← ブログ一覧へ戻る

ホームページが攻撃されたかも？PHP脆弱性のあとに確認したいこと

PHPの重大な脆弱性のニュースのあと、「もう、うちのホームページが攻撃されているかもしれない」と不安になっている方もいると思います。この記事では、運営者の方が確認できることと、サーバー会社や専門の業者に確認してもらうべきこと、疑わしいときの手順をまとめます。内容は2026年10月22日時点の情報です。

最初にお伝えしておくと、福祉ITパートナーは、攻撃を受けたかどうかを調べる事業者ではありません。ここで紹介するのは、IPAやJPCERT/CCなどの公開情報をもとにした、一般的な確認の観点です。実際の調査は、サーバー会社や専門の業者にご相談ください。

まず知っておきたいこと

• 最優先は、PHPの更新です。まだ修正版に更新していない場合は、先にそれを進めます（PHPのバージョンの確認方法）。
• JPCERT/CCは、侵害の痕跡が見つからなくても、攻撃を受けていないと断定はできないとしています。
• 今回の脆弱性は、公開後に悪用を試みる動きがあったと、セキュリティ会社から報告されています。ニュースの全体像は【2026年10月】PHPの重大な脆弱性とは？をご覧ください。

不安をあおるつもりはありません。落ち着いて、順番に確認していきましょう。

運営者が見て分かる、ホームページの異変

次のような様子があれば、サーバー会社や制作会社にすぐに連絡しましょう。

• ホームページの内容が、身に覚えのないものに書き換えられている
• 見覚えのないページや記事が増えている
• ホームページを開くと、別のサイトに飛ばされる
• WordPressの管理画面に、見覚えのないユーザーが追加されている
• 身に覚えのない、ファイルの追加や変更の通知が届く
• 迷惑メールが、ホームページのアドレスから大量に送られているという連絡を受けた
• サーバー会社から、不正な利用の警告や、サービス停止の連絡が来た
• 突然、表示が遅くなった、またはエラーが増えた

当てはまらなくても、安心はできません。次の「ログ（アクセスの記録）」の確認が必要です。

サーバー会社・制作会社に確認してもらうこと

JPCERT/CCは、侵害の有無を調べるときの観点として、次のようなものを挙げています。専門的な内容なので、運営者の方が自分で確かめるものではありません。サーバー会社や制作会社、専門の業者に、確認をお願いしてください。

• サーバーが返した通信の記録に、異常に長い、または不自然な形のPHPSESSID（ブラウザに一時的に保存される、小さな識別情報）が含まれていないか
• ファイルの送信などに使われる形式（multipart/form-data）の、不審なリクエストがなかったか。また、その前後に、PHPのメモリ上限に関するエラーや、サーバーのエラー（HTTP 500）が出ていないか
• PHPを動かしているプロセスが、予期せず止まったり、頻繁に再起動したりしていないか
• 不審なプロセスの実行、外部への不審な通信、不審なファイルの作成がないか

JPCERT/CCは、こうした痕跡が見つからなくても、攻撃を受けていないと断定はできないとしています。ログの確認は、継続的に行うことが大切です。

依頼のときの文例

2026年10月に公開されたPHPの脆弱性（CVE-2026-109618、CVE-2026-109619）について、当事業所のホームページが影響を受けた可能性がないか、確認をお願いしたいです。JPCERT/CCが注意喚起で示している確認の観点（異常なPHPSESSID、不審なmultipart/form-dataのリクエストと前後のエラー、PHPのプロセスの異常終了）をもとに、アクセスログとエラーログを確認していただけますか。ログの保存期間も教えてください。

疑わしいときに、やること（順番）

1. PHPを、修正版に更新します。まだの場合は、これが最優先です。
2. ログとバックアップを、消さずに保管します。古いログは、一定期間で自動的に消えることがあります。ログの保存期間を、サーバー会社に確認してください。
3. パスワードを変更します。ホームページの管理画面、サーバーの管理画面、FTP、データベース、ドメインの管理画面など、サーバーに保存されている情報が悪用されたおそれがある場合は、変更を検討します。作業は、安全が確認できているパソコンから行ってください。
4. 必要に応じて、公開を一時的に止めます。被害の広がりを抑えるための判断です。IPAも、状況によっては、外部からのアクセスの遮断やサービスの一時停止の判断を求めています。
5. サーバー会社や、専門の業者に、調査を依頼します。
6. 個人情報が含まれていた可能性があるときは、次の項目を確認します。

個人情報が含まれていた可能性があるとき

ホームページのサーバーに、問い合わせフォームで受け取った内容や、会員情報、予約の情報などを保存している場合は、それらが外部に見られた可能性を考える必要があります。

個人情報が漏れた、またはそのおそれがある場合は、法律にもとづき、個人情報保護委員会への報告や、ご本人への通知が必要になることがあります。福祉事業所は、病歴や障害の状況などの「要配慮個人情報」を扱うことが多いため、とくに慎重な対応が必要です。

どのような報告や連絡が必要かは、状況によって違います。法人内の責任者、顧問の専門家、関係する窓口（個人情報保護委員会の相談窓口など）にご確認ください。詳しくは個人情報保護委員会のホームページをご覧ください。

痕跡が見つからなかった場合も

痕跡が見つからなくても、攻撃を受けていないと断定はできません。そのうえで、次のことを続けましょう。

• PHPとWordPressを、常に最新に保つ
• ログの確認や、バックアップを続ける
• 使っていないサイトやプラグインを、サーバーに残さない
• パスワードを、使い回さない

ホームページの管理や費用の見直しについては、ホームページのセキュリティ対策と管理費用の見直し方で説明しています。

福祉ITパートナーにできること・できないこと

福祉ITパートナーは、攻撃を受けたかどうかを調べる事業者ではありません。脆弱性診断や、侵害の調査（フォレンジック）は行っていません。そうした調査が必要な場合は、サーバー会社や、専門の業者にご相談ください。

福祉ITパートナーにできるのは、契約内容やホームページの仕組みを一緒に整理すること、そして、PHPを更新して続ける方法も含めて、今後の続け方を比べることです。比較は、PHPホームページの更新・乗り換え方法を比較で説明しています。