はじめに（この記事は約8分で読めます）
「ホームページのセキュリティの話は聞いたけれど、結局何が怖いのか、いまひとつピンとこない」という経営者様の声を耳にします。ニュースでは「脆弱性」「遠隔操作」といった言葉が並びますが、自社の売上や信用にどう結びつくのかまでは語られないことが多いのではないでしょうか。2026年10月21日に公表されたPHPの重大な脆弱性「PHP2Shell」も、まさにそうした話題のひとつです。放置した場合、サーバーの乗っ取りから事業継続への影響まで、段階的に被害が広がっていく可能性があります。この記事では、起こりうる5つの被害を「何が起きるか」と「経営にどう響くか」の2段で整理します。すでに公開しているPHP・Node.js・AIのセキュリティ対策の記事と合わせて読んでいただくと、全体像がつかみやすくなります。
目次：放置で起こりうる5つの被害を知る
- 今回の脆弱性「PHP2Shell」とは
- 「小さな会社だから関係ない」とは言えない理由
- 放置で起こりうる被害①：遠隔操作によるサーバー乗っ取り
- 放置で起こりうる被害②：顧客情報・個人情報の漏えい
- 放置で起こりうる被害③：サイトの改ざん・不正利用
- 放置で起こりうる被害④：サービス停止・緊急メンテナンス
- 放置で起こりうる被害⑤：事業継続への影響
- 今からできる対策
1. 今回の脆弱性「PHP2Shell」とは
2026年10月21日、多くのホームページで使われているプログラミング言語「PHP」に、重大な脆弱性2件が見つかり公表されました。通称「PHP2Shell」と呼ばれ、CVE番号はCVE-2026-109618・CVE-2026-109619です。深刻度を示すCVSS v4.0のスコアはいずれも9.2と評価されており、これは認証なしで遠隔からサーバーを操作できてしまうという、きわめて深刻な内容です。専門的には「遠隔コード実行（RCE）」と呼ばれる種類の脆弱性で、攻撃者がパスワードなどを知らなくても、外部からサーバーに命令を送り込める状態を指します。
修正版はPHP 8.2.35・8.3.36・8.4.27・8.5.12で提供されていますが、PHP 8.1以前はすでに公式のサポートが終了しており、パッチが提供されません。古いバージョンのまま運用しているホームページは、修正そのものを受け取れない状態にあります。
2. 「小さな会社だから関係ない」とは言えない理由
今回は、高市総理が自身のXで「今夜中に対応してほしい」と緊急の呼びかけを行い、国家サイバー統括室も「パッチを当てられない場合はサイトの一時停止が有効」と案内するほどの出来事でした。ニコニコ・pixivなど大手サービスもメンテナンスに入ったと報じられており、企業の規模を問わず対応が求められたことがうかがえます。
「アクセス数の少ない会社サイトだから狙われない」と考えたくなるところですが、攻撃は人の手だけでなく自動化された仕組みによって広く行われることが多いようです。古いバージョンのPHPが動いているかどうかは、サイトの知名度ではなく技術的な条件だけで判定されてしまいます。八王子・多摩エリアの中小企業様のホームページも、例外ではないと考えます。
3. 放置で起こりうる被害①：遠隔操作によるサーバー乗っ取り
何が起きるか 今回のような脆弱性が放置された場合、外部から認証を経ずにサーバーを操作できてしまう可能性があります。管理者の知らないうちにプログラムを書き換えられたり、サーバー内の別のファイルにまで手を伸ばされたりする事態も考えられます。実際に、遠隔操作でサーバーを乗っ取られた事例が報告されています。
経営にどう響くか サーバーを奪われると、ホームページだけでなく、そこに紐づくメールアカウントや管理システムにも影響が及ぶおそれがあります。復旧までの間、採用ページや会社案内が見られない状態が続けば、商談や応募の機会を取りこぼすことにもつながりかねません。
4. 放置で起こりうる被害②：顧客情報・個人情報の漏えい
何が起きるか 問い合わせフォームや会員ページなどに保管されている氏名・メールアドレス・電話番号といった情報に加え、サーバーが一時的に保持しているパスワードやログイン情報までが、外部に持ち出されるおそれがあります。ECサイトや予約システムを運用している場合は、購買履歴まで含まれる可能性もあります。
経営にどう響くか 個人情報の漏えいは、謝罪対応や調査費用といった直接的な負担だけでなく、取引先・お客様からの信用低下にもつながります。一度失った信用を取り戻すには、新たに獲得する以上の時間がかかることが多いようです。
5. 放置で起こりうる被害③：サイトの改ざん・不正利用
何が起きるか ホームページの内容を書き換えられ、偽サイトへの誘導や不審な広告の表示に使われるケースが報告されています。サイト自体が、別の企業を攻撃するための「踏み台」として悪用されることもあると言われています。この場合、自社は被害を受けた側であるにもかかわらず、攻撃の発信元として記録され、取引先から経緯の説明を求められる事態につながる可能性も考えられます。
