【緊急コラム】PHP脆弱性への対応後、サイトの運用を誰が担うか決めていますか——無担当期間を作らない保守契約の選び方

---

2026年10月22日時点の情報です。2026年10月21日、PHPの開発元は重大な脆弱性2件への修正版を公表しました。対応の進め方は「PHPの脆弱性への対応（2026年10月）」で整理しています。

この記事では、その「後」の話をします。今回の対応を終えたあと、次の脆弱性に備えてサイトの更新を誰に任せるか。保守契約を結んでいない事業者・Web担当者に向けて、判断の材料を整理します。

---

制作後のサイトに「無担当期間」が生まれる理由

制作の契約は公開で終わるが、更新は公開後も続く

サイト制作の契約は、デザイン・コーディング・公開までを対象にしていることがあります。この場合、納品物は「公開されたサイト」で、制作の仕事は公開をもって完了します。

一方で、公開後のサイトでは更新が続きます。PHP、WordPressなどのCMS本体、プラグインやテーマには、脆弱性が見つかるたびに修正版が出ます。

保守が契約に含まれていないと、公開後の更新を担当する人や会社が決まらないまま時間が過ぎます。この記事では、サイトが公開されているのに、そのサイトのPHP・CMS・プラグインの更新を担当する人や会社が決まっていない期間を「無担当期間」と呼びます。

IPA（独立行政法人情報処理推進機構）の「安全なウェブサイトの運用管理に向けての20ヶ条」は、その(4)で、サイトを構成するCMSなどのソフトウェアの脆弱性対策を定期的に行うよう求めています。一度対応すれば終わる作業ではない、ということです。

次の脆弱性が出たとき、依頼先を探すところから始まる

無担当期間のまま新しい脆弱性が公表されると、対応は「誰に頼むか」を決めるところから始まります。

新しく依頼する相手が見つかっても、サーバーや管理画面のアクセス情報を集め、サイトの構成を把握してもらうまでは作業に入れません。その間も、サイトは公開されたままです。

今回の脆弱性に対応したことは、次の脆弱性への備えがあることを意味しません。ここを分けて考えることが、最初の判断になります。

---

PHPのサポート期間と、急に出る修正版

PHPは系列ごとに計4年でサポートが終わる

PHPは系列ごとに、通常サポート2年と、セキュリティ修正のみの2年、計4年のサポート期間があります（The PHP Group「Supported Versions」より）。

サポートが終わった系列には、新しい脆弱性が見つかっても開発元から修正版は出ません。たとえばPHP 8.2のセキュリティサポートは、2026年12月31日で終わります（同）。8.2を使っているサイトは、サポート中の系列への移行を保守担当と検討する時期にあります。

系列の移行は、更新の中でも検証の手間がかかる作業です。サイトを公開している限り、数年ごとにこの作業が回ってきます。

重大な脆弱性への修正版は、急に出る

修正版は、定期的な日程だけで出るわけではありません。2026年10月21日には、重大な脆弱性2件への修正版が公表されました。このときは前日に予告があったものの、準備に使える時間はわずかでした（The PHP Group「News Archive 2026」より）。

無担当期間のサイトでは、修正版が出たことに誰も気づかず、誰も適用しないまま時間が過ぎるおそれがあります。急な修正版に対応するには、情報を受け取る仕組みと、受け取ったあとに動ける担当者が必要です。技術の問題である前に、体制の問題です。

---

放置されたページには、管理が及ばない

不要になったページも、公開されている限り対象になる

IPAの「安全なウェブサイトの運用管理に向けての20ヶ条」は、その(2)で、期間限定のページや不要になったサイトを公開したまま放置すると、脆弱性が見つかっても管理が及ばないとしています。

キャンペーンが終わったLP、使わなくなった問い合わせフォーム、過去の採用ページ。こうしたページも、公開されている限り更新の対象です。無担当期間が続くと、これらのページは誰の確認も受けないまま残ります。

