うちも当てはまる？PHPの脆弱性 1分判定表

PHP2Shellは、どんなホームページに当てはまるのか？

PHPで動いているホームページのうち、まだ修正版に替わっていないPHPを使っているところが当てはまります。会社の大きさや業種は関係ありません。

PHPの公式発表は、危ない対象を「Webのリクエストを処理しているすべてのPHP」（all PHP installations serving web requests）と書いています。¹ Vercelの告知によれば、PHP 5.4以降の初期設定はすべて影響の範囲です。² 修正版は8.5.12、8.4.27、8.3.36、8.2.35で、8.1以前にはPHPのプロジェクトはもう更新を出しません。¹

問題は、PHPがとてもありふれていることです。サーバーで使う言語（サーバーサイド言語）がわかるサイトのうち、PHPを使っているのは世界で69.3%、日本（.jp）では83.5%です（2026年10月24日時点）。^3·4 日本では、町の家10軒のうち8軒が同じ会社の鍵を付けているようなものです。その鍵に欠陥があるなら、うちの家が大きくても小さくても、確かめてみる必要があります。

攻撃する側が選ぶのは会社ではなく、まだ直していない鍵です。

セキュリティ企業のBitsightは、バージョンがわかるPHPのうち、今回の修正版が出た系統（8.2〜8.5）を使っているのは約3分の1だけだとしています。いちばん多く見つかったのは、サポートが終わった7.4でした。⁵

ヤンのまとめ「うちのような小さな会社を誰が狙うのか」は、半分正しく半分まちがいです。人はうちを選びません。でも、鍵を叩いて回るプログラムは、すべての家を叩きます。

1分判定表：どんな質問に答えればいいのか？

下の5つの質問に順に答えるだけです。「はい・いいえ・わからない」のどれかで十分です。

1. Q1 何で作ったか：うちのホームページはWordPressで作ったか？
2. Q2 誰が管理しているか：サーバーはサーバー会社が管理しているか、うち（または制作会社）が直接管理しているか？
3. Q3 お知らせはあるか：サーバー会社が「修正を終えた」とお知らせしているか？
4. Q4 バージョンは：うちのサイトのPHPは8.1以前か？
5. Q5 隠れたサイト：昔のキャンペーンページ、試し用のサーバー、管理者用のページが別にあるか？

ひとつでも「わからない」なら、結果は「確認が必要」です。それも立派な答えです。

1行ずつ、ゆっくり。

ヤンのまとめQ5はよく忘れられます。何年か前のイベントで作ったページがまだ生きているなら、そのページもうちの家の扉です。

結果はどう読み、何をすればいいのか？

結果は3つです。「当てはまらない」ならやることはなく、「確認が必要」ならお知らせを読んで一言聞けばよく、「対応が必要」なら更新の手順に沿えば大丈夫です。

この基準は、あたたかいデジタルの30秒チェックと同じです。30秒チェックも、サイトが外に見せている情報だけを読んで、この3つでお知らせします。

ヤンのまとめ「当てはまらない」と出たら、そのまま信じていただいて大丈夫です。私たちもそういうときは「今は移行しなくて大丈夫です」とお伝えしています。

「わからない」が多いなら、誰に何を聞けばいいのか？

ホームページを作った制作会社か、サーバー会社に聞けば大丈夫です。下の文面をそのまま送っていただいてもかまいません。

わからないのは悪いことではありません。IPAの事業の報告書によると、大阪商工会議所が中小企業30社のネットワークを見張ったところ、30社すべてで何らかの不正な通信を示す記録が見つかりました。駆けつけて支援した会社についても、報告書は「インシデントの症状にも予兆にも気付いていないケースが殆ど」だったと書いています。¹³ 気づいていない会社のほうが、ずっと多いのです。道がわからないときに道を聞くのは恥ずかしいことではなく、いちばん早く着く方法です。

答えをもらったら、判定表の「わからない」を「はい・いいえ」に書き換えて、もう一度読めば大丈夫です。

ヤンのまとめ聞くのは1分で済みます。答えを待つあいだ落ち着かないなら、30秒チェックで外から見える部分を先に見ていただいてもかまいません。

この判定表でわからないことは何か？

判定表が教えてくれるのは「当てはまるか」だけです。直す前にすでに誰かが入っていたかどうかは教えてくれません。

問診票が病気を診断しないように、この表も侵入されたかどうかを診断しません。30秒チェックも、サイトが外に見せている情報だけを読むので、サーバーの中は見られません。「確認が必要」や「対応が必要」が出たら、修正とあわせて、「パッチの前に侵入されていたら？攻撃の痕跡三つ」も読んでみてください。

ヤンのまとめ表は地図であって、目的地ではありません。ただ、地図があれば、次にどこへ行けばいいかははっきりします。