先日、世界中の多くのWebサイトで土台として使用されているシステム「PHP」において、重大なセキュリティ上の弱点（脆弱性）が発覚し、国内外のニュース等でも大きく報道されました。
すでに弊社にてWebサイトを管理させていただいているお客様へは一斉メールにてご案内をお送りしておりますが、改めて今回の問題の概要と弊社の対応状況、そして「Webサイトやメール環境を長く安全に運用するための注意点」についてブログでも共有いたします。
世界規模で発生した「PHP」の重大なセキュリティ問題とは？
PHPとは、WordPressをはじめとする世界中の多くのWebサイトを動かすための「エンジンのような土台プログラム」です。
今回、このPHPに外部から不正な命令を実行できてしまう深刻な弱点が見つかりました。
問題が公表された直後から、世界中の攻撃プログラム（ボット）が一斉に古い環境や対策前のサーバーを狙って無差別攻撃を開始し、国内外で以下のようなトラブルが相次ぎました。
1. 不正アクセスによるサイトの改ざん・閲覧不能（ダウン）
対策が間に合っていない環境や、古いシステム環境のまま放置されていたサイトを中心に、不正プログラムを埋め込まれて別サイトへ勝手に転送されたり、サーバーを乗っ取られて高負荷状態になり、サイトが真っ白になって閲覧不能（サーバーダウン）に陥る被害が多数報告されています。
2. サーバー各社の緊急防衛措置による一時的な通信不安定
国内の大手レンタルサーバー各社も一斉に緊急の防御対策（パッチ適用や通信遮断）を実施しました。その影響や世界中からの攻撃アクセスの集中により、一時的に管理画面へのログインが不安定になるなどの事象が発生しました。
※さらに重なる「古い放置サイト」のクラッシュ問題
今回の脆弱性問題に加え、現在各サーバー会社では、サポート期限が切れた古いPHP（PHP 7系など）の提供を終了し、新しい「PHP 8系」へ順次移行する措置も進めています。
普段のメンテナンスを放置しているサイトでは、古いプログラムが新しいPHPの厳格なルールに対応できず、ある日突然サイトが真っ白になり管理画面にすら入れなくなるトラブルも全国で多発しています。
【重要】「ホームページが止まるだけだから、メールは大丈夫」という大きな誤解
こうしたWebサイトのセキュリティ問題が起きた際、多くの企業様が「うちはホームページからそんなに集客していないし、少しの間見られなくなっても本業のメールさえ使えれば問題ない」と軽く考えてしまいがちです。
しかし、Webサイトと会社のメールを同じサーバー（同じドメイン）で運用している場合、Webサイトの放置が引き金となって、日常の業務メールまで完全にストップする重大なリスクがあります。
-
お問い合わせフォーム・自動返信メールの停止：
Webサイト上のメールフォームはPHPで動いているため、PHPやサイトに問題が起きれば、お客様からの問い合わせや予約通知は一切届かなくなります。 -
スパム踏み台化による「業務メールの全面ブロック」（最悪のケース）：
Webサイトの弱点を突かれてサーバー内に不正プログラムを仕込まれると、そのサーバーから世界中に大量の迷惑メール（スパム）が勝手に送信されます。
すると、GmailやYahoo!、世界中のセキュリティ機関から「この会社のドメイン（サーバー）は危険なスパム送信元である」と判定されてブラックリストに登録され、普段パソコンやスマホのメールソフトから取引先に送っている通常の業務メールまで全て拒否（不達）される事態に陥ります。 -
サーバー会社による「アカウント全体の緊急凍結」：
不正アクセスやスパム大量送信をサーバー会社が検知した場合、他の利用者を守るために事前の予告なく契約アカウント全体（Web・メールすべて）を強制停止（凍結）することがあります。こうなると、ある日突然メールの送受信が一切できなくなります。
つまり、Webサイトのメンテナンスを怠ることは、単に見栄えの問題だけでなく「会社の生命線であるメール（通信インフラ）を危険に晒すことと同じ」なのです。
弊社管理サイトにおける「一次対応」と現在の状況
問題発生直後より、弊社ではサーバー側の対応・復旧の進捗状況を24時間体制で監視し、落ち着いた時点での「とりあえずの緊急対応（一次対策）」をすべて完了しております。
一般的なWeb管理会社では月額1〜3万円ほどの保守費をいただく「日常のシステム更新・監視・トラブル復旧」を、弊社では普段すべて【無料】で行っております。
その日頃のメンテナンスの効果もあり、現時点で弊社管理サイトにおける直接的な被害は1件も発生しておりませんのでご安心ください。
日常管理だけでは防ぎきれない「一歩先のリスク」への備え
今回のPHP自体の弱点はサーバー側の緊急対策等によって塞がりましたが、攻撃者は日々、PHPだけでなく「サイト内部に残っている古いプログラムやプラグインの弱点」も常に狙っています。
