2026年10月21日のPHPの脆弱性（php2shell）をきっかけに、「PHPを使わないCMS」としてEmDash（エムダッシュ）の名前を目にする機会が増えました。
「WordPressから乗り換えたほうが安全なの？」。そう考えた方もいると思います。
先に結論を書きます。EmDashは、WordPressが抱えている弱点のうち2つを、仕組みから取り除いたCMSです。会社案内やお店の紹介、ブログが中心のサイトなら、今が乗り換えを考えるよい時期です。
ただし、移行は「引っ越し」ではなく、ほぼ「建て替え」になります。向かないサイトもあります。この記事では、メリットとデメリット、移行で作り直すもの、費用の目安までを整理します。情報は2026年10月27日時点のものです。
EmDashとは：CloudflareがWordPressの後継を目指して作ったCMS
名前を聞いたことはあっても、正体がよく分からない方が多いと思います。まずは基本だけ押さえます。
EmDashは、ネットワーク大手のCloudflare（クラウドフレア）が2026年4月に公開した、無料のCMS（ホームページの記事や画像を管理する仕組み）です。9月28日に、正式版にあたるバージョン1.0が出ました。
WordPressと同じように、管理画面で記事を書き、プラグイン（機能を追加する部品）で機能を足せます。違うのは、その土台がまるごと別物であることです。
WordPressはPHPという言語で動きます。EmDashはPHPを一切使わず、TypeScriptという言語と、Astro（アストロ）という仕組みの上で動きます。動かす場所は、Cloudflareのサーバーか、一般的なNode.jsのサーバーです。
すでに使われている例もあります。Cloudflare自身の公式ブログが、2026年8月にEmDashへ移行しました。普段の負荷に加えて、アクセスが一気に集中する場面にも耐えたと報告されています。
WordPressとの違いは「土台」と「プラグインの権限」
仕組みの話は難しく聞こえますが、違いは2点に絞れます。
1つめは土台です。WordPressはPHPの上に建っているので、10月21日のphp2shellのようにPHPそのものに穴が見つかると、WordPress側では防げません。EmDashにはPHPがないので、この種類の穴はそもそも当たりません。
2つめは、プラグインが触れる範囲です。
WordPressのプラグインは、サイトのデータや設定に広く手が届きます。そのため、プラグイン1つに穴があると、サイト全体が危なくなります。実際、WordPressの脆弱性の多くはプラグインで見つかっています。
EmDashでは、プラグインが1つずつ隔離された場所で動きます。記事やユーザー情報、外部との通信に触れるには、プラグインが「これを使いたい」と宣言し、管理者が許可する必要があります。スマートフォンのアプリが「位置情報を使ってもいいですか」と聞いてくるのに近い仕組みです。
移行するメリット
「乗り換えて何が楽になるのか」。ここがいちばん気になるところだと思います。主に次の3つです。
1. PHPの穴と無縁になる。10月21日のような騒ぎで、夜中にサーバー会社のお知らせを追いかける必要がなくなります。
2. プラグインの穴が見つかっても、被害が広がりにくい。許可した範囲の外には手が届かないためです。インストールの前に、配布元の署名と中身が一致するかを確かめる仕組みもあり、改ざんされた部品が紛れ込むリスクを下げています。
3. Cloudflareで動かせば、土台の更新を任せられる。サーバーそのものの管理はCloudflare側が受け持つので、PHPのバージョンを気にする作業がなくなります。
WordPressは、2026年7月から10月初めまでの間に、本体だけで6回のセキュリティ修正を出しています。そのたびに更新を確かめる手間を考えると、「更新の回数そのものを減らせる」ことは、担当者のいない中小企業ほど効いてきます。
移行の前に知っておきたい注意点
良い話だけでは判断を誤ります。ここは、発注する側として必ず押さえておいてください。
いちばん重いのは1つめです。デザイン（テーマ）は作り直し、フォームやSEOの設定などプラグインで足していた機能も、EmDash用に置き換えるか作り直すことになります。ネットショップや会員機能のように、プラグインに大きく頼っている仕組みは、今のEmDashでは置き換えが難しいのが実情です。
3つめは見落としやすい点です。プラグインを隔離して動かす機能は、Cloudflareの無料プランでは使えず、有料のWorkers Paidプラン（月5ドルから）が必要です。Node.jsのサーバーで動かす場合は隔離自体はできますが、公式ドキュメント上、かかる制限は実行時間だけです。隔離の外で動く種類のプラグインもあります。「EmDashなら全部隔離される」わけではありません。
