自社のホームページを最後に更新したのは、いつでしょうか？
制作会社に依頼して数年前に作ったきり。
会社概要やサービス内容が掲載されているので、特に不便も感じていない。
お問い合わせフォームも動いているし、今のところ困ったことは何も起きていない。
中小企業では、こうしたホームページの運用も珍しくないと思います。
ただ、ここでひとつ質問があります。
そのホームページのセキュリティ対策は、今、誰が担当しているのでしょうか？
ホームページの制作会社でしょうか？
社内の担当者でしょうか？
それとも、契約しているレンタルサーバーの会社でしょうか？
もし、この質問にすぐ答えられないのであれば、一度確認しておいた方がいいかもしれません。
というのも、2026年10月21日、世界中の多くのホームページで使われている「PHP」というプログラミング言語に、非常に深刻なセキュリティ上の問題が見つかり、緊急の修正プログラムが公開されたからです。
今回のニュースは、単にIT技術者だけが気にしていればよい話ではありません。
むしろ、ホームページを作ったまま何年も手を加えていない企業こそ、自社の運用状況を見直すきっかけにしてほしいと思います。
PHPの緊急修正で、何が問題になったのか
今回見つかったのは、PHPの仕組みそのものに存在していた2件の深刻な脆弱性です。
「脆弱性」とは、簡単に言えば、プログラムに存在するセキュリティ上の弱点のことです。
今回の問題では、条件が揃うと、悪意のある第三者がログインなどの認証を行わずに、離れた場所からサーバー上で不正なプログラムを実行できるおそれがあります。
専門用語では「リモートコード実行（RCE）」と呼ばれますが、要するに、外部の人間に本来許可されていない操作をされる危険があるということです。
PHPの開発チームはこの問題を受けて、10月21日に修正版を公開し、利用者へ速やかな更新を呼びかけました。
ここで重要なのが、PHPはWordPressの動作を支える技術でもあるという点です。
WordPressは、専門的なプログラミングの知識がなくても、管理画面から文章や画像を編集できる便利な仕組みです。中小企業のホームページでも広く利用されています。
ただし、その裏側ではPHPなどのプログラムが動いています。
つまり、WordPressの管理画面を何年も触っていなかったとしても、ホームページの裏側にあるプログラムまで止まっているわけではありません。
さらに厄介なのは、WordPress本体とPHPは、それぞれ別に管理されるということです。
WordPressが最新の状態でも、サーバー側のPHPが古いままになっている可能性があります。反対に、契約先のサーバー会社がPHPの更新を管理している場合もあります。
今回の問題で必要なのは、WordPressという名前を見て慌てることではなく、まず自社のサイトで使用しているPHPが適切に更新されているか確認することです。
【補足：パッチとは】
プログラムの不具合やセキュリティ上の問題を修正するために配布される更新プログラムのことです。今回のPHPでは、利用しているバージョンに応じた修正版への更新が必要になります。
「うちみたいな小さな会社は狙われない」は通用しない
サイバー攻撃と聞くと、大企業や金融機関、政府機関などが標的になるイメージを持つ方もいるかもしれません。
確かに、特定の企業を狙って入念に準備する攻撃もあります。
しかし、それとは別に、インターネット上の不特定多数のホームページを機械的に調べ、侵入できそうな場所を探す攻撃も以前から存在しています。
この場合、企業の知名度や売上規模はあまり関係ありません。
攻撃者にとって重要なのは、その会社が有名かどうかではなく、利用できる弱点が残っているかどうかです。
例えば、世界中のホームページを自動的に調べ、古いソフトウェアを利用しているサイトを見つけ、侵入を試みる。こうした作業は、人間が一件ずつ手作業で行わなくても実行できます。
そして近年、この状況に生成AIの進歩が加わりました。
生成AIは文章や画像を作るだけではありません。プログラムの解析や、セキュリティ上の問題を発見する作業にも利用されています。
実際、今回のPHPの脆弱性についても、AIを活用したセキュリティ研究が発見に貢献しています。
もちろん、AIを利用しているのは攻撃者だけではありません。防御する側も同じ技術を使い、問題の発見や対策を進めています。