今後さらに巧妙なサイバー攻撃が発生した際や、サーバーの大幅な仕様変更が行われた際、通常の自動更新や日常管理だけでは防ぎきれないケースも想定されます。
サイバー攻撃の性質上、どのような対策を行っても「100%の安全」を確約することはできません。
しかし、万が一の際に「サイトの長期停止」「顧客データの流出・改ざん」、そして「会社のメール機能の停止」といった最悪の事態に陥るリスクを最小限に抑えるため、弊社では現在、管理サイト様を対象とした「緊急セキュリティ点検（サイトの人間ドック）」をご案内しております。
今回の特別点検で行う内容（日常管理との違い）
-
土台システム（PHP）の手動引き上げと相性検証：
すでにPHP 8系をご利用中の場合でも、8.1から8.2・8.3といった細かなバージョンアップの段階でプラグインとの相性問題（画面崩れやエラー表示）が起きることがあります。自動では最新枠に切り替わらないサーバーの土台（PHP）を、技術者が手動で安全な最新推奨バージョンへ引き上げ、全体の動作確認を行います。 -
内部プログラムの総点検と整理：
サイト公開から年月が経ち、現在は役目を終えて眠っている古いプログラムや不要なプラグイン（攻撃の侵入口やエラーの原因になりやすいもの）がないか1つずつ調査し、撤去・整理します。 -
データベースの内部清掃と最適化：
長年の運用で内部に溜まった不要データ（ゴミ）の清掃を行い、サイトの動作やバックアップ処理を軽量化・最適化します。 -
管理アカウント・権限の棚卸しと診断レポート提出：
不要になった古い管理アカウントの整理や、誤操作・乗っ取りを防ぐための権限設定を見直し、現在の安全性を確認した診断レポートをご提出します。
人間ドックと同じく、技術者が内部を直接調査し、安全性を確認・整備すること自体を目的としております。
ご希望の管理サイト様は、お送りしておりますご案内メールへ「点検希望」とご返信いただくか、弊社まで直接ご連絡ください。
※もちろん今回の特別点検は強制ではございません。ただし、内部に古いプログラムや不要データが残ったままの状態ですと、今後のサーバー仕様変更や新たな攻撃手法によって不測のトラブル（サイト停止やメール障害など）が発生するリスクはどうしても残ります。「あの時点検しておけば良かった」という事態を防ぐためにも、ぜひこの機会での実施をご検討ください。
【他社で制作・放置してしまっているWebサイトでお困りの企業様へ】
今回のPHP問題をきっかけに、弊社で制作・管理していない企業様からも「今の制作会社と連絡が取れない」「作ったきりで誰にも管理させておらず、うちが今どうなっているのかすら分からない」といった不安のご相談が増えております。
もし貴社のWebサイトが以下のような状態に1つでも当てはまる場合、いつサイトが停止・改ざんされてもおかしくない危険な状態（時限爆弾を抱えている状態）と言えます。
このような状態になっていませんか？（危険度チェック）
- 制作から3年以上、一度もシステムの更新や点検をしていない（保守契約を結んでいない）
- 管理画面（WordPress）にログインすると、赤い丸の「更新通知」が大量に出ている（または怖くて触れない）
- 利用しているレンタルサーバー会社から「PHPバージョン変更のお知らせ」や「セキュリティに関する重要なお知らせ」等のメールが届いているが、意味が分からず放置している
- すでに画面の一部が崩れている、または急に画面が真っ白になって管理画面にも入れなくなった
- 当時の担当者や制作会社と連絡が取れず、サーバーやドメインの契約情報すら曖昧になっている
これらを「今はまだ普通に見られているから」と放置していると、ある日突然サイトが消えるだけでなく、先述の通り会社のメールアドレスまでブラックリストに登録され、取引先との連絡が完全にストップする事態になりかねません。
他社制作サイトの「現状診断・復旧・乗り換え」も承っております
弊社では、他社様で制作されたWordPressサイトの「現在の安全性・PHP環境の調査」「クラッシュしたサイトの緊急復旧」「不要プログラムの撤去・大掃除」もスポットにて承っております。
また、今後の再発を防ぐために、根本から壊れにくくシンプルな最新設計へのリニューアル（載せ替え）をご依頼いただいたお客様には、弊社標準サービスである「納品後の日常的なシステム監視・アップデート対応を【無償】で行うサポート体制」をそのままご提供しております。
「毎月高額な保守費用を払うのは負担が大きいけれど、放置してサイトやメールが止まるリスクは避けたい」という中小企業様にこそ、弊社の管理体制はお役に立てるはずです。
現在の状態を確認するだけでも構いません。手遅れになって業務がストップしてしまう前に、まずは一度お気軽にお問い合わせください。
まずは、お話を聞かせてください
ネットショップやホームページの新規制作・リニューアル、運営・販促のこと。
目的や現在の状況を伺いながら、必要なことを一緒に整理します。
ご相談の段階で、発注を前提にしていただく必要はありません。