WordPressから、ゆっくりと離れていく流れ

WordPressは、オープンソースの大きな成功例のひとつです。ブログのためのツールとして始まり、ウェブの大きな部分を支えるソフトウェアに成長しました。無料で使え、自由に変更でき、テーマ、プラグイン、ホスティング事業者のエコシステムのおかげで、ほとんど誰でも発信できます。

私たちはエージェンシーとして長年、WordPressのサイトを構築し、運用してきました。そして多くのよいサイトが、いまもWordPressで動いています。これは追悼記事ではありません。ただ、3つのことが同時に変わりました。ウェブサイトをWordPressで運用している企業は、その3つすべてを知っておくべきです。シェアが下降に転じたこと、リスクがプラグインにあること、そしてプロジェクトの指導部が2年にわたって争いを続け、それがいま陪審の判断に向かっていることです。

シェアは下降に転じた

ウェブサイトの背後にある技術を追跡しているW3Techsのデータでは、WordPressは10年近く上昇を続けてきました。2015年初めには全ウェブサイトの23.3パーセントでしたが、2022年初めには43.2パーセントに達しました。そこで横ばいになります。2025年1月には43.6パーセント、2026年1月には43.0パーセントでした。そして2026年10月12日の数字は40.1パーセントです。

それでも、ほかのすべてのコンテンツ管理システムを合わせたより多く、W3Techsがシステムを特定できるサイトに限れば58.6パーセントです。けれども、この方向は新しいものです。同じ期間に、Shopifyは全ウェブサイトの4.7パーセントから5.4パーセントに、Wixは3.3パーセントから4.2パーセントに伸び、JoomlaとDrupalは縮小を続けました。こうした数字は手法に左右されるので、小数点以下よりも方向のほうが重要です。

リスクはプラグインにある

WordPressのコアは良好な状態です。エコシステムを追跡しているセキュリティ企業Patchstackが2025年にWordPressのコアで数えた脆弱性はわずか6件で、いずれも優先度の低いものでした。

その周りのエコシステムは話が別です。Patchstackは2025年、WordPress全体で11'334件の新しい脆弱性を数えました。2024年より42パーセント多い数です。91パーセントはプラグインに、9パーセントはテーマにありました。そのうち46パーセントについては、欠陥が公表された時点で開発者が修正を用意していませんでした。そして攻撃者が最も狙った欠陥では、公表から大規模な悪用までの時間の中央値は5時間でした。

Patchstackはまさにこの問題への対策を販売しているので、その見せ方にはいつもどおりの注意が必要です。とはいえ、このパターンは構造的なものです。企業のサイトでは、多くの作者による多くのプラグインが動いていることがよくあり、それぞれに独自の更新のリズム、独自の品質、独自のビジネスモデルがあります。そのどれもが、公開サーバー上のコードです。それらを最新に保つのは毎週の仕事であり、それを怠った週こそが問題になる週なのです。

2年間の混乱

2024年9月、WordCamp USカンファレンスで、AutomatticのCEOでありWordPressプロジェクトの中心人物であるMatt Mullenweg氏は、最大手のWordPressホスティング事業者のひとつであるWP Engineへの支払いをやめるようコミュニティに呼びかけました。その後の投稿では、同社をWordPressにとっての「がん」と呼びました。Mullenweg氏は、WordPressの商標使用料として、WP Engineの月間総売上の8パーセントを要求していました。

9月25日、WordPress.orgはWP Engineによるリソースの利用を禁止し、同社がホストする一部のサイトでプラグインとテーマの更新ができなくなりました。10月、WP EngineはAutomatticとMullenweg氏を提訴し、WordPress.orgはWP Engineが保守していた人気プラグインAdvanced Custom Fieldsの管理権を握りました。12月、連邦判事は仮差し止め命令を出し、WP Engineのアクセスとプラグインを元に戻させました。

