デジタルレクリム株式会社（以下、デジレク）では、2026年10月21日の夜、自社サーバーに設置され、弊社が運営を担当する企業サイトの緊急対応を進めました。PHPの重大な脆弱性に対するセキュリティ修正版の公開を受け、更新と確認を行った、当社の活動報告です。
スタッフ数名で連携し、複数サイトのPHP更新、サーバー側の更新対応、保守会社との連絡、更新後の動作確認を行いました。対応は深夜に及びましたが、今回お伝えしたいのは、作業時間の長さではありません。
改めて実感したのは、企業サイトのセキュリティ対応は「プログラムを更新すること」だけでは完結しないということです。問い合わせフォームや管理画面が正常に動くかを確認し、企業活動に必要な機能を維持することまで考える必要があります。
本記事では、弊社の対応を振り返りながら、経営者やWeb担当者が確認しておきたい保守・運用体制を整理します。脆弱性の技術的な仕組みや具体的な更新操作は別記事に譲り、企業サイトを継続して管理する視点からお伝えします。
※本記事はデジレクの活動報告です。対象は自社サーバーに設置され、弊社が運営を担当する企業サイトです。顧客情報や個別のシステム構成、セキュリティ設定は公開していません。
1．PHP重大脆弱性への緊急対応｜デジレクの保守現場
当社の活動報告｜スタッフ数名で実施した更新と確認
弊社からの活動報告として、今回の対応内容をお伝えします。対象は、自社サーバーに設置され、弊社がサイト運営を担当している複数の企業サイトでした。スタッフ数名でPHPやサーバー側の更新、保守会社との連絡を進め、更新後には表示・フォーム・管理画面の動作を確認しました。作業は、翌10月22日の午前4時まで続きました。
ニュースでは「修正版が公開された」と伝えられます。しかし、公開された修正を、自社が担当する環境にどう適用し、その後のサイトをどう確認するかは、現場で進める必要があります。
対象が複数ある場合、一つのサイトを確認しただけで、ほかのサイトも同じように動くとは限りません。使用するプログラムや機能が異なれば、確認すべき箇所も変わります。更新の完了と、各サイトに必要な機能の確認は、分けて考えなければなりません。
弊社の今回の報告も、更新作業だけではなく、その後の動作確認を含む取り組みです。代表一人の対応ではなく、スタッフ数名で協力して進めた企業としての活動をお伝えしています。
更新後も欠かせない、サイトの正常動作の確認
企業サイトには、会社情報を掲載するだけでなく、問い合わせを受け付けたり、担当者が情報を更新したりする役割があります。そのため、トップページが表示されることだけでは、必要な確認を終えたとは言えません。
弊社が更新後に表示・フォーム・管理画面を確認したのも、こうした役割を踏まえたものです。公開ページだけでは見えない機能にも、確認が必要な箇所があります。
ここで注意したいのは、動作確認と安全性の確認は同じではないという点です。サイトが正常に動いていても、それだけで不正侵入がなかったと証明できるわけではありません。今回の活動報告は、あらゆる被害がなかったことを保証するものではなく、弊社が行った更新と確認の報告です。
対応できる範囲は管理権限と保守契約によって異なる
一方、外部で管理されているサイトや、弊社がサイト運営を担当していないサイトは、今回の直接対応の対象ではありません。
過去に制作を担当していても、現在のサーバー管理や運営を別の会社が担っている場合、弊社が自由に更新できるわけではありません。現在の管理権限と契約範囲を確認する必要があります。
これは、お客様に責任を押し付けるという話ではありません。どの会社が何を担当するかを明確にしなければ、必要な更新が行われなかったり、複数の担当者が別々に変更してしまったりするおそれがあるためです。
Q1．デジレクが制作したサイトは、すべて今回の対応対象ですか？
いいえ。今回直接対応したのは、自社サーバーに設置され、弊社がサイト運営を担当する企業サイトです。制作時の依頼先と、現在の保守・運用担当者が同じとは限りません。自社サイトの対応状況は、現在の管理窓口にご確認ください。
2．なぜ今回のPHP脆弱性に緊急対応が必要だったのか
企業サイトを支える基盤に、速やかな修正が必要だった
PHPプロジェクトは、2026年10月21日付で、重大な脆弱性2件を修正したセキュリティリリースを発表しました。PHP公式のセキュリティ勧告は、認証なしでリモートからコードを実行されるおそれがあるとして、直ちに更新するよう強く呼びかけています。
PHP公式の事前告知では、CVSS v4.0の基本値はいずれも9.2とされています。深刻度は最高区分の「Critical」です。これは技術的な深刻さの評価であり、個別のサイトが被害を受ける確率ではありません。それでも、表示が正常だからと未修正の環境を放置できる問題ではありませんでした。
国内でも複数のサービスが緊急メンテナンスを実施したと、PHP対応に伴う国内サービスの一時停止に関する報道で伝えられました。ただし、一時停止したことだけで、侵入被害が発生したと断定することはできません。
高市首相の呼びかけから考える、経営側の判断
高市早苗首相も10月21日のPHP脆弱性に関する注意喚起の投稿で、次のように呼びかけました。
皆様に、今夜に対応して頂きたい大至急のお願いです。
投稿では、PHPの使用状況の確認と修正パッチの速やかな適用準備を要請し、すぐに適用できない場合は、Webサイト等の一時停止もリスクを低減する有効策の一つとしています。
企業にとって重要なのは、更新のために時間を確保することや、必要に応じてサービスを一時停止することは、経営・運営上の判断でもあるという点です。技術担当者が問題を把握していても、判断する人と連絡が取れなければ、対応を進めにくくなります。
