WordPressのサイトを EmDash に移すべきか：違いと、判断の前に確かめること

2026年10月、PHP の重大な脆弱性への対応で、国内でも多くの組織がサービスを止めて対応しました。その経緯は「PHPの重大な脆弱性で何が起きたか」にまとめています。PHP で動く代表的なソフトウェアが WordPress です。加えて、WordPress のプラグインの脆弱性も、たびたび報告されています。

「うちの会社のサイトは WordPress だけれど、このままで大丈夫だろうか」。そう考えたときに、最近よく名前を聞くのが「EmDash」です。インターネットの基盤を提供する Cloudflare が、2026年4月に公開した CMS（ホームページの記事やページを管理する仕組み）で、自ら「WordPress の精神的な後継」と名乗っています。

この記事は、WordPress で会社のサイトを運営している担当者や、サイトの作り直しを考えている事業の責任者に向けて書いています。次のことを順にまとめます。

• EmDash とは何か（公式の発表から）
• WordPress との違い（比較表）
• いちばんの違いである、プラグインの仕組み
• WordPress から移せるもの、移せないもの
• WordPress 側からの見方
• 今すぐ移る・様子を見る・WordPress のまま守る、の判断の目安
• 判断の前に確かめること

事実は、Cloudflare の公式ブログ、EmDash の公式資料と GitHub、WordPress の公式資料などで確かめ、本文にリンクしています。EmDash は更新の速いソフトウェアなので、2026年11月3日時点の内容です。

EmDash とは

Cloudflare は、2026年4月1日の公式ブログ「Introducing EmDash」で EmDash を発表しました。発表によると、EmDash には次の特徴があります。

• すべて TypeScript で書かれている
• ウェブサイトを作る仕組み「Astro」の上に作られている
• サーバーを常に動かしておかない「サーバーレス」の形で動くが、自前のサーバーや好きな環境でも動かせる
• プラグインは、それぞれ隔離された場所（サンドボックス）で動く
• WordPress の機能との互換を目指しているが、WordPress のコードは使っていない
• オープンソースで、MIT ライセンス（商用でも無償で使え、改変もできる）

公開当初は「v0.1.0 のプレビュー版」でした。その後、2026年9月28日の公式ブログ「EmDash 1.0」で、本番のサイトに使える安定版の 1.0 が公開されました。GitHub のリリースを見ると、10月29日には 1.4.0 が出ています。GitHub でスター（関心を示す印）を付けた人は、11月3日時点で約14,000人です。

GitHub の説明によると、EmDash は Cloudflare の上でも、Node.js が動く一般的なサーバーと SQLite（データベース）の組み合わせでも動きます。Cloudflare は2026年8月12日に、自社の公式ブログを EmDash に移しました（「The Cloudflare Blog – Brought to you by EmDash」）。

なぜ注目されているのか

注目の背景には、WordPress のプラグインの脆弱性があります。

WordPress は、とても広く使われています。調査会社 W3Techs の2026年11月3日の集計では、使っている CMS が分かるサイトのうち 58.2%、すべてのサイトの 39.5% が WordPress です。広く使われているぶん、狙われやすくもあります。

WordPress のセキュリティを調べている Patchstack の報告書によると、2023年に新しく見つかった WordPress 関連の脆弱性のうち、96.77% がプラグインのものでした。WordPress 本体よりも、追加で入れたプラグインに穴が見つかることが圧倒的に多い、ということです。

Cloudflare は発表の中で、この問題を「WordPress のプラグインの仕組みそのものの問題」と位置づけ、EmDash でそれを解決すると打ち出しました。PHP の脆弱性の騒ぎもあって、日本でも「WordPress の代わりになるのか」という形で名前を聞くようになりました。

WordPress と EmDash の違い

公式の資料をもとに、主な違いを表にまとめます。

表の中で、いちばん大きな違いはプラグインの権限です。次で詳しく見ます。

いちばんの違い：プラグインの仕組み

Cloudflare の発表では、WordPress のプラグインを次のように説明しています。WordPress のプラグインは、WordPress に直接組み込まれる PHP のプログラムで、隔離されていない。そのため、サイトのデータベースやファイルに直接触れられる。プラグインを入れるということは、ほぼすべてを任せることになる、と。

EmDash では、プラグインがあらかじめ「何をするか」を申告します。たとえば「記事を読む」と「メールを送る」だけを申告したプラグインは、それ以外のことができません。外のサイトと通信するにも、通信先を申告する必要があります。入れる前に、そのプラグインに何を許すのかが分かる、という考え方です。

