2倍
脆弱性の公表数が、7か月で倍増
月あたりの公表数は、2026年1月の5,045件から8月には10,740件に。実際に悪用された脆弱性も、月平均10.5件（2025年）から18件（2026年1〜8月）に増えています。
Source · Google Threat Intelligence Group脆弱性対応に、 追われない Webサイトへ。 Nothing runs on the server. Nothing to patch at midnight.
WordPress本体とPHPの公式なセキュリティ対応は、2026年7月から10月までの約3か月で5回ありました（プラグインは含みません）。そのたびに管理者は情報を集め、制作会社に確認し、サイトを止めるかどうかを判断しています。AIで脆弱性が見つかるペースは、これからさらに上がります。AI Web Platformは、公開サーバーでPHPもWordPressも動かさない構成で、脆弱性を塞ぎ続ける運用そのものを終わらせます。
- 構築費用¥150,000〜（税抜）
- 初回相談無料・30分（営業電話なし）
- 稟議用PDF24時間以内に送付
No code on server● 脱WordPress● 静的配信● Astro × AWS● AIエージェント運用● No code on server● 脱WordPress● 静的配信● Astro × AWS● AIエージェント運用●
01 / The Threat
脆弱性は、
脆弱性は、
AIが見つける時代に入った。— 人の手で塞ぐ速さでは、追いつかない。
2026年10月に公表されたPHPの脆弱性「php2shell」は、10年以上だれにも気づかれなかった欠陥でした。発見したWiz Researchは、AIを使うことで「研究者1人が1週間で、これまで世界トップクラスのチームが数か月かけていた作業を終えた」と公表しています。同じ力は、攻撃する側も手にしています。WordPress本体やプラグイン、サーバーのソフトウェアも例外ではありません。
4日前
修正版が出る前に、攻撃は始まっていた
php2shellでは、公表の4日前（10月17日）に攻撃の試みが観測されています。「修正版が出たら当てる」運用では、守りきれない期間があるということです。
Source · Amazon Threat Intelligence1週間
数か月がかりの解析が、1人・1週間に
発見者は、AIによって「使いこなせなかった欠陥」が「使える攻撃」に変わると警告しています。更新されないまま残るサイトほど、狙われやすくなります。
Source · Wiz Research— so
「出たら直す」運用のままでは、
対応の回数も、事故の確率も増えていきます。
02 / The Cost
公表のたびに、
公表のたびに、
管理者の時間が消えていく。— 約3か月で5回。次は、いつですか。
重大な脆弱性が公表されると、管理者は対象の洗い出しから、制作会社への確認、止めるかどうかの判断、経営層への報告までを、短い時間でこなすことになります。当社が公開している管理者向けの手順に沿って数えると、1回あたり社内だけで約15時間。保守契約の範囲外なら、制作会社への依頼費も加わります。そしてWordPress本体とPHPだけでも、公式なセキュリティ対応は約3か月で5回ありました。
2026年7〜10月の、公式セキュリティ対応
- WordPress 7.0.2：criticalとhighの脆弱性を修正（自動更新で強制適用） CRITICAL
- WordPress 7.1.1：セキュリティ修正11件
- WordPress 7.1.2：criticalの脆弱性を修正 CRITICAL
- WordPress 7.1.3：セキュリティ修正7件
- PHP：criticalの脆弱性2件を修正（php2shell） CRITICAL
Source · WordPress.org ／ PHP公式の発表より（プラグインの脆弱性は含みません）
重大な脆弱性1回で、管理者がやること
- 対象の洗い出しと、バックアップの確認 どのサイトが対象か。壊れたときに戻せるバックアップはあるか 2〜3時間
- 制作会社・サーバー会社への確認 バージョン、修正の予定、侵入の痕跡。期限を切って回答を集める 3〜4時間
- 止めるか、急いで直すかの判断 システムへの影響と事業への影響を掛け合わせ、経営層と決める 3人 × 1時間
- 経営層への第一報と、個人情報の確認 報告義務に当たるおそれがないかも、この段階で確かめる 2〜3時間
