WordPress・Studioをお使いの企業・団体の方へ

脆弱性の夜も、
ホットケル。

WordPressやStudioのサイトを、デザインとURLはそのままに、PHPもデータベースもログイン画面もない静的サイトへ移します。お問い合わせは、私たちにも中身が読めない暗号化フォーム「フウイン」で受け取ります。

無料のURL診断を予約するうちに合うか1分で確認

2026年10月に起きたこと

8日間に、5つの基盤で緊急の対応が必要になりました

サイト制作ツールへの不正アクセス、言語やランタイムの深刻な脆弱性が、10月の後半に続けて公表されました。一つひとつは対応できても、続くと確認と更新に追われ、本来の仕事に手が回らなくなります。

10月16日Studio
不正アクセスを公表。登録している全ユーザーのアカウント情報、サイトのフォーム送信内容、外部連携のAPIキーなどが流出した可能性があると発表されました。暗号化して保存していたデータも、復号の鍵が同時に読み出されたため内容を知られた可能性がある、と説明されています。⁴
10月20日Java
定例の一括修正。Java SEだけで55件の修正が公開されました。⁵
10月21日Java
定例の翌日に緊急修正。証明書の検証に関わる脆弱性（CVSS 9.1）の緊急アラートが出ました。⁶
10月21日PHP
深刻度9.2の脆弱性2件。WordPressの更新では直らず、レンタルサーバー各社が緊急メンテナンスを行いました。^{1, 2}
10月21日Node.js
3系統で10件の修正。圧縮データの処理でリモートからコードを実行されるおそれのある問題を含みます。⁷
10月23日Ruby
正規表現エンジンの修正4件。利用者の入力から正規表現を組み立てるアプリが対象です。報告元のGitLabでは、自社製品への影響を最大10.0（CVSS v3.1）と評価しています。⁸

2026年10月21日に起きたこと

今回の脆弱性は、WordPressを更新しても直りません

9.2／10

PHPで見つかった脆弱性2件の深刻度（CVSS v4.0）。条件がそろうと、ログインなしで外部からサーバー上のコードを実行されるおそれがあります。修正版は2026年10月21日に公開されました。¹

直すには、サーバーに入っているPHPを更新する必要があります

WordPress本体やプラグインの更新では解決しません。レンタルサーバーの場合、更新するのはサーバー会社です。¹

サーバー会社の予防措置で、一時停止したサイトもあります

10月21日夜から22日にかけて、国内の主要なレンタルサーバー各社が緊急メンテナンスを行い、一部では予防措置として顧客サイトを一時停止しました。²

PHPの脆弱性の報告は増えています

PHPの開発を支える団体によると、AIを使った調査で報告が増え、2026年7月以降に15件の脆弱性が公開されました。今後も更新が必要になる場面は減らない見込みです。³

ホットケルがやること

まずサイトを静的化し、そのうえで2つのことが良くなります

土台は静的化です。脆弱性のニュースが出るたびに更新作業に追われる状態を、まずなくします。問い合わせの保護と、検索エンジン・AIに読まれやすくする整備も、移行に含まれます。

① 問い合わせの中身を守る

問い合わせは、暗号化フォーム「フウイン」で受け取ります。送信した時点で訪問者のブラウザの中で暗号化され、御社の担当者の端末でしか開けません。

すべてのプランに含むフウインのしくみを見る

② 検索エンジンとAIに読まれやすくする（SEO・AIO）

JavaScriptで後から描画していた本文を素のHTMLに書き出し、見出しの構造とタグ、会社情報の構造化データを整えます。

すべてのプランに含む整える内容を見る

土台　サイトを静的化する

すべてのプランに含む

デザインとURLはそのままに、公開サーバーからPHP・データベース・ログイン画面・プラグインをなくします。訪問のたびにサーバーでプログラムを動かさないので、今回のようなPHPの脆弱性の影響を受けません。

