PHPの重大な脆弱性、自社のホームページと業務システムは何を確認すれば良い？――保守会社に送る文面と、バージョン番号だけでは分からない理由

産廃事業者が、自社のホームページと業務システムについて、今日どこまで確かめておけば良いかをまとめた記事です。毎週お届けしているコラムとは別に、急ぎの話題として単発でお送りします。

自社のホームページと業務システムは、誰が保守していますか。今回の修正は入っていますか。今後もサポートされますか。すぐに答えられない場合、保守をお願いしている会社に問い合わせてみてください。PHPについて詳しくなくても大丈夫です。

先に結論。この文面を送ってください

ホームページと業務システムの保守先に、そのまま送れる文面です。専門用語は必要ありません。理由はこのあとご説明します。

送り先は2つあります。ホームページの制作会社と、業務システムの会社です。別の会社であることが多いので、両方に送ってください。

業務システムは社内に窓口のご担当者がいることがほとんどかと思いますが、ホームページは制作会社に作ってもらったきり、社内で誰も担当していないことがあります。業務システムだけ確認して終わりにせず、ホームページもあわせてご確認ください。

なぜ、いま確認するのか

PHPは、ホームページや、ブラウザから使う業務システムを動かすために広く使われているプログラムです。2026年10月21日、このPHPに2件の脆弱性が公表され、あわせて修正版が公開されました。公表から1週間あまりがたち、国内のレンタルサーバー事業者の中には、緊急メンテナンスの完了を公表しているところもあります。ただし、自社の環境に修正が入ったかどうかは、聞かなければ分かりません。

対象は、公開しているホームページと、ブラウザで使う業務システムです。社内ネットワークの中だけで使っているものも含みます。セキュリティ事業者の検証では、ログインの前の段階で成立することが確認されています。「社内専用だから」「ログインが必要だから」という理由だけでは、対象外とは判断しにくい状況です。

公表の直後から、この脆弱性を狙うアクセスが観測されたとする報告が、複数のセキュリティ事業者から出ています。JPCERT/CCも、速やかに対策の適用と侵害有無の調査を行うよう呼びかけています。会社の規模だけで対象外とは判断できません。

処理業者のシステムには、排出事業者ごとの処理単価と委託契約、マニフェストの履歴、許可の情報がまとめて入っていることが少なくありません。単価が外に出た場合、その後の価格交渉で不利になることも考えられます。配車・受発注・計量・請求などをブラウザで行っている会社では、システムが止まると、収集運搬や受入、請求処理にも影響が出かねません。

自社のホームページも対象になり得ます。業務システムと違って、止まっても今日の業務は回りますので、後回しにされがちです。ただ、ホームページで起きることの影響は、自社が困るかどうかとは別のところに出ます。

以下は今回の脆弱性に固有の事例ではなく、一般に、外から送り込まれたプログラムが動く状態になったときに起こり得ることです。サイトを書き換えられたり、自社のドメインの下に別のページを置かれたり、迷惑メールの送信元に使われたりすることがあります。許可業者のホームページは、取引先や自治体が委託先を確かめに来る場所です。そこで想定外の表示が出ていれば、見に来た相手の判断にも影響しかねません。自社のドメインから出したメールが、相手に届かなくなることもあります。

サーバー上にあるのは、業務の情報だけではありません。問い合わせフォームから受け取った情報のほか、業務システムに入っている排出事業者のご担当者名や連絡先、自社の従業員の情報も、同じ環境の上にあります。

個人情報保護法第23条は、取り扱う個人データの安全管理のために必要かつ適切な措置を講じることを事業者に求めています。また、保守や制作を外部に委託していて、その相手が個人データに触れ得る場合は、委託先の監督（同法第25条）も事業者側の役割とされています。今回の確認は、その一環にあたります。

ここまで挙げたことは、どれも起きてからでは対応に時間も費用もかかります。確かめる方法は、保守をお願いしている先に連絡を1本入れることです。

バージョン番号だけでは判断できません

はじめにお伝えした文面例の1番でバージョンについて聞いていますが、バージョン番号だけでは答えになりません。要になるのは2番です。

同じ番号のままでも、使っているOSやレンタルサーバーの提供元が修正済みのものを提供していて、該当する箇所だけが直っていることがあります。逆に、番号が新しくても、その環境に修正が入っているとは限りません。

ですから、「バージョンが古いから危ない」とも「新しいから安全」とも言えません。聞くべきは、今回の修正が実際に動いている環境に入っているかどうかです。

返ってきた答えの読み方

確認するポイントは2つです。1つは、今回の2件への修正が入っているか（文面の2番）。もう1つは、その環境が今後もサポート対象か（3番）。この2つは別の話で、組み合わせると会社の状態はおおむね3つに分かれます。

（A）修正が入っていて、今後もサポート対象。
確認した結果を記録して、運用を続けてください。

（B）修正は入っているが、サポートが終了している、または終了が決まっている。
今回の一次対応は済んでいますが、次の脆弱性には修正が出ないことがあります。JPCERT/CCも、サポートされている系列へのアップグレードを推奨しています。移行をいつ検討するか保守先と相談しておく段階です。