- 停止 → 修正 → 再公開の立ち会い ログの保全、表示とフォームの確認、再公開の判断 3〜4時間
1回あたり
社内 約15時間＋ 外部費用
人件費に換算すると約6万円（1時間4,000円で計算）。保守契約の範囲外なら、制作会社への依頼費が1回あたり数万円から加わります。5回の公式対応のうち、criticalな修正だけでも3回。3回とも同じ対応が要れば、社内だけで約45時間です。
手順は当社記事「PHPの重大脆弱性、管理者がまずやること」に沿って整理しました。時間は、中堅企業のコーポレートサイト1つを想定した目安です。
03 / The Incident
事故になれば、
事故になれば、
桁が変わる。
脆弱性を突かれてフォームが改ざんされたり、個人情報が漏えいしたりすれば、調査・お詫び・賠償・売上の損失が一度に押し寄せます。JNSA（日本ネットワークセキュリティ協会）の調査では、中小企業でも損失は数千万円単位、場合によっては億単位になるとされています。不正アクセスで個人データが漏えいした、またはそのおそれがある場合は、人数にかかわらず、個人情報保護委員会への報告と本人への通知が義務です。
MODEL CASE
ECサイトの入力フォームが、改ざんされたら
サイトを構築したシステムの脆弱性を突かれ、カード情報の入力フォームが偽物に差し替えられた。1万件の情報が漏えいし、サイトの再開までに6か月かかった。カード情報を扱わないサイトでも、調査・お詫び・問い合わせ対応の費用は同じように発生します。
被害額 9,490万円
Source · JNSA「インシデント損害額調査レポート 第2版」（2024年）のモデルケースより
- カード会社からの損害賠償3,600万円
- 利益の損失（6か月間、売上ゼロ）3,000万円
- コールセンター（3か月）1,080万円
- サイトの作り直し（再発防止策を含む）800万円
- お詫び状と見舞品（500円 × 1万人）650万円
- 原因と被害範囲の調査300万円
- 法律相談50万円
- サイトの停止10万円
侵入されたら、起きること
- 個人情報保護委員会への報告 発覚後すみやかに速報（目安は3〜5日以内）、60日以内に確報。原因や再発防止策の説明が求められます。
- 本人への通知と、問い合わせ対応 漏えいのおそれがある全員へのお知らせとお詫び、問い合わせ窓口の設置。コールセンターは、3か月で700〜1,000万円が目安です。
- 調査と、サイトの停止・作り直し 侵入経路と被害範囲の調査（フォレンジック）は、300〜400万円が目安。結果が出るまで、サイトを止める判断が必要になることもあります。
- 取引先・顧客からの信用 取引先への説明、セキュリティチェックシートの再提出。顧客離れのように、お金に換算できない損失は、すぐには戻りません。
※ 制作会社や保守会社にサイトを任せていても、報告するのは原則として自社です。
※
金額は、JNSA「インシデント損害額調査レポート 第2版」の、中小企業における参考値です。
SELF CHECK ひとつでも当てはまったら、
ひとつでも当てはまったら、
早めの見直しをおすすめします。
- WordPressなど、サーバーでプログラムが動くサイトを運用している
- サイトで使っているソフトウェアのバージョンを、すぐに答えられない
- フォームの送信内容が、サーバーやデータベースに残っている
- 保守契約にセキュリティ更新が含まれているか分からない
- サイトの担当者が1人、または兼任している
- バックアップから実際に戻せるか、試したことがない
04 / The Architecture
塞ぎ続ける運用から、
塞ぎ続ける運用から、
狙われる入口がない構造へ。
AI Web Platform（AI-WEBアーキテクチャ）は、Astroで生成した静的なHTMLを、AWSから配信します。公開サーバーの上では、PHPもWordPressもデータベースも動きません。セキュリティの言葉でいえば、攻撃対象領域（アタックサーフェス）を最初から小さくする設計です。
| 比べるところ | 一般的なWordPressサイト | AI Web Platform |
|---|---|---|
| 公開サーバーで動くプログラム | PHP・WordPress本体・プラグイン | なし（生成済みのHTMLを配信するだけ） |
| PHP・WordPress・プラグインの脆弱性 | 公表のたびに、自社の問題になる | 影響を受けない |
| 管理画面（ログインページ） | インターネットに公開されている | 公開しない（更新は承認フローで反映） |
| データベース | 公開サーバーと一体で動く | 公開環境に置かない |