ただし、この守りが効くには条件があります。EmDash の資料「Configure the plugin sandbox」には、次のように書かれています。

• サンドボックスで動かすには、動かす環境ごとの仕組み（ランナー）を設定する必要がある
• Cloudflare で動かす場合は、プラグインごとに「Dynamic Worker」という隔離された場所で動く。これには Cloudflare Workers の有料プランが必要
• Node.js のサーバーで動かす場合は、Cloudflare がオープンソースで公開している実行環境「workerd」を使って、プラグインを隔離して動かす
• 守られる制限は環境で違う。Cloudflare では CPU 時間・外部への通信の回数・処理時間に制限がかかり、Node.js では処理時間だけ
• サンドボックスを使わずにサーバーの中で直接動かすプラグイン（ネイティブのプラグイン）は、隔離されない

つまり、「EmDash にすればプラグインが安全になる」のではなく、「サンドボックスで動かす設定にしたプラグインは、申告した範囲でしか動けない」というのが正確なところです。Cloudflare の上で使うなら、有料プランの費用も見込んでおく必要があります。

WordPress から移せるもの、移せないもの

Cloudflare の発表によると、WordPress の記事やページは、WordPress の管理画面から書き出したファイル（WXR 形式）を読み込むか、専用のプラグイン「EmDash Exporter」を WordPress に入れることで移せます。Cloudflare は、記事の移行は数分で済み、記事に付いている画像も EmDash に取り込まれる、としています。

一方で、見た目とプラグインは、そのまま移りません。EmDash の資料「EmDash for WordPress Developers」では、WordPress の PHP のテンプレートが、Astro のページや部品に置き換わることを対応表で説明しています。WordPress のプラグインも、EmDash のプラグインとして作り直す必要があります。

まとめると、次のようになります。

会社のサイトでは、問い合わせフォーム、会員向けのページ、予約、ネットショップ、多言語の切り替えなどを、プラグインで実現していることがよくあります。これらは、EmDash に同じ働きのプラグインがあるか、なければ作るか、別の仕組みに置き換えるかを、一つずつ決める必要があります。「記事は数分で移るが、サイトは作り直しになる」と考えておくのが現実的です。

WordPress 側からの見方

EmDash の発表の翌日、2026年4月2日に、WordPress の共同創設者である Matt Mullenweg 氏が、自身のブログに「EmDash Feedback」を書いています。主な点は次のとおりです。

• WordPress は、安いレンタルサーバーでも大きなクラウドでも、同じコードがどこでも動くことを大切にしてきた。EmDash はその精神を受け継いでいない
• EmDash は Cloudflare のサービスを売るために作られたと思う（ただし、オープンソースであることは何より大事で、歓迎している）
• プラグインがサイトのあらゆる部分を変えられるのは、WordPress の欠点ではなく長所である
• プラグインの守りは Cloudflare の上でしか効かない
• 一方で、製品はしっかりしていて、移行の道具もあり、速い。AI に使い方を教える仕組み（Agent Skills）はすばらしい

このうち「Cloudflare の上でしか効かない」という点は、4月時点の意見です。11月3日時点の EmDash の資料では、前の節のとおり Node.js のサーバーでもプラグインを隔離して動かせると書かれています。ただし、かかる制限は Cloudflare より少なくなっています。

どちらの見方にも、うなずける点があります。WordPress は、どこでも動き、プラグインやテーマが豊富で、情報も多い。EmDash は、プラグインの守りの考え方が新しく、Cloudflare の上でいちばん力を発揮する。自社のサイトがどちらに向いているかで、判断が変わります。

判断の目安：今すぐ移る・様子を見る・WordPress のまま守る

ここまでの内容をもとに、3つの選び方の目安をまとめます。

今すぐ移るのを検討してよい会社

• サイトの作り直しを、もともと計画している
• 使っているプラグインが少なく、記事とページが中心のサイトである
• 社内か、頼んでいる開発会社に、Astro や TypeScript を扱える人がいる
• Cloudflare を使うことに抵抗がない（有料プランの費用も含めて）

この場合、EmDash は有力な選択肢です。作り直しの費用がかかるのは、どの仕組みに移っても同じだからです。

様子を見たほうがよい会社

• 問い合わせフォーム、会員、予約、ネットショップなどを、特定のプラグインに頼っている
• 記事を書く担当者が、WordPress の管理画面に慣れている
• ページを画面上で組み立てる仕組み（ページビルダー）で、多くのページを作っている

EmDash は 1.0 になったばかりで、9月の 1.0 から10月末の 1.4 まで、短い間隔で版が上がっています。プラグインやテーマもこれから増えていく段階です。必要な機能がそろい、使う会社の例が増えてから判断しても、遅くはありません。

WordPress のまま、守りを固める会社

• サイトはいまのままで足りていて、作り直す予定がない
• 作り直しの費用や期間を、いまはかけられない

この場合は、移ることよりも、いまの WordPress を正しく保つことが先です。WordPress の公式資料「Hardening WordPress」でも、次のことを勧めています。

