【緊急コラム】PHP脆弱性対応後、B2Cサイトが今から強化すべきセキュリティ—告知が届く項目と自社で確かめる項目の分け方

---

PHPの修正版への更新を終えた、または進めている担当者の方へ。今回の対応で、サイトのセキュリティ対策がすべて済んだわけではありません。

PHPやCMSには、修正版が出るたびに提供元から告知が届きます。一方で、管理画面のアカウント、お問い合わせフォームで受け取った個人情報、証明書の有効期限、更新が止まったページには、提供元から「確かめてください」という告知は届きません。

この記事では、一般のお客さま向けのホームページを運用している企業・個人事業主の担当者に向けて、「告知が届く項目」と「自社で確かめなければ気づけない項目」を分け、それぞれ誰が何を決めるかを整理します。

---

セキュリティ強化は「告知が届くか届かないか」で判断を分ける

修正版の告知が届く項目と、届かない項目

PHPやCMS、プラグインは、提供元が修正版を公開するときに告知を出します。告知を受け取り、更新を実施する人が決まっていれば、その脆弱性への対応は進められます。

一方、次のような項目には、提供元からの告知が届きません。

• 管理画面・サーバー・ドメイン・外部サービスのアカウント
• お問い合わせフォームの受信データや会員情報などの保有している個人情報
• 証明書の有効期限と更新の方法
• 更新を続けられなくなったページや機能

この記事では、これらを「無告知項目」と呼びます。無告知項目とは、PHPやCMSの修正版のように提供元からの告知が届くことがなく、サイトの運営者が日を決めて自分で確かめない限り、変化に気づけないセキュリティの項目のことです。

告知が届く項目は「受け取って更新する人を決める」。無告知項目は「点検の日と確認する人を社内で決める」。今から取り組むセキュリティ強化は、この基準で振り分けると判断しやすくなります。

なぜこの分け方が必要なのか

独立行政法人 情報処理推進機構（IPA）は2026年10月9日、不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策を呼びかけました。その中には、ソフトウェアの更新に加えて、外部サービス・アカウント・保有しているデータの点検が含まれています。

修正版の告知を待って更新するだけでは、手が届かない領域があります。そこを誰がいつ確かめるかを決めておくことが、この記事の主題です。

---

今回のPHPの脆弱性と修正版の位置づけ

2026年10月21日に公開された修正版と深刻度

PHPの開発元は2026年10月21日、重大な脆弱性2件を修正した次の修正版を公開しました。

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

深刻度は、2件ともCVSS v4.0で9.2です。PHPの公式サイトの告知は、修正版への更新だけが完全な解決であるとしています。IPAは翌日の10月22日に対策情報を公開しており、そこではこの2件の組み合わせが「PHP2shell」と呼ばれています。

対応の進め方は「PHPの脆弱性への対応（2026年10月）」で整理しています。この記事では、更新のあとに何を決めるかに絞って進めます。

PHP 8.1以前と8.2のサポート終了

• PHP 8.1以前：PHPの開発元からの修正は出ません
• PHP 8.2：2026年12月31日でサポートが終了します

サポートが終わった系列には、脆弱性が見つかっても開発元からの修正が出ません。PHP 8.2を使っているサイトは、今回の更新とは別に、サポート中の系列への移行を年内に判断する必要があります。

---

PHPとは別に、IPAが呼びかけている点検

修正版の告知では届かない点検の領域

2026年10月9日のIPAの呼びかけは、国内の幅広い事業者から不正アクセスによる情報漏えいの公表が相次いだことを受けたものです。IPAは、現段階では特定の製品の脆弱性を狙った攻撃とは断定されていない、としています。

点検の対象として挙げられているのは、外部に公開しているアプリケーション、自社が利用している外部サービス、アカウント、保有しているデータです。

この呼びかけは、大量の情報を扱う事業者を主な対象にしたものです。この記事では、その点検の項目を、企業や個人事業主が運用する一般のお客さま向けのサイトに当てはめて整理します。

10大脅威から見る、委託先とお客さまの情報

IPAの「情報セキュリティ10大脅威 2026」の組織向けでは、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」です。

サイトの運用では、制作会社・保守担当・外部サービスなど、社外の相手が管理画面やサーバーに関わることがあります。2位の脅威を踏まえると、点検の対象は自社の社員のアカウントだけでなく、委託先が使っていたアカウントにも広げておくのが妥当です。

また、個人向けの脅威には「インターネット上のサービスへの不正ログイン」「インターネット上のサービスからの個人情報の窃取」が挙げられています。お客さまの側から見れば、自分の情報を預けたサイトがこの脅威の入口になります。

