WixはPHPを使っている？PHPの脆弱性「php2shell」とWixがほぼ無関係だった理由を仕組みから解説

2026年10月、PHPの脆弱性「php2shell」で多くのWebサービスが緊急メンテナンスに入る中、
Wixで作ったサイトは通常どおり動き続けていました。

「WixはPHPを使っていないの？」「PHPのバージョンは気にしなくていいの？」と疑問に思った方もいるのではないでしょうか？

この記事では、Wixが今回の脆弱性とほぼ無関係だった理由を、
Wixの公開情報とWix社エンジニアの発信をもとに、仕組みから解説します。

「ほぼ」と書いた理由と、Wixを使う側が気をつけたい点もあわせてまとめました。

※2026年10月22日時点の情報です。

結論：WixのサイトはPHPを使っていない

Wixで作ったサイトでは、PHPは使われていません。

Wixのヘルプセンターには、
サイトにPHPコードを追加することはできないと明記されています（Wixヘルプセンター）。

PHPを使いたいという要望は、今も「機能リクエスト」として受け付けられている段階です。

そのため、Wixの利用者が「PHPのバージョンを確認する」「PHPを更新する」という作業はそもそも存在しません。

Wix社のエンジニアリング責任者も「影響なし」と発信

今回の件では、Wix社の内部からも発信がありました。

WixのVP Engineering（エンジニアリング担当副社長）であるAviran Mordo氏は、
10月21日、PHP Foundationの告知を引用し、
「Wixで動いているサイトは安全で、今回の脆弱性の影響を受けない」という趣旨をXに投稿しています（Aviran Mordo氏のXポスト）。

翌22日には、Node.jsについて尋ねた利用者に対し、
影響を受けるのはWordPressやJoomlaなどのPHPのサイトだと返信しています（返信のポスト）。

Wix本体の公式アカウントも、
「Wixのサイトなら、重大なPHPの欠陥のニュースを読んでも肩をすくめるだけ」というユーモアのある画像を投稿しました（@Wixのポスト）。

さらにWix Engineeringの公式アカウントは、
24時間体制の脅威監視、自動パッチ、
DDoS対策をプラットフォームに組み込んでいると発信しています（@WixEngのポスト）。

なぜ無関係でいられたのか　3つの仕組み

Wixが今回の脆弱性と無関係でいられたのは、偶然ではなく、仕組みの違いによるものです。

仕組み1｜サイトは「借りたサーバー」ではなく、Wixのプラットフォームの一部

WordPressのサイトは、レンタルサーバーなどに1つずつ設置され、
サーバーごとにPHPが動いています。

Wixのサイトは、利用者ごとのサーバーではなく、
Wixのプラットフォーム全体の一部として動いています。

仕組み2｜サーバーの保守はWixが担う

WixのTrust Centerには、
Wixユーザーに必要なサーバー保守はゼロだと書かれています（Wix Trust Center FAQ）。

セキュリティの専任チームによる24時間365日の監視や、侵入テスト、
外部の専門家と連携した脆弱性の発見の仕組みも、Wix側が持っています（Wix セキュリティ対策の概要）。

仕組み3｜独自のコードはJavaScript（Velo）で、Wixが管理する環境で動く

Wixで独自の機能を作るときは、VeloというJavaScriptの開発環境を使います。

コードはNode.jsをもとにした、
Wixが管理するサーバーレスの環境で実行されます（Wix Developers）。

利用者が.phpファイルを置いて動かす仕組みがないため、
PHPの欠陥を突かれる入口がありません。

「ほぼ無関係」と書く理由　影響しうる例外

Wixで作り、Wixで公開しているサイトは影響を受けません。

ただし、次のような構成では、Wixの外側にある部分の確認が必要です。

1. ドメインだけWixで管理し、サイト本体は別のサーバーで動かしている
2. Wix Headlessを使い、表示部分を自分で用意したサーバーで動かしている
3. コーポレートサイトはWixでも、採用サイトやLPだけ別の仕組みで作っている

1つ目と3つ目は、外側のサーバーがPHPで動いていれば影響を受けます。

2つ目については、Wixの開発者向けドキュメントでも、
自分で管理するHeadless構成ではホスティングや認証を利用者が担うと説明されています（Wix Developers）。

なお、同じ10月21日にはNode.jsでも別件の修正版が公開されています。

VeloのNode.js環境はWixが管理しているため、利用者が更新する作業はありませんが、
この件についてのWixの個別の声明は、10月22日時点では確認できていません。

Wixを使う側が守るべき3つのこと

土台の安全はWixが担っていても、アカウントやデータの扱いは利用者側の管理です。

自社のパスワード管理や権限の管理が甘ければ、
Wixでも被害に遭う可能性はゼロではありません。

1. 管理者アカウントに2段階認証を設定する　パスワードはほかのサービスと使い回さない（Wixヘルプセンター）
2. 共同管理者を棚卸しする　退職した担当者や、制作を終えた外注先のアクセス権を残さない（Wixヘルプセンター）
3. フォームやCMSに集めた情報の閲覧権限を確認する　個人情報を含むデータは、見られる人を必要な役割だけに絞る（Wixヘルプセンター）

騒動に便乗して、ログイン情報を入力させようとする偽メールにも注意しましょう。

Wixでの制作を相談するなら　依頼先の選び方

Wixは自分でも作れるサービスですが、構成やデザイン、
公開後の運用まで含めて任せたい場合は、Wixに詳しい制作会社に相談するのが近道です。

選ぶときは、Wixのパートナープログラムでのレベルと、実際の制作実績を確認すると安心です。

おすすめを1社挙げるなら、
Wixレジェンドレベルパートナーの株式会社ラジャです（筆者が代表を務める会社です）。

Wixでのホームページ制作代行の費用相場や会社の選び方は、
Wixホームページ制作代行おすすめ10選で詳しく解説されています。

まとめ

WixがPHPの脆弱性「php2shell」とほぼ無関係だったのは、
WixのサイトがPHPを使わず、サーバーの保守をWixが担い、
独自のコードもJavaScriptで動く仕組みだからです。

一方で、Wixの外側にあるサーバーや、アカウントの管理は利用者側の責任として残ります。

仕組みの強みを生かしつつ、運用の守りも固めておくことが、
Wixを安心して使い続けるいちばんの近道です。