• WordPress 本体を、常に最新の版にする（古い版には、セキュリティの修正が出ない）
• プラグインやテーマは、公式のディレクトリや信頼できる会社のものだけを使う
• 定期的にバックアップを取り、元に戻す手順を決めておく

これに加えて、使っていないプラグインを消すこと、WordPress を動かしている PHP の版を確かめることも大切です。PHP の版を上げる費用の考え方は、SucSak の「PHP のバージョンアップの費用」にまとめられています。

判断の前に確かめること

どれを選ぶにしても、まず、いまのサイトの状態を確かめることから始めます。次の項目を書き出してみてください。

いまのサイト

• 入っているプラグインの一覧と、それぞれが何のために入っているか
• 最後に WordPress 本体とプラグインを更新した日
• WordPress を動かしている PHP の版
• テーマを独自に作り込んでいるか、配布されているテーマか

使い方

• 記事やページを更新している人と、その頻度
• 問い合わせフォーム、会員、予約、ネットショップなど、プラグインに頼っている機能
• サイトのアドレス（URL）の数と、検索から多く読まれているページ

体制と時期

• 更新や保守を、誰が担っているか（社内か、開発会社か）
• 作り直すなら、いつまでに、どのくらいの予算でできるか

古いシステムを直すか作り直すかの判断の考え方は、「古いシステムは直すか、作り直すか」にもまとめています。会社のサイトも、同じ考え方で整理できます。開発会社にセキュリティの点で確かめておくことは、「開発会社に確認したいセキュリティの項目」を参考にしてください。

移ると決めたときの進め方

EmDash に移ると決めた場合も、いきなり本番のサイトを切り替えるのではなく、段階を踏むのが安全です。次の順番で進めます。

1. 試す：Cloudflare は、EmDash の管理画面を試せる「EmDash Playground」を用意しています。記事を書く担当者に、実際に触ってもらいます。WordPress の画面との違いに戸惑わないかを、最初に確かめます。
2. 記事を写して確かめる：いまのサイトの記事を書き出し、試しの環境に読み込みます。記事の本文、画像、カテゴリやタグが、思ったとおりに移るかを確かめます。独自の入力項目や特殊なブロックを使っている記事は、特に念入りに見ます。
3. 見た目と機能を作る：テーマを Astro で作り直し、プラグインで実現していた機能を一つずつ置き換えます。問い合わせフォームのように、止まると困る機能から先に確かめます。
4. アドレスの転送を用意する：旧サイトのアドレス（URL）と新しいサイトのアドレスが変わる場合は、対応表を作り、旧アドレスに来た人を新しいページへ転送します。検索から読まれているページの転送が漏れると、そのページへの流入が途切れてしまいます。
5. 切り替えて、しばらく見守る：切り替えた後は、転送が効いているか、問い合わせが届いているかを、しばらく確かめ続けます。

この中で見落としやすいのは、4番のアドレスの転送です。記事を移すことに気を取られ、転送の対応表が後回しになりがちです。いまのサイトにどんなアドレスがいくつあるかは、「判断の前に確かめること」で書き出した一覧が、そのまま使えます。

クリーヴァの会社サイトの場合

クリーヴァの会社サイト（このサイト）も、以前は WordPress で作っていました。2026年に Astro で作り直し、いまは Cloudflare から配信しています。EmDash は使っていませんが、EmDash と同じ Astro と Cloudflare の組み合わせです。

作り直しにあたっては、記事やお知らせを CMS で管理するのをやめ、文章のファイル（Markdown）として、プログラムと一緒に管理する形にしました。また、旧サイトのページの題名と新しいページの題名を突き合わせて対応表を作り、旧サイトのアドレスに来た人を、新しいページへ転送しています。

この経験も踏まえて言えるのは、WordPress から移るときの選択肢は、EmDash だけではないということです。記事を書く人が開発の担当者と近く、更新の頻度もそれほど高くないなら、CMS を使わない形もあります。逆に、記事を書く人が多く、画面から更新したいなら、EmDash のような管理画面のある CMS が向いています。誰が、どのくらいの頻度で、何を更新するのか。そこから仕組みを選ぶのが、遠回りに見えて確実です。

おわりに

EmDash は、WordPress のプラグインの守りという長年の課題に、新しい形で答えようとしている CMS です。1.0 になり、本番のサイトで使える段階に入りました。一方で、テーマやプラグインは作り直しになり、守りの効き方は動かす環境と設定で変わります。

脆弱性の知らせに背中を押されて、あわてて乗り換える必要はありません。まずは、いまのサイトのプラグインと更新の状態を確かめること。そのうえで、作り直しの予定があるなら EmDash も候補に入れ、予定がないなら WordPress の守りを固める。この順番で考えると、判断を誤りにくくなります。

「いまの WordPress のサイトの状態が分からない」「更新が止まったままになっている」という段階でも、状態を確かめるところからお手伝いできます。