---

無告知項目：管理画面やサーバーのアカウント

気づけない変化：作った覚えのないアカウント、無効にしたはずのアカウント

管理画面、サーバー、ドメインの管理、外部サービスのアカウントについて、提供元から「このアカウントを見直してください」という告知は届きません。

IPAは、作ったはずのないアカウントが存在しないか、削除・無効化したはずのアカウントが有効になっていないかを確認するよう呼びかけています。サイトの運用に当てはめると、例えば次のような状態が点検の対象です。

• 制作時に作ったテスト用のアカウントが残っている
• 担当を外れた社員やフリーランスのアカウントが残っている
• 契約が終わった委託先のアカウントが残っている

確かめること：多要素認証と、アカウントの棚卸し

• 多要素認証が使われているか：パスワードだけでログインできる状態になっていないか
• 不要なアカウントが無効になっているか：使っていないアカウント、必要以上に広い権限を持つアカウントがないか
• 委託先のアカウントが整理されているか：契約が終わった相手の権限が残っていないか

多要素認証の設定方法は、使っているサービスによって異なります。担当者が先に「導入する」と決め、設定は技術の担当に依頼する形が進めやすいはずです。そのうえで、アカウントの一覧を誰がいつ確かめるかを社内で決めます。

---

無告知項目：保有している個人情報

気づけない変化：必要のなくなった情報が残り続ける

一般のお客さま向けのサイトでは、次のような個人情報を受け取ることがあります。

• お問い合わせフォームの受信データ
• 会員情報
• 注文情報

これらについて、「この情報はもう必要ありませんか」という告知は、どこからも届きません。対応が終わったあとも、フォームの受信データが残り続けていることに気づかないまま運用が続くことがあります。

IPAの呼びかけは、情報を窃取されると、悪用や脅迫などの二次被害が広がりやすいことを指摘し、「不要な情報は持たない」という原則のもとで保有している情報を把握し、必要最小限にするよう求めています。

確かめること：持ち続ける必要と、保管場所

• 持ち続ける必要があるか：対応が終わったお問い合わせ、退会したお客さまの情報など、必要がなくなったものはないか
• どこに保管しているか：フォームの受信ボックス、管理画面から書き出したファイルなど、保管場所が分散していないか
• 誰が見られるか：必要のない人まで閲覧できる状態になっていないか

保管期間の決め方や、漏えいが起きた場合の法的な対応については、法務担当または専門家に確認してください。

---

無告知項目：証明書の有効期限と更新の方法

気づけない変化：有効期間が短くなり、更新の機会が増える

サイトの通信を暗号化するための証明書は、CA/Browser Forumの決定（Ballot SC-081v3）により、最大有効期間が段階的に短くなっています。

• 2026年3月15日以降：200日
• 2027年3月15日以降：100日
• 2029年3月15日以降：47日

有効期間が短くなれば、更新の機会は増えます。証明書の期限が切れると、閲覧する方のブラウザに警告が表示され、サイトの信頼を損ないます。

確かめること：自動更新か手動か、手動なら誰が更新するか

• 自動更新の場合：更新が実際に行われているかを、誰がどう確かめるかを決める
• 手動更新の場合：誰が、どの時期に更新するかを社内で決める

「年に一度、思い出したときに依頼している」という運用のままでは、有効期間の短縮に追いつけなくなります。今のうちに、更新の方法と担当を確かめておきます。

---

無告知項目：更新が止まったページや機能

気づけない変化：誰も手を入れていない部分が残る

サイトの中には、公開したまま誰も手を入れていないページや機能が残ることがあります。終了したキャンペーンのページ、以前使っていたお問い合わせフォームなどです。これらについても、「更新が止まっています」という告知は届きません。

経済産業省・IPAの「ECサイト構築・運用セキュリティガイドライン」（2023年3月公表）では、被害を受けたEC事業者20社へのヒアリングで、75%が構築プログラムやCMS等の脆弱性を放置するか更新を怠っており、90%が保守など運用時の対策を実施していなかったことが示されています。

確かめること：更新を続けるか、機能を減らすか、公開を終えるか

IPAは今回のPHPの対策情報の中で、更新や維持管理の体制を確保する見通しが立たないシステムについて、提供する機能を減らすことや、公開を終えることも含めて検討するよう求めています。サイトのページや機能に当てはめると、判断は次のいずれかになります。

