－ 会社のホームページが知らぬ間に乗っ取り？
お名前.comからの通知
10月22日の夕方、私が利用しているレンタルサーバー会社「お名前.com」から、通知が有りました。
「PHPの重大な脆弱性への対応について」
なんでも、PHPというプログラムに非常に危険な欠陥が発見され、世界中のWebサーバーで緊急対応が必要になっているらしいのです。
お名前.comでも、緊急メンテナンスを実施し、ファイルマネージャーやWebメールなどの機能を一時停止するとのこと。
私はこのブログをWordPressで運営していますが、そのWordPressもPHPで動いています。
つまり、他人事ではありません。
せっかく書いたブログを公開しようとしたら、サーバーが止まっていた……なんてことも考えられます。
もっとも、私のブログが数時間止まったところで、世の中には何の影響もありません。困るのはおそらく私一人です。
しかし、これが銀行や企業、政府機関のWebサイトだったら、笑ってばかりもいられません。
今まで、１日にブログ投稿は１記事と思っていましたが、内容が内容なので、今日2記事目の投稿です。
PHPって何だ？ そもそも何の略だ？
PHPとは、主にWebサイトを動かすためのプログラミング言語です。
私のようにWordPressでブログを書いている人も、普段は意識しませんが、その裏側ではPHPが働いています。
例えば、読者が記事を開くと、サーバー側でPHPが動き、データベースから記事を取り出して表示するページを作ります。いわば、ホームページの裏方さんです。
ちなみにPHPとは、現在では**「PHP: Hypertext Preprocessor」の略だそうです。
PHPの頭文字が、またPHP。これを「再帰的頭字語」**と呼ぶらしい。
自分の名前の説明に、自分の名前を使うとは、ずいぶん変わった命名です。
「よたろーとは、よたろーという名の老人である」と言っているようなものです。説明になっているのか、なっていないのか。
さて、そのPHPに、今回は極めて深刻な欠陥が見つかったのです。
世界中のWebサーバーに訪れた緊急事態
2026年10月21日、PHPの開発元は、重大な脆弱性2件を修正した新しいバージョンを公開しました。
脆弱性というのは、簡単に言えば、プログラムに存在するセキュリティ上の弱点です。
今回発表されたのは、条件によっては、攻撃者が認証を受けずに外部からサーバー上で不正なプログラムを実行できてしまうというもの。
深刻度を示す指標は、CVSSバージョン4.0で9.2という非常に高い値です。
開発元が公開した修正版は、PHP 8.2.35、8.3.36、8.4.27、8.5.12。
利用者には、速やかな更新が求められています。
もちろん、PHPを使っているすべてのホームページが、直ちに乗っ取られるという意味ではありません。
実際の危険性は、PHPのバージョンやサーバーの構成などによって異なります。
しかし、条件によっては、情報の窃取やシステムの乗っ取りにもつながりかねません。
財務省でも今回の問題を受けて、一部のコンテンツやサービスを一時停止する対応が発表されました。国の機関まで対応を迫られているのです。
これは、単なるブログのトラブルでは済まない話です。
お名前.comは、その日のうちにサポート完了！
ところが、10月22日の夜には、もう一件の通知が有りました。
今度の件名は、「PHPの脆弱性への弊社対応完了のお知らせ」。
お名前.comによれば、同日20時45分にすべての対応が完了したとのこと。停止していたWebメールやファイルマネージャーなども再開されました。
それだけではありません。
今回の対応では、利用者が設定しているPHPのバージョンを変更せず、そのまま修正プログラムを適用したそうです。これは一般に**「バックポート」**と呼ばれる方法です。
例えば、PHP 8.4.26を使っていた人は、そのまま8.4.26と表示されます。
しかし、その中には今回の脆弱性に対する修正が取り込まれているようです。
これはなかなかありがたい対応です。なぜなら、PHPのバージョンを上げると、古いWordPressのプラグインなどが正常に動かなくなる場合があるからです。
利用者の環境をできるだけ変えずに、今回の危険な部分だけを修正する。さすがは専門のサーバー会社です。
もっとも、古いPHPを使い続けても、すべて安全という意味ではありません。
今回の修正で対処されたのは、今回発見された脆弱性です。古いバージョンに残る別の問題や、将来の脆弱性まで解決したわけではありません。
それでも、世界中が対応に追われる中で、当日中に対策を終えてくれたのは、利用者としてありがたい限りです。
20年ほど前、ある会社のホームページがアダルトサイトになった
さて、ここからが今日の本題です。
今から20年ほど前の話です。
ある会社のホームページが、いつの間にかアダルトサイトのような内容に書き換えられていたのです。会社案内だったはずのページが、まったく違うものになっている。
しかも、恐ろしいのはそこからです。
その会社の社員が、誰も気づいていなかったのです。
考えてみれば、社員が自分の会社のホームページを毎日見ることなど、あまりありません。
営業社員なら、自分の会社案内を見るよりお客様のところへ行く方が大切です。
経理担当者なら、請求書や伝票を処理する方が忙しい。
社長だって、自社のホームページを毎朝確認するとは限りません。
結果として、改ざんされた状態が何日も続いていたのです。
そして、ようやく発覚したものの、今度は元に戻せる人がいない。
