パッチの前に侵入されていたら？攻撃の痕跡三つ
PHP2Shellの修正前に入られていないか、どう確かめる？ JPCERT/CCが示した痕跡三つ、ログの保全からパスワード変更までの5ステップ、IPAの相談窓口を中小企業向けにまとめました。
著者 Jeensuk Yang
PHPフリー · Webセキュリティ · リスク編 04
?こんな方におすすめです
- 修正は終わったけれど、その前に入られていないか気になる方
- 何を、どの順番で確かめればよいかわからない方
- 制作会社や保守会社に何を頼めばよいか整理したい方
!この記事でわかること
- JPCERT/CCが示した攻撃の痕跡三つ
- ログの保全からパスワードの変更まで、確認の5ステップ
- 怪しいときの相談先（IPAの窓口とJPCERT/CC）
「何も変わっていないから大丈夫」。本当にそうでしょうか？
入り込んだ側がいちばん望むのは、まさにその「何も変わっていない」状態です。気づかれなければ、裏口を長く使えるからです。
修正とは別に、「入られていないか」を確かめる順番と、誰に何を頼めばよいかを整理しました。
侵入の確認は、何から始めればよいのか？
ログを消さないことからです。
サーバーの「ログ」は防犯カメラの録画のようなもので、いつ、どこから、どんなリクエストが来たかが残っています。ところが、サーバーを再起動したり作り直したりすると、ログが消えることがあります。米国のTechTargetは、再起動や再構築の前に、10月20日以降のログを保全するよう強く勧めています。1
- ログを保全する（再起動の前に。10月20日以降）
- 痕跡三つを確かめる（JPCERT/CCの基準）
- ファイルとユーザーを確かめる（見覚えのないPHPファイル、知らない管理者）
- パスワードとキーを変える（異常がなくても）
- 怪しければ電源は切らずに切り離し、相談する
社内で共有しやすいように、確認の順番を一枚にまとめました。
防犯カメラの録画は、消す前に見るものです。
ヤンのまとめ確認の第一歩は「探すこと」ではなく、「消さないこと」です。
エラーが出ていなければ、大丈夫なのか？
そうとは言えません。今回は「この痕跡があれば確実に侵入された」と言える決定的な目印（IoC）がまだ出ておらず、いつもと違う動きから推し量るしかありません。2
ヤンのまとめ「エラーが出ないから大丈夫」は、今回は通用しません。次の痕跡を、実際に見る必要があります。
JPCERT/CCが示した痕跡三つとは？
長すぎるPHPSESSID、怪しい送信のあとのエラー、ワーカーの繰り返しの再起動です。JPCERT/CCが注意喚起の中で、確認するよう呼びかけています。3 これらは攻撃を受けたサインであって、侵入が確定したという意味ではありません。見つかったら、さらに詳しく調べるきっかけにしてください。
痕跡1：不自然に長い「PHPSESSID」
PHPSESSIDは、サイトが訪問者を見分けるための番号札のようなもので、ふつうは決まった長さの短い文字列です。JPCERT/CCは、過去のレスポンスに「不自然に長い、または異常な形式の値」のPHPSESSIDが含まれていないかを見るよう求めています。3 発見者の一社であるWizも、異常に大きなPHPSESSIDを確認項目に挙げています。4
痕跡2：怪しい送信の前後に出たメモリ不足や「500」のエラー
ファイルを送るときの形式（multipart/form-data）の怪しいリクエストがあり、その前後に「メモリの上限を超えた」というエラーや、サーバーエラーを意味する「HTTP 500」が出ている場合です。3
痕跡3：PHPのプログラムが何度も再起動している
PHPを動かすプログラム（ワーカー）が、思いがけず異常終了したり、何度も再起動したりした跡がある場合です。3 Wizも、ワーカーの再起動が急に増えていないかを見るよう勧めています。4
ヤンのまとめ三つとも、ログで見るものです。だからこそ、1番のログの保全が先なのです。
痕跡三つのほかに、何を見ればよいのか？
見覚えのないファイルと、知らない管理者です。JPCERT/CCも、三つの痕跡に加えて「不審なファイルの作成」などほかの痕跡も確かめるよう求めています。3
- 見覚えのないPHPファイル：画像を置くフォルダのように、本来PHPファイルがないはずの場所に新しいPHPファイルがないか。エックスサーバーは不正アクセスの被害にあった場合、「必ずお客様ご自身ですべてのファイルを精査」するよう案内しています。5
- 知らない管理者ユーザー：WordPressの「ユーザー」に、知らない管理者が増えていないか。エックスサーバーは、身に覚えのないユーザーがいれば削除するよう案内しています。5 CybelAngelは、遠隔操作用の裏口ファイル（Webシェル）や管理者アカウントの追加を、念のため2026年6月までさかのぼって見ることを提案しています。6
- パスワードとキーの変更：データベース、WordPressの管理者、APIキーなど。韓国の情報保護機関KISAは、異常がなくても変更するよう勧めています。7 エックスサーバーも、被害にあった場合はサーバーパネルやWordPressのパスワードの変更を案内しています。5
怪しいものが見つかったら、JPCERT/CCの言うとおり、まずログなどの「証拠を保全した上で」、影響範囲の調査やシステムの隔離に進みます。3 KISAは、電源を切るとメモリ上の手がかりが消えるため、電源は切らずにネットワークから切り離すよう案内しています。7
怪しいとき、どこに相談すればよいのか？
| 相談先 | できること | 連絡方法 |
|---|---|---|
