# Webサイトのセキュリティ対策・脆弱性情報 | AI最新情報 | エンハンスド株式会社 > PHP・WordPress・サーバーの脆弱性が見つかったとき、企業のWebサイトで何を確かめ、どう直すか。影響範囲と修正版、サーバー会社別の対応状況、更新できないときの緩和策、侵害されていないかの確認まで、実務の手順で解説します。 - URL: https://enhanced.co.jp/topics/security/ - 発行: エンハンスド株式会社 (https://enhanced.co.jp/) --- ## セキュリティの要点 企業のWebサイトは、CMS だけでなく、運用・CMS・PHP などの土台・サーバーと OS・ドメインの5つの層で守ります。どこか1つに穴があれば、ほかを固めても入られるからです。共有のレンタルサーバーでは PHP と OS の修正をサーバー会社が当てますが、VPS やクラウドでは自社か管理会社の受け持ちになります。対策は、バージョン・管理者のアカウント・バックアップ・ドメインの期限を確かめる「現状を知る」ことから始め、使わないプラグインの削除や二要素認証で穴をふさぎ、年内に PHP 8.3 以上と更新の体制を整える順で進めます。 2026年10月に公表された PHP の脆弱性 php2shell（CVE-2026-109618・109619、CVSS 9.2）は、ログインなしで外からサーバーを乗っ取られるおそれのあるものでした。PHP は WordPress をはじめ多くのWebサイトの土台なので、影響は業種を問わず広がり、国内でも多くの組織がサイトを止めました。根本の対策は、PHP を修正版（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）へ更新し、PHP-FPM や Apache を再起動することです。設定による緩和策や WAF は、更新までの時間を稼ぐものにとどまります。 見落としやすいのは、どこで直すかです。WordPress 本体やプラグインを最新にしても、PHP の穴はふさがりません。共有のレンタルサーバーならサーバー会社が修正を当てますが、VPS やクラウドでは自社か管理会社が更新します。Linux のディストリビューションやサーバー会社は、番号を変えずに修正だけを取り込むことがあるので、管理画面に出る番号だけでは修正済みかを判断できません。サーバー会社の告知や、パッケージの版で確かめます。 修正のあとも、更新の前に入り込まれていないかを確かめる必要があります。php2shell では公表の4日前から悪用の試みが観測されていたため、確認は10月17日以降のログが対象です。アクセスログの不審なリクエスト、エラーログのメモリ不足やワーカーの異常終了、見覚えのないファイルや管理者がないかを見て、疑わしければ秘密の情報をすべて変えます。 ## よくある質問 ### Q. 企業のWebサイトのセキュリティ対策は、何から始めればよいですか？ 費用のかからない「現状を知る」ことからです。CMS と PHP のバージョン、管理者のアカウント、バックアップの有無、ドメインと SSL の期限を確かめ、次に使わないプラグインの削除や二要素認証で穴をふさぎます。今日・今月・年内の優先順位つきのチェックリストを記事にまとめています。 関連記事: https://enhanced.co.jp/articles/website-security-guide/ ### Q. Webサイトが改ざんされたら、まず何をすればよいですか？ サイトの公開を止め、ログや改ざんされたファイルを消さずに残してから、入られた範囲を調べます。パスワードと鍵をすべて変えてきれいな状態から戻し、個人情報が漏れたおそれがあれば個人情報保護委員会への報告と本人への通知を行います。 関連記事: https://enhanced.co.jp/articles/website-security-guide/ ### Q. WordPress 本体やプラグインを最新にすれば、PHP の脆弱性は直りますか？ 直りません。php2shell は PHP そのものの脆弱性なので、WordPress をいくら更新しても直らず、サイトを動かしている PHP の更新が必要です。WordPress のサイトで確かめる手順を記事にまとめています。 関連記事: https://enhanced.co.jp/articles/php-vulnerability-wordpress-checklist/ ### Q. サイトヘルスに出る PHP のバージョンで、修正済みかどうか分かりますか？ 番号だけでは分かりません。サイトヘルスの判定は 8.3 などの系列しか見ておらず、修正されていない版でも問題なしと出ます。逆に、サーバー会社が番号を変えずに修正していることもあるので、サーバー会社の告知で確かめます。 