誰が管理しているのか。どこを直せばよいのか。すぐには分からず、対応にも困っていたのです。
私は、その会社の改ざんの原因までは知りません。
当時は、HTMLやJavaScript程度で作られた、比較的単純なホームページだったのではないかと思います。今回のPHPの脆弱性とは、まったく別の話です。
しかし、「ホームページを持っているのに、それを守る人がいない」。
この問題は、今でも十分に起こり得るのではないでしょうか。
当時、ウイルス対策にお金を出さない会社もあった
あの頃、企業のコンピューター環境は今とはかなり違っていました。
私が知る範囲でも、サーバーや社員用パソコンに、ウイルス対策ソフトすら入れていない会社が数多くありました。
理由は簡単です。
「そんなものに、お金をかけたくない」
ウイルス対策ソフトを購入しても、売上が増えるわけではありません。導入した翌日から、社員の仕事が速くなるわけでもない。何も起きなければ、経営者には無駄な経費に見えてしまう。
「うちの会社なんか、誰も狙わないよ」という考え方です。
しかし、攻撃する側は、その会社が有名かどうかなど、必ずしも気にしません。
弱いシステムを自動的に探し、侵入できるところを狙います。社員が10人しかいない会社でも、サーバーがインターネットに接続されていれば、攻撃対象になり得るのです。
そもそも、何も問題が起きていなかったのか。
それとも、問題が起きていることに気づいていなかっただけなのか。
ここには大きな違いがあります。
会社の看板が、犯罪の道具になる
ホームページの改ざんというと、画面に奇妙な画像が表示されたり、アダルトサイトに書き換えられたりすることを想像するかもしれません。
しかし、もっと厄介なのは、見た目が何も変わらないケースです。
普通に会社案内が表示される。製品紹介も正常に見える。お問い合わせのページも開く。
それなのに、サーバーの裏側では、悪意のあるプログラムが動いている。
盗んだ情報を外部に送ったり、別のコンピューターへの攻撃に利用されたりする可能性があります。いわゆる**「踏み台」**です。
自分の会社は被害者のつもりでも、知らないうちに、別の会社を攻撃するための中継地点にされているかもしれない。
アダルトサイトに書き換えられれば、まだ誰かが気づきます。しかし、見た目が正常なまま悪用されていたら、いつまで気づかないのでしょうか。考えただけでも恐ろしい話です。
技術は進歩した。しかし、人間はどうだろう
20年前と比較すると、コンピューターの技術は驚くほど進歩しました。
今ではAIがプログラムまで書いてくれます。セキュリティ監視も自動化され、不審なアクセスを検知する仕組みも充実しています。
今回も、PHPの開発元は緊急の修正版を公開し、お名前.comはその日のうちに対応を完了しました。
しかし、修正プログラムを実際に導入するのは、結局のところ人間が管理する組織です。
- 「今、正常に動いているから触らない方がいい」
- 「更新したら、ホームページが動かなくなるかもしれない」
- 「担当者が辞めてしまったので、よく分からない」
- 「今年は予算がないから、来年考えよう」
そんな理由で、古いシステムが残り続けていることもあるでしょう。
20年前は、ウイルス対策ソフトにお金を出したくない会社があった。
今は、サーバーの保守や更新にお金を出したくない会社があるのかもしれない。
技術は進歩しても、人間の考え方は、案外変わっていないものです。
自分の会社のホームページ、誰が管理していますか？
今回の騒動をきっかけに、企業の経営者や担当者には、一度確認していただきたいことがあります。
- 自社のホームページはどこのサーバーで動いているのか？
- OSやPHPなどは適切に更新されているのか？
- セキュリティの問題が発生したら誰に連絡するのか？
- 万一改ざんされた場合、誰が復旧するのか？
そして何より、「自社のホームページに異常が発生したとき、誰が気づくのか」。
難しいプログラムの知識はなくても、少なくともこれくらいは会社として把握しておきたいものです。
自分の会社のホームページ、対応できますか？
20年前、会社のホームページがアダルトサイトに書き換えられ、何日も誰も気づかなかったという実話を、私は今でも覚えています。
2026年の現在、同じようなことが起こらないとは言い切れません。
世界中の優秀な技術者が欠陥を見つけ、修正版を作ってくれても、それを使わなければ守れないのです。
そして、私自身もWordPressでブログを書いている一人です。
偉そうに警鐘を鳴らしている場合ではありません。サーバー会社に任せきりにせず、自分のWordPressやプラグインの更新、バックアップも確認しなければ。
今回、お名前.comは迅速に対応してくれました。
おかげで、このブログも安心して公開できそうです。
ただ、世の中には今回の脆弱性のことすら知らないまま動き続けているサーバーもあるのではないでしょうか。
いや、そういった環境のサーバーは、ひょっとしたらしっかり対応したサーバーよりも数多いかもしれない。と思っています。
こちらは、そう簡単に杞憂とは言い切れません。
私のブログが止まっても世の中は困りません。しかし、どこかの会社のサーバーが乗っ取られ、犯罪の踏み台になっても誰も気づかない――それでは困ります。
まあ、今回もサーバー会社のおかげで、私は何もしないで済みました。
年金生活者の特権……ではありませんね。
ちゃんと保守管理してくれる会社に、ちゃんとお金を払っているおかげです（笑）。
コメント