結論：守りを固める前に、攻められる入口を作らない
2026年10月22日、PHPの重大な穴について、IPA（情報処理推進機構）が注意喚起を出しました。PHPは、多くのホームページを裏で動かしているプログラムの言葉です。
このサイトは、この件で更新に追われていません。理由は単純です。ページを表示するのに、PHPを使っていないからです。データベースも使っていません。外から入れるログイン画面も置いていません。これから作るサイトも、Vercelで公開する形なら同じです。
私は屋根職人です。屋根工事歴は20年以上です。自社の瀧澤屋根工業では、LP、ブログ50本、動画、SEOを回して集客してきました。その経験を持って、職人や工事会社のホームページを作っています。
この記事の結論は3つです。
- いちばんの守りは、攻められる入口を最初から作らないことです
- そのうえで守りを重ね、何かあれば前の状態に戻せるようにしておきます
- 何をしているかは、全部お見せします。お客さん自身で確かめられる形で書きます
対策には万全を期しています。そのうえで、言い切りはしません。その理由も、この記事に書きます。
2026年10月22日の注意喚起：PHPの重大な穴と、AIで速くなる弱点探し
IPAの注意喚起で分かっていること
IPAの注意喚起の題は「PHPの脆弱性対策について」です。脆弱性とは、プログラムの穴のことです。今回の2件は、まとめて「PHP2shell」と呼ばれています。
IPAによると、影響は「遠隔の第三者によって、任意のコード実行が実行される可能性」です。かみ砕くと、離れた場所の誰かに、サーバーの上で好きな命令を動かされるおそれがある、ということです。
対象は、PHP 8.2.35、8.3.36、8.4.27、8.5.12より前の版です。PHP 8.1以前はサポートが終わっていて、今回の修正は出ません。更新が難しい場合は、アクセスの制限などの暫定対策をとる。必要なら、サービスの一時停止も判断する。そう書かれています。
岩手を含む東北では、東北経済産業局も周知を出しています。
AIで、穴が見つかってから狙われるまでが短くなる
背景がもうひとつあります。IPAの「情報セキュリティ10大脅威 2026」の解説書は、英国の国家サイバーセキュリティセンターの予測を紹介しています。AIによって、弱点の発見や、攻撃のプログラムづくりが速まる。修正が出てから攻撃されるまでの時間が、短くなるおそれがある。そういう見通しです。
「穴が見つかったら、早めに更新すればいい」。その「早め」が、これから短くなっていくかもしれません。
WordPressが悪いのではありません
小さな会社のホームページには、WordPressで作られたものが多くあります。WordPressの中身はPHPです。そこにプラグイン（機能を足す部品）、データベース、ログイン画面が組み合わさって動いています。
WordPressは、よくできた道具です。ただ、入口が多い仕組みです。PHP、本体、プラグイン。どれかに穴が見つかるたびに、誰かが更新する必要があります。手入れが続いていれば、強く保てます。手入れが止まると、止まった日から弱くなっていきます。
IPAが2026年3月に出した中小企業向けの事例集には、経済産業省が中小企業126社を調べた結果が載っています。その中に、WordPressの管理画面がそのまま外から開ける状態だった会社が5社ありました。
私ならこう見ます。屋根の雨漏りは、板の真ん中より、継ぎ目や壁との境目から起きやすい。だから私は、守り方を考える前に、継ぎ目を減らすことを考えます。ホームページも同じです。
私のサイトの守り方：入口を減らし、重ねて守り、戻せるようにする
ここからは、このサイト（職人WEBタキサワ）で実際にやっていることです。
入口を作らない
- ページはすべて、出来上がった形のまま配っています。PHPもWordPressもデータベースも、サイトのどこにもありません
- 外から入れるログイン画面がありません。ページを書き換えられるのは、公開の作業をした人の手元からだけです
- 解析や広告のタグ、外部のフォントなど、よその会社のプログラムを1本も読み込んでいません
重ねて守る
- 通信は常に暗号化しています。ブラウザに「このサイトは暗号化した通信で開くこと」と覚えさせる指示も出しています
- 公開先のVercelは、大量のアクセスで落とそうとする攻撃を、すべてのプランで自動で和らげると公式の文書に書いています
- 問い合わせフォームは、配送サービスに直接ではなく、このサイトの中の受付口に送ります。このサイトのフォームから送られたものは、受付口で何段階かに分けて確かめてから転送します。迷惑な送信と判断したものは、そこで落とします。落とした理由は、送ってきた側に教えません。記録には、名前やメールの中身を残しません
- よそのサイトの枠に埋め込ませない、などのセキュリティの指示を、全ページに付けています
戻せるようにする。間違いを外に出さない
- 公開してよいファイルだけを別の場所に写してから、公開します。作業中のファイルや社内の書類が、誤って外に出ないようにするためです
- 公開の前に、機械の関所を通します。料金の表記のずれや、使わないと決めた言い回しが1つでもあれば、公開の道具が止まります
- 公開した版の控えを残しています。Vercelには、前の版に戻す機能があります
これまで作って公開しているサイトに、WordPressで動いているものはありません。これから作るサイトの公開先も、同じVercelです。お客さんのサイトも、同じ考え方で作ります。
一つひとつの中身と、お客さん自身での確かめ方は、セキュリティ対策のページにまとめました。
私が「絶対に安全」と言わない理由
セキュリティの世界で「絶対に安全です」と言い切る人を、私は信用しません。新しい穴は、これからも見つかります。今回のPHPの件も、多くの人にとっては突然でした。
屋根でも、「この屋根は何があっても漏れません」と言う職人がいたら、私は少し身構えます。雪も風も、年数とともに屋根にかかる力も、毎年同じではないからです。言えるのは、水が入りやすい場所を知っていて、そこを先に減らしておくこと。点検できるようにしておくこと。何かあったら、直せるようにしておくことです。
ホームページも同じです。私が約束できるのは、結果ではなく、やり方です。
- 入口を減らす
- 守りを重ねる
- もしものときに、前の状態に戻せるようにしておく
- 何をしているかを、全部見せる
言い切りの代わりに、中身を見せる。それが職人として正直なやり方だと、私は考えています。
WordPressのサイトをお持ちの方へ：今すぐ確かめる3つ
ここまで読んで、自分のサイトが心配になった方もいると思います。慌てなくていいです。まず、次の3つを確かめてください。
- PHPの版はいくつか。 レンタルサーバーの管理画面や、WordPressの管理画面の「サイトヘルス」で見られます。8.2.35、8.3.36、8.4.27、8.5.12より前なら、今回の対象です。8.1以前は、修正が出ない版です
- 最後に更新したのはいつか。 WordPress本体とプラグインの更新が、何か月も止まっていないか
- 誰が更新しているか。 自社か、制作会社か。保守の契約に、更新の作業が入っているか
自分で見られなければ、制作会社にこう聞いてください。「うちのサイトのPHPは何版ですか。10月22日のIPAの注意喚起への対応は済んでいますか」。まずは、この2つで足ります。制作会社への聞き方は、専門のページでもう少し詳しく書いています。
3つ目は、契約の話でもあります。管理画面に自社で入れるかどうかは、名義の確かめ方のコラムに書きました。
答えが心配なものでも、すぐにサイトを作り替える必要はありません。まずは更新です。そのうえで、この先も手入れを続けられるかを考えれば足ります。手入れに手が回らないなら、入口の少ない作りに替える道もあります。