| サーバーOS・ミドルウェアの更新 | 自社または制作会社が対応 | AWSのマネージドサービス側で対応 |
| フォームの個人情報 | Webサーバーやデータベースに残りやすい | サイトから切り離した仕組みで受け付ける |
| 改ざん・トラブルからの復旧 | バックアップから手作業で復元 | 変更履歴から、直前の状態にすぐ戻せる |
FEATURE 01 ／ Core
攻撃の入口を持たない、静的配信
Astroでビルドした静的なHTMLを、AWS（S3 + CloudFront）から配信します。アクセスのたびにプログラムが動く仕組みがないため、PHPやWordPress・プラグインの脆弱性を突く攻撃は、構造上成り立ちません。表示速度も、標準的なWordPressサイトと比べて2〜3倍速です。
AstroAWS S3CloudFront
1原稿を作成（AIが下書きも可）
2担当者が承認
3自動ビルドで静的HTMLを生成
4公開側にあるのは、HTMLだけ
FEATURE 02
AIエージェントが、更新を見張る
ビルドに使うライブラリの更新やセキュリティ修正は、AIエージェントが内容を確認して更新案を用意します。担当者は承認するだけで反映でき、夜間の緊急作業に追われません（自動化はStandardプラン以上）。
AIエージェントGitHub Actions
FEATURE 03
すべての変更に履歴。復旧は1クリック
原稿もデザインも、変更はすべてGitHubに記録されます。「いつ・誰が・何を変えたか」を追跡でき、万一のときも直前の状態へすぐに戻せます。監査や社内のセキュリティ審査での説明にも使えます。
GitHubGitMarkdown
FEATURE 04
WAF・DDoS対策・監査ログ
Enterpriseプランでは、WAFのカスタムルール、DDoS・ボット対策、セキュリティヘッダ、アラート、監査ログまで対応します。
FEATURE 05
サイト更新も、AIで止めない
お知らせ・採用情報・ブログの下書きはAIエージェントが作成し、担当者は承認するだけ。運用工数は月20時間削減（自社実測）。
FEATURE 06
維持費は月千円以下
サーバー維持費は月千円以下。WordPress + 専用サーバ運用と比較して年間10〜30万円のコスト圧縮も。
自社のサイトで、どこまで入口を減らせるか。初回相談（無料・30分）で、いまの構成を伺って整理します。
無料で相談する → 05 / Proof
このサイトも、
このサイトも、
同じ構成で
動いています。
xecin.jp（XECIN コーポレートサイト）は、いまご紹介している AI Web Platform そのもので構築・運用しています。2026年10月21日の夜、php2shellが公表されたときも、サイト本体について対応すべき作業はありませんでした。
移行前の WordPress 運用と比べて運用工数は月20時間削減、プラグイン起因のトラブル件数はゼロに。これは「営業トーク」ではなく、社内のオペレーション台帳に残っている事実です。
X
XECIN コーポレートサイト運用チーム
DOGFOODING SINCE 2025
公表当夜の緊急対応
0件
php2shell ／ サイト本体
月間運用工数
2.4h / 月
↓ −20h vs 旧運用
プラグイン起因トラブル
0件 / 年
↓ −12件 vs 旧運用
ホスティング費
<¥1,000/月
↓ −¥18k+ vs 専用サーバ
計測期間
2025年6月〜2026年4月（11ヶ月）の社内オペレーション記録より集計。社内の月次運用レポートと同じ形式の数値です。
比較対象
移行前の WordPress + 専用サーバー運用（プラグイン15個、月次更新作業を含む）。同一担当者が両方を運用した期間の実測値で比較。
AIによる運用自動化率
セキュリティパッチ適用・依存関係更新・コンテンツ反映といった定型の運用作業のうち、AIエージェントが自動実行した割合は78%。担当者は変更内容を承認するだけで反映でき、人手は判断が必要な例外対応に集中できます。
同じ構成を、貴社のサイトで。移行の進め方と費用感を、初回相談（無料・30分）でお伝えします。
無料で相談する → 06 / Pricing
料金は
4プラン。
料金は
4プラン。
自由に選択できます。
予算とセキュリティ要件に合わせた4プラン。表示はすべて構築費用（税抜）です。実際の見積もりはヒアリング後に確定しますが、表示価格から大きく外れることはありません。
既存サイトをまるごと移行
Lite
構築費用 ¥300,000〜
