WordPress の脆弱性に更新で追われない会社サイトへ。PHP もログイン画面もない静的サイト移行サービス「ホットケル」を提供開始

10月に脆弱性の公表が続いたことを受け、中小企業・団体のサイトのセキュリティを、公開サーバーで PHP が動かない構成に移すことで確かめやすくします



株式会社みらいスタジオ（本店: 東京都千代田区、代表取締役: 兼城 駿一郎）は、WordPress や Studio で作られた企業・団体のサイトを、デザインと URL を保ったまま静的サイトへ移行するサービス「ホットケル（Hottokel）」の提供を開始しました。問い合わせは、暗号化フォーム「フウイン」で受け取ります。2026年10月22日から無料の URL 診断を受け付けています。10月24日には、株式会社Jidoca Technologies の WordPress 製サイトを移行し、公開しました。

サービスサイト: https://hottokel.com/
[動画: https://www.youtube.com/watch?v=r7bxZyQ7L4M ]

背景: WordPress の更新では直らない脆弱性と、問い合わせ内容が流出する可能性

2026年10月21日、PHP に深刻度 9.2（CVSS v4.0）の脆弱性 2 件が公表されました[1]。WordPress 本体やプラグインを更新しても直りません。サーバーの PHP そのものの更新が要ります。国内の主要なレンタルサーバー各社は、21日夜から22日にかけて緊急メンテナンスを行いました[2]。同じ週には、Java[3]、Node.js[4]、Ruby[5] でも修正が相次ぎました。その直前の10月16日には、ノーコードのサイト制作サービスの運営会社が不正アクセスを公表し、利用者のサイトのフォーム送信内容などが流出した可能性があると発表しています[6]。

会社案内のサイトは、総務や広報の担当者が兼務で管理していることが少なくありません。脆弱性のニュースが出るたびに、自社が対象かを確かめ、サーバー会社の対応を待つことになります。本来の仕事の時間が削られます。問い合わせフォームには、取引の相談や見積もり依頼として氏名・連絡先・住所が届きます。サーバーに侵入されても、その中身を読まれない構成が必要だと考えました。

ホットケルがすること

1. サイトを静的化する（土台）
いまのデザインと URL を引き継いだまま、公開サーバーから PHP・データベース・ログイン画面・プラグインをなくします。サイトを配信するサーバーに置くのは、HTML・CSS・画像だけです。公開サーバーで PHP を動かさないため、今回のような PHP の脆弱性の対象になりません。
[画像1: https://prcdn.freetls.fastly.net/release_image/105934/10/105934-10-20ce7dec796cbd66fbd1c2515c490d58-1600x900.png?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
移行前（WordPress の例）と移行後の、公開サーバーに置くものの比較

2. 問い合わせを暗号化して受け取る「フウイン」
問い合わせの内容は、訪問者が送信ボタンを押した時点で、そのブラウザの中で暗号化されます。当社のサーバーに保管されるのは暗号文だけです。
開くのに使えるのは、お客様の担当者が顔認証や指紋で使うパスキーと、お客様が保管するリカバリーコードだけです。当社には開けません。保管サーバーに侵入された場合も、そこにあるのは鍵がなければ読めない暗号文です。
[画像2: https://prcdn.freetls.fastly.net/release_image/105934/10/105934-10-b8550a381240a69f2f56f83822e99071-1600x900.png?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
フウインの流れ。ブラウザで暗号化し、保管サーバーには暗号文だけが届き、担当者がパスキーで開く

3. 検索エンジンと AI に読まれやすくする（SEO・AIO）
JavaScript で後から描画していた本文を素の HTML に書き出し、見出しの構造、会社情報の構造化データ、AI 向けのサイト案内（llms.txt）、ページごとのテキスト版を整えます。
※ 検索順位や AI の回答への反映は各サービスが判断するため、効果は約束できません。

また、移行作業の際に全ページをスキャンするため、誤字脱字と思われる箇所や、ページごとに数字が異なってしまっている箇所なども検出し移行報告レポートとして提供いたします。

ホットケルは、今回のような PHP の脆弱性と、問い合わせの保管先への侵入に備える構成に移すサービスです。
すべての攻撃を防げるわけではありませんが、更新のたびに身構える場面が大きく減り、サイトを安心して『ほっとける』仕組みになります。

提供の流れ

- URL を送る: サイトの URL だけで始められます。この段階でログイン情報は要りません。
- 診断と見積もり: AI が全ページを読み取り、移行できるか、置き換えが要る機能をまとめます。ページ数とフォームの数から、見積もりもこの時点で確定します。診断の結果は翌々営業日まで（最短で当日）にお届けします。
- プレビューを確認: 移行後のサイトを公開前の URL で実際に確かめられます。
- 切り替え: ドメインの向き先を切り替え、全ページの見た目・URL・外部タグ・リンクを移行前と比べた移行レポートをお渡しします。

[画像3: https://prcdn.freetls.fastly.net/release_image/105934/10/105934-10-f151a72f3b7faf044a26139e767cec5f-1600x900.png?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
提供の流れ。URL を送り、診断と見積もり、プレビューの確認を経て、切り替える

ネットショップ、会員登録・ログインのあるサイト、予約システムを組み込んだサイトは対象外です。診断で移行に向かないと分かった場合は、その理由をお伝えし、無理にはお勧めしません。

事例: 株式会社Jidoca Technologies のサイトを移行しました

株式会社Jidoca Technologies のサイト（https://jidoca.tech/）は、表示のたびに WordPress がサーバーでページを組み立てる構成でした。
ホットケルで静的サイトに移し、2026年10月24日に公開を切り替えました。問い合わせフォームは、WordPress のサーバーに内容を送る形から、フウインに置き換えています。