ただ、これまで高度な知識や多くの作業時間を必要としていた技術的な調査を、AIが支援できるようになったことは無視できません。
Googleのセキュリティ研究部門も、攻撃者がAIを脆弱性の調査や攻撃の自動化に利用する動きを報告しています。
今後は、問題が発見されてから対策するまでの時間が、これまで以上に重要になる可能性があります。
もし自社のホームページが不正に操作されれば、掲載内容を書き換えられたり、偽のサイトへ訪問者を誘導されたりするおそれがあります。
場合によっては、他のシステムへの攻撃に悪用されることも考えられます。
自社に盗まれて困る情報が少なかったとしても、それだけで安全とは言えないのです。
そもそも、そのホームページにWordPressは必要なのか？
ここからは、少し経営の話をしたいと思います。
私は普段、業務改善や組織開発の仕事をしていますが、何か問題が起きたときに、対策を追加することだけが解決策だとは考えていません。
例えば、確認ミスが起きたからチェック表を増やす。
チェック表が正しく使われているか心配だから、さらに別の確認作業を設ける。
そうやって業務を増やしていけば、安心感は得られるかもしれません。
しかし、管理する仕事そのものは増え続けます。
ホームページのセキュリティについても、同じことが言えるのではないでしょうか。
WordPressには、記事の投稿や画像の管理、デザインの変更、さまざまな機能の追加など、多くの便利な仕組みが用意されています。
頻繁に情報を発信する企業や、Webサイトを積極的に活用して集客している企業にとっては、こうした機能が大きな価値を持ちます。
一方で、次のようなホームページはどうでしょうか？
- 掲載している情報は会社概要、サービス紹介、アクセス情報が中心
- お知らせを更新するのは年に数回程度
- ブログ機能はあるものの、何年も記事を投稿していない
- Webサイト上で商品の販売や会員管理をしていない
- 制作会社との契約は納品時に終了し、その後の保守担当者が決まっていない
こうしたサイトでも、WordPressを利用している限り、本体や追加機能、サーバー側のプログラムなどを適切に管理する必要があります。
ここで考えてほしいのは、WordPressが優れているかどうかではありません。
年に数回しか更新しないホームページのために、多くの機能と管理作業を抱え続けることが、本当に合理的なのか、という問題です。
使わない機能であっても、適切な管理が必要なものはあります。
便利な仕組みを導入したはずなのに、その便利さをほとんど使わず、維持管理の負担だけが残っている。
業務改善の観点から見ると、これは一度見直してもよい状態だと思います。
「静的サイト」という、管理するものを減らす選択肢
ホームページには、大きく分けて「動的サイト」と「静的サイト」という仕組みがあります。
動的サイトは、アクセスに応じてサーバー側のプログラムが処理を行い、必要な情報を組み立てて表示する仕組みです。一般的なWordPressのサイトはこちらに分類されます。
一方、静的サイトは、あらかじめ作成されたページを訪問者に配信する仕組みです。
例えるなら、動的サイトが注文に応じてその場で調理する飲食店だとすれば、静的サイトは出来上がった商品を陳列しておく店舗に近いでしょう。
どちらが優れているという話ではなく、必要な機能が違います。
最新の記事を管理画面から簡単に投稿したい。
会員ごとに異なる情報を表示したい。
商品を販売したい。
そうした用途には、動的な仕組みが役立ちます。
一方で、会社概要や事業内容など、基本的に同じ情報を表示するだけであれば、その都度サーバーで複雑な処理を行う必要はありません。
静的サイトとして公開すれば、少なくとも公開用サーバーでWordPressやPHP、データベースを動かさずに済ませる設計が可能です。
今回のようにPHPそのものに重大な脆弱性が見つかった場合でも、公開用サイトがPHPを使用していなければ、そのPHPを狙う攻撃経路をなくすことができます。
これは、セキュリティ対策を新しく追加した結果ではありません。
攻撃される可能性のある仕組みそのものを減らした結果です。
ただし、静的サイトにすれば何も管理しなくてよい、というわけではありません。
問い合わせフォームには別の処理が必要ですし、ドメインや公開用アカウントの管理、外部サービスの安全性など、確認すべきことは残ります。
