Webサイトのセキュリティ対策・脆弱性情報

企業のWebサイトは、CMS だけでなく、運用・CMS・PHP などの土台・サーバーと OS・ドメインの5つの層で守ります。どこか1つに穴があれば、ほかを固めても入られるからです。共有のレンタルサーバーでは PHP と OS の修正をサーバー会社が当てますが、VPS やクラウドでは自社か管理会社の受け持ちになります。対策は、バージョン・管理者のアカウント・バックアップ・ドメインの期限を確かめる「現状を知る」ことから始め、使わないプラグインの削除や二要素認証で穴をふさぎ、年内に PHP 8.3 以上と更新の体制を整える順で進めます。

2026年10月に公表された PHP の脆弱性 php2shell（CVE-2026-109618・109619、CVSS 9.2）は、ログインなしで外からサーバーを乗っ取られるおそれのあるものでした。PHP は WordPress をはじめ多くのWebサイトの土台なので、影響は業種を問わず広がり、国内でも多くの組織がサイトを止めました。根本の対策は、PHP を修正版（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）へ更新し、PHP-FPM や Apache を再起動することです。設定による緩和策や WAF は、更新までの時間を稼ぐものにとどまります。

見落としやすいのは、どこで直すかです。WordPress 本体やプラグインを最新にしても、PHP の穴はふさがりません。共有のレンタルサーバーならサーバー会社が修正を当てますが、VPS やクラウドでは自社か管理会社が更新します。Linux のディストリビューションやサーバー会社は、番号を変えずに修正だけを取り込むことがあるので、管理画面に出る番号だけでは修正済みかを判断できません。サーバー会社の告知や、パッケージの版で確かめます。

修正のあとも、更新の前に入り込まれていないかを確かめる必要があります。php2shell では公表の4日前から悪用の試みが観測されていたため、確認は10月17日以降のログが対象です。アクセスログの不審なリクエスト、エラーログのメモリ不足やワーカーの異常終了、見覚えのないファイルや管理者がないかを見て、疑わしければ秘密の情報をすべて変えます。