WordPress から EmDash へ。乗り換えが増えている理由と、知っておきたいこと

WordPress から EmDash に切り替えのご相談をするお客様が少しずつ増えてきました。このサイトも EmDash で記事を書き、Astro で表示しています。実際に運用してきた立場から、良い点も、不便な点も書きます。

EmDash とは

EmDash は、Cloudflare が 2026 年 4 月に公開したオープンソースの CMSです。Astro の上で動き、WordPress の後継を掲げています。2026年9月に正式版をリリースしました。

WordPress のセキュリティで、いま起きていること

乗り換えの相談で、最初に出てくるのはセキュリティです。数字で見ると、状況ははっきりしています。

• 2025 年に WordPress の周辺で見つかった脆弱性は 11,334 件で、前年より 42% 増えました。91% はプラグイン、9% はテーマにありました（Patchstack）。
• そのうち 46% は、公表された時点で開発元の修正が間に合っていませんでした（同）。

2026 年は、WordPress 本体でも重い脆弱性が続きました。7 月に修正された「wp2shell」は、本体の 2 つの不備を組み合わせ、ログインなしで任意のコードを実行できるものです。9 月 22 日に修正された CVE-2026-87902 も、ログインなしで攻撃でき、条件がそろえば任意のコードを実行されます。修正と同じ日に攻撃の手順が公開され、9 月 25 日には米国の CISA が「悪用が確認された脆弱性」の一覧に加えました。

国内でも被害が出ています。報道によると、京都教育大学は 2026 年 10 月 13 日、学内の Web サーバーへの不正侵入を公表しました。6 つのサイトでページの一部が書き換えられ、原因は wp2shell の悪用とされています。個人情報の漏えいは確認されていないとのことです。

ここから分かるのは、「更新を怠ったから」だけでは片付かないことです。修正が出る前に、あるいは出た直後に狙われます。更新を続けることは前提として、そもそも狙われる部分を減らす、という考え方が要ります。

EmDash と Astro で作ると、何が変わるか

このサイトでは、画面を Astro で作り、Cloudflare Workers で配信しています。記事の本文と画像だけを EmDash に置き、保存先は Cloudflare の D1と R2です。

• サーバーの世話がなくなる。WordPress で毎月あった、本体とプラグインの更新、PHP のバージョン上げ、改ざんの監視といった作業が、まるごと消えました。
• 攻撃の入口になってきた部分が、構成上ない。PHP の実行環境も、WordPress 用に作られた攻撃の手順が狙う管理画面のファイル群もありません。
• 管理画面のログインはパスキー（端末の生体認証）。推測や使い回しで破られるパスワードがありません。
• プラグインは、一つずつ隔離された環境で動く設計です。記事や画像、外部との通信などは、プラグインが申告し、サイトの管理者が認めたものしか使えません。
• 表示の作りに制約がない。テーマの決まりに合わせる必要がなく、アクセシビリティの水準や構造化データの書き方も、こちらで決められます。

でも、狙われる部分が減るのであって、危険がゼロになるわけではありません。設定の誤りや、管理する端末の乗っ取りには、どの仕組みでも備えが要ります。

デメリットも正直に

• まだ正式リリースされたばかりです。このサイトは正式版の前の版で運用してきましたが、その間に、過去の版に残った項目が原因で公開が止まったことがありました。画面の表示だけでは原因が分からず、保存されている中身を直接見て気づきました。
• WordPress のプラグインやテーマは使えません。問い合わせフォームや検索などは、必要に応じて作ります。
• プラグインを隔離して動かすには、Cloudflare 上では有料プラン（Workers Paid、月 5 ドルから）が要ります。無料プランでもサイトは動きますが、隔離して動かすプラグインは読み込まれません。自社のサーバー（Node.js）で動かす場合は、別の仕組みで隔離できます。
• 隔離の仕組みには、試用版の公開当初、WordPress の共同創業者から「実際のプラグインの多くでは成り立たない」という異論も出ていました。
• 作れる会社が、まだ多くありません。自社で直すには、Web 制作の知識が要ります。
• このサイトで使っている版では、日付が世界標準時で保存される、配信のたびに管理画面からログアウトされる、といった細かな癖がありました。表示する側で直して使っています。

費用はかかるが、長く付き合える

最初の制作費は、WordPress のテーマを使って作る場合より上がります。画面を一から組み立てるためです。

その代わり、公開したあとの手間が減ります。プラグインの更新を追いかけること、更新で表示が崩れていないかを確かめること、サーバーを保守すること。WordPress では、こうした費用が毎月かかり続けていました。数年単位で見たときに、どちらが合うかで判断していただくのがよいと考えています。

向いているサイト・向いていないサイト

向いているのは、表示の速さと保守の軽さを優先したいサイト、会社の顔として長く使うサイト、更新は記事が中心のサイトです。

すぐには移りにくいのは、予約や会員、ネットショップなど、プラグインに頼った機能が多いサイトです。書き手が多く、入稿の道具をそろえて使いたい場合も、いまは WordPress のほうが無難なことがあります。

おわりに

WordPress が悪い道具になったわけではありません。ただ、狙われる数が増え、更新を続けるだけでは守り切れない場面が出てきました。乗り換えは、その守り方を変える選択肢の一つです。

当社では、WordPress から EmDash への移管や、EmDash を使ったサイトのリニューアルのご相談を承っています。いまのサイトの状態の確認から、移すかどうかの判断、移行後の運用まで、一緒に進めます。

「移すべきか、まだ決めていない」という段階でも構いません。まずはお問い合わせから、お気軽にご相談ください。

出典

• Patchstack「State of WordPress Security in 2026」（2026年2月25日更新）
• CVE-2026-87902 の経緯：WordPress 公式の告知、CISA の Known Exploited Vulnerabilities カタログ、piyolog のまとめ（2026年10月3日）
• wp2shell（CVE-2026-63030・CVE-2026-60137）：IPA の注意喚起（2026年7月22日）、Seqrite の技術分析（2026年10月16日）
• 京都教育大学の件：セキュリティ対策Lab（rocket-boys.co.jp）の報道
• EmDash 1.0 の公開：Cloudflare 公式ブログ「EmDash 1.0: the stable CMS with a secure plugin registry」（2026年9月28日）
• プラグインの隔離の条件：EmDash 公式ドキュメント「Configure the plugin sandbox」、Cloudflare Workers の料金ページ
• 隔離の仕組みへの異論：PPC Land の報道