AXコラム｜WordPress静的化

WordPressの静的化とは？他社が作ったサイトを脱WordPressで安全に移す方法

2026年11月5日公開／ 2026年11月5日更新／情報の確認日：2026年11月5日／執筆：My Alarm株式会社

WordPressの静的化とは、WordPressで作ったWebサイトを、サーバー上でプログラムを動かさないHTMLのファイルに置き換えることです。PHPやデータベースを使わなくなるので、PHPやWordPressの脆弱性の影響を受けにくくなります。

「制作会社に作ってもらったWordPressのサイトを、もっと安全な形にしたい」「前の制作会社とは連絡が取りづらいが、サイトはこのまま使いたい」。この記事では、そうした方に向けて、WordPressの静的化（脱WordPress）の考え方、他社が作ったサイトを移すときに確認すること、進め方と費用をまとめました。

【注意喚起】PHPの重大な脆弱性（PHP2Shell）の悪用が確認されています

2026年10月21日に公表されたPHP本体の脆弱性（CVE-2026-109618／CVE-2026-109619）は、米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）が10月26日、「実際に悪用が確認された脆弱性」の一覧に追加しました。悪用されると、ログインしていない第三者がサーバー上で任意のコードを実行できるおそれがあります。

WordPressはPHPで動いているため、WordPressのサイトは基本的に対象です。それでも、Kasperskyが11月3日に伝えたCensysの調査では、脆弱なバージョンのPHPが動いていた約4,600万台のサーバーのうち、約2,900万台がまだ修正されていませんでした。

WordPress本体やプラグインを更新しても、この脆弱性は直りません。PHPを修正版（8.2.35／8.3.36／8.4.27／8.5.12）以降へ更新したか、サーバー会社か制作会社に必ず確認してください。手順はPHPの脆弱性（PHP2Shell）の対応手順にまとめています。

結論：WordPressの静的化で変わること

書き出したHTMLだけを公開すると、サーバー上でPHPとデータベースが動かなくなり、PHPやWordPressの脆弱性の影響を受けにくくなります。
会社案内やサービス紹介など、更新の少ないサイトほど向いています。会員機能や予約、ネットショップがあるサイトは、そのままでは移せません。
制作会社が別でも移せます。サーバー・ドメイン・管理画面のログイン情報と、制作時の契約内容を先に確認しておくと進めやすくなります。

WordPressの静的化とは

WordPressの静的化とは、WordPressのページをあらかじめHTMLファイルとして書き出し、そのファイルだけを公開する方法です。「脱WordPress」や、WordPressからの「載せ替え」と呼ばれることもあります。

ふだんのWordPressでは、誰かがページを開くたびに、サーバー上でPHPが動き、データベースから文章や画像の情報を取り出してページを組み立てています。一方、書き出し済みのサイトは、組み立て済みのページを返すだけです。サーバーで動くプログラムがないので、プログラムの弱点を突かれる余地がほとんどありません。

比較	WordPressのまま	静的化したサイト
ページの表示	開かれるたびにPHPがページを組み立てる	書き出し済みのHTMLをそのまま返す
PHP・データベース	サーバー上で常に動いている	動かさない
更新が必要なもの	WordPress本体、テーマ、プラグイン、PHP	サイトの内容（ページの修正など）
PHP・WordPressの脆弱性	影響を受ける	影響を受けにくい
管理画面での更新	できる	できない（更新の方法を別に決める）

いまWordPressの静的化を考えたい理由

一番の理由は、WordPressとPHPの脆弱性が続いていることです。2026年は特に深刻なものが重なりました。

PHPの脆弱性（PHP2Shell）は「実際に悪用されている」段階に

10月21日に修正版が出たPHP2Shellは、公表の前から悪用を試みる通信が観測されていました。その後、10月24日にはおとりのサーバー（ハニーポット）で攻撃の成功が記録され、10月26日にはCISAが悪用の確認された脆弱性の一覧に加えています。「理論上は危ない」段階は過ぎました。

10月23日には、PHPの開発チームが関連する3件目の脆弱性（CVE-2026-115560）も公表しました。悪用の条件は限られるとして緊急の修正版は出ていませんが、次の定期更新までは設定 session.upload_progress.enabled=0 を入れておくよう勧めています。サーバー会社や制作会社に、この設定が入っているかもあわせて確認しておくと安心です。

WordPress本体にも深刻な脆弱性が出ている

2026年7月には、WordPress本体にも、管理者権限なしでコードを実行されるおそれのある脆弱性（wp2shell）が公表され、IPAが注意喚起を出しました。WordPressを使い続ける限り、本体・テーマ・プラグイン・PHPのどれかで脆弱性が見つかるたびに、更新と動作確認が必要になります。

