導入実績がまだありません。そのうえで頼んでよいかは、ヒアリングで作業の段取りと確認の方法を聞いて判断してください。当社のサイト自体が、WordPressを使わない静的な構成で動いていることだけは、いまの時点で見ていただけます。

仕様の出典: IPA 企業・組織向けサイバーセキュリティ相談窓口

今日のうちにできること

引っ越すかどうかに関係なく、今日のうちにできることがあります。PHPの修正版が公開される前でも、確認とバックアップは進められます。

• WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」を開き、WordPressとPHPのバージョンを控える
• サーバー会社の管理画面で、選べるPHPのバージョンに8.3以上があるかを見る
• ファイルとデータベースのバックアップを取り、サーバーの外(自社のPCやクラウドストレージ)にも置く
• サーバー会社の告知を確認する。修正版をいつ・どのバージョンに当てたかが出ている(エックスサーバーは2026-10-22 06:45に8.2〜8.5への適用完了を告知)
• 制作会社や保守会社がいるなら、「今回のPHPの修正は誰が当てるか」を今日のうちに聞く

仕様の出典: 当社の解説「PHPの緊急脆弱性(2026年10月21日)」

出典

• PHP公式「Security advisory: Critical remote code execution vulnerabilities, update now」(2026-10-21): https://www.php.net/archive/2026.php#2026-10-21-5
• PHP公式「Upcoming Critical PHP Security Release」(2026-10-20): https://www.php.net/archive/2026.php#2026-10-20-1
• PHP公式 Supported Versions(2026-10-21に確認): https://www.php.net/supported-versions.php
• PHP公式 Unsupported Branches(2026-10-21に確認): https://www.php.net/eol.php
• WordPress.org 日本語「動作要件」(2026-10-21に確認): https://ja.wordpress.org/about/requirements/
• WordPress.org「WordPress 7.0.2 Release」(2026-07-17): https://wordpress.org/news/2026/07/wordpress-7-0-2-release/
• ScanNetSecurity「WordPress 6.9 以降で 2 件の脆弱性の組み合わせで遠隔コード実行の可能性」(2026-07-24): https://scan.netsecurity.ne.jp/article/2026/07/24/55770.html
• エックスサーバー株式会社「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」(2026-10-21 16:00): https://www.xserver.ne.jp/
• IPA 企業・組織向けサイバーセキュリティ相談窓口: https://www.ipa.go.jp/security/todokede/incidentportal.html

よくあるご質問

WordPressの引っ越しは自分でもできますか

できます。レンタルサーバー各社に移行ツールがあり、改造の少ないサイトならそれで済むことが多いです。自分でやる場合も、バックアップを先に取ること、公開前に移転先で全ページと問い合わせフォームを確かめること、メールの扱いを決めることの3つは省かないでください。改造が多いサイトや、メールもそのサーバーで使っているサイトは、頼んだほうが結果的に安く済みます。

引っ越すと検索順位は落ちますか

URLを変えずに移すなら、サーバーの移転自体で順位が動く理由はほとんどありません。落ちるのは、URLが変わったのに転送(リダイレクト)を設定していない、移転先で一部のページが表示されない、httpsの設定が外れた、といった作業の抜けが原因です。WordPressをやめる場合も、URLを引き継いで転送を設定すれば同じです。

サイトを作った制作会社と連絡が取れません。それでも頼めますか

頼めます。必要なのは、サーバーの管理画面に入れること(か、サーバー会社に本人として連絡できること)と、ドメインの管理画面に入れることの2つです。WordPressの管理画面に入れなくても、サーバー側からファイルとデータベースを取り出せれば移せます。どちらにも入れない場合は、サーバー会社・ドメイン会社に契約者として連絡するところから一緒に整理します。

改ざんされているかもしれません。先に引っ越してしまえば安全になりますか

なりません。改ざんされたファイルやデータベースをそのまま移すと、仕込まれたものごと移転先に持ち込みます。先に、IPAの相談窓口や事故対応の専門会社に連絡して調査してください。当社は改ざんの調査は行いません。調査の結果「作り直す」と決まった段階からは、当社がお手伝いできます。

費用はいくらくらいですか

この記事では金額を書いていません。サイトの数と容量、テーマやプラグインの改造の有無、メールの扱い、外部サービスとの接続、止めてよい時間で作業量が数倍変わるためです。上の「費用はどう決まるか」の要素を添えて状況を送っていただければ、初回1時間のヒアリング(無料)で範囲を決めてから見積もりをお出しします。