サイトを配信するサーバーに残すのは、HTML・CSS・画像だけです

攻撃の入口になってきたものを、守るのではなく、置かないようにします。問い合わせの暗号文は、サイトとは別の保管サーバーに置きます。

サイトを配信するサーバーにあるもの

ログイン画面（/wp-admin）なくす

プラグインなくす

データベースなくす

PHPなくす

残るのは

HTML・CSS・画像いまのデザインのまま

暗号化フォーム「フウイン」暗号文は別サーバーへ

移行で変わること

公開サーバーで動くプログラムがなくなります

静的なサイトは、あらかじめ作っておいたページを配ります。いまのWordPressと比べると、サイトを配信するサーバーにあるものは次のように変わります。

サイトを配信するサーバーにあるもの	いまのWordPress	移行後
PHP（サーバー上で動くプログラム）	あり。更新するのはサーバー会社で、御社は待つしかない	なし
データベース	あり。記事・設定・問い合わせ履歴が入る	なし。問い合わせの暗号文は、サイトとは別の保管サーバーに置きます
ログイン画面	あり。パスワードを推測する攻撃の入口になる	なし。問い合わせを開く管理画面はサイトとは別にあり、パスキーで入ります
プラグイン	あり。プラグインごとに更新が必要で、脆弱性もそれぞれに見つかる	なし。必要な機能は静的な部品か外部サービスに置き換え
デザイン・URL・検索での見え方	いまのまま	そのまま引き継ぎ。URLが変わるページは転送を設定

暗号化フォーム「フウイン」

問い合わせの中身は、御社の端末でしか開けません

送信ボタンを押した時点で、訪問者のブラウザの中で暗号化します。私たちのサーバーに届くのは暗号文だけで、開くための鍵はサーバーにありません。担当者の方が、顔認証や指紋で使うパスキーで開きます。

サーバー側で暗号化していても、鍵が同じサーバーにあれば、侵入されたときに鍵ごと読まれてしまいます。この仕組みでは、鍵をサーバーに置きません。

この仕組みで守れないこと

担当者のパソコンやスマートフォンがウイルスに感染している場合、開いた後の内容は守れません。
パスキーとリカバリーコードをすべて失うと、届いた問い合わせは誰にも開けなくなります。私たちにも復元できません。復元できる仕組みを持つこと自体が弱点になるためです。
受け取った内容をメールや表計算ソフトに転記した後は、転記先の管理になります。
届いた日時や件数など、中身以外の情報は私たちにも見えます。
添付ファイル付きのフォームには、現在は対応していません。

SEO・AIO（検索エンジンとAIからの読み取りやすさ）

移行のついでに、SEO・AIOに効く構造に整えます

AIO（AI最適化）は、AI検索や生成AIに会社の情報を正しく読み取ってもらうための整備です。StudioやWordPressのサイトには、ページを開いたあとにJavaScriptで中身を組み立てるものがあります。クローラーには本文が空に見えることがあり、会社の情報も機械に読める形では書かれていないことが多くあります。静的化では本文をそのままHTMLに書き出すので、検索エンジンにもAI検索にも読み取りやすくなります。あわせて、次のものを用意します。

用意するもの	中身
本文を素のHTMLに	JavaScriptで後から描画していた本文を、最初からHTMLに書き出します。クローラーがJavaScriptを実行しなくても、本文を読み取れます
見出しとタグの見直し	ページタイトル・説明文・見出し（h1〜h3）の順序を点検し、乱れがあれば移行レポートでお知らせします。画像の説明文の抜けも、ここで確認します
会社情報・パンくずの構造化データ	会社名・所在地・ページの階層などを、検索エンジンやAIが読める形で書き込みます。使うのは御社に確認した事実だけです
AI向けのサイト案内（llms.txt）	サイトの概要と主なページの一覧を、AIが読みやすい形でまとめたファイルを置きます
ページごとのテキスト版	メニューや装飾を除いた本文だけのファイルを、各ページに添えます
AIのクローラーへの許可	学習用・AI検索の回答用など、種類ごとに読み取りを許可するかを御社が選べます

移行レポートには、移行前と移行後で検索エンジンとAIからの読み取りやすさがどう変わったかを載せます。検索順位やAIの回答にどう取り上げられるかは各サービスの判断によるため、効果を約束するものではありません。

脆弱性のニュースが出るたびに、更新を控えたりサイトを止めたりする必要はありません。PHPを使わない構成なら、この種の対応がそもそも発生しません。

このサービスで、すべての攻撃を防げるわけではありません。今回のようなPHPの脆弱性と、フォームの保管先への侵入に強い構成にするものです。

こんな会社のためのサービスです

御社に近いのはどれですか

よくご相談いただく状況を、業種ごとに描きました。いずれも想定の例で、実在の会社の事例ではありません。

従業員30人の金属加工会社／総務の担当者が兼務でサイトを管理

5年前に作ったサイトの、PHPのバージョンを誰も知らない

いま

サイトは5年前に地元の制作会社が作った。更新は年に数回、決算と採用の時期だけ
10月21日のニュースを見ても、自社が対象かどうか判断できない
問い合わせフォームには、取引の相談で会社名・氏名・電話番号が届く