その後に起きたことは、ホスティング事業者よりもプロジェクトに大きな打撃を与えました。2025年1月、Automatticは法廷闘争に資源を振り向けるため、WordPressへの貢献の約束を週約2'560時間から約45時間に減らしました。4月には従業員の16パーセントを解雇し、WordPressは6.8が2025年最後のメジャーリリースになると発表しました。5月末、Automatticは方針を転換し、コアの開発に戻りました。6月にはLinux Foundationが、プラグインとテーマのための連合型リポジトリFAIRを立ち上げました。単一の提供元が更新を支配しないように設計されたものです。

訴訟はまだ終わりそうにありません。2026年9月24日、判事は1年前に棄却していたWP Engineの反トラスト法上の請求を復活させ、AutomatticとMullenweg氏は、自らが主張したWordPressの商標の所有者でも登録者でもないと認定しました。Automatticの反訴の大半も維持されています。10日間の陪審裁判が2027年10月に予定されています。

WordPressを使う企業にとっての意味

これらのどれも、WordPressのサイトを一夜にして危険なものにするわけではありません。プラグインが少なく、よいホスティング事業者を使い、更新に責任を持つ担当者が決まっている、よく手入れされたサイトなら、何年も企業の役に立ちます。ブログ、小さな会社案内サイト、あるいはこのプラットフォームをよく知るチームにとっては、使い続けるのが賢明な選択であることも多いでしょう。

この2年間が示したのは、依存の構造です。サイトの更新、プラグイン、そしてサプライチェーンへの信頼は、ひとつのリポジトリを通じて流れており、しばらくのあいだ、そのリポジトリに関する決定は商業上の争いの中で下されていました。そこに、新しい欠陥のほぼ半数が修正される前に公表されるエコシステムが加わります。問いはもはや、WordPressが機能するかどうかではありません。企業が自社のウェブサイトのどれだけを、自社で管理できない部品に預けたいのか、です。

CMSを載せたビルド型サイト

だからこそ、ビルド型のサイトに移る企業が増えています。コードから高速なページへとコンパイルされたウェブサイトに、編集する人のためのコンテンツ管理システムを載せたものです。そうすれば公開サイトには、攻撃対象となるプラグインも管理画面のログインもありません。すべての変更は、公開前にテストされるビルドを通ります。コンテンツは、ベンダーが形を決めたデータベースではなく、企業が所有するファイルの中にあります。

トレードオフは現実にあります。WordPressにはほとんど何にでもプラグインがありますが、ビルド型のサイトでは新しい機能に開発者が必要です。そして編集の仕組みをきちんと作らなければ、マーケティングチームは1週間もしないうちに昔の管理画面を恋しく思うでしょう。

Studioは、まさにこの問題のために作られました。その中核は、Next.js、Vite、TanStackで作られたサイトの上に載るCMSで、公開サイトにはプラグインもPHPもありません。すべての公開はチェックされ、一度ビルドされ、テストされ、公開され、検証され、何かが失敗すれば自動で元に戻されます。そして公開のたびに、コンテンツが会社自身のリポジトリにコミットされます。編集者は言葉をクリックして変更し、公開中のページで確認できます。Studioは先行アクセスの段階にあります。

ビルド、テスト、ロールバックは機械に任せられます。ページが何を語るのか、そして世に出すのに十分な出来かどうかは、それに責任を持つ人に残ります。

どこから始めるか

プラグインの数を数え、それぞれについて誰が保守しているか、最後にいつ更新されたか、何をするものかを書き出してください。誰も必要としていないものは削除します。有料のものも含め、すべてのプラグインが更新を受け取っていること、そして名前のある担当者が毎週それを確認していることを確かめます。一度コンテンツをエクスポートして、必要になったときに移せるかどうかを確かめてみてください。

そのうえで、意図をもって決めます。WordPressが役に立っているところでは、部品を減らし、責任者をはっきりさせて使い続けます。ウェブサイトが事業の中心にあるなら、CMSを載せたビルド型のサイトについて相談してみる価値があります。