IPAも「移行」を選択肢に挙げている

IPAは、PHPの脆弱性への対応が難しい場合について、今のシステムを使い続けることを前提にせず、保守を受けられる製品・サービスへの移行や、公開の終了まで含めて検討するよう求めています。更新を続ける体制を持てないサイトにとって、静的化はこの「移行」の現実的な選択肢の一つです。

WordPressを静的化するメリット・デメリット

安全性のほかにも利点はあります。一方で、できなくなることもあるので、両方を確認してから決めてください。

メリット	デメリット
PHPやWordPressの脆弱性の影響を受けにくい	管理画面から記事を追加・修正できなくなる
本体・プラグイン・PHPの更新作業がほぼなくなる	お問い合わせフォームなど、PHPで動いていた機能を置き換える必要がある
ページの表示が速くなりやすい	会員機能、予約、ネットショップなどは、そのままでは動かない
サーバーの負荷が小さく、障害が起きにくい	サイト内検索やコメント欄など、動的な機能は別の方法が必要

静的化に向くサイト・向かないサイト

向いているのは、会社案内、サービス紹介、採用ページなど、情報を載せることが中心で、更新が月に数回までのサイトです。向いていないのは、会員登録やログイン、予約、ネットショップがあるサイトや、毎日のように記事を追加するメディアです。

向いていないサイトでも、全部をあきらめる必要はありません。会社紹介の部分だけを静的化し、予約やネットショップは専用のサービスに任せる、という分け方もできます。

他社が作ったWordPressでも静的化できる？

できます。サイトの見た目や内容は、公開されているページから書き出せるからです。ただし、作業を始める前に確認しておきたいことがいくつかあります。

移行前に確認しておくこと

サーバーとドメインの契約者：誰の名義で、どこの会社と契約しているか。制作会社の名義になっていると、切り替えに制作会社の協力が必要です。
ログイン情報：サーバーの管理画面、ドメインの管理画面、WordPressの管理画面のIDとパスワードが手元にあるか。
制作時の契約内容：デザインや画像の権利を誰が持っているか。契約によっては制作会社に権利が残っていることがあるので、契約書や発注書を確認してください。
有料のテーマ・素材：有料のテーマや写真素材は、ライセンスの条件を確認します。
お問い合わせフォーム：フォームの数と、送信された内容が誰のメールに届いているか。
計測タグ：Googleアナリティクスなどのタグを、移行後も引き継ぐ必要があるか。

前の制作会社への伝え方

前の制作会社と保守契約が続いている場合は、移行の時期と、契約を終える時期を先に相談しておくとトラブルになりません。ログイン情報を持っていない場合は、「サイトの管理を社内（または別の会社）に移すので、サーバー・ドメイン・WordPressの管理者情報を引き継いでほしい」と依頼してください。連絡が取れない場合でも、サーバーやドメインの契約者が自社であれば、契約先の会社に本人確認をしてもらうことで、ログイン情報を再発行できることがあります。

WordPressを静的化する方法

やり方は大きく2つです。プラグインを使って自分で書き出すか、制作会社などに依頼するかです。

プラグインで自分で書き出す

WordPressには、サイトをHTMLファイルとして書き出すプラグインがあります。代表的なものが「Simply Static」で、無料版でもサイト全体をZIPファイルとして書き出せます。

ただし、自分で進める場合は次の点に注意が必要です。

お問い合わせフォームは書き出しても送信できません。外部のフォームサービスなどへの置き換えが必要です。
書き出したあと、WordPressを同じサーバーに残したままにすると、PHPの脆弱性の影響は残ります。WordPressは公開しない場所に移すか、停止してください。
リンクや画像の書き出し漏れがないか、全ページを確認する必要があります。

制作会社に依頼する

フォームの置き換え、URLの転送、公開先の切り替え、移行後の更新方法まで含めて任せたい場合は、依頼するのが確実です。他社が作ったサイトの静的化を引き受けるかどうかは会社によって違うので、依頼の前に確認してください。

WORDPRESS MIGRATION

他社が作ったWordPressも、安全な環境へ移せます

今のサイトのデザインと掲載内容を引き継ぎ、PHPやデータベースを使わない構成へ移します。前の制作会社からの引き継ぎについてもご相談ください。

初期費用 5万〜10万円（税別）運用保守月額10,000円（税別）

安全な環境への移行を相談する

あなたのWordPress、いまの状態を確認しませんか？

URLとメールアドレスを入れるだけで、本体・プラグイン・PHPの既知の脆弱性を無料でチェックできます。

WordPressを無料で診断する

My AlarmのWordPress静的化（安全な環境への移行）

My Alarmの「WordPress移行」とは、WordPressで作られたサイトを、PHPやデータベースをサーバー上で動かさない構成へ移すサービスです。他社が制作したWordPressサイトもお受けしています。