使っていないページが見つかった場合は、公開を続けるか閉じるかも、更新とあわせて決めておきます。

IPAは、未適用の修正の確認を求めている

IPAは2026年10月9日の「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」で、外部に公開しているアプリケーションの構成要素に未適用の修正がないかを確認し、あれば速やかに適用するよう求めています。あわせて、委託先を含めた取引先全体への目配りも、経営者が押さえるべき点として挙げています。

未適用の修正を確認するには、確認する人が決まっている必要があります。無担当期間のままでは、この確認そのものが行われません。

---

漏えい等が起きたときの報告義務と、民間事業者の報告件数

一定の漏えい等が起きると、報告と通知が義務になる

2022年4月に施行された改正個人情報保護法により、一定の個人データの漏えい等が起きた場合、個人情報保護委員会への報告と本人への通知が義務になりました。

報告が必要になるかどうかの判断や手続きの詳細は、個人情報保護委員会の案内や専門家に確認してください。

報告件数の規模を、判断の参照点として知る

個人情報保護委員会の「令和7年度 年次報告」（2026年7月公表）によると、民間事業者における個人データの漏えい等の報告の処理件数は、令和7年度が17,139件、令和6年度が19,056件です。これは誤送付なども含む全体の件数で、不正アクセスによるものだけではありません。

報告や本人への通知が必要になれば、通常業務と並行して対応することになります。保守の費用を単なる出費として見るか、顧客との信頼を保つための継続的な費用として見るか。この見方の違いが、保守契約を続ける理由の重さを変えます。

---

保守契約は「保険に近い備え」だが、補償ではない

保守契約は、何も起きない月にも費用を払い続ける点で、保険に近い性質があります。何も起きていない月にこそ、更新・検証・バックアップ・脆弱性情報の確認が積み重なっていきます。

ただし、保守契約は損害を補償するものではありません。保守を契約していても、被害が起きないとは言えません。保守契約は、サイトの更新を継続して担ってもらう契約です。この違いを理解したうえで、何を任せるかを決めることが大切です。

---

保守契約を結ぶ前に確認すること

対象・頻度・検証・バックアップ・情報連絡・分担を明確にする

保守契約を結ぶ前に、次の項目を確認しておくことを勧めます。IPAの「安全なウェブサイトの運用管理に向けての20ヶ条」は、(9)で更新前の事前検証を、(19)でサーバー事業者の作業範囲の把握を求めています。

確認すること	理由
対象（PHP・CMS本体・プラグイン・テーマ）	どのソフトウェアの更新を含むかで、カバーされる範囲が変わる。
更新の頻度と、急な修正版が出たときの対応	定期的な更新に加え、急な修正版が出たときにどう動くかを確認する。
更新前の検証	更新でサイトの表示や機能が動かなくなることがあるため（IPA「20ヶ条」(9)）。
バックアップと戻し方	更新に失敗したとき、前の状態に戻せるようにしておく。
脆弱性情報を誰が確認し、どう連絡するか	新しい脆弱性が公表されたとき、確認と連絡の流れが決まっていれば動き出しが早くなる。
サーバー事業者の作業範囲との分担	サーバー事業者が担う範囲は事業者ごとに異なるため、その範囲を把握して足りない部分を補う（IPA「20ヶ条」(19)）。
契約に含まれない作業	不正アクセスが疑われるときの調査などが含まれるかどうかを、事前に確認しておく。
契約終了時の引き継ぎ	アクセス情報やバックアップを、次の担当にどう渡すかを決めておく。

「含まれない作業」と「引き継ぎ」も決めておく

保守契約が何を含まないかを確認することは、何を含むかと同じくらい重要です。不正アクセスが疑われるときの調査や対応は、通常の更新作業とは別に扱われることがあります。含まれない場合は、そのときに誰へ相談するかも決めておきます。

また、保守の担当を変えるときに、サーバーや管理画面のアクセス情報、バックアップの所在がきちんと引き継がれないと、次の担当がすぐに動けません。引き継ぎの方法も契約の段階で決めておきます。

