PHP緊急脆弱性に対応、企業サイトをURLで無料点検

PHPの緊急脆弱性を受け、URLから企業サイトを無料点検

株式会社Yamanaka JAPANは2026年10月22日、企業のWebサイトを対象とする無料点検の受付を始めました。対象サイトのURLを送ると、外部から確認できる範囲でPHPのバージョンなど7項目を調べ、修正を検討したい点を一覧にして返す取り組みです。受付は先着30社で、10月31日まで。申し込みには、自社で管理しているサイトを指定する必要があります。

点検を始める背景には、10月21日夜に開発元から公表されたPHPの緊急脆弱性があります。PHPはWordPressをはじめ多くのWebサイトで使われるプログラム言語です。リリースによると、サーバー側の言語が判明しているサイトの69.3％がPHPで動いています（W3Techs、2026年10月22日時点）。今回公表された脆弱性は2件で、識別番号はCVE-2026-109618とCVE-2026-109619。ログインしなくても、外部からサーバー上で任意のプログラムを動かされるおそれがあるとされています。

同社は、URLを受け取った後に外から見える情報を調べ、結果を赤・黄・灰の3色で整理します。ログインIDやパスワードは預からず、管理画面へのログインや脆弱性を実際に試す行為も行いません。点検結果を伝えるところまでが無料の範囲で、見つかった点は普段利用している制作会社に渡せる形でまとめます。別途作業を依頼する場合は有料対応です。

まずは管理画面でPHPの利用状況とバージョンを確認

サイトの管理画面を開ける場合、リリースではPHPに関して次の順序で確認する方法を示しています。まずサイトがPHPを使っているかを確認します。WordPressで作られたサイトはPHPで動作しますが、WixやSTUDIOなどで作ったサイトは今回の対象ではないと説明されています。

PHPを使っている場合は、レンタルサーバーの管理画面にある「PHP設定」などでバージョン番号を確認します。リリースが更新の必要性を示す基準として挙げているのは、8.2.35／8.3.36／8.4.27／8.5.12より古いバージョンです。また、7.4、8.0、8.1は開発元のサポートが終了した版とされ、契約中のレンタルサーバー会社に対応を問い合わせるか、新しい版へ移す手順が案内されています。

すぐに更新できない場合については、首相の投稿にあるように、サイトを一時的に止めることも被害を防ぐ手段として紹介されています。10月21日午後10時前には、高市早苗首相と国家サイバー統括室がXで修正プログラムの速やかな適用を呼びかけました。首相の投稿には「今夜に対応して頂きたい大至急のお願い」とあり、修正版はその約1時間後に公開されたとしています。

こうした確認が必要とされる背景として、リリースは2026年の情報漏えい状況にも触れています。不正アクセスによって個人情報が漏れた、または漏れたおそれがあると公表された件数は、年初から延べ1億6,500万人分を超えました。これはセキュリティ企業マクニカの集計で、NHKが10月16日に報道した情報として紹介されています。

PHP以外にも、外から確認できる6項目を点検

今回の無料点検はPHPだけでなく、外部から確認できる計7項目を対象にします。管理画面を開けない企業や、サイト制作会社との契約が切れている企業でも、URLをもとに外から見える情報を確認できるのが特徴です。ただし、調査は外部に公開された範囲に限られ、社内設定や管理画面の中まで確認するものではありません。

• PHPのバージョン：外部からバージョンが見えるかどうかなどを確認します。バージョンを外に出さない設定のサイトは、外部から判定できない場合があります。
• 証明書の期限：期限が切れると、ブラウザーに「保護されていない通信」と表示され、訪問者がページを閉じることにつながると説明されています。
• ドメインの期限：期限切れによってサイトやメールが止まる可能性があり、失効したドメインを他者に取得されるおそれもあります。
• なりすましメール対策：DMARCなどの設定を確認します。設定がないと、会社名を使った偽メールを受信側で止められない場合があります。
• 管理画面の公開状況：ログイン画面が誰でもアクセスできる場所に置かれていないかを確認します。URLへのアクセス可否を見るだけで、ログインは試しません。
• HTTPS：Webサイトの通信が暗号化されているかを確認します。
• 問い合わせフォームの送信：フォーム送信の通信がHTTPSで暗号化されているかを確認します。

判定結果は、すぐに直したほうがよい項目を「赤」、直したほうがよい項目を「黄」、外部から判定できず社内で確認してほしい項目を「灰」として提示します。外から情報が見えないことは、安全であることを意味しません。そのため、判定できなかった項目は灰色で示し、結果に「安全です」とは記載しない方針です。

点検を申し込めるのは、自社で管理するWebサイトです。調査ではログインを試みず、脆弱性を実際に利用する検証もしません。結果は、企業が普段依頼している制作会社にそのまま共有できるよう整理されます。無料となるのは結果の提示までで、改善作業を別途依頼する場合には有料での対応となります。

先着30社、10月31日まで受付

受付期間は2026年10月22日から10月31日までで、先着30社が対象です。1社ずつ確認して一覧にするため、受付数を設けています。申し込みは専用ページから行い、対象となる自社サイトのURLを送る流れです。受付ページは https://yamanakajapan.com/tanaoroshi/ です。

代表取締役の山中勇輝氏は、自社サイトが何で動いているかをすぐに答えられる経営者は少ないと指摘しています。制作会社との契約が切れ、誰に尋ねればよいか分からない場合や、管理画面の見方が分からないという相談が寄せられたことから、今回の点検受付を決めたと説明。PHPの緊急性が高い状況を受け、まず初期対応の役に立つことを目指すとコメントしています。

株式会社Yamanaka JAPANの所在地は〒106-0031 東京都港区西麻布2-15-3。代表者は代表取締役 山中勇輝氏で、事業は企業の調査、コンサルティング、プロダクト開発、AI研修です。会社URLは https://yamanakajapan.com です。

同社が展開する「AI会社台帳」（https://kaishadaicho.jp）は、ChatGPTやGeminiに自社について尋ねた際にどのように回答されるかを測り、ずれを直すサービスです。「AI実技測定」（https://ai-jitsugi.jp）は、AI利用ルールを作った会社向けに、社員が業務の途中でAIに何を渡しているかを、実際の業務に似せた課題で測定します。

今回の点検は、外から見える情報をもとに、PHPを含む7項目を確認する初期チェックです。受付期間や対象社数、判定の限界、無料となる範囲を踏まえ、自社サイトの状況を把握する手段として内容を確認できます。

PHPのバージョン確認に加え、証明書やドメイン、メール対策なども含めて一覧化する点検です。外部から判定できない項目を安全と扱わず、社内確認が必要な情報として区別する仕組みが、今回の受付内容のポイントです。