移行後

公開サーバーにPHPがないので、同じ種類のニュースで慌てなくてよい
採用ページの差し替えは、年に数回のスポットのご依頼で対応
総務の担当者が、自分のスマートフォンで問い合わせを開いて読む

合うプラン: A 移行と暗号化フォーム

Bプランの更新の流れ

管理画面にログインしなくても、チャットで頼めば更新できます

いつも使っているLINE・メール・Slackなどで、載せたい文章と写真を送ってください。AIが既存のページに合わせて下書きを作り、公開前のプレビューをお返しします。

公開を承認できるのは、端末を登録した担当者だけです。顔認証や指紋で承認するまで公開されないので、誰かが担当者になりすまして依頼を送っても、そのまま載ることはありません。

右の画面はやり取りのイメージです。

更新の依頼

施工事例を1件追加してください。〇〇町のK様邸、キッチンの全面改修です。写真3枚送ります。写真 3枚

下書きを作りました。施工事例の一覧の先頭に入ります。〇〇町 K様邸　キッチン全面改修工期 10日／対面キッチンへの変更プレビュー: 公開前のURLで確認できます。

工期は12日でした。

直しました。問題なければ、承認して公開してください。

顔認証で承認して公開

プラン

更新の仕方と監視の有無で、3つのプランから選べます

移行後は、ブラウザから入る管理画面がありません。記事の更新は、チャットやメールでのご依頼をAIが下書きし、公開は御社の担当者がパスキーで承認します。勝手に公開されることはありません。

	A移行と暗号化フォーム	BAに記事の更新を追加更新のあるサイト向け	CBに監視と事故時の対応を追加
向いているサイト	会社案内など、更新が少ないサイト	お知らせやブログを更新しているサイト	取引先からセキュリティの説明を求められる企業
静的サイトへの移行	含む	含む	含む
暗号化フォーム	含む	含む	含む
SEO・AIOの整備	含む	含む	含む
記事の更新	なし	チャット・メールで依頼。AIが下書きし、御社がパスキーで承認して公開。月の件数に上限あり	Bと同じ
改ざんの監視	なし	なし	公開中のファイルを毎日照合。外部タグの増減も確認
報告書	移行レポート	移行レポート	移行レポートと年1回のセキュリティ報告書
事故が疑われるとき	営業時間内に対応	営業時間内に対応	技術調査と事実の整理。法的な判断が要る点は弁護士と連携
料金	サイトの規模で変わるため、無料のURL診断のあとに見積もりをお出しします

移行と暗号化フォーム

会社案内など、更新が少ないサイトに

静的サイトへの移行（デザイン・URLはそのまま）
暗号化フォーム
SEO・AIOの整備
移行レポート
事故が疑われるときは営業時間内に対応

記事の更新は含みません。年に数回の差し替えはスポットでご依頼いただけます

記事の更新つき更新のあるサイト向け

お知らせやブログを更新しているサイトに

Aのすべてに加えて

チャット・メールで更新を依頼。AIが下書きとプレビューを作ります
公開は御社がパスキーで承認。承認するまでサイトには載りません

月の更新件数に上限があります

監視と事故時の対応つき

取引先からセキュリティの説明を求められる企業に

Bのすべてに加えて

改ざんの監視。公開中のファイルを毎日照合し、外部タグの増減も確認
年1回のセキュリティ報告書。取引先への説明に使えます
事故時の技術調査と事実の整理。法的な判断が要る点は弁護士と連携

料金: サイトの規模で変わるため、無料のURL診断のあとに見積もりをお出しします

サービス資料

サービス資料（PDF・17ページ）をダウンロードできます

このページの内容を、社内での共有や上長への説明に使える形にまとめました。メールアドレスを入力すると、ダウンロードのリンクが表示されます。

入力したメールアドレスは暗号化フォーム「フウイン」で送られ、無料のURL診断のご案内以外には使いません。

関係する人とお金の流れ

ご契約は直接でも、いまの制作会社経由でもできます

御社（サイトの運営者）みらいスタジオに利用料を支払う。いまの制作会社を通した契約も可
みらいスタジオ移行・配信の運用・更新の下書きを担う
静的配信HTML・CSS・画像をサイトの訪問者に配る
サイトの訪問者閲覧し、お問い合わせは暗号文で送信
保管サーバー暗号文のみ。鍵なし。御社だけがパスキーで開く