（C）修正が入っていない、または状況が分からない。
適用の予定、当面の対応、移行や作り直しの要否まで、保守先に続けて確認してください。

（A）であれば、担当の方の確認で完了です。（B）と（C）は、費用と時期の判断になりますので、担当の方だけでは決められません。経営層の方のご判断が必要になります。

返ってきた答えは、確認した日を添えて記録に残してください。あわせて、提供元のお知らせや修正済みパッケージの番号など、対応の根拠も残しておくと、後から確かめ直せます。バージョン番号だけでは、確かめ直す手がかりになりません。

「エラーは出ていません」だけでは、確かめたことになりません

JPCERT/CCは、攻撃手法やログの記録状況によっては攻撃の痕跡が残らない場合があり、痕跡が確認されない場合でも攻撃を受けていないと断定することはできないとしています。

セキュリティ事業者のDatadog Security Labsも、同社の検証環境で次のことを確認したと公表しています。攻撃が成立しても通常どおりの応答が返り、エラーが残らないことがある。標準的な設定のアクセスの記録には、送信された中身が残っていないことがある。手がかりになるファイルは、環境によっては時間がたつと自動で消える。

ですから、「エラーが出ていないので問題ありません」という回答が返ってきた場合は、もう一歩踏み込んで記録の有無まで聞いておくと安心です。文面の最後で「不審なアクセスの有無を調べる必要があるか、その期間のログが残っているか」を聞いているのは、そのためです。調べられる記録が残っていない、という答えであれば、それ自体が今後の備えとして見直すべき点になります。

連絡が来ていない・保守先が分からない場合

今回の件で、保守会社から御社へ連絡は来ていますか。来ていない場合、保守の範囲に入っていない、窓口が決まっていない、個別の連絡を行わない運用になっている、などが考えられます。いずれにしても、自社から聞けば確かめられます。

制作会社と連絡が取れない、あるいはその会社がすでにない、という場合もあります。このときは、サーバーを借りている会社に聞けば動いているバージョンと提供元だけは分かることがあるので、そこから確かめてください。

まとめ――今日できること

今日できるのは、1本のメールか、電話での問い合わせです。冒頭の文面を保守先に送って回答が返ってくれば、今回の修正が入っているか、今後もサポートされるか、移行を考える必要があるかの3つを一次判断する材料が揃います。

この記事を社内の担当の方や保守会社に転送される場合は、（A）（B）（C）のどれだったかを返すよう、あわせてお伝えください。（A）なら担当の方で完了、（B）（C）なら経営の判断になります。

まずは、現在の保守会社・制作会社にご確認ください。

当社では、脆弱性の診断や緊急の修正適用は行っておりません。ただ、返答が（A）（B）（C）のどれに当たるか判断しにくい場合は、その回答文をそのままお送りください。移行や作り直しが必要な状態かどうか、整理するお手伝いが可能です。その際、ご担当者のお名前や連絡先は伏せた状態でお送りいただけます。

ご相談の受付：お問い合わせフォーム

保守先の回答を見た結果、「今の環境のままでは対応できない」「作り直しが必要」という結論になった場合の受け皿として、当社ではオリジナルシステム開発とホームページ制作を承っています。ただし、まずは保守先の回答を得てください。

▼サービスについて詳しくはこちら

▼HP・映像制作サービスについてはこちら

※2026年10月23日、PHP公式は、特定の設定と処理の組み合わせで関係する別の脆弱性（CVE-2026-115560）について情報提供し、その時点での暫定対応を案内しました。該当するかどうかはアプリケーションの作りによって変わり、設定変更は動作に影響する場合があります。設定の変更は自社だけで判断せず、その後の修正版や案内の更新も含めて、今回の2件とあわせて必要な対応がないかを保守会社にご確認ください。

【一次情報・確認資料（2026年10月26日確認）】

・PHP公式 セキュリティリリース（2026年10月21日）

・PHP公式アドバイザリ「RCE via OOM corruption」（CVE-2026-109618）

・PHP公式アドバイザリ「RCE via stale global state」（CVE-2026-109619）

・PHP公式 情報提供（2026年10月23日・CVE-2026-115560）

・PHP公式 Supported Versions

・PHP公式 Unsupported Branches

・JPCERT/CC「PHPにおける複数の脆弱性に関する注意喚起」（JPCERT-AT-2026-0033・2026年10月22日）

・個人情報保護委員会 個人情報の保護に関する法律についてのガイドライン（通則編）

・Ubuntu「php2shell (CVE-2026-109618 and CVE-2026-109619)」

・Datadog Security Labs「PHP2Shell: detection, analysis, and remediation」（検知とログに関する検証）

・さくらインターネット「PHPの脆弱性への対応状況について」（2026年10月22日）

・ロリポップ！「PHPの脆弱性への対応に伴うメンテナンス完了と経緯のご報告」（2026年10月22日）

公開日：2026年10月28日／最終更新日：2026年10月28日／事実確認日：2026年10月26日