---

自社で担う場合と、外部に頼む場合

自社で担う場合は、担当者・頻度・情報の入手先を決める

自社で更新を担うこともできます。その場合は、更新を担当する人と不在時の代理、定期的な更新の頻度と急な修正版が出たときの動き方、脆弱性情報をどこから受け取り誰に伝えるかを決めておきます。

情報の入手先としては、PHPの公式サイトの告知や、IPAの重要なセキュリティ情報があります。担当者が異動・退職したときの引き継ぎも考えておかないと、無担当期間が再び生まれます。

外部に頼む場合は、制作会社以外の選択肢もある

保守を外部に頼む場合、サイトを制作した会社だけが選択肢ではありません。他社が制作したサイトの保守を受け付けている会社もあります。

別の会社に頼むときは、サーバーや管理画面のアクセス情報、使っているPHPやCMSの情報を引き継ぐ必要があります。これらの情報がすぐに手元で確認できるかどうかが、急な修正版が出たときに動けるかどうかを左右します。

---

保守契約について、よくある質問

レンタルサーバーを使っていれば保守は不要ですか？

不要とは言えません。レンタルサーバーでは、サーバーやPHP本体の更新を事業者が担う場合がありますが、WordPressなどのCMS本体やプラグイン・テーマの更新は、利用者側の作業になることがあります。事業者が担う範囲は事業者ごとに異なります。IPAの「安全なウェブサイトの運用管理に向けての20ヶ条」(19)も、事業者の作業範囲を把握し、足りない部分は自組織で補うよう求めています。

---

自動更新をオンにしていれば十分ですか？

十分とは言えません。更新によって、それまで動いていた機能が動かなくなることがあり、IPAの「安全なウェブサイトの運用管理に向けての20ヶ条」(9)は事前の検証を求めています。自動更新を使う場合も、更新後の確認と、元に戻す手段を用意しておく必要があります。

---

制作した会社以外に保守を頼めますか？

頼めます。他社が制作したサイトの保守を受け付けている会社もあります。その場合は、サーバーや管理画面のアクセス情報、使っているPHPやCMSの情報を引き継ぐ必要があるため、今のうちに手元で確認しておくことを勧めます。

---

保守契約を結べば被害は起きませんか？

起きないとは言えません。保守契約はサイトの更新を継続して担ってもらう契約で、損害を補償するものではありません。「何も起きない月にも続ける備え」という意味では保険に近い性質がありますが、被害が起きないことを約束するものではない点を理解したうえで契約してください。

---

自社で担う場合、何を決めればよいですか？

更新を担当する人と不在時の代理、定期的な更新の頻度と急な修正版が出たときの動き方、脆弱性情報をどこから受け取り誰に伝えるかを決めておきます。これが決まっていないと、次の脆弱性が公表されたときに無担当期間が再び生まれます。

---

無担当期間をなくすために、今からできること

公開中のサイトごとに、更新を担う相手と範囲を決める

最初にやることは、公開中のサイトごとに「誰が更新を担っているか」を確認することです。制作会社との契約書を開き、保守の記載があるかを見てください。

保守の記載がなければ、そのサイトは無担当期間にあります。制作会社に相談するか、別の会社に頼むか、自社で担うかを決めます。どれを選ぶ場合も、上の「保守契約を結ぶ前に確認すること」の表を手元に置いて話を進めると、「想定と違った」というずれを減らせます。

現在のサイトの状況を確認するところから

使っているPHPとCMSの版、最後に更新したのがいつかを確認できますか。この情報が手元にあるかどうかで、保守の相談を始められる速さが変わります。

脆弱性への対応の「その後」に必要なのは、技術の深い理解ではありません。「誰が担うか」「何を含むか」「急な修正版が出たらどう動くか」を決めることです。

なお、ORENCHでも、他社で制作したサイトを含めて、PHP・CMS・プラグインの更新、バックアップと復旧、脆弱性情報の確認と連絡を承っています。

公開中のサイトの今の状況を確認するところから始めます。