4つめは、中小企業にとって大事な点です。WordPressなら、直せる制作会社や個人はすぐ見つかります。EmDashは、まだそうではありません。移行したあと、誰が更新と見守りを続けるのか。移行を頼むときは、作業だけでなく、その後の保守まで引き受けてくれるかを確かめてください。
5つめについて補足します。EmDashの公式リポジトリには、10月27日時点で公開済みのセキュリティ勧告はありません。ただ、公開から半年ほどで、WordPressほど多くの人に調べられていないことも理由の一つと考えられます。穴がないことの証明ではありません。
移行で「移るもの」と「作り直すもの」
「記事は移せるんですよね？」。ここは、多くの方が気にされる点です。
記事そのものは移せます。WordPressの「ツール」→「エクスポート」で書き出したファイルか、EmDash用の書き出しプラグインを使って取り込みます。手間がかかるのは、記事の周りです。
| 対象 | 移行での扱い（EmDash公式ドキュメントより） |
|---|---|
| 記事・固定ページ・カテゴリ・タグ | 移る。ただし、対応する分類がEmDash側にないものは飛ばされる |
| 画像 | 移る。取り込みが終わるまで、元のWordPressサイトは公開したままにしておく |
| デザイン（テーマ） | 作り直し |
| プラグインの機能 | 作り直し、または置き換え。プラグインが作っていた部品は、中身が表示されない状態で入る |
| URLの形 | 自動では再現されない。変わるURLには、すべて転送の設定が要る |
| 予約投稿・非公開の記事 | 下書きになる。公開前に1本ずつ確認が必要 |
URLの扱いは特に重要です。URLが変わったのに転送を設定しないと、検索で積み上げてきた評価が引き継がれません。リニューアルで順位を落とす典型的な原因と同じです。注意点はサイトリニューアル時にチェックするべきポイントにまとめています。
当メディアで数えてみると、作り直すものはこれだけあった
一般論だけでは実感がわかないので、このメディア（WordPressで運営）を移すとしたら何が要るかを、実際に数えてみました。
まずデザインです。テーマは全面的に作り直しになります。
次に記事の中身です。公開中の121本のうち95本に、記事ごとの装飾用のコードと、よくある質問を検索エンジンに伝えるためのコードを直接書き込んでいます。これが取り込み後にどう変換されるかは、1本ずつ表示を確かめる必要があります。
URLも課題です。121本のうち63本が日本語のURLです。URLの形が1文字でも変われば、その記事すべてに転送の設定が要ります。
さらに、管理画面に後から足した小さな機能が13個あります。統合した記事の転送が4件、検索結果に出さない記事の制御、サイトマップの調整、構造化データの補正などです。どれも画面には見えませんが、全部作り直しです。問い合わせメールの送信設定や、アクセス解析との連携も置き換えになります。
数えてみて分かったのは、記事を運ぶこと自体より、周りを作り直すほうがずっと重いということです。何年か運営してきたサイトほど、この「見えない部品」は増えています。移行を頼むときは、こうした部品まで洗い出してくれるかを確かめてください。
移行の流れと費用の目安
「実際に頼むと、どう進んで、いくらかかるのか」。ここからは、当社の移行サービスを例に具体的にお伝えします。
当社では、いきなり移行の見積もりを出すことはしていません。最初に今のサイトの状態を点検し、移すべきかどうかから一緒に判断します。
移行作業の期間は、小規模なサイトで最短1週間、記事が多いサイトで2〜3週間が目安です。準備は公開前の仮サイトで進めるので、作業中も今のサイトはそのまま動きます。
費用の目安は次のとおりです（税込）。
| プラン | 内容と費用 |
|---|---|
| ライト | 記事50本・固定ページ10まで、シンプルなデザイン。移行のみ79,800円／運用保守（12か月）とセットで49,800円 |
| スタンダード | 記事200本まで、今のデザインを再現。移行のみ198,000円／運用保守（12か月）とセットで148,000円 |
| カスタム | それ以上の規模や特殊な機能。規模と機能を確認してお見積もり |
| EmDash運用保守 | 月5,500円〜。Cloudflareの利用料を含み、月1回・30分以内の差し替えに対応 |
ネットショップや会員機能が中心のサイトは、今は移行の対象にしていません。その場合は、WordPressのまま更新と見守りを続ける保守をご案内しています。
