安全と会社での利用EmDash
- Cloudflareが2026年4月に出した、Astro製のCMSです。
- 1.0が出ましたが、安全性の独立した検証はまだです。
- 試すのは開発者がいるサイト、WordPressは更新を続けます。
- 公開
- 読む時間
- 9分
- 著者
- BlueAI編集部
EmDashは、Cloudflareが2026年4月1日に公開した、オープンソース（MITライセンス）のCMSです。 Astroの上に作られ、TypeScriptで書かれています。Cloudflare自身は、これを「WordPressの精神的な後継（spiritual successor）」と呼んでいます。ただし、これはCloudflareの自己紹介です。WordPressの後継になったかどうかは、まだ誰にも決められません。この記事も、そうは書きません。
売りは、サンドボックス型のプラグインを、1つずつ隔離した場所で動かし、宣言した権限だけを持たせる仕組みです。ただし、隔離しない形のプラグイン（ネイティブ）も選べます。WordPressのプラグインの弱点を狙っています。一方で、その安全性は、Cloudflareの説明が中心で、独立した監査の結果は、2026年10月23日の時点で見つけられませんでした。この記事では、何が公式の説明で、何が確かめられたことか、誰がいま試すのがよく、誰が待つのがよいか、WordPressを更新し続ける道と比べてどうかを、整理します。
内容は、2026年10月23日に、Node.jsの2026年10月のセキュリティリリース、WordPress.orgのPHPのセキュリティリリースの告知、EmDashのGitHubのセキュリティ情報の一覧（公開された情報の件数は、GitHubのAPIで確かめました）、CloudflareのEmDash発表のブログ（2026年4月1日公開）、EmDashのGitHubのリポジトリ（READMEとリリースの記録、SECURITY.md）、EmDashの公式ドキュメントのプラグインのサンドボックス、WordPressからの移行、WordPress開発者向けの案内と照らし合わせました。
EmDashとは
Cloudflareの発表とREADMEから、次の点が分かります。
| 項目 | 内容 |
|---|---|
| 項目作った会社 | 内容Cloudflare |
| 項目作り | 内容Astroの |
| 項目ライセンス | 内容MIT |
| 項目動く場所 | 内容Cloudflare |
| 項目始め方 | 内容npm create emdash@latest、 |
| 項目管理画面 | 内容WordPressの |
| 項目隔離された | 内容宣言した |
2026年4月と、
発表のブログの時点では、EmDashはバージョン0.1.0の、開発者向けのプレビュー（early developer beta）でした。いまは違います。GitHubのリリースの記録では、2026年9月28日に、EmDash 1.0（emdash@1.0.1）が出ています。2026年10月23日に確かめた時点の最新は、2026年10月18日の1.3.1です。
READMEは、EmDashは「stable（安定している）」で、本番に使える、としています。中心のパッケージは、セマンティックバージョニングに従い、互換性を壊す変更は、メジャーバージョンでだけ出す、とされています。ただし、公式のプラグインとプラグインの道具は、まだ0.xで、マイナーバージョンの間でも変わりうる、と、同じREADMEに書かれています。
「stable」は、作った側の言葉です。独立した評価ではありません。1.0への更新では、0.xの時代の古いAPIが消える、互換性を壊す変更が入ったと、リリースの記録に書かれています。
公式の
| 点 | 誰が | 確かめられたか |
|---|---|---|
| 点プラグインは、 | 誰が言っているかCloudflare、 | 確かめられたか設計の |
| 点WordPressの | 誰が言っているかCloudflareの | 確かめられたか当サイトでは、 |
| 点WordPress | 誰が言っているかCloudflare | 確かめられたか数分という |
| 点本番に | 誰が言っているかREADMEの記述 | 確かめられたか作った |
| 点公開された | 誰が言っているかGitHubの | 確かめられたか2026年 |
GitHubのスターは約1万3900でした（2026年10月23日）。注目されていることの目安であって、安全や品質の評価ではありません。
- WordPressの問題のうち、プラグインから来る割合
- 96%
- EmDashの公開された脆弱性の情報
- 0件
- EmDashのGitHubのスター
- 約13,900
数値を表で見る
| 数字 | 値 | どこで |
|---|---|---|
| WordPressのセキュリティの問題のうちプラグインから来る割合 | 96% | Cloudflareの発表 |
| EmDashの公開された脆弱性の情報 | 0件 | GitHubのセキュリティ情報 |
| EmDashのGitHubのスター | 約13,900 | GitHubのリポジトリ |
プラグインの
ここが、EmDashの最大の売りです。公式ドキュメントのプラグインのサンドボックスから、次のことが読み取れます。
- Cloudflareで動かす場合 プラグインは、Dynamic Workerという隔離された環境で動きます。ドキュメントは、Dynamic Workersは、Workers Paidプランで使えるとしています。テンプレートでは、この設定がコメントアウトされていて、新しいプロジェクトは、無料プランのまま公開できます
- Node.jsで動かす場合 workerdという、Cloudflareのオープンソースの実行環境を、子プロセスとして動かし、その中でプラグインを動かします。この場合、使えるCPU時間とサブリクエストの上限は、強制されない、と書かれています。時間（30秒）の上限だけです
- メモリ どちらの場合も、プラグインごとのメモリの上限（128MB）は、強制されません
- ネイティブのプラグイン
plugins: []に入れたプラグインは、EmDashのサーバーのプロセスの中で動き、隔離されません - デバッグ用の設定 Node.jsで