- WordPress等、既存サイトからの移行
- 簡易な自動化
人気！
一番選ばれています
Standard
構築費用 ¥450,000〜
- WordPress等、既存サイトからの移行
- 運用自動化 (AI記事ドラフト + 承認プロセス)
高度なセキュリティ要件にも対応
Enterprise
構築費用 ¥800,000〜
- WordPress等、既存サイトからの移行
- 運用自動化
- 高度なセキュリティ (WAF / DDoS / 監査ログ等)
まずは小さく
Starter
ページ数の少ないサイトを、まず静的な構成へ。運用の自動化は付けずに、費用を抑えたプランです。
構築費用 ¥150,000〜
- 小規模サイトの静的化（目安：10ページ程度まで）
- Astro × AWS の静的サイト基盤・自動デプロイ
- 運用の自動化が必要になったら、上位プランへ
プラン比較
| Starter | Lite | Standard | Enterprise | |
|---|---|---|---|---|
| ▼ 基盤 | ||||
| 既存サイトからの移行 (WordPress / 他CMS) | 小規模 | ✓ | ✓ | ✓ |
| Astro × AWS 静的サイト基盤 | ✓ | ✓ | ✓ | ✓ |
| GitHub Actions 自動デプロイ | ✓ | ✓ | ✓ | ✓ |
| Markdown 編集環境 | ✓ | ✓ | ✓ | ✓ |
| ▼ 自動化 | ||||
| 依存関係・セキュリティ更新 | 手動 | 手動 | 自動 | 自動 |
| バックアップ自動化 | ✓ | ✓ | ✓ | ✓ |
| 定期タスク実行 | — | — | ✓ | ✓ |
| AI 記事ドラフト自動生成 | — | — | ✓ | ✓ |
| 承認プロセス構築 | — | — | ✓ | ✓ |
| ▼ セキュリティ・ガバナンス | ||||
| WAFカスタムルール対応 (地理 / 文字列 / レート) | — | — | — | ✓ |
| レスポンスセキュリティヘッダ対応 | — | — | — | ✓ |
| DDoS 対策 | — | — | — | ✓ |
| ボット対策 | — | — | — | ✓ |
| セキュリティアラート | — | — | — | ✓ |
| 監査ログ | — | — | — | ✓ |
| ▼ 価格 | ||||
| 構築費用 | ¥150,000〜 | ¥300,000〜 | ¥450,000〜 | ¥800,000〜 |
※ 表示はすべて構築費用（税抜）です。構築後は、GitHubリポジトリをお客様にお引き渡しします。
※ Starterは、ページ数や機能を絞った小規模サイト向けです。対象の範囲は、ヒアリングで確定します。
※ デザインを変更する場合は別途費用 (新規ブランディング時の概算: ¥30〜100万。ご相談ください)。
※ AWS / AI 関連サービスは原則お客様にてご用意いただきます (当社調達の場合は別途月¥3,000〜10,000で対応可能)。
※ 公開後の更新代行などをご希望の場合は、内容に応じて別途お見積りします。
自社の場合の見積もりと、稟議用の資料をご用意します。まずは初回相談（無料・30分）へ。
無料で相談する → 07 / FAQ よくいただく、
よくいただく、
正直な質問。
問い合わせ前に「上司やセキュリティ部門に説明できるか」を確認するための、典型的な質問への回答です。
Q. 本当に、脆弱性対応に追われなくなりますか？ +
公開サーバーでPHPやWordPressが動かないため、PHP本体・WordPress・プラグイン・サーバーOSの脆弱性は、構造上サイトに影響しません。2026年10月に公表されたPHPの重大な脆弱性（php2shell）でも、本基盤で運用している
xecin.jp
では、サイト本体について対応すべきものはありませんでした。一方で、すべての脆弱性がゼロになるわけではありません。ビルドに使うライブラリの更新は続きますし、問い合わせフォームのような動的な処理は、サイトから切り離した仕組みで動かします。Standard以上のプランでは、これらの更新案をAIエージェントが自動で用意し、担当者は承認するだけで反映できます。会員機能やECのように、動的な仕組みが中心のサイトには向かない場合もあるため、初回相談で正直にお伝えします。
Q. WAFを入れれば、今のWordPressのままでも大丈夫では？ +