経営にどう響くか 検索エンジンやブラウザから「危険なサイト」と判定されると、既存のお客様だけでなく、これから検討してくださる見込み客にも届きにくくなります。SEO・AIO対策に力を入れてきた会社ほど、積み上げた評価を一時的に失うリスクが大きいのではないでしょうか。
6. 放置で起こりうる被害④：サービス停止・緊急メンテナンス
何が起きるか 脆弱性への対応が追いつかない場合、国家サイバー統括室が案内したように、サイトそのものを一時停止するという判断が必要になる場面があります。今回、大手サービスも含めて緊急メンテナンスに入ったと報じられているのは、その一例です。
経営にどう響くか 会社の顔となるホームページが見られない時間が発生すると、新規のお問い合わせや採用応募の受け口が一時的に失われます。特に、キャンペーンや展示会の直後など、アクセスが集中する時期に重なった場合は、機会損失がより大きくなると考えられます。
7. 放置で起こりうる被害⑤：事業継続への影響
何が起きるか 侵害の規模や原因の特定に時間がかかると、復旧までの対応が長期化することがあります。バックアップの有無や、サーバー・制作会社との連携体制によって、復旧にかかる時間は大きく変わるようです。
経営にどう響くか 対応が長期化し、復旧コストや信用の低下から事業継続そのものに影響した例も報告されています。ホームページが集客や受注の窓口になっている会社ほど、復旧までの期間がそのまま売上の停滞に直結しやすいのではないでしょうか。セキュリティへの備えは、守りのための支出というより、売上を守るための投資のひとつと捉えることもできるのではないかと考えます。
8. 今からできる対策
ここまでの5つの被害は、どれも「放置した場合」の話です。裏を返せば、早い段階で気づいて対応できれば、回避できる被害でもあります。まずは次の点を確認することをおすすめします。
- 自社サイトのPHP・WordPress本体・プラグインのバージョンを把握しているか
- 管理している制作会社・サーバー会社に、今回の脆弱性対応の状況を確認したか
- バックアップから実際に復旧できる体制が整っているか
- 緊急時の連絡先と対応の流れが決まっているか
テラデザインでは、ホームページの制作だけでなく、公開後の運用・保守まで含めてご相談いただける「お店のミカタホームページ」をご用意しています。「自社のサイトが何で動いているかよく分からない」という状態であれば、まずは現状の確認から始めることをおすすめします。
まとめ
PHPの脆弱性「PHP2Shell」は、CVSS v4.0で9.2という非常に高い深刻度を持つ出来事でした。放置した場合には、遠隔操作によるサーバー乗っ取り・個人情報の漏えい・サイトの改ざん・サービス停止・事業継続への影響という5つの被害に段階的につながる可能性があります。一方で、バージョンの確認や保守体制の見直しなど、小さな一歩から対応を始めることで、こうしたリスクは下げられると考えます。まずは自社サイトの現状を知ることから始めてみてはいかがでしょうか。
よくある質問
Q. 自社のホームページがPHPで作られているか分かりません。どう確認すればよいですか。 A. 多くのWordPressサイトはPHPで動いています。契約している制作会社・サーバー会社に問い合わせれば、使用しているバージョンを確認してもらえます。自己判断が難しい場合は、ご相談ください。
Q. すぐに修正できない場合、どうすればよいですか。 A. 国家サイバー統括室が案内したように、修正の適用までサイトを一時停止することも一つの対策になります。停止による影響と、放置した場合のリスクを比較したうえで判断することをおすすめします。
Q. 一度対応すれば、もう安心なのでしょうか。 A. 今回のような脆弱性は、今後も発見される可能性があります。一度の対応で終わらせず、定期的にバージョンを確認し続ける体制をつくることが大切だと考えます。
Q. ECサイトや会員サイトを運営している場合、特に注意することはありますか。 A. 顧客の個人情報や購買履歴を保管している分、漏えいした場合の影響が大きくなります。通常のホームページ以上に、保管場所・バックアップ体制・復旧手順を制作会社と一緒に確認しておくことをおすすめします。
※本記事は一般的な情報提供を目的としたものです。個別の脆弱性対応・設定変更・侵害の疑いがある場合は、契約中のサーバー会社・制作会社・セキュリティ専門家にご相談ください。2026年10月時点の情報です。最新の内容は公式サイトでご確認ください。
まずは無料でご相談ください
ホームページのセキュリティ対応や、放置されている古いバージョンの確認は、自己判断が難しい分野です。テラデザインでは、PHP・WordPressのバージョン確認から、保守体制の見直しまで、現状把握のご相談を承っています。気になることがある方は、まずはLINEからお気軽にご相談ください。
著者プロフィール
小宮山 泉（株式会社テラデザイン代表。中小企業・店舗のWeb制作とAI活用を支援しています。業種ごとの現場感を踏まえ、無理のない範囲での導入提案を心がけています。）