opus、記事と会員コミュニティを1つにしたCMS「waltz」を無償公開　PHP非使用で脆弱性問題にも対応

オウンドメディアを読んだ人が、同じサイトの中で質問し、つながり、イベントに参加できる。MITライセンスのオープンソースとして、企業・個人を問わず、商用利用を含めて誰でも無料で使えます。

opus合同会社

2026年10月26日 08時40分

opus合同会社（本社：東京都渋谷区、代表社員：新居祐介）は、オウンドメディアの記事と会員コミュニティを1つのアプリケーションで運用できるオープンソースのCMS「waltz（ワルツ）」を、2026年10月26日に公開しました。MITライセンスのオープンソースソフトウェアとして公開しており、企業・個人を問わず、商用利用を含めて誰でも無料で使えます。プログラミング言語にPHPを使わず、Node.js（Next.js）とSQLiteで構成しています。waltz は、opusがオウンドマーケティング向けに提供する製品群「sonata Family」のひとつです。

公式サイト：https://waltz.sonata-ai.app
デモサイト：https://waltz.sonata-ai.app/demo
ソースコード：https://github.com/opus-llc/waltz

背景：記事が「読まれて終わる」問題

企業のオウンドメディアでは、記事を公開しても、読者がその後どう動いたかが見えにくいという課題があります。記事はCMSで、会員の交流は別のコミュニティサービスで、イベントの申し込みはさらに別のツールで、と仕組みが分かれていると、読者が「読む人」から「参加する人」へ移る道筋が途切れてしまいます。

waltz は、記事、コミュニティ、イベントを1つのサイトの中でつなぐことで、この道筋を短くすることを目指しています。

また、2026年10月21日には、PHP本体に認証なしで遠隔からコードを実行されるおそれのある脆弱性2件（CVE-2026-109618、CVE-2026-109619）が公表され、IPA（情報処理推進機構）とJPCERT/CCが注意喚起を行いました。これはPHP本体の問題で、WordPress本体の脆弱性ではありません。WordPress.orgも「WordPressの更新は不要」と案内しています。一方で、PHPで動くサイトを運用する多くの企業が、サーバーの更新や一時停止の判断を迫られました。サイトの実行環境をどう選び、どう更新し続けるかを見直すきっかけになっています。

waltz は、こうした選択肢のひとつとして、PHPに依存しない構成で公開します。

誰でも無料で使えます

waltz は、MITライセンスのオープンソースソフトウェアです。

ライセンス料・利用料はかかりません。
利用登録も不要です企業のオウンドメディアでの商用利用も、自由に行えます
ソースコードはすべてGitHubで公開しており、自社の用途に合わせて改造できます

サーバーの費用は、設置する方のご負担です。お持ちのクラウドやサーバーに設置すれば、ソフトウェアの費用をかけずに運用を始められます。

waltz の主な機能

読む：

簡易CMS 記事をMarkdownで書き、プレビューして公開できます。カテゴリ、タグ、予約公開、画像のアップロード、Markdownファイルの取り込みに対応しています。サイトマップ、RSS、生成AI向けの案内ファイル（llms.txt）、検索エンジン向けの構造化データを自動で出力します。

話す：

会員コミュニティ記事ページの下に「この記事について話す」欄があり、読者は感想をそのままコミュニティに共有できます。肩書き付きのタイムライン、テーマ別のコミュニティ、いいね、コメント、フォロー、通知を標準で備えています。

集まる：

イベントコミュニティごとにイベントを告知できます。近日のイベントは、記事やタイムラインの横に表示されます。

管理画面では、記事の編集、コミュニティの作成、メンバーの権限管理、投稿の非表示（モデレーション）、サイト設定を行えます。

WordPressとの使い分け

WordPressは、豊富なテーマとプラグインで多くの機能を実現できるCMSです。waltz はWordPressの代わりを目指すものではなく、記事とコミュニティに必要な機能を最初から持ち、プラグインを足さずに使う、軽い選択肢として開発しました。

PHPを使わないことは、安全であることを意味しません。waltz が採用しているNext.jsでも、2026年10月14日を含め、重大な脆弱性の修正版が定期的に公開されています。waltz は公開時点で、これらの修正を含む版を使用しています。

waltz では、次の方針で攻撃の入口を少なくし、更新を続けられる仕組みを用意しています。

管理画面から任意のHTMLやスクリプトを貼り込む機能を持たない（計測タグは測定IDとURLの登録のみ）権限の確認を、画面ではなくサーバー側の各処理で行うパスワードをハッシュ化して保存し、ログインと新規登録に試行回数の上限を設けるプラグインの仕組みを持たず、使わない部品を増やさない依存パッケージの更新を自動で検知し（Dependabot）、脆弱性の報告をGitHubの非公開窓口で受け付ける公開前にセキュリティレビューを行い、見つかった4件の欠陥を修正してから公開利用方法

Node.js 22以上が動く環境で、3つのコマンドを実行するとサンプルデータ入りのサイトが起動します。データベースはファイル1つで、外部サービスの契約は不要です。本番環境ではDockerイメージで動かせます。

デモサイトでは、架空のバックオフィス向けメディア「バックオフィス・ラボ」を題材に、記事、コミュニティ、管理画面を実際に操作できます。

設置・移行のご相談

自社で設置する時間がない、WordPressからデザインも含めて移したい、公開後の運用まで任せたい、といったご要望には、opusがお応えします。設置の代行、デザインを含めたWordPressからの移行、サーバーの運用とセキュリティ更新まで、内容に合わせてご提案しますので、お問い合わせください。料金の目安は公式サイト（https://waltz.sonata-ai.app）に掲載しています。

このほかオウンドマーケティングツール「sonata」製品群として、サイトが検索と生成AIからどう見えているかを無料で診断する「analyse」、取材の音声から記事の初稿をつくる「composer」、公開した記事の読まれ方を毎日測って改善案を届ける「concerto」、イベントの申込から参加・アンケート・資料配布までを受け付ける「gala」を提供しています。waltz と組み合わせて使うこともできます。

今後の予定

ダイレクトメッセージ、通報機能、画像付き投稿、非公開コミュニティ、WordPress等の外部ツールからの記事取り込みAPI、CRM・MAツールとの連携（Webhook）を順次追加する予定です。

代表コメント

「生成AIを悪用したサイバー攻撃への懸念が世界的に高まる中、10月に公表されたPHPの脆弱性では、多くの企業がサーバーの更新や確認に追われました。WordPressをはじめ、PHPで動くサイトを運営している方の中には、運用環境そのものを見直したいと考えた方も少なくないと思います。そこで私たちは、記事と会員コミュニティを1つにしたCMS『waltz』の開発を急ぎ、このタイミングで公開することにしました。仕組みをできるだけ小さく保ち、攻撃の入口を減らし、更新を続けやすいことを最優先に設計しています。記事を読んだ人がそのまま語り合えるコミュニティ機能も最初から備えており、オウンドマーケティングに取り組む企業にとって、使いやすい選択肢のひとつになればと考えています。」

opus合同会社代表社員　新居祐介

opus合同会社では、今後も、オウンドメディアやコミュニティサイトを通したマーケティング活動を実践するマーケティング担当者の皆さまをご支援するサービスを展開してまいります。