切り替えの前後で、ページを同じ条件のブラウザで撮影して比べました。
見た目の違いは、移行前のフォームにあった reCAPTCHA の画像認証の枠がなくなったことだけでした。フウインでは、迷惑送信の対策を「お客様のサイトからの送信だけを受け付ける」仕組みで行うため、訪問者に画像を選ばせる手間がありません。フォームの入力欄、入力例の文字、必須の注記、送信ボタンは移行前と同じ表示です。

トップページの表示速度も、移行前と移行後で測りました。最初の応答までの時間（TTFB）は、398 ミリ秒から 44 ミリ秒になりました。読み込みの完了までの時間は 1,250 ミリ秒から 767 ミリ秒です。ブラウザが送るリクエストの数は 76 件から 60 件に、転送量は 4.0MB から 3.5MB に減っています[7]。

[画像4: https://prcdn.freetls.fastly.net/release_image/105934/10/105934-10-415edd365402ef77958c50886f297a45-3200x1800.png?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
株式会社Jidoca Technologies のトップページの表示速度（当社計測、2026年10月25日、5 回の中央値

プランと料金

[表1: https://prtimes.jp/data/corp/105934/table/10_1_2f87c6238301fbcc0e72713a1021b92c.jpg?v=202610261145 ]
11 ページ目からは 1 ページ 3,000 円、31 ページ目からは 2,000 円（税込 3,300 円・2,200 円）。
4 つ目以降のフォームは 1 つ 1 万円（税込 1.1 万円）で、101 ページ以上は個別にお見積もりします。
たとえば 30 ページ・フォーム 4 つのサイトの初期費は 22 万円（税込 24.2 万円）です。
URL 診断の時点で見積もりが確定します。制作会社を通したご契約や、制作会社が自社のお客様に提案する形のご相談も受け付けています。

代表取締役 兼城 駿一郎のコメント

10月21日の夜、私の周りでも WordPress を使う会社や制作会社が、夜を徹して対応に追われていました。こうしたことが続くと、せっかく作ったサイトを閉じる判断や、公開しようと思ったページをお蔵入りにする判断に傾いてしまいます。
各企業や団体が自分の言葉で発信を続けることは、事業にとっても地域にとっても大事なことです。それを続けられるように、複雑なプログラムもログイン画面も持たない構成へ移し、更新のたびに身構えなくていい状態をつくりたいと考えました。まずは URL 診断で、いまのサイトを見せてください。

今後について

今後は、制作会社や販売代理店とのパートナーシップを広げ、より多くの企業・団体の Web サイトやランディングページを、更新のたびに身構えなくてよい構成へ置き換えていく取り組みを進めます。制作会社が自社のお客様に提案する形、代理店を通じたご契約の形のいずれも受け付けています。パートナーに関するご相談は、下記の問い合わせ先までご連絡ください。
[画像5: https://prcdn.freetls.fastly.net/release_image/105934/10/105934-10-30d38f15b398d9317422a035f11b542c-3200x2000.png?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
サービスサイト https://hottokel.com/

株式会社みらいスタジオについて

ソフトウェア開発と、スタートアップスタジオ（共同創業・カーブアウト・EXIT までの伴走）を本業とする会社です。全国の高専 OB・OG を中心とする技術者コミュニティを母体に、案件ごとに開発チームを編成しています。ホットケルは、その開発と運用の経験を生かして、会社案内サイトの移行を引き受けるサービスです。
[表2: https://prtimes.jp/data/corp/105934/table/10_2_93e9005622542c752850e4f554eb4d94.jpg?v=202610261145 ]

本件に関するお問い合わせ

- ホットケルのサービスについて: hottokel@miraistudio.co.jp
- 報道関係者からのお問い合わせ: 株式会社みらいスタジオ 広報担当 contact@miraistudio.co.jp

出典（2026年10月23日時点。[7] は当社計測）
[1] PHP 公式のリリース告知（2026年10月21日、8.5.12／8.4.27／8.3.36／8.2.35）、GitHub Security Advisory GHSA-w8hw-w9fx-j79w・GHSA-6wmf-4rv5-p3rp（CVE-2026-109618、CVE-2026-109619）。https://www.php.net/archive/2026.php
[2] 国内レンタルサーバー各社の告知のまとめ（Web セキュリティ診断センター、2026年10月22日更新）。各社の対応は各社の公式告知をご確認ください。https://websec-center.com/blog/rental-server-php2shell-taiou/
[3] Oracle「Critical Patch Update Advisory - October 2026」（2026年10月20日）、「Security Alert Advisory - CVE-2026-91403」（2026年10月21日）。https://www.oracle.com/security-alerts/cpuoct2026.html 、https://www.oracle.com/security-alerts/alert-cve-2026-91403.html
[4] Node.js「October 2026 Security Releases」（2026年10月21日）。https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
[5] Ruby「Regexp compilation fixes related to GitLab's CVEs」（2026年10月23日）。https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves/
[6] Studio「ノーコードWebサイトプラットフォーム『Studio』への不正アクセスに伴う、情報流出の可能性に関するお詫びとお知らせ」（2026年10月16日）。https://studio.design/ja/whats-new/unauthorized-access-2026-10
[7] 当社計測。2026年10月25日（日本時間）、https://jidoca.tech/ のトップページを、移行前のサーバーと移行後の配信のそれぞれについて同じ環境から読み込んで計測。キャッシュのない新しいブラウザで 5 回ずつ読み込んだ中央値で、画面の大きさは 1280×800。ミリ秒は整数に、転送量は 1MB＝100万バイトとして小数第 1 位に四捨五入。値は計測する端末・回線・時間帯で変わります。
※ 記載の社名・サービス名は各社の商標または登録商標です。

PR TIMESプレスリリース詳細へ