WAFは攻撃の一部を防ぐ有効な手段ですが、ソフトウェアの脆弱性そのものは、更新でしか塞げません。2026年10月のphp2shellでも、PHPの公式発表は「完全な対策は更新だけ」としており、修正版の公表より前から攻撃の試みが観測されていました。WAFのルールがそろう前に狙われることもあります。WAFは「入口を守る」対策、AI
Web Platformは「入口そのものをなくす」対策です。Enterpriseプランでは、両方を組み合わせられます。
Q. お問い合わせフォームの個人情報は、どこに保存されますか？ +
フォームの送信内容は、Webサイト本体とは切り離した仕組み（AWS
Lambdaなどのサーバーレス、または貴社が指定する受付システム）で受け付けます。公開中のWebサーバーやデータベースに個人情報をためない構成にできるため、サイトの側に盗み出せる個人情報を置かずに済みます。保存先・保存期間・通知の方法は、貴社の規程に合わせて設計します。
Q. 社内のセキュリティ審査や監査に対応できますか？ +
サイトの変更はすべてGitHubに履歴が残り、いつ・誰が・何を承認したかを追跡できます。Enterpriseプランでは、WAFのカスタムルール、セキュリティアラート、監査ログにも対応します。構成図や運用フローなど、社内審査に必要な説明資料のご相談も承ります。
Q. WordPressからの移行はどのくらい大変ですか？ +
既存サイトの規模・構造によりますが、中堅企業のコーポレートサイト（記事数50〜200本程度）で平均6〜10週間です。記事・画像のインポートは自動化スクリプトで一括実行するため、コンテンツ移行作業はほぼ発生しません。並行稼働期間（旧サイト・新サイトを同時公開）を1〜2週間設けるため、本番切替時のリスクは最小化されます。
Q. 本当に自社で更新できますか？技術担当がいません。 +
原稿はMarkdownで担当者ご自身で執筆・公開できる運用が基本です。必要に応じてAIエージェントが下書きを生成し、担当者は「承認するだけ」のフローに切り替えることも可能です。Markdownは見出し・箇条書き程度なら30分の研修で習得可能なレベル。Word的な編集に慣れた方が、抵抗なく移行されているのが実績です。その他、様々な自動化のご相談もお受けできます。
Q. 過去にCMS刷新で運用が逆に大変になった経験があります。 +
そのご経験は、おそらく「過剰設計」が原因です。本パッケージでは、xecin.jp
自体で1年運用して「実際に使う機能だけ」を残した最小構成を提供します。多機能なヘッドレスCMSとは異なり、必要な機能を必要な分だけ。失敗パターンを踏まえた現実的な提案を、初回相談時に詳しくご説明します。
Q. AIエージェントが暴走したり、誤った内容を公開したりしませんか？ +
「AIが下書き → 人間が承認 →
公開」の設計のため、人間の承認なしには公開されません。完全自動化はあえて行わず、ブランドトーンや事実誤認を防ぐ仕組みです。承認はSlackボタンクリックでも、PR承認でも可能です。「監査ログ」も全アクションで残るため、いつ・誰が・何を承認したかは完全に追跡できます。
Q. 当社との契約が終わったら、サイトはどうなりますか？ +
サイトのソースコード・コンテンツはすべてお客様のGitHubリポジトリに保管されます。私たちが運用から外れても、サイト本体は引き続き稼働します。ロックインの心配はありません。
Q. 問い合わせると、すぐ営業電話がかかってきますか？ +
営業電話は一切いたしません。初回連絡は必ずメールでお返しします。電話を希望される方のみ、ご指定の時間にお電話いたします。「資料だけ欲しい」「料金感だけ確認したい」というお問い合わせも歓迎です。
Q. 初回相談は本当に無料ですか？ +
はい、初回相談（オンライン30分）は無料です。お送りする稟議用PDF（ROI試算・3年総コスト・技術選定理由）も無料です。提案フェーズ以降についても、契約締結まで費用は一切発生しません。
08 / Get Started
事故が起きる前に、
事故が起きる前に、
まずは
30分
から。
初回相談は無料・オンライン30分。いまのサイトの構成（CMSやPHPのバージョン、フォームで集めている個人情報、いまの保守契約の範囲）を伺い、移行の要否と優先度を整理します。営業電話は一切いたしません。
フォーム送信後、24時間以内に稟議用PDF（ROI試算・3年総コスト・技術選定理由）を自動でお送りします。
✓ 初回相談無料・30分から。長時間拘束しません。
✓ 営業電話なし。返信はメールのみで進められます。
✓ 稟議用PDFを24h以内に自動送付。経営層への第一報を当日中に。
✓ 「資料だけ欲しい」もOK。提案を急かしません。