「WordPress、24年も脆弱なままのワケ」 後継を目指すサーバレスCMS「EmDash」OSSで公開：TypeScript・Astro製

CloudflareはサーバレスのオープンソースCMS「EmDash」を公開した。時代はVPSによるホスティングから、JavaScriptバンドルをグローバル分散ネットワークに低コストで配信できる時代に大きく変化した。EmDashはこの変化に対応すべく設計されたという。

[＠IT]

　Cloudflareは2026年4月1日（米国時間）、オープンソースCMS（コンテンツマネジメントシステム）「WordPress」の後継を目指すサーバレスCMS「EmDash」をオープンソースソフトウェア（OSS）として公開した。

ホスティングから配信へ

　WordPressはWebサイトの40％以上で使用されているが、プロジェクトの開始から24年が経過し、時代は仮想プライベートサーバ（VPS）によるホスティングから、JavaScriptバンドル（Webアプリをパッケージ化したもの）をグローバル分散ネットワークに低コストで配信できる時代に大きく変化した。EmDashはこの変化に対応すべく設計されたCMSだ。

　EmDashは全てTypeScriptで書かれており、サーバレスで動作し、自前のハードウェアや任意のプラットフォームでも実行できる。Webフレームワーク「Astro」を基盤としており、MITライセンスで公開されている。WordPressのコードは一切使用されていない。

EmDashの特徴

WordPressのプラグインセキュリティを根本解決

　WordPressのセキュリティ問題の96％はプラグインに起因するとされる。さらに2025年には、WordPressエコシステムで発見された高い深刻度の脆弱（ぜいじゃく）性が過去2年分の合計を上回った。なぜ20年以上たってもこの状況は変わらないのか。

　その理由は、WordPressの隔離性が低いアーキテクチャにある。WordPressのプラグインはPHPスクリプトとしてWordPress本体に直接フックし、サイトのデータベースとファイルシステムに対する自由なアクセス権を持つ。プラグインをインストールすることは、サイトのほぼ全てにアクセスできる権限を与えることになり、そのプラグインが悪意ある入力や予期しない状況にも問題なく対応することを信頼するしかない。

　EmDashではプラグインがそれぞれ独立したサンドボックスで実行される。Cloudflareのサンドボックス環境「Dynamic Workers」を利用し、プラグインはマニフェストで明示的に宣言した機能のみが付与される。外部ネットワークアクセスはデフォルト（規定）で禁止されており、必要な場合は通信先のホスト名を明示的に指定する必要がある。

プラグインごとに分離されたサンドボックス実行モデルの概念図（提供：Cloudflare）

　この仕組みにより、インストール前にプラグインが要求する権限を正確に把握でき、管理者はプラグインが要求するパーミッションに基づいてインストールポリシーを設定できる。

マーケットプレースのロックイン解消

　WordPressのプラグインセキュリティリスクの深刻さから、WordPress.orgはプラグインを手動でレビューしており、レビュー待ちは800件以上、通過に2週間以上かかる。セキュリティリスクの広さから、利用者はマーケットプレースの評判に依存せざるを得ない。

　EmDashのプラグインは2つの特性でこのロックインを解消するとしている。

• プラグインのライセンスは作者が自由に選択できる
  EmDash本体とコードを共有しないため、GPL制約を受けない
• プラグインコードはセキュアなサンドボックスで独立して実行される
  サイト側がコードを詳細に確認しなくても信頼できる

x402によるコンテンツ課金の組み込み

　AIエージェントが人間の代わりにWebにアクセスする時代を迎え、広告を見る人間がいないWebサイトでは従来の広告ベースの収益モデルが機能しなくなる。EmDashはこの課題に対し、インターネットネイティブ決済の標準「x402」のサポートを標準搭載している。サブスクリプション不要で、コンテンツごとの従量課金が可能だ。

　エージェントを含むクライアントがHTTPリクエストを送り、HTTP 402ステータスコード（支払いが必要であることの通知を受け取ると、オンデマンドで支払う仕組みになっている。設定に必要なのは、課金対象コンテンツの指定、金額の設定、ウォレットアドレスの提供のみで、エンジニアリング作業は不要だという。

オンデマンドでスケール可能

　WordPressはサーバレスではないため、サーバのプロビジョニングとスケーリングが必要だ。EmDashは「Cloudflare Workers」ランタイム上で動作し、リクエストに応じて実行環境を即座に起動し、リクエストがなければゼロにスケールダウンする。CPU時間のみが課金対象となる。

AI対応CMS

　EmDashはAIエージェントによるプログラム的な管理を前提に設計されている。「Agent Skills」でプラグインの作成方法やWordPressテーマの移行手順をエージェントに提供し、CLI（コマンドラインインタフェース）やMCP（Model Context Protocol）サーバでローカルまたはリモートのインスタンスをプログラム的に操作できる。

　認証はパスキーベースがデフォルトで、ロールベースのアクセス制御を備え、SSO（シングルサインオン）プロバイダーとの連携も可能だ。既存のWordPressサイトからのインポート機能も提供されている。

WordPressサイトからの移行

　WXR（WordPress標準エクスポート形式）ファイルのエクスポートか、公式の「EmDash Exporterプラグイン」を使用することで、既存のWordPressサイトからコンテンツを数分でインポートできる。カスタム投稿タイプについては、EmDashの管理画面でスキーマを直接定義し、独立したコレクションとして取り込める。