【2026年版】Webサイト・ホームページのセキュリティ対策ガイド｜WordPress・PHP・サーバーで企業がやるべきこと

2026年は、企業のWebサイトのセキュリティにとって大きな年になりました。7月には WordPress 本体の脆弱性「wp2shell」が見つかり、10月には WordPress を動かしている PHP そのものの脆弱性「php2shell」が公表されて、国内でも多くの組織がサイトを止めました。JPCERT/CC が7〜9月に扱った Web サイトの改ざんは603件と、その前の3か月の3倍を超えています。

この記事は、自社のホームページやコーポレートサイトを持つ企業の担当者・経営者の方に向けて、Webサイトのセキュリティ対策として何を、どの順に、誰が行えばよいかをまとめたガイドです。IPA（情報処理推進機構）の手引きを土台に、2026年の事件で分かったことを加え、エンジニアでなくても進められる順に並べました。

Webサイトのセキュリティ対策の優先順位。今日30分でまず現状を知る：CMSとPHPのバージョン、管理者のアカウントの一覧、バックアップがあるか、site:検索で不審なページ、ドメインとSSLの期限。今月は穴をふさぐ：使わないプラグイン・テーマを消す、二要素認証、WAF、忘れているサイトを閉じる、保守の契約の範囲を確かめる。年内は続く仕組みにする：PHPを8.3以上へ、更新の担当と頻度を決める、ログの保管と改ざん検知、脆弱性の診断

結論：Webサイトは「CMS だけ」でなく、その下の PHP・サーバー・ドメインまで含めた5つの層で守ります。 まず今日、使っている CMS と PHP のバージョン、管理者のアカウント、バックアップの有無を確かめてください。そのうえで、誰がどの層を受け持つのかを、サーバー会社や制作会社との間ではっきりさせることが、いちばん効く対策です。

Webサイトのセキュリティ対策

「うちのサイトは何が足りない？」を、まとめて確かめます

CMS・PHP・サーバーのバージョンと設定の確認、更新と動作の確認、侵害の調査、保守の体制づくりまで、エンハンスドが対応します。制作会社と連絡が取れないサイトや、複数のサイトをまとめて見直したい場合もご相談ください。

セキュリティ対策を相談する

2026年に起きたこと：WordPress本体の次は、その下のPHPが狙われた

2026年に起きたこと。7月17日にWordPress本体の脆弱性wp2shellを修正し、悪用が確認されて強制の自動更新がかかった。7〜9月にJPCERT/CCが扱ったWebサイトの改ざんは603件で前の3か月の3倍を超えた。10月21日にPHPの脆弱性php2shellを修正し、WordPressを更新しても直らない。PHP 8.2のサポートは12月31日に終わる

7月：WordPress本体の脆弱性「wp2shell」

WordPress 本体の2つの脆弱性（CVE-2026-60137・CVE-2026-63030）を組み合わせると、遠隔からサーバー上でコードを実行できるものでした。修正版は 6.8.6・6.9.5・7.0.2 です。IPA は、悪用が確認された脆弱性の一覧（CISA の KEV）に載り、実証コードも公開されているとして、強制の自動更新が失敗していることもあるので、バージョンを確かめ、必要なら手動で更新するよう求めました（IPA）。

10月：PHPの脆弱性「php2shell」

今度は WordPress ではなく、それを動かしている PHP そのものに、ログインなしで遠隔からコードを実行されるおそれのある脆弱性2件（CVE-2026-109618・CVE-2026-109619）が見つかりました。修正版は 8.5.12・8.4.27・8.3.36・8.2.35 で、PHP 8.1 以前には修正が出ません（IPA）。WordPress 本体やプラグインをいくら最新にしても直らないことが、多くの企業を戸惑わせました。詳しくは php2shell の解説と、WordPress のサイトで確かめる7つのことにまとめています。

数字で見る：改ざんは増え、脆弱性は上位の脅威に

JPCERT/CC が2026年7〜9月に扱った Webサイトの改ざんは603件で、4〜6月の181件から3倍を超えました。EC サイトにカード情報を盗むとみられるプログラムが埋め込まれた事例も挙げられています（JPCERT/CC 四半期レポート）
IPA の「情報セキュリティ10大脅威 2026」の組織編では、「システムの脆弱性を悪用した攻撃」が4位、「サプライチェーンや委託先を狙った攻撃」が2位です（IPA）