• 更新を続ける：担当者を決める
• 機能を減らす：使っていないフォームや外部との連携を止め、ページは残す
• 公開を終える：役割を終えたページの公開をやめる

公開を終える場合は、外部からのリンクや検索からの流入など、影響を確かめてから進めます。大切なのは、判断する人と期日を社内で決めることです。

---

無告知項目の点検表

気づけない変化と、確かめることの一覧

項目	気づけない変化の例	確かめること	根拠資料
管理画面・サーバー・ドメイン・外部サービスのアカウント	作った覚えのないアカウント、無効にしたはずのアカウント、委託先が使っていたアカウントが残っている	多要素認証が使われているか、不要なアカウントが無効か、委託先のアカウントが整理されているか	IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」、IPA「情報セキュリティ10大脅威 2026」
保有している個人情報（お問い合わせフォームの受信データ、会員情報、注文情報）	必要のなくなった情報が残り続ける、保管場所が分散している	持ち続ける必要があるか、どこに保管しているか、誰が見られるか	IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」
証明書の有効期限と更新の方法	有効期間が短くなり、更新が追いつかなくなる	自動更新か手動か、手動なら誰がいつ更新するか	CA/Browser Forum「Ballot SC-081v3」
更新が止まったページや機能	誰も手を入れていないページや機能が公開されたまま残る	更新を続けるか、機能を減らすか、公開を終えるか	IPA「PHPの脆弱性対策について」、経済産業省・IPA「ECサイト構築・運用セキュリティガイドライン」

すべてを一度に片づける必要はありません。まずはこの表の中から1つ選び、確かめる人と日付を決めるところから始めてください。

---

告知が届く項目と無告知項目、それぞれの担当を決める

告知が届く項目：受け取って更新する人を決める

PHPやCMS、プラグインのように修正版の告知が届く項目では、告知を受け取る人と、更新を実施する人を決めます。自社で担うか、保守担当に任せるかもここで決めます。誰が受け取るかが決まっていなければ、告知が届いても更新は進みません。

無告知項目：点検の日と確認する人を社内で決める

アカウント、保有している個人情報、証明書、更新が止まったページや機能は、誰が使っているか、何を持ち続ける必要があるか、どのページが今も役割を持っているかといった、自社の事情に基づく判断が必要です。そのため、判断は自社に残ります。

無告知項目については、点検の日と確認する担当者を社内の予定に入れることが次の一歩です。点検の間隔は、サイトの規模や扱う情報に合わせて自社で決めてください。

告知が届く項目を外部に任せる選択肢として、ORENCHでは、他社で制作したサイトも含めて、PHP・CMS・プラグインの更新、バックアップと復旧、脆弱性情報の確認と連絡を承っています。

---

よくある質問

Q. PHPを修正版に更新すれば、セキュリティ強化は終わりですか？

PHPの修正版への更新は、今回の脆弱性に対する完全な解決です。ただし、アカウント、保有している個人情報、証明書、更新が止まったページといった無告知項目は別に残ります。これらは自社で点検の日を決めて確かめる必要があります。

---

Q. セキュリティプラグインを入れれば、無告知項目も済みますか？

済むとは言えません。どのアカウントが今も必要か、どの個人情報を持ち続けるか、どのページの公開を続けるかは、自社の事情に基づく判断です。プラグインを入れていても、点検の日と確認する人を決める必要があります。

---

Q. 個人事業主の小さなサイトも、点検の対象になりますか？

お問い合わせフォームで個人情報を受け取っていたり、管理画面に複数の人がログインしていたりするなら、無告知項目はサイトの規模に関わらず存在します。扱う情報の量に合わせて、点検の範囲と間隔を決めてください。

---

Q. 証明書の有効期間が短くなると、担当者は何をすればよいですか？

まず、証明書の更新が自動か手動かを確かめてください。自動なら、更新が実際に行われているかを誰が確かめるかを決めます。手動なら、誰がどの時期に更新するかを決めます。期限が切れると、閲覧する方のブラウザに警告が表示されます。

---

Q. 保守担当に任せられるのはどこまでですか？

PHP・CMS・プラグインの更新のように、修正版の告知が届く項目は任せることができます。一方、どのアカウントや情報を残すかといった無告知項目の判断は自社に残ります。任せる範囲は、契約の前に保守担当と確認してください。

---

この記事を読んで「確かめていない」と思った項目が一つでもあれば、その項目を確かめる人の名前と、確かめる日を、今日のうちに決めてください。

---

これは法的助言ではありません。最終的な表現の可否は、クライアントの薬事・法務担当または専門家が判断します。