2026年10月、PHP(Webサイトを動かすためのプログラム言語)に重大な脆弱性が見つかり、通称「PHP2Shell」として公表されました。ECカートなど、多くのサービスが一時的に停止しました。
対象は、特定のファイルではなく、脆弱性のあるバージョンのPHPで動いているサイト全体です。
ただ、主要なレンタルサーバーやECカートは、すでに対応を済ませています。
弊社もようやく落ち着いてきましたが、まだ対応が残っているサイトもある状態です。
弊社SIBLABには、保守契約を結んで、随時更新を行うプランがあります。
今回は、そのプランに入っていなかったサイトのうち、PHPのバージョンが古かった72サイトを、複数人で分担して更新しました。
対応は次の5つです。
- 応急処置として、脆弱性の入口になるPHPの機能をガードした(php.iniの設定変更と、.htaccessでのアクセス制限)
- PHPを、推奨されるバージョンまで上げた
- WordPress本体とプラグインを更新し、必要な調整をした
- 公開ページと管理画面の表示を確認した
- サポート中のPHPに揃え、サーバー会社の修正をすぐ受けられる状態にした
あわせて、侵入の痕跡も確認しました。
約120ドメインを調べ、調べた範囲では、入られた痕跡は見つかりませんでした。
この記事では、その経験をもとに、「うちのサイトは大丈夫？」と不安になったときの確認方法と、慌てないための普段の管理をまとめます。
要するに、中小企業に何ができるか
専門知識がなくても、できることは次の3つに絞れます。
- 確認する(今日、5分)：サイトヘルスでPHPとWordPressのバージョンを見る。更新画面で、たまっている更新を見る。利用中のサーバー会社やカートのお知らせを見る
- 続ける(月に1回)：WordPressとプラグインを更新する。更新の前にバックアップを取る。更新のあとに表示とお問い合わせフォームを確認する
- 任せる(自社で難しいとき)：何年も更新していない、更新が怖い、制作会社と連絡が取れない場合は、専門家や保守契約に任せる
逆に、サーバーの設定ファイルの変更や、ファイルの点検、ログの調査のような作業は、無理に自分でやらなくて大丈夫です。
いちばん大事なのは、放置しないことです。更新が止まっているサイトほど、何かあったときの作業が大きくなります。詳しい内容は、次の章から説明します。
まず安心していいこと
サーバー会社やECカート側で対応が進んでいるので、多くの場合、今すぐ何かしないと危ない状態ではありません。
今回は、エックスサーバーの対応にも助けられました。
弊社が運用を任されているサイトの多くが、エックスサーバーを使っています。
- PHP 5.6〜8.5のすべてのバージョンに、独自の修正を当てた
- そのため、古いバージョンのPHPで動いているサイトも、切り替える前から守られていた
- 修正済みでも、サイトヘルスに表示されるPHPのバージョンは変わらない(例：7.4.33のまま)
ヘテムル、ロリポップ、BIZメール＆ウェブも、対応済みと公表しています。
ただし、自分のサーバーがどう対応したかは、ワードプレスのサイトヘルスの表示だけでは分かりません。
サーバー会社のお知らせで確認してください。
気をつけたいのは、「更新が何年も止まっているサイト」です。
これはブログの更新ではなく、phpバージョンやワードプレス、プラグイン等の更新が止まっているサイトです。
サーバー側の対応に頼り続けることはできません。
見分け方は、次の章で説明します。
自分のサイトが大丈夫か、5分で確かめる方法
- サイトヘルスを開く：WordPressの管理画面の「ツール」から開けます。PHPとWordPressのバージョンが、ここで分かります
- 「更新」画面を開く：たまっている更新がないかを見ます。WordPress本体や、プラグイン(機能を追加する部品)の更新が、何件も残っていないかを確認します
- お知らせを確認する：利用中のサーバー会社やECカートのお知らせを見て、今回の脆弱性への対応が済んでいるかを確認します
WordPress本体のバージョンが数年前のまま、またはPHPがサポート終了のバージョンのままの場合は、そのまま放置しないことをおすすめします。
慌てないための「普段の管理」5つ
今回の対応で、時間がかかったのは、脆弱性そのものではなく、普段の更新が止まっていたサイトでした。普段から最新に近いサイトは、PHPを切り替えて表示を確認するだけで終わりました。
1. WordPress本体とプラグインを、月に1回更新する
- WordPress本体は、最新にする
- プラグインは、更新画面で「WordPressとの互換性：はい」と出ているものを更新する。「未確認」のものは、様子を見て見送る
- 更新のあとは、トップページだけでなく、検索結果、404ページ、アーカイブも開いて、警告が出ていないかを見る
- お問い合わせフォームは、表示だけでなく、実際に届くかをテスト送信する
更新を止めると、あとでの作業が増えます。WordPress本体が古すぎると、バックアップも更新も、一気にはできなくなります。
今回も、WordPress 4.9のサイトは管理画面から更新できず、手作業でファイルを入れ替えました。