2つの事件から分かるのは、Webサイトは CMS だけを見ていても守れないということです。

Webサイトのセキュリティは「5つの層」で考える

Webサイトは5つの層で守る。層1は運用で、アカウント・パスワード・二要素認証、バックアップ、ログ、更新の担当。層2はCMSで、WordPress本体・テーマ・プラグイン。層3はPHPなどの土台で、サポート中の版にして修正を当てる。層4はサーバー・OSで、OSとWebサーバー、HTTPS、WAF。層5はドメイン・DNSで、更新の期限と管理画面のアカウント

Webサイトは、いくつもの部品が重なって動いています。どこか1つに穴があれば、ほかをどれだけ固めても入られます。IPA の「安全なウェブサイトの運用管理に向けての20ヶ条」も、Webアプリ・Webサーバ・ネットワーク・クラウドなどの利用まで、層ごとに確かめる項目を挙げています（IPA）。

層	中身	よくある穴
運用	アカウント、バックアップ、ログ、更新の担当	退職者のアカウントが残っている、使い回しのパスワード、誰も更新していない
CMS	WordPress 本体・テーマ・プラグイン	古い本体やプラグイン、使っていないプラグインの放置
PHP などの土台	プログラムを動かすソフト	サポートの切れた版のまま（PHP 8.1 以前）
サーバー・OS	OS、Web サーバー、HTTPS、WAF	OS の更新漏れ、更新後の再起動忘れ
ドメイン・DNS	ドメイン、DNS の設定	更新の期限切れ、管理画面のアカウントが不明

誰が何を守るのか：サーバーの種類で受け持ちが変わる

見落とされやすいのが、どの層を誰が受け持つかです。IPA の20ヶ条にも「クラウドなどのサービス利用において、自組織の責任範囲を把握」することが挙がっています。サーバーの種類ごとに整理すると、次のようになります。

層	共有のレンタルサーバー	VPS・クラウド
運用	自社（または制作会社）	自社（または制作会社）
CMS	自社（または制作会社）	自社（または制作会社）
PHP	サーバー会社が修正を当てる。版の選択は自社	自社（または管理会社）
サーバー・OS	サーバー会社	自社（または管理会社）
ドメイン・DNS	契約した会社の管理画面で自社	契約した会社の管理画面で自社

php2shell のときも、共有のレンタルサーバーではサーバー会社が修正を当てた一方で、VPS やクラウドで動かしているサイトは、自社か管理会社が更新しない限り直りませんでした。制作会社に任せている場合は、保守の契約にどの層まで含まれているかを確かめておくことが大切です（後述）。

優先順位つきチェックリスト：今日・今月・年内

対策は、費用のかからない「現状を知る」ことから始めます。

今日30分でできること：まず現状を知る

CMS と PHP のバージョンを確かめる：WordPress なら管理画面の「ツール」→「サイトヘルス」→「情報」で、本体と PHP のバージョンが分かります。WordPress は7.1系の最新版、PHP はサポート中の版（8.2 以上、できれば 8.3 以上）になっているかを見ます。ただし、PHP の番号だけでは修正済みかまでは分かりません（詳しくはこちら）
管理者のアカウントを一覧にする：見覚えのない管理者や、退職者・制作時の仮のアカウントが残っていないか
バックアップがあるかを確かめる：サーバー会社の自動バックアップか、自社か制作会社が取っているか。何日前まで戻せるか
Google で site:自社のドメイン と検索する：見覚えのないページ（外国語の広告やオンラインカジノなど）が出ないか
ドメインと SSL 証明書の期限を確かめる：期限が切れると、サイトが表示されなくなったり、ドメインを第三者に取られたりするおそれがあります

今月中にやること：穴をふさぐ

使っていないプラグイン・テーマを消す：止めているだけでもファイルは残り、穴になりえます。WordPress の公式の手引きも、使わないものは消すよう勧めています（WordPress.org）
パスワードを強くし、二要素認証を入れる：管理画面のログインに、パスワードとは別の確認を加えます
WAF（Webアプリケーションファイアウォール）を有効にする：多くのレンタルサーバーには無料の WAF があります。ただし WAF は時間稼ぎで、更新の代わりにはなりません
忘れているサイトを閉じる：キャンペーンサイト、採用サイト、テスト環境、旧サイト。IPA の中小企業向けのガイドラインも、期間限定のページや不要なサイトは閉鎖するよう求めています（IPA）
保守の契約の範囲を確かめる：下の7項目で確かめます

