PHP2Shell対応の朝も通常稼働｜当事務所のWebサイト管理から考える中小企業経営｜和田経営相談事務所｜愛媛県松山市の経営コンサルタント

「サイトに保存している顧客情報が流出したら、取引先にどう説明すればよいのか。」

「自社サイトが改ざんされ、お客様を偽サイトへ誘導してしまったら。」

「Webからの受注が止まり、復旧費用まで発生したら、資金繰りは持つのか。」

悪用されれば、会社と顧客にどんな被害が及ぶのか

攻撃が成功すると、PHPが読み書きできる情報やファイルを悪用されるおそれがあります。遠隔からプログラムを実行される性質から、次のような被害が想定されます。影響範囲は、保存データやサーバーの権限・構成によって異なります。

• ●
  顧客情報が持ち出される：サイト側に保存し、PHPからアクセスできる氏名、連絡先、問い合わせ内容、注文情報などが流出する。
• ●
  自社サイトが顧客をだます入口になる：書き換え可能なページに偽サイトへの誘導を仕込まれ、自社を信用して訪れた人にも被害が及ぶ。
• ●
  受注や問い合わせが止まる：必要なファイルやデータを壊され、Webからの受付ができなくなる。調査・復旧費用と売上機会の損失が重なる。

情報が持ち出された後では、弱点を修正しても流出そのものを取り消せません。復旧作業に加え、顧客への説明や信用の回復にも時間がかかります。

PHP公式は、WordPressなどのアプリケーションの処理が始まる前に攻撃が成立する例も示しています。本人確認を追加する二要素認証や、通信を検査するWAF、WordPressの防御プラグインだけで対応済みとは判断できません。今回の弱点にはPHP自体の修正が必要です。［1］

サーバー・WordPress・PHPは、それぞれ何をするものか

当事務所は、レンタルサーバーサービスの「エックスサーバー」を契約し、そのサーバー上でWordPressを使ってWebサイトを運営しています。まず、この関係を整理します。

「エックスサーバーから借りたサーバーで、PHPを使ってWordPressが動き、読者にWebページを届ける」という関係です。

管理画面も分かれています。記事の投稿やプラグインの管理はWordPress側、PHPなどサーバー側の設定はエックスサーバーの管理画面で確認します。両方を見る必要があります。

PHP2Shellで求められた、Webサイトの土台の更新

今回見つかったのは、PHPが作業用のメモリーを扱う際の不具合です。細工された通信などが条件に合うと、不正なプログラムを実行される危険があります。PHP開発元は2026年10月21日、二つの弱点の修正版を公開しました。識別番号はCVE-2026-109618とCVE-2026-109619です。［1］

修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35です。新しい8.5系でも、修正前の版なら更新が必要でした。サーバー事業者が修正を組み込んだ版を提供する場合もあるため、表示番号だけで決めず、公式案内と実際の適用状況を確認します。［2］［3］

WordPress本体やプラグインの更新だけでは、PHP本体の修正まで済むとは限りません。「サイトが表示される」「更新通知がない」という状態だけで、安全と判断しないことが大切です。

当事務所の通常稼働を支える、管理の役割分担

当事務所では、10月10日の点検時点で、本番サイトがPHP 8.5系で動いていることを確認していました。2026年10月22日午前6時45分には、修正版の8.5.12への更新と、通常どおりのサイト表示を確認できました。

エックスサーバーは今回、公式アカウントで管理画面等の予防的な一時停止を案内する一方、利用者サーバーは稼働を継続しながら安全対策を進める旨を公表しました。サーバー側の管理画面を一時停止していても、読者が見るWebサイトは動いている場合があります。［4］

サーバーの基盤の保守はエックスサーバーに任せ、当事務所はWordPressの設定・更新状況や、変更後の表示・機能を確認する。そのうえで、停止時の事業への影響と必要な備えを考えます。