2. 更新の前に、バックアップを取る
- ファイルとデータベースの両方を取る
- サーバーの自動バックアップに加えて、手元にもダウンロードして保存する
古いワードプレスサイトでは、バックアップの画面が反応しないことがありました。
実際には裏で取れていたのですが、「動かない」と思ったときは、ログや履歴を先に見ます。
3. PHPは、サポート中のバージョンにしておく
サポートが終わったバージョンのPHPは、新しい脆弱性が出ても修正されません。
緊急時に上げようとしても、WordPressやテーマが古いままだと、すぐには上げられません。
古いサイトをPHP 8に上げると、WordPress 5.2以前などは、画面が真っ白になることもあります。
また、テーマの古い書き方が、画面に警告を出すことがあります。
今回は12サイトで、計28箇所を直しました。どれも1行の修正でしたが、先に気づけるかどうかで、対応時間が変わります。
4. 使っていないものを、置きっぱなしにしない
今回いちばん危なかったのは、脆弱性とは関係なく、使い終わって置きっぱなしになっていたファイルでした。
| 置きっぱなしだったもの | 放置期間 | 危険度 |
|---|---|---|
| データベースの一括置換ツール(Search-Replace-DB) | 約4年半 | 高い。URLを知っていれば、パスワードなしでデータベースを読み書きできる |
| phpinfoだけのファイル | 2011年から | 中。PHPの設定やサーバー内のパスが丸見えになる |
| Basic認証の設定用に作った、パスを表示するだけのファイル | 2019年から | 低い。サーバー内のフォルダの場所が分かる |
Search-Replace-DBは、サーバー移転のときに使う正規のツールです。
削除したあとにデータベースを調べましたが、不審な書き込みや、追加された管理者はありませんでした。
悪用された形跡はなく、運が良かっただけです。
ちなみに弊社では使わないプラグインは納品時に削除を徹底していますが、管理を引き継いだWebサイトにことごとくこのようなプラグインや残骸を確認することができました。
移行ツールやphpinfoは、作業した人以外は、存在すら知りません。
作業した日のうちに消すのが基本です。
使っていない古いテストサイトや、停止中のプラグインも、同じです。
5. 管理者ユーザーを整理する
管理者の一覧に、知らない人や、辞めた担当者が残っていないかを確認します。
いざというときのための準備
- アクセスログの保存をONにしておく：アクセスログとは、いつ、どこから、どのページにアクセスがあったかの記録です。これがないと、「攻撃されたか」に答えられません。ファイルと設定の点検で言えるのは、「入られた痕跡はない」というところまでです。攻撃の試みまで確かめるには、アクセスログが必要です
- ログイン情報の所在を決めておく：サーバー、ドメイン、管理画面のログイン情報を、誰がどこで持っているか分かるようにしておく
- お知らせの届くメールアドレスを確認する：サーバー会社のお知らせが届くアドレスを、今も見ているものにしておく
月次チェックリスト
上の内容を、月に1回の確認用にまとめました。
- □ WordPress本体を最新にする
- □ 「互換性：はい」のプラグインを更新する
- □ PHPがサポート中のバージョンか確認する(サイトヘルス)
- □ 更新の前に、バックアップを取り、手元にも保存する
- □ 更新のあと、公開ページ(検索結果、404、アーカイブを含む)と管理画面を開いて、警告を確認する
- □ お問い合わせフォームをテスト送信する
- □ 管理者ユーザーに、知らない人がいないか確認する
- □ 公開フォルダに、移行ツールやphpinfo、古いテストサイトが残っていないか確認する
- □ アクセスログの保存がONになっているか確認する
- □ サーバー会社のお知らせが届くメールアドレスを確認する
こんな場合は、専門家に相談を
- WordPressやPHPが、何年も更新されていない
- 更新すると表示が崩れそうで怖い、制作会社と連絡が取れない
- 知らない管理者や、見覚えのないページがある
SIBLABでは、保守契約を結んで、随時更新を行うプランをご用意しています。現状の確認だけでも構いませんので、お気軽にご相談ください。
まとめ
脆弱性は、これからも出てきます。ただ、普段から更新しているサイトであれば、そのときの対応は短く済みます。
今回も、普段から最新に近いサイトは、切り替えと確認だけで終わりました。一方で、更新が止まっていたサイトは、何倍も時間がかかりました。
- 更新は止めない。止めた分だけ、あとでまとめて作業が必要になる
- 使い終わったツールは、その日のうちに消す
- アクセスログは、何か起きたときのために、保存しておく
まずは、サイトヘルスを開いて、PHPとWordPressのバージョンを見るところから始めてみてください。
ホームページ制作
弊社では専門チームが徹底したヒアリングを元にお客さまの「ここが違う」「ここが強い」を明確にし、「届けたいターゲット」にアプローチするホームページを制作します。
経験に基づく導線設計でお客さまを取りこぼさない。売れるホームページをご提供します。