年内にやること：続く仕組みにする

PHP を 8.3 以上にする：PHP 8.2 のセキュリティのサポートは2026年12月31日で終わります。8.3 は2027年12月31日まで、8.4 は2028年12月31日までです（PHP公式）。WordPress も 8.3 以上を推奨しています
更新の担当と頻度を決める：WordPress 本体・プラグイン・PHP・OS を、誰が、いつ更新するか。緊急の脆弱性のときに誰が動くか
ログの保管と改ざんの検知：アクセスログやエラーログを残し、ファイルの変更に気づける仕組みを入れます。IPA の20ヶ条でも、ログの保管と定期的な確認が繰り返し挙がっています
脆弱性の診断を受ける：問い合わせフォームや会員の機能など、独自に作った部分がある場合は特に、専門家に一度見てもらうと安心です

Webサイトの見直し

チェックリストの確認から、PHP の切り替えまでお任せください

エンハンスドが、今のサイトの状態を5つの層で確かめ、優先順位をつけた対策をご提案します。PHP や WordPress の更新と動作の確認、不要なサイトの整理、保守の体制づくりまで一貫して承ります。

サイトの見直しを相談する

WordPressのサイトで、特に押さえたいこと

国内の企業サイトで多く使われている WordPress について、公式の手引き「Hardening WordPress」から、企業が押さえたい点を抜き出します（WordPress.org）。

本体・テーマ・プラグインを最新に保つ：本体は自動更新を有効にしておきます。プラグインは、公式のディレクトリなど信頼できるところから入れます
ログインを守る：強いパスワードと二要素認証。ファイルの転送は FTP ではなく SFTP を使います
管理画面からのファイルの編集を止める：wp-config.php に define( 'DISALLOW_FILE_EDIT', true ); と書くと、管理画面からテーマやプラグインのコードを書き換えられなくなります
バックアップを世代を重ねて取る：データベースとファイルの両方を定期的に
PHP もあわせて見る：php2shell のように、WordPress の下の PHP に穴が開くこともあります

なお、WordPress のセキュリティプラグインは WordPress の中で動くため、WordPress が動き出す前に起きる攻撃（php2shell の一部の経路など）は防ぎきれません。プラグインは対策の1つで、更新の代わりにはなりません。

改ざん・乗っ取りに気づいたら：5つの手順

改ざん・乗っ取りに気づいたときの5つの手順。1 サイトを止める。2 ログや改ざんされたファイルを消さずに記録を残す。3 いつ・どこから・何をされたか入られた範囲を調べる。4 パスワードと鍵をすべて変え、きれいな状態から戻す。5 個人情報が漏れたおそれがあれば個人情報保護委員会への報告と本人への通知

見覚えのないページが検索に出る、サイトを開くと別のサイトへ飛ばされる、サーバー会社から連絡が来た。そんなときは、慌ててファイルを消す前に、次の順で動きます。

サイトを止める：被害を広げないために、公開を止めます。サーバー会社や管理会社にもすぐに連絡します
記録を残す：ログ、改ざんされたファイル、画面の写しを消さずに保存します。何をされたかを調べる手がかりになります
入られた範囲を調べる：いつ、どこから、何をされたか。JPCERT/CC は php2shell について、痕跡が見つからなくても攻撃を受けていないとは言い切れないとしています（JPCERT/CC）。自社で難しければ、専門家に頼みます
パスワードと鍵をすべて変え、きれいな状態から戻す：WordPress の全員のパスワード、サーバーとデータベースのパスワード、認証用のキー、外部サービスの API キーを変えます。WordPress.org は、本体のファイルを同じ版のきれいなもので置き換えるよう案内しています（WordPress.org）
届け出る・知らせる：不正アクセスで個人情報が漏れた、またはそのおそれがある場合は、個人情報保護委員会への報告と本人への通知が必要です。報告は、速報を概ね3〜5日以内、確報を60日以内（不正の目的によるおそれがある場合）に行います（個人情報保護委員会）

保守の契約で確かめる7項目

保守の契約で確かめる7項目。WordPress本体・プラグインの更新、PHP・OSの更新、緊急の脆弱性への対応、バックアップと戻す試験、侵害の調査と復旧、アカウントと権限の管理、連絡の窓口と時間

