「うちは小さい会社だから」「ホームページには個人情報を置いていないから」。セキュリティの話になると、こう考えたくなるかもしれません。でも、そのホームページを訪れるお客さんや取引先のことまで考えると、「盗まれる情報がないから大丈夫」とは言えなくなります。
攻撃者が、あなたの会社を知っている必要はない
攻撃は、必ずしも一社ずつ会社を調べてから始まるわけではありません。広く使われるソフトウェアの弱点を探し、条件に当てはまるサイトをまとめて狙う方法があります。会社の知名度よりも、侵入できる状態かどうかが問題になるのです。
こうした自動化は、AI以前から存在します。IPAも、インターネット上の多数のサイトを効率よく改ざんする自動化ツールについて、以前から注意を促してきました。小さなサイトなら見逃してもらえるという期待は、もともと安全の根拠にはなりません。IPAの解説
そこにAIが加わっています。英国NCSCは、AIが脆弱性の発見や攻撃前の調査を、より速く、大きな規模で行う助けになっていると説明しています。「何百社、何千社を同時に」という数字を一律には言えませんが、人が一件ずつ調べる手間を前提にして安心するのは、ますます難しくなっています。NCSCの見解
今回は、プラグインだけの問題ではない
2026年10月21日、PHPに二つの重大な脆弱性を修正する更新が公開されました。CVE-2026-109618とCVE-2026-109619です。条件がそろうと、ログインしていない攻撃者が、遠隔からコードを実行できるおそれがあります。JPCERT/CCも注意喚起を公開しています。JPCERT/CCの注意喚起
PHPは、WordPressなどの裏側で動く基盤技術です。特定のプラグインの不具合なら、基本的にはその製品の影響を受けるバージョンや利用条件を確認します。今回はPHP本体の問題なので、特定のプラグインを使っていないサイトでも、確認が必要になります。
ただし、PHPを使うすべてのサイトが同じ条件で乗っ取られる、という意味ではありません。バージョンや実行方式、設定によって状況は異なります。PHP公式はWebリクエストを処理する環境に更新を呼びかけ、特にApacheのmod_phpでは、サイト側のプログラムが動き始める前に攻撃が成立する実証があるとしています。PHP公式の発表
サイトの見た目を更新した、WordPressを最新版にした。それだけで、サーバー側のPHPまで修正済みとは限りません。
個人情報がなくても、訪問者は被害に遭う
侵入されたホームページは、攻撃者にとって別の使い道があります。
訪問者を偽サイトへ転送する。フィッシング用のページを勝手に置く。不正なプログラムを配る。検索結果を悪用するためのページやリンクを埋め込む。こうした改ざんは、会社案内だけのサイトでも問題になります。
Googleも、侵害されたサイトへの不正なページ追加や、訪問者を有害なサイトへ転送する手口を説明しています。これは今回のPHPの脆弱性で確認された被害一覧ではなく、サイトを侵害された後に起こり得る被害です。Googleの解説
しかも、管理者が普段どおりに開いたときは正常で、検索結果から来た人や特定の端末だけが転送される場合もあります。「トップページが普通に見える」だけでは、安全を確かめたことになりません。
自社に個人情報がなくても、自社の名前を信頼して訪れた人が、別の場所で情報やお金を奪われるかもしれない。守る対象には、訪問者と、これまで積み上げてきた信用も含まれます。
まずは「誰が更新するのか」を確認する
難しい設定を、自分で手探りで変更する必要はありません。まず、制作会社やサーバー会社に、次の三点を確認してください。
- このサイトが使うPHPは、今回の修正が適用済みか。
- 更新が必要なら、誰が、いつまでに対応するか。
- 不審な転送や改ざんなどがないか、どこまで確認できているか。
更新は弱点を塞ぐための対応です。すでに侵入されていないことの確認とは分けて考える必要があります。異常がある場合は、ログなどを保全し、管理担当者と公開停止や調査を相談してください。
小さなホームページにも、毎日、誰かが訪れます。その人たちを安全に迎えられる状態を保つことは、公開を続けるための大切な仕事です。