今回確認したのは、自サイトの利用環境と、その時点の表示状態です。過去の侵入の有無や、秒単位の無停止まで証明したものではありません。確認できた範囲を明確にし、必要な管理を続けます。

緊急時の身軽さは、平時の整理から生まれる

緊急の修正が公開されてから、管理担当や更新後に確認すべき機能を調べ始めると、対応が遅れます。

当事務所では、以前から使用している独自テーマの問題箇所を修正し、不要なプラグインや古いファイルを整理しました。こうした点検や防御、バックアップについては、今回の確認の5日前、10月17日に実践記事を公開したところでした。

更新の担当、確認する機能、問題が出た場合の戻し方を普段から整理しておく。この準備が、判断の速さを支えます。

当事務所は、通信を検査するWAFとWordPressの防御プラグインを併用しています。認証の強化やバックアップも含め、各対策の役割を理解し、新たな弱点には必要な修正を加えます。

事業を守るには、必要なときに止める判断も欠かせない

扱う情報や修正の適用状況によっては、一時停止して安全を確かめる判断が必要です。

欧州のCERT-EUは、直ちに修正できない場合、修正と確認が済むまで、インターネットに公開しているシステムを公開ネットワークから切り離すことも検討するよう勧告しています。一時停止は、被害を広げないための適切な対応にもなります。［3］

通販なら、注文を受け続ける利点と、顧客情報を危険にさらす損失を比較します。停止中の案内、電話などの代替受付、再開の責任者を決めておけば、影響を抑えやすくなります。

Webサイト管理から見えた、中小企業経営の三つの原則

ここからは当事務所の見解です。今回の経験は、財務や組織の管理にも通じます。

現状を把握し、先送りを減らす

試算表の確認が遅れ、不採算取引や滞留在庫を放置すれば、採算悪化や資金不足への対応が遅れます。月次の数字をいつ確認し、誰が改善するかを決める。最新の情報と日頃の整理が、経営者の判断を速めます。

専門家の力を使い、自社の判断に集中する

サーバーの保守を専門事業者に任せるように、財務でも税理士や金融機関、経営の専門家と役割を分担します。経営者自身が資金繰りや投資判断を把握し、「誰に何を任せ、どの資料で結果を確認するか」を明確にすることが大切です。

余力を持ち、予定外の事態でも選択肢を残す

売上や入金が止まっても、給与や借入返済は続きます。手元資金の余裕は、復旧や事業継続の選択肢を支えます。

必要な資金額は業種や回収・支払いの条件で異なります。一律の月商倍率だけで決めず、停止期間や入金の遅れを想定し、資金繰り表で検討します。中小企業庁も、事業継続に必要な資金を考えるための資料を提供しています。［5］

中小企業の意思決定の速さは、現状の把握、明確な役割分担、対応するための余力があってこそ生きます。

経営者は、管理画面から「現状・担当・次の対応」を確かめる

まず、WordPressの管理画面と、契約するサーバーの管理画面を、自分で、または担当者と一緒に見てください。当事務所の場合、後者はエックスサーバーの管理画面です。今回であれば、確認したいのは「サイトが表示されるか」に加えて、「使用するPHPに修正が反映されているか」です。

管理画面や専門用語を一度に理解する必要はありません。担当者へ、次の三つを尋ねるところから始められます。

• □
  現状：今回の問題について、当社のどこが影響を受け、何を根拠に対応済みと確認できるか。
• □
  担当：サーバー事業者、保守会社、自社のそれぞれが、どこまで作業・確認するか。
• □
  次の対応：未対応の項目は何か。誰がいつまでに対応し、必要な停止や顧客への案内を誰が判断するか。

「問題ありません」という言葉だけで終わらず、画面や公式案内、作業記録で確認する。この習慣は、試算表や資金繰り表を使って経営を確かめる姿勢にも通じます。

自社の財務基盤を盤石にし、本気の事業成長を目指す方は、ぜひ一度当事務所へご相談ください。