また、静的サイトに移行した結果、ちょっとした文章の修正にも専門業者への依頼が必要になり、かえって不便になる場合もあります。
そのため、更新頻度だけでなく、誰が更新するのか、どの程度の費用や手間がかかるのかまで含めて検討する必要があります。
WordPressの管理画面を残しつつ、一般公開するページだけを静的なファイルに変換する方法もあります。
ただし、この場合も編集用WordPressの保守は必要です。
大切なのは、すべての企業が静的サイトに移行することではなく、自社の使い方に対して、必要以上に複雑な仕組みを持っていないかを確認することです。
今、ホームページを持つ企業が確認しておきたいこと
ここまで、Webサイトの仕組みそのものを見直す話をしてきました。
ただし、今回のPHPの脆弱性は、将来のサイト移行を考えている間にも放置してよい問題ではありません。
まずは現在の安全性を確認することが先決です。
1. PHPの更新状況を確認する
WordPressを利用している場合、管理画面の「ツール」から「サイトヘルス」を開き、「情報」内の「サーバー」でPHPのバージョンを確認できます。
今回公開された修正版は、PHP 8.5.12、8.4.27、8.3.36、8.2.35です。使用している系列によって、必要な更新先は異なります。
古いPHPを利用している場合は、契約先のサーバー会社や保守担当者へ確認してください。
なお、PHP 8.1以前はPHP開発チームによる通常のサポートが終了しています。提供事業者が独自に修正を適用しているケースもあるため、表示されたバージョンだけで判断できない場合があります。
専門知識がないまま設定を変更すると、ホームページが正常に表示されなくなる可能性もあります。更新前のバックアップや動作確認についても、担当者に相談することをおすすめします。
2. 誰が保守を担当しているのか確認する
ホームページの制作を依頼した会社が、その後の保守まで担当しているとは限りません。
納品後は保守契約がなく、更新やセキュリティ対応が依頼した企業自身の責任になっているケースもあります。
WordPress本体、追加機能、PHP、サーバー環境について、それぞれ誰が管理する契約になっているのか。
確認しておくべきなのは、この点です。
「制作会社に任せたから大丈夫」と思っていても、そもそも保守を依頼していなければ、誰も確認していない可能性があります。
3. 今のホームページに必要な機能を整理する
緊急の更新対応が済んだら、次に考えてほしいのが、現在のホームページの役割です。
情報発信や集客のために頻繁に更新しているなら、WordPressを適切に保守しながら使い続けることにも十分な合理性があります。
保守作業をサーバー事業者などへ任せられるサービスを利用する方法もあります。
反対に、会社案内として最低限の情報を掲載することが中心であれば、よりシンプルな仕組みへ移行することも選択肢になるでしょう。
どちらを選ぶとしても、目的は同じです。
自社の事業に必要な機能を確保しながら、管理の負担とリスクを適切な範囲に収めることです。
セキュリティ対策も、業務改善のひとつです
企業のセキュリティ対策というと、新しいソフトウェアを導入したり、監視体制を強化したりといった話になりがちです。
もちろん、必要な対策は実施しなければなりません。
ただ、私はそれと同じくらい、管理する必要がなくなったものを整理することも大切だと考えています。
使っていない機能を削除する。
必要のなくなったシステムを廃止する。
自社で管理する合理性が低いものについては、外部サービスの利用も検討する。
こうした判断は、一見すると地味な業務改善です。
しかし、管理するものが減れば、確認すべき項目も減ります。保守に必要な時間や費用を、別の仕事へ振り向けることもできます。
そして何より、担当者がいなくなった途端に誰も仕組みを理解できなくなる、といった問題も起きにくくなります。
今回のPHPの緊急修正は、Webサイトを持つ企業にとって重大なセキュリティ上の出来事でした。
同時に、自社のホームページを何のために持ち、誰が維持管理し、どこまでの機能が必要なのかを考え直す機会でもあると思います。
「以前から使っているから」という理由だけで残している仕組みは、業務の中にも、ITシステムの中にも意外と多いものです。
新しいものを導入する前に、そもそも今あるものが本当に必要なのかを考える。
ホームページの安全性についても、まずはそこから見直してみてはいかがでしょうか。