関連記事: https://enhanced.co.jp/articles/php-vulnerability-wordpress-checklist/ ### Q. レンタルサーバーを使っていれば、自社では何もしなくてよいですか？ 共有のレンタルサーバーなら PHP の修正はサーバー会社が当てますが、管理画面で古い PHP を選んだままになっていないかと、侵害がないかは自社で確かめます。VPS やクラウドでは、PHP の更新も自社か管理会社の仕事です。 関連記事: https://enhanced.co.jp/articles/php-vulnerability-wordpress-checklist/ ### Q. RHEL・AlmaLinux・Rocky Linux や Ubuntu では、どの版なら修正済みですか？ ディストリビューションは番号を上げずに修正を取り込むことがあるので、パッケージのリリース番号まで見ます。各 OS の修正済みの版と確かめ方のコマンドを記事にまとめています。 関連記事: https://enhanced.co.jp/articles/php2shell-cve-2026-109618-109619/ ### Q. すぐに PHP を更新できないときは、どうすればよいですか？ php.ini の設定による緩和策や WAF で時間を稼げますが、どれも攻撃のすべての経路は防げません。リスクが高いなら、更新できるまでサイトを一時的に止めることも有効な手段です。 関連記事: https://enhanced.co.jp/articles/php2shell-cve-2026-109618-109619/ ### Q. 修正したあと、何を確かめればよいですか？ 更新の前に侵入されていないかです。10月17日以降のログで、不審なリクエスト、メモリ不足のエラー、ワーカーの異常終了がないか、見覚えのないファイルや管理者がないかを確かめます。疑わしいときは、パスワードや API キーなどの秘密の情報をすべて変えます。 関連記事: https://enhanced.co.jp/articles/php2shell-cve-2026-109618-109619/ ## セキュリティの記事 (3 件) - [【2026年版】Webサイト・ホームページのセキュリティ対策ガイド｜WordPress・PHP・サーバーで企業がやるべきこと](https://enhanced.co.jp/articles/website-security-guide/) (2026-10-25): 企業のWebサイト・ホームページのセキュリティ対策を、2026年のWordPress（wp2shell）とPHP（php2shell）の脆弱性を踏まえて整理。 - [【10/23最新】PHP脆弱性、WordPressの対応方法｜会社のサイトで確かめる7つのこと（php2shell）](https://enhanced.co.jp/articles/php-vulnerability-wordpress-checklist/) (2026-10-23): PHPの重大な脆弱性 php2shell は、WordPressやプラグインを更新しても直りません。会社のWordPressサイトで確かめる7つのこと（PHPのバージョンの見方、修正済みかの判断… - [【10/25更新】PHP脆弱性 php2shell（CVE-2026-109618・109619）とは？修正版と対策｜RHEL・AlmaLinux・Rocky Linux・remi・Ubuntu の対応](https://enhanced.co.jp/articles/php2shell-cve-2026-109618-109619/) (2026-10-22): PHPの重大な脆弱性 php2shell（CVE-2026-109618・109619、CVSS 9.2）の影響範囲と修正版を解説。 ほかのカテゴリー: [生成AI活用](https://enhanced.co.jp/topics/generative-ai/)、[AI駆動開発](https://enhanced.co.jp/topics/ai-development/)、[業務自動化](https://enhanced.co.jp/topics/automation/)、[画像・動画生成AI](https://enhanced.co.jp/topics/ai-creative/)、[AIニュース](https://enhanced.co.jp/topics/ai-news/) --- 出典: 「Webサイトのセキュリティ対策・脆弱性情報 | AI最新情報 | エンハンスド株式会社」エンハンスド株式会社 https://enhanced.co.jp/topics/security/