sandbox: falseにすると、サンドボックス型のプラグインが、サーバーの中で動き、サーバーと同じ権限を持ちます。ドキュメントは、本番では使わないよう、警告しています
つまり、隔離は、設定と、どう入れたかによります。隔離を使うには、設定が必要で、隔離されないプラグインの入れ方も、用意されています。
「プラグインは、宣言した権限だけを持つ」という設計は、WordPressのように、プラグインがデータベースやファイルへ自由に触れる作りより、安全に近づく考え方です（当サイトの見方です）。ただし、その仕組みが実際に守られるかは、独立した検証が必要です。
WordPress
公式ドキュメントのWordPressからの移行には、次のことが書かれています。
| 項目 | 移行の扱い |
|---|---|
| 項目投稿、 | 移行の扱い移る |
| 項目メディア | 移行の扱いファイルの |
| 項目公開の状態 | 移行の扱い公開は |
| 項目メニュー、 | 移行の扱いExporter 1.2.0 |
| 項目テーマ | 移行の扱い移らない。 |
| 項目プラグイン | 移行の扱いそのままは |
| 項目サーバー側で | 移行の扱いHTMLと |
また、ドキュメントは、取り込みを途中で止めた場合に、WordPressの元のサイトを消したり、転送したりしないこと、すべての確認が終わるまで、WordPressを動かしておくことを求めています。
いま試すのが
次は、当サイトの見方です。公式の資料が決めた基準ではありません。
| 状況 | 目安 | 理由 |
|---|---|---|
| 状況開発者が | 目安試してよい | 理由本番に |
| 状況WordPressの | 目安試験的に | 理由移行の |
| 状況会社の | 目安待つ | 理由プラグインは |
| 状況WordPressの | 目安待つ | 理由管理画面は |
| 状況隔離された | 目安待つ | 理由独立した |
WordPressを
EmDashは、「WordPressをやめる」という選択肢です。WordPressを更新して使い続ける選択肢と、次の点が違います。この表は、公式の資料にもとづく当サイトの整理です。EmDashの実績が少ないことは、公式の資料に書かれたことではなく、当サイトの見方です。
| 点 | WordPressを | EmDash |
|---|---|---|
| 点更新の対象 | WordPressを更新し続けるWordPress本体、 | EmDashEmDash、 |
| 点乗っ取りの | WordPressを更新し続ける古い版、 | EmDash公開された |
| 点運用に | WordPressを更新し続ける管理画面で、 | EmDash記事の |
| 点資産 | WordPressを更新し続ける長年の | EmDash少ない。 |
EmDashにしても、更新はなくなりません。サーバーで動くNode.jsのような部品は、更新が必要です。EmDashの公式ドキュメントのチュートリアルが、Node.js 22.23.4以降を求めているのは、2026年10月21日のNode.jsのセキュリティリリースで修正された版です。Node.jsの修正は、次の記事に書いています。
関連記事安全と会社での利用Node.jsの脆弱性（2026年10月21日のセキュリティリリース）｜バージョンの確認と更新2026年10月21日のNode.jsセキュリティリリース（v26.12.1、v24.22.1、v22.23.4）で直った10件の脆弱性、自分のバージョンの確かめ方、入れ方ごとの更新、Claude Codeを使う人への影響を公式の情報で整理します。
WordPressを使い続けるなら、本体、プラグイン、テーマ、PHPの更新を、誰がどう進めるかを決めておきます。次の記事に点検表があります。
関連記事安全と会社での利用WordPressの脆弱性とバージョン確認｜本体を更新してもPHPは直らない理由と点検表WordPress本体を更新してもPHPは新しくなりません。PHPの重大な脆弱性を受けて、本体、プラグイン、テーマ、PHPを誰がどう更新するか、PHPの版の確かめ方、乗っ取りが心配なときの進め方を、WordPress.orgの案内で整理します。
2026年10月のPHPの重大な脆弱性は、WordPressを使っている人にも関係します。次の記事で整理しています。
関連記事安全と会社での利用PHPの脆弱性（CVE-2026-109618・109619）｜自分のPHPのバージョン確認と、いまやること2026年10月21日にPHPの重大な脆弱性2件（CVE-2026-109618、109619）の修正版が公開されました。直った版、8.1以前の扱い、レンタルサーバーとVPSで違う対応、バージョンの調べ方、いまやる順番を公式の情報で整理します。
外から見える範囲でサイトのPHPの版の表示やセキュリティヘッダーを確かめるなら、サイトのPHPとヘッダーを確かめる無料ツールが使えます。EmDashのサイトにも、WordPressのサイトにも使えます。
よく
EmDashとは
Cloudflareが2026年4月1日に公開した、Astroの上に作られたTypeScript製のオープンソースCMS（MITライセンス）です。Cloudflare自身は「WordPressの精神的な後継」と呼んでいますが、これは自己紹介で、後継になったとは言えません。
EmDashは
READMEは、EmDashはstableで本番に使える、としています。ただし、これは作った側の言葉で、独立した監査は見つけられませんでした。公式のプラグインと道具は、まだ0.xで、変わりうるとされています。
EmDashの
宣言した権限だけで動く設計です。ただし、隔離を使うには設定が必要で、Cloudflareで使うにはWorkers Paidプランが要ります。ネイティブのプラグインは隔離されません。独立した検証は、見つけられませんでした。
WordPressの
投稿、固定ページ、メディア、分類などは、WXRファイルかExporterプラグインで移せます。テーマとプラグインは移りません。公式ドキュメントは、確認が終わるまで、WordPressの元のサイトを動かしておくよう求めています。
いまWordPressを
急ぐ必要は、見つけられませんでした。WordPress本体、プラグイン、テーマ、PHPの更新を続ければ、使い続けられます。EmDashは、新しいサイトや、開発者がいる場合に、試してみる選択肢です。
