PHP2Shellショックの後、WordPress屋の社長がEmDashでブログを1日で立ててみた

PHPの脆弱性が発見されて

2026年10月21日、「PHP2Shell」と呼ばれるPHPの重大な脆弱性が公表されました。認証なしで外部からサーバー上のコードを実行されるおそれがある、かなり深刻なものです。首相がXで対応を呼びかけるほどの騒ぎだったので、WordPressでサイトを持っている人は肝を冷やしたと思います。

僕の会社（GOOODCREW）も、管理しているクライアントサイトの対応に追われました。ほとんどがレンタルサーバーなので、サーバー会社のリリースに沿ってアップデートを確認し、WordPress側の設定も一つずつ見直しました。事前告知の段階から動き始めて、結局金曜日まで対応が続きました。

今も、WordPressとサーバー周りの設定、それから保守運用のルールそのものを見直しています。この記事は、その流れで「WordPress以外の選択肢も、一度ちゃんと触っておこう」と思って試した新しいCMSであるEmDashの報告です。

なぜEmDashを触ってみたのか

先に言っておくと、WordPressがダメだと思っているわけではありません。ただ今回の件で、世界中のサイトがPHPという一つの土台に乗っていることの怖さを実感しました。PHP2Shellは、WordPress本体やプラグインではなく、PHPの実行環境そのものの問題だったからです。

そこで目に留まったのが、EmDashという新しいCMSです。惹かれたポイントは3つあります。

1. PHPを使わない：Astro（アストロ）というJavaScript系の仕組みの上で動きます。
2. Cloudflareで一式まとまる：サイトもデータベースも画像の置き場も、Cloudflareというサービスの中で完結できます。
3. プラグインを隔離できる設計：WordPressのプラグインはサイト本体と同じ権限で動きますが、EmDashはプラグインを「サンドボックス」という隔離された箱の中で動かせます。

ちなみにEmDashもWordPressと同じく、アクセスのたびにサーバー側でページを組み立てる方式（SSR）です。仕組みの考え方が全部違うわけではないので、まずは触ってみたかった、というのが正直なところです。

デザイナー出身の僕が、1日で公開するまで

僕はコードは読めても、書くのは苦手です。それでも、このブログは約1日で公開まで行けました。流れはこんな感じです。

1. AIチャット（Claude）と壁打ち：何を作りたいか、どういう構成にするかを相談して整理。
2. Claude Codeに実装を頼む：実際のファイル作成や設定は、AIのコーディングツールにお願いしました。
3. GitHubで管理：作ったファイルは、変更履歴を残せるGitHubに保存。
4. Cloudflareの無料プランで公開：まずは遊びなので、お金はかけずにスタート。

見た目（テーマ）は自分で作らず、EmDashに用意されているブログ用のテンプレートをそのまま使いました。なので今回は「デザインを作り込む」部分まではまだ踏み込めていません。つまずいた所は、正直ほとんどありませんでした。

触ってみた感想：とにかく軽い、そしてシンプル

一番の驚きは、管理画面がWordPressより圧倒的に軽いことです。メニューの構成もシンプルで、迷う場所がほとんどありません。

軽さの理由は公式に明言されていないので、仕組みから考えた推測です。

• 画面の作りが違う：EmDashの管理画面はReactで作られたアプリです。最初に読み込んだ後は必要なデータだけ取りに行くので、画面の切り替えが速く感じます。WordPressはクリックのたびにページ全体を読み込み直します。
• 動いている場所が違う：Cloudflareは世界中の拠点でプログラムを動かすので、共用レンタルサーバーより近くで処理されやすいです。

ただし、比べたのは「新品でプラグインほぼゼロのEmDash」と「長年運用してきたWordPress」です。公平な比較ではない点は割り引いて読んでください。

もう一つ面白かったのは、作りの違いです。WordPressはテーマの中にデザインと処理がまとまっていますが、EmDashは「見た目を決めるコード」と「記事の中身（データベース）」がはっきり分かれています。この分け方が、モダンだなと感じました。

調べてわかった、3つの注意点

触った後に公式ドキュメントを読み込んだら、期待していたことに条件がついていました。WordPressでサイトを作っている人ほど、ここは知っておいてほしいです。

1. サンドボックスは有料プランが条件：Cloudflareでプラグインを隔離するには「Workers有料プラン」が必要です。無料プランでは隔離されたプラグインは動かない設定になっています。つまり今の僕のブログでは、一番の売りがまだ効いていません。また「ネイティブプラグイン」という種類は、そもそも隔離の対象外です。
2. 実はCloudflare以外でも動く：Cloudflare専用だと思っていましたが、Node.jsという環境のサーバーでも公式に動かせます。その場合もサンドボックスは使えます。
3. 本格運用にはエンジニアが要る：テンプレートのまま使うなら僕でも何とかなりました。でもデザインを作り込んだり、プラグインを入れたりするなら、Astroが分かる人の力が必要になりそうです。

結論：今すぐWordPressから乗り換えはしません

WordPressは、セキュリティをしっかり組めば今でも十分戦えると思っています。積み上がった知見も、世界中の人が作ってきたプラグインもあって、やっぱり便利です。だから、慌てて全部を移行するつもりはありません。

一方で、EmDashはモダンなCMSとして面白いです。PHPだけに頼らない選択肢を手元に持っておくことは、今回の騒ぎを経験した身としては大事だと感じました。

次回は、SEOの設定まわりや、どんな機能があるのかを具体的に触ってレポートします。WordPressでサイトをたくさん作っている人にこそ、読んでもらえたら嬉しいです。

用語メモ