| IPA 不正アクセス特別相談窓口 | 起きていることを聞いたうえで、被害の可能性について助言。インシデント対応の専門業者一覧の紹介8 | 電話 03-6759-5760（平日9:30〜17:30、12:00〜13:00を除く。2026年10月25日時点） |
| JPCERT/CC | インシデントの報告を受け付ける9 | Webフォームまたはメール（原則として電話では受け付けていません） |
| サーバー会社 | ログの保全、サーバー側の痕跡の確認 | 各社のサポート窓口 |
共用レンタルサーバーなら、誰が何をするのか？
| ステップ | 共用レンタルサーバーで行う側 |
|---|---|
| 1. ログの保全 | サーバー会社に問い合わせ |
| 2. 痕跡三つ | サーバー会社に問い合わせ |
| 3. ファイルとユーザー | 御社（WordPressの管理画面・ファイル管理） |
| 4. パスワード・キーの変更 | 御社 |
| 5. 怪しいとき | サーバー会社に問い合わせ ＋ IPAの窓口に相談 |
なお、さくらインターネットは悪用による不正アクセスは報告されていないとし、10 ロリポップ！も攻撃の試みは観測したものの、不正アクセスや情報漏えいは確認されていないと報告しています。11 ただし「確認されていない」は「なかった」とは違います。
ヤンのまとめ共用サーバーでは、サーバー全体のログは見られないことがほとんどです。3番と4番だけ御社で行い、残りはサーバー会社に聞いてください。
では、御社はどうすればよいのか？
選べる道は三つあります。
上の5ステップを、サーバーを扱える担当者と一緒に進めます。
「10月20日以降のログは保全してありますか？」「JPCERT/CCの痕跡三つは確認しましたか？」
PHPのない静的なサイトには、PHPファイルを実行する仕組みがありません。今回のような裏口ファイルは動きません。
ヤンのまとめ今回の確認を、最後の確認にすることもできます。毎回この確認をしなくてもよい形を選べば、「録画を巻き戻して見る」こと自体が減ります。
侵入の確認についてよくある質問
痕跡三つのうち一つでもあれば、侵入されたのですか？
いいえ。攻撃を受けたサインであって、侵入が確定したわけではありません。ファイルとユーザーをさらに詳しく確かめるきっかけにしてください。逆に、痕跡がなくても攻撃を受けていないとは言い切れません。
怪しいとき、サーバーの電源を切ってはいけませんか？
切らないほうがよいです。電源を切るとメモリ上の手がかりが消えるため、ネットワークから切り離したうえで、専門家や機関に相談してください。
共用レンタルサーバーでログが見られない場合は、どうすればよいですか？
サーバー会社に問い合わせます。ログの保全と痕跡の確認はサーバー会社に聞き、見覚えのないファイルや管理者の確認、パスワードの変更は御社で行います。
どこに相談すればよいかわかりません。
IPAの「不正アクセス特別相談窓口」（03-6759-5760、平日9:30〜17:30）に電話できます。被害の可能性について助言を受けられ、対応する専門業者の一覧も紹介してもらえます。
SOURCES
- TechTarget 「PHP2Shell: 22M exposed servers at risk as emergency patches released」（2026年10月21日） techtarget.com
- Rocket Boys（2026年10月21日） rocket-boys.co.jp
- JPCERT/CC 注意喚起 JPCERT-AT-2026-0033（2026年10月22日更新） jpcert.or.jp
- Wiz Research 「PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet」（2026年10月21日） wiz.io
- エックスサーバー マニュアル 「不正アクセスの被害にあった場合」 xserver.ne.jp
- CybelAngel 「2.24M Internet-Facing PHP Hosts, 59% on Versions With No Fix Coming」（2026年10月21日） cybelangel.com
- KISA 보호나라 「PHP 보안취약점(PHP2Shell) 관련 기업 보안 대응 수칙」（韓国語、2026年10月22日） boho.or.kr
- IPA プレスリリース 「不正アクセス特別相談窓口」開設（2026年10月16日） ipa.go.jp
- JPCERT/CC インシデント報告 form.jpcert.or.jp
- さくらインターネット お知らせ（2026年10月22日） sakura.ad.jp
- ロリポップ！ 「PHPの脆弱性への対応に伴うメンテナンス完了と経緯のご報告」（2026年10月22日） lolipop.jp
PHP2Shellをきっかけに、中小企業のホームページが知っておきたいリスクを5本にまとめます。
- PHP2Shellとは？中小企業のホームページに何が起きたのか
- パッチが済んだのに、なぜ安心できない？三つのケース
- VPS・自社サーバーのPHPサイトは、なぜまだ危ないのか
- パッチの前に侵入されていたら？攻撃の痕跡三つ（この記事）
- PHP 8.2のサポート終了（12月31日）までに決めておくこと（準備中）
ほかの記事はあたたかいデジタルのブログでご覧いただけます。
確認を一人でするのが難しければ。
サイトのアドレスを入れるだけで、PHPを使っているか、サーバー会社の対応状況はどうかをすぐにお知らせします。当てはまらなければ「今は移行しなくて大丈夫です」とそのままお伝えします。
無料で30秒チェック結果をご覧になってご相談が必要なら あたたかいデジタルに問い合わせる
最終更新 2026年10月25日
