公開はHTMLだけ日誌　第1回　なぜ作るのか、どこまで分かっているのか

この日誌について

ホームページの新しい仕組みを、作り始めました。完成までには、まだ日数がかかります。そこで、作る過程を、日誌として残すことにしました。

毎日ではありません。週に1回くらいの予定です。うまくいったことも、いかなかったことも書きます。

きっかけは、10月のPHPの修正

10月21日、PHPに緊急の修正版が出ました。PHPは、多くのホームページの裏側で動く仕組みです。WordPressも、この上で動いています。

今回の不具合は、PHP本体の深い部分にありました。プラグインやテーマの問題では、ありません。直す方法は、PHP本体の更新だけ、と公式は案内しています。WordPressの公式も、本体の更新は不要で、サーバー会社に確認を、と呼びかけました。10月23日には、PHPの公式から、関連する別件の案内も出ています。こちらは、特殊な設定が重なったときだけ起きるもの、と説明されています。

9月には、WordPress本体にも重要な修正がありました。1か月の間に、土台と本体の両方で、大きな知らせが続いたことになります。

この記事を書いている10月24日の時点で、攻撃の「試み」の報告は続いています。一方で、侵入に成功したという確認は、調べた範囲では見当たりません。私も、関わっているサイトのサーバーを確かめ、対応を済ませました。

私の立場

私は、技術者ではありません。プログラムも書けません。デザインの仕事を30年ほど続けてきました。Webの制作には、2001年から関わっています。今は会社員をしながら、シゲサンワークスとして、デザインとWeb制作をしています。お客様のサイトの保守も、しています。

今回の仕組みのプログラムは、AI（Claude Code）が書いています。私の役目は、方向を決めることと、出来上がったものを確かめることです。AIで作ったから大丈夫、とも考えていません。確かめる手間は、むしろ増えると感じています。

「移せば安心」とは、考えていません

「脱WordPress」という言葉も、目にするようになりました。ただ、別の仕組みに移せば終わり、とは思っていません。

公開するサイトには、どんな仕組みでも弱点が出ます。よく知られた弱点の上位は、権限の不備や設定のミス、使っている部品の汚染です。これらは、言語や道具を変えても、なくなりません。

HTMLだけのサイトにしても、心配は残ります。置き場所の設定、ドメインの乗っ取り、作る道具の部品などです。新しい仕組みを持てば、それを保守し続ける責任も生まれます。

そのうえで、私が大事だと考えているのは2つです。攻撃される「入口」を、できるだけ減らすこと。そして、無理なく更新し続けられることです。

作ろうとしているもの

仮の名前は、「レンチンHP.Go」です。考え方は、次の4つです。

1. 公開する側では、プログラムを動かさない

見る人に届けるのは、HTMLのファイルだけにします。今回のような土台の不具合が、外から届きにくい形だと考えています。

2. 慣れた使い勝手と、データを引き継ぐ

今のWordPressの記事や固定ページを、URLを変えずに引き継ぎます。管理画面も、見慣れた並びに近づけます。更新する人が、新しいことを覚え直さなくて済むようにしたいのです。

3. PHPに頼らない

作る側は、Goという言語で作っています。理由は、使う部品を少なくでき、少人数でも保守しやすいからです。「Goだから安全」という意味では、ありません。

4. ログインに、パスワードを使わない

パソコンに出るQRをスマホで読み、顔や指紋で確かめる「パスキー」を本命にしています。偽のサイトでは使えない仕組みです。

ここまでに試したこと

実験台は、このサイト（シゲサンワークスのサイト）です。すべて私のMacの中だけの試作で、まだ公開はしていません。

10月22日には、公開されているデータを取り出しました。記事151件、固定ページ47件、画像721件です。これを、HTMLだけのサイトに作り直しました。元のURL562件は、すべて一致しました。全部を作り直しても、約1秒でした。

崩れたのは、固定ページです。見た目を別の道具に頼っていたページが、大きく崩れました。作り直しの道具で、41件を新しい型に直しました。

10月24日には、Goで「読み込む→管理画面で直す→公開でHTMLを書き出す」が、一通り動きました。今の見た目も、記事や一覧のページでは、ほぼ同じに写せました。

テーマ（デザインのひな形）も試しました。公式の無料テーマの1つは、zipを読み込むだけで使えました。一方、昔ながらの作りのテーマは、自動で変換できたのが約6割でした。

まだ分からないこと

分かっていないことも、正直に書いておきます。

• パスキーのログインを、実物のスマホでは、まだ試していません
• 見たままの編集は、まだありません。今は本文をHTMLで直す形です
• 昔ながらのテーマの残り約4割は、AIの変換と人の確認が要ります
• 有料のテーマは、販売元ごとに使用の条件を確かめる必要があります
• 公開の置き場所は、まだ決めていません
• 作る量は、見立てで35〜55日です。見立てなので、ずれると思います
• 名前や使用条件は、公開の前に専門家に確かめます

これから記録していくこと

この日誌では、次のことを書いていきます。

• その週に進んだこと、つまずいたこと
• 数字は、実際に試した結果だけ
• 分からないことは、分からないまま書く

短い進み具合は、XやFacebook、noteでも書いていきます。作ったものを、オープンソースとして公開することも、検討しています。まだ決めていません。決まったら、ここでお知らせします。

WordPressのサイトを、この先どうするか。迷っている方の、考える材料になればうれしいです。

参考

• PHP公式のお知らせ（英語）：https://www.php.net/archive/2026.php
• WordPress公式のお知らせ（英語）：https://wordpress.org/news/2026/10/critical-php-security-release/

（第1回・おわり）

篠原 繁志

シゲサンワークス　代表
30年のデザイン哲学と最新AIを融合し、業務改善から発信サポートまで伴走支援。無理なく成果を積み上げるAI×デザイン戦略アドバイザー。

• 2022年よりシゲサンワークスを本格始動。
• 2022年、鹿児島県商工会連合会の無料の専門家派遣制度、エキスパートバンク事業に係る専門家として登録。
• 2025年、DMM 生成AI CAMP 生成AIエンジニアコースを修了。