当社が運営する別の情報メディア（記事77本）でも、実際に移行を検証しました。前の章で挙げた「見えない部品」の洗い出しは、こうした検証をもとに行っています。
EmDashに移しても防げないもの
EmDashは攻撃される面を減らしてくれます。ただし、何でも防げるわけではありません。
⚠️ EmDashでも残るリスク
管理者アカウントの乗っ取り。管理者として入られれば、プラグインの許可も出せてしまいます。
土台の別の穴。PHPの代わりに使っているJavaScriptの実行環境や、部品の配布元にも穴は見つかります。署名は「誰が配ったか」の証明で、安全の証明ではありません。
運営基盤の事故。土台を預ける先で事故が起きれば、利用者全員が同時に影響を受けます。今月も、あるクラウド型の制作サービスで、利用者全体に及ぶ不正アクセスが公表されました。
つまり、事故が起きる場所が変わるだけで、ゼロにはなりません。移行したあとも、管理画面のパスワードを使い回さないこと、更新と見守りを誰かが続けること。この2つは変わりません。
普段の対策はホームページのSSL・セキュリティ｜最低限やることと放置のリスクで書いています。
当社はシステム開発も自社で行っているので、今のサイトを移すべきかどうかを、技術面から見立ててお伝えできます。
移したほうがいいサイト、WordPressのまま守るほうがいいサイト
最後に、判断の目安です。迷ったら、次の2つのどちらに近いかで考えてください。
3つめは意外に思われるかもしれません。けれど、更新が回っているWordPressは、それだけでかなり守られています。移行は安くない工事です。今動いているものを止めてまでやる理由があるかを、冷静に見てください。
逆に、「誰も更新していない」「どこのサーバーで動いているかも分からない」という状態なら、移行と保守をまとめて任せることで、手間とリスクを一度に減らせます。まずは今のサイトの状態を確かめるところから始めてください。保守費用の考え方はホームページの維持費・保守費用の相場も参考になります。
よくある質問
Q移行中、サイトは止まりますか？
止まりません。準備は公開前の仮サイトで進めるため、今のサイトはそのまま動きます。新しいサイトへの切り替えは短時間で済みます。
Q移行すると、検索順位は下がりますか？
今のページのURLを維持し、変わる場合は転送を設定すれば、大きく下がる理由はありません。EmDashの取り込み機能は転送を自動では作らないので、ここは移行する側で用意します。ただし、切り替え直後に一時的な変動が出る可能性はあります。
Q移行したら、もう安全対策はいりませんか？
いいえ。どの仕組みでも更新は必要です。EmDash本体の更新や、管理者アカウントの見守りは続ける必要があります。移行を頼むときは、その後の保守まで含めて考えてください。
参考情報
- EmDash 1.0: the stable CMS with a secure plugin registry｜The Cloudflare Blog（英語）
- Cloudflare公式ブログのEmDash移行報告｜The Cloudflare Blog（英語）
- Migrating from WordPress｜EmDash Docs（英語）
- Plugin sandbox｜EmDash Docs（英語）
- Security｜WordPress News（英語）
関連記事
- PHPの脆弱性「php2shell」で何が起きたか｜WordPressサイトの持ち主が確認すること
- ホームページのSSL・セキュリティ｜最低限やることと放置のリスク
- サイトリニューアル時にチェックするべきポイントや手順をプロのWEB制作者が解説
- ホームページの維持費・保守費用の相場｜月額の内訳と抑え方
- ホームページのドメイン・データ・著作権は誰のもの？｜制作会社を変えるときに困らないために
まとめ
EmDashは、PHPを使わず、プラグインを隔離して動かすことで、WordPressの弱点を仕組みから減らしたCMSです。php2shellのような穴には当たらず、プラグインの穴が見つかっても被害を狭められます。
一方で、移行はほぼ建て替えです。デザインも、プラグインで足していた機能も作り直しになり、URLを守るための転送も欠かせません。移したあとに更新と見守りを続ける人も必要です。
そして、移しても事故がゼロになるわけではありません。変わるのは事故が起きる場所です。
会社案内やブログが中心で、更新の担当者がいないサイトなら、移行と保守をまとめて任せる価値があります。反対に、ネットショップが中心のサイトや、更新が社内で回っているサイトは、WordPressのまま守るのが正解です。まずは今のサイトがどちらに近いかを確かめてください。