私たちは技術面の運用を担い、制作会社とのご関係はそのまま続けられます。

お申し込みまでの流れ

URLを送ると、切り替える前に移行後の姿を確認できます

STEP 1
URLを送る
サイトのURLをお知らせください。ログイン情報はこの段階では要りません。
STEP 2
診断と概算
AIが全ページを読み取り、移行できるか、置き換えが要る機能、概算をまとめます。
STEP 3
プレビューを確認
移行後のサイトを、公開前のURLで実際に見て確認できます。
STEP 4
切り替え
ドメインの向き先を切り替えます。切り替え後に移行レポートをお渡しします。

移行レポートに載せること

見た目: 全ページをパソコンとスマートフォンで撮り、移行前と比べた結果
URL: 全URLの引き継ぎ結果と、転送を設定したページの一覧
検索での見え方: ページタイトル・説明文・SNSで共有したときの表示の引き継ぎ結果
外部のタグ: アクセス解析・チャット・広告などの外部タグの一覧と、用途が分からないものの確認
リンク: リンク切れ・画像の抜けの検査結果
SEO・AIO: 本文のHTML書き出し・見出しの構造・構造化データ・AI向けのサイト案内・テキスト版の有無と、移行前との比較

お引き受けしないサイトもあります

ネットショップ、会員登録・ログインがあるサイト、予約システムを組み込んだサイトは対象外です。サーバー側で動く仕組みが欠かせないためです。
診断で移行に向かないと分かった場合は、その理由をお伝えし、無理にはお勧めしません。
サイトを新しく作り直すサービスではありません。いまのデザインと内容を引き継ぐことが前提です。

1分で確認

御社のサイトに合うか、チェックしてみてください

当てはまるものを選ぶと、向いているプランが表示されます。最終的な判断は、無料のURL診断でお伝えします。

運営会社

スタートアップの開発と組成を本業にしている会社が運営しています

みらいスタジオは、ソフトウェア開発と、スタートアップスタジオ（共同創業・カーブアウト・EXITまでの伴走）を本業とする会社です。ホットケルは、その開発と運用の経験を生かして、会社案内サイトの移行を引き受けるサービスです。

開発の実績

株式会社休日ハック：資金調達後のプロダクト開発。事業開始日と次の調達から逆算して要件を調整し、相見積もり比 1/3 のコスト・短納期でリリース。支援先はその後 M&A で Exit
TRUSTART株式会社：不動産領域で AI-OCR と大量データの処理・可視化システムを同時開発。継続伴走の中で 13 億円規模の資金調達を達成
大企業発ベンチャーの立ち上げ期開発を多数支援（Global Catalyst Partners Japan のスピンインモデルと連携）

スタートアップの組成

HANAMII株式会社：さくらインターネット社と連携した国産 PaaS を共同創業。会社組成からプロダクト開発、資金調達までを一気通貫で実行
株式会社yokatta：イベント運営の現場課題から事業を組成し、会社として切り出したカーブアウト
共同創業・カーブアウト・出資した会社は 7 社以上

会社

株式会社みらいスタジオ（2022 年設立、東京・神田神保町）
代表取締役兼城駿一郎。沖縄工業高等専門学校特別顧問、文部科学省アントレプレナーシップ推進大使
全国の高専 OB・OG を中心とする技術者コミュニティ（運営 Slack 2,800 人以上）を母体に、案件ごとに開発チームを編成

会社の詳しい紹介はみらいスタジオのサイトをご覧ください。

代表から

どんな会社でも安心してサイトを持てるように

10月21日の夜は、私の周りでもWordPressを利用している会社や制作会社が、夜を徹して問題の対応に追われていました。その少し前には、クラウド型のサイト制作サービスで、問い合わせの内容が漏えいした可能性も公表されており、こちらの対応にも各社が走り回っている状態です。

こういうことが続くと、せっかく作ったコーポレートサイトを閉じる判断をせざるをえなかったり、新たに公開しようと思ったページをお蔵入りにしたくなる気持ちにもなってしまいます。

しかしながら、各企業や団体が自分の言葉で発信を続けることは、事業にとってもそれぞれの地域にとっても大事なことです。その大事なことを安心な気持ちで続けられるように、バックエンドで動く複雑なプログラムも、攻撃者がハックを仕掛けるログイン画面も持たない構成に移して、更新のたびに身構えなくていい状態をつくりたいと考えました。まずはURL診断で、いまのサイトを見せてください。

株式会社みらいスタジオ代表取締役　兼城駿一郎

まずは、いまのサイトが移行できるかを確かめませんか

無料のURL診断を受け付けています。みらいスタジオの担当者に「URL診断を希望」とお伝えいただくか、下のアドレスまでサイトのURLをお送りください。送る前の疑問はよくあるご質問にまとめています。

hottokel@miraistudio.co.jp

脆弱性の夜も、ホットケル。