「制作会社と保守の契約をしているから安心」とは限りません。IPA の「企業ウェブサイトのための脆弱性対応ガイド」も、担当と作業の分担を前もって決めておくことや、自力で難しければ専門家の支援を受けることを挙げています（IPA）。契約書や見積書で、次の7項目を確かめましょう。

WordPress 本体・プラグインの更新：誰が、どのくらいの頻度で行うか。更新のあとの動作の確認も含むか
PHP・OS の更新：サーバー会社任せか、契約で受け持つか。PHP の版を上げる作業は別料金か
緊急の脆弱性への対応：php2shell のような事件のとき、その日のうちに動けるか
バックアップと、戻す試験：取るだけでなく、実際に戻せることを確かめているか
侵害の調査と復旧：改ざんされたときに調べて直すのは契約の範囲か
アカウントと権限の管理：誰が管理者で、退職者のアカウントは消しているか
連絡の窓口と時間：夜間や休日に連絡がつくか

制作会社と連絡が取れない、もう会社が無いという場合の確かめ方は、WordPress のサイトで確かめる7つのことにまとめています。

よくある質問

小さな会社のサイトでも、セキュリティ対策は必要ですか？

必要です。攻撃は、インターネット上のサーバーを機械で片っ端から探る形で行われることが多く、サイトの規模や知名度は関係ありません。改ざんされると、訪問者がだまされるサイトへ飛ばされたり、問い合わせフォームの個人情報が漏れたりして、信用を失います。

レンタルサーバーを使っていれば、セキュリティは任せておけますか？

任せられるのはサーバーと OS、PHP の修正までです。WordPress などの CMS、プラグイン、アカウント、どの PHP の版を選ぶかは自社（または制作会社）の受け持ちです。VPS やクラウドでは、PHP や OS の更新も自社か管理会社の仕事になります。

WordPress を最新にしていれば安全ですか？

それだけでは足りません。2026年10月の php2shell は PHP の脆弱性で、WordPress をいくら更新しても直りませんでした。CMS に加えて、PHP・サーバー・ドメイン・アカウントまで含めて見る必要があります。

セキュリティプラグインを入れれば十分ですか？

十分ではありません。プラグインは WordPress の中で動くため、WordPress が動き出す前に起きる攻撃は防ぎきれません。更新、アカウントの管理、バックアップと組み合わせて使います。

WAF とは何ですか？入れれば安心ですか？

WAF は、Webサイトへの攻撃とみられる通信を見分けて止める仕組みです。多くのレンタルサーバーやCDN（Cloudflare など）で使えます。ただし、すり抜けられることもあり、サーバーに WAF を通らずに届く道が残っていると回り込まれます。更新までの時間を稼ぐもので、更新の代わりにはなりません。

サイトが改ざんされたら、まず何をすればいいですか？

サイトの公開を止め、ログや改ざんされたファイルを消さずに残してから、サーバー会社や専門家に相談します。個人情報が漏れたおそれがあれば、個人情報保護委員会への報告と本人への通知も必要です。

PHP のバージョンはいつまでに上げればいいですか？

PHP 8.1 以前はすでにサポートが終わっており、8.2 も2026年12月31日で終わります。年内に 8.3 以上へ上げる計画を立ててください。上げる前にバックアップを取り、テーマやプラグインが動くかを確かめます。

まとめ

2026年は、7月に WordPress 本体（wp2shell）、10月に PHP（php2shell）の重大な脆弱性が相次ぎ、Webサイトの改ざんも急増した
Webサイトは 運用・CMS・PHP・サーバー・ドメインの5つの層で守る。CMS だけを見ていても守れない
サーバーの種類で受け持ちが変わる。VPS・クラウドでは PHP と OS の更新も自社か管理会社
まず今日、バージョン・管理者・バックアップ・site: 検索・期限を確かめる。今月は穴をふさぎ、年内に PHP 8.3 以上と更新の体制を整える
改ざんに気づいたら、止める → 記録を残す → 調べる → 鍵を変えて戻す → 届け出る

セキュリティ対策は、一度やれば終わりではありません。誰が、どの層を、いつ見るのかを決めておくことが、次の事件のときに慌てないためのいちばんの備えです。

保守とセキュリティ

「誰がサイトを守っているのか分からない」なら、ご相談ください

エンハンスドは、サイトの棚卸しと現状の確認、PHP・WordPress の更新、改ざんの調査と復旧、その後の保守までを一貫して承ります。いまの制作会社や保守の契約を生かしたままの見直しもできます。