項目	料金
初期費用（移行作業）	5万〜10万円（税別）
運用保守	月額10,000円（税別）

初期費用は、ページ数やお問い合わせフォームの数など、サイトの規模によって決まります。正確な金額は、今のサイトを拝見したうえでお見積りします。ほかの会社の料金との比較はWordPress移行の費用相場で紹介しています。

移行の流れ

お問い合わせ・現状の確認今のサイトのURLをお知らせください。ページ数、フォームの有無、更新の頻度、サーバーとドメインの契約状況を確認します。
お見積り移行の範囲と費用、スケジュールをご提示します。静的な構成では移せない機能があれば、この段階でお伝えします。
引き継ぎの準備サーバー・ドメイン・WordPressのログイン情報をそろえます。前の制作会社への依頼が必要な場合は、伝える内容を一緒に整理します。
移行作業ページを静的なファイルとして書き出し、フォームなどPHPに頼っていた部分を置き換えます。
確認・公開表示、リンク、フォームの送信、URLの転送を確認していただいてから、新しい環境に切り替えます。
運用保守公開後の運用保守は月額10,000円（税別）でお受けします。

WordPressの静的化でよくある失敗

よく起きる失敗は、WordPressの消し忘れ、フォームの停止、URLの変更による検索順位の低下、更新できる人がいなくなることの4つです。

WordPressを残したままにしてしまった

書き出したサイトを公開しても、元のWordPressが同じサーバーで動いていれば、PHPやWordPressの脆弱性は残ります。移行が終わったら、WordPressを停止するか、外部から見えない場所に移してください。

お問い合わせフォームが動かなくなった

フォームの送信処理はPHPで動いています。移行前にフォームの数と送信先を洗い出し、置き換えの方法を決めておきます。

検索順位が下がった

ページのURLが変わると、それまでの評価が引き継がれないことがあります。URLはできるだけ今のまま残し、変わるページは古いURLから新しいURLへ転送（301リダイレクト）します。

更新できる人がいなくなった

管理画面で更新していた担当者は、移行後に同じ方法では更新できません。更新の頻度と担当者を確認し、移行後の更新方法を決めてから移行します。

WordPressの静的化に関するよくある質問

移行の進め方や費用について、よくある質問にお答えします。

WordPressの静的化とは何ですか？

WordPressの静的化とは、WordPressのページをHTMLファイルとして書き出し、サーバー上でPHPやデータベースを動かさずに公開する方法です。PHPやWordPressの脆弱性の影響を受けにくくなり、更新作業も減ります。

他社が作ったWordPressでも静的化できますか？

できます。サーバー・ドメイン・WordPressの管理画面のログイン情報があれば進めやすくなります。デザインや画像の権利は制作時の契約によって違うため、契約書や発注書もあわせて確認してください。

前の制作会社と連絡が取れません。それでも移行できますか？

サーバーやドメインの契約者が自社であれば、契約先の会社に本人確認をしてもらうことで、ログイン情報を再発行できることがあります。契約者が制作会社になっている場合は、名義の変更が必要です。まずは契約状況をお調べすることからご相談ください。

静的化すれば、PHPの脆弱性への対応は不要になりますか？

サーバー上でPHPを動かさなければ、PHPの脆弱性の影響は受けません。ただし、元のWordPressを同じサーバーに残している場合や、フォームの処理にPHPを使っている場合は、影響が残ります。移行の際は、PHPが動く部分を残さないようにします。

静的化したあと、ページの修正はどうすればいいですか？

移行後は、WordPressの管理画面のような更新画面はなくなります。更新の頻度や、社内で更新したいかどうかをお聞きしたうえで、移行後の更新の進め方を決めます。

費用はいくらですか？

My Alarmの移行は、初期費用5万〜10万円（税別）、運用保守は月額10,000円（税別）です。初期費用はページ数やフォームの数などによって決まり、今のサイトを拝見してからお見積りします。

まとめ

サイトの見た目や内容を引き継いだまま、PHPやデータベースを使わない構成へ移す。それがWordPressの静的化です。PHP2Shellのように悪用が確認された脆弱性が出ても、サーバーでPHPを動かしていなければ、影響を受けにくくなります。

制作した会社が別でも、サーバー・ドメイン・管理画面のログイン情報と、制作時の契約内容がそろえば移行できます。まずは、今のサイトのPHPが修正版になっているかを確かめ、更新を続けるか、静的化するかを考えてみてください。My Alarmでは、初期費用5万〜10万円（税別）、運用保守は月額10,000円（税別）で、WordPressから安全な環境への移行をお受けしています。

CONSULTATION

そのWordPress、移せるか確認しませんか？

URLを教えていただければ、移行の範囲と費用をお見積りします。前の制作会社からの引き継ぎや、PHPの脆弱性への対応にお困りの方もご相談ください。