WordPressの更新とPHPの更新は別である
WordPress本体やプラグインを更新しても、サーバー側のPHPの脆弱性が自動的に修正されるわけではありません。WordPress公式のPHP更新ガイドでも、PHPはサーバーにインストールされ、更新にはホストの設定に従うか、サーバー業者への依頼が必要と説明されています。
ここで押さえたいのは操作方法ではなく、担当する範囲の違いです。WordPressを管理する担当者と、サーバー側を更新する担当者が異なる場合、両者の連携が必要になります。
今回公表された脆弱性の技術的な仕組み、対象バージョン、修正方法については、PHP脆弱性CVE-2026-109618／109619の技術解説と対応方法をご覧ください。本記事では、その対応を企業の保守・運用体制にどうつなげるかを考えます。
3．更新だけでは終わらない｜企業サイトの動作と対応状況を確認するまで
トップページだけでなく、利用者が通る流れを確認する
企業サイトを確認するときは、「ページが表示されるか」だけでなく、訪問者が目的を達成できるかを考える必要があります。
例えば、問い合わせを目的に訪れた人は、サービス紹介を読み、フォームを開き、必要事項を入力して送信します。この流れの途中で問題が起きれば、企業にとって大切な問い合わせを受け付けられない可能性があります。
そのため、更新後の確認項目はサイトの役割に合わせて決めます。今回、弊社では更新後に表示・フォーム・管理画面の動作を確認しました。以下は企業担当者向けの一般的な確認項目であり、当日の作業手順をそのまま再現したものではありません。
問い合わせフォームは、送信から受信まで考える
フォームには、入力、送信、完了表示、担当者への通知といった複数の段階があります。完了画面が出ても、担当者側のメール受信まで正常とは限りません。
一般的な確認では、テスト送信を行い、入力内容が適切に届いているか、確認メールが必要な仕様ならそれも動くかを確かめます。企業側の担当者と連携して受信を確認することで、画面上だけでは分からない問題に気づけます。
このとき、実際の顧客情報を使わず、テストであることが分かる内容にするなど、業務との混同を避ける配慮も必要です。フォームを設置している部署が複数あるなら、通知先や利用目的も踏まえて確認します。
管理画面は、ログイン後の業務まで意識する
管理画面では、ログインできるだけでなく、日常的に必要な操作を行えるかが重要です。記事の更新や画像の登録など、担当者が使う機能に問題があれば、公開ページが正常でも運用に支障が出ます。
保守担当者は技術的な動作を確認し、企業側の担当者は普段の業務ができるかを確認する。こうした連携によって、どちらか一方だけでは見落としやすい点を補えます。
予約や購入などの機能がある場合も、業務上重要な流れを確認対象に含めます。ただし、実際の課金や注文が発生しないよう、テスト方法を運用担当者と決めてください。これらは一般的な確認項目であり、弊社が今回すべて実施したと述べるものではありません。
修正適用、正常動作、被害の有無を分ける
企業側への報告でも、何を確認したのかを分けて整理することが大切です。「対応済み」という一言だけでは、修正が入ったのか、機能を確認したのかまで分かりません。
サーバー側の修正適用、サイトの正常動作、不正侵入の有無は、別々の確認です。必要な調査の範囲も異なります。不審な変更や異常が疑われる場合は、記録を保全し、管理者や専門家へ相談してください。
Q2．更新が終わったと連絡があれば、運用側の確認は不要ですか？
不要とは限りません。修正の適用と、問い合わせや情報更新ができることは別です。保守担当者が確認する範囲を聞き、自社にしか分からない受信状況や業務上の重要機能について、必要な確認を分担しましょう。
4．緊急対応を踏まえて点検したい、企業サイト保守の3つの課題
今回の対応を踏まえ、企業サイトの保守体制で点検したい事項を、管理責任、連絡体制、動作確認の3つに整理します。これらは弊社の考察と運用上の提案であり、当日に弊社で管理上の不備が発生したと述べるものではありません。
課題1．PHPやサーバーの管理責任が明確になっているか
企業サイトには、サーバー、PHP、WordPressなどのソフトウェア、問い合わせを処理する仕組みなど、複数の管理対象があります。「Webサイトは制作会社に任せている」という説明だけでは、誰がどこを担当するのか分かりません。
サーバー会社が基盤を更新しても、個別サイトのフォームの動作まで確認する契約とは限りません。反対に、サイトの文章更新を担当する会社が、サーバーの設定を変更する権限を持っているとも限りません。
必要なのは、会社ごとの担当範囲をつなぐことです。サーバーの更新、サイトの更新、動作確認、企業への報告について、それぞれの担当者と連絡先を整理します。管理者が変わったときは、その情報も更新しなければなりません。
制作時の資料を保管していても、現在の管理体制が変わっていれば、緊急時の連絡には使いにくくなります。担当者の退職や委託先の変更があった際も、引き継ぎに管理窓口の確認を含めることが大切です。
課題2．緊急時に関係者が連絡・判断できるか
緊急対応では、更新操作を行う人だけでなく、公開の継続や一時停止を判断する人、社内へ案内する人も必要になります。
例えば、サイトを止めると営業や予約受付に影響が出る場合、技術担当者だけでは決められないことがあります。その一方で、判断が先送りされれば、未修正の環境を公開し続けるリスクも残ります。
そのため、通常の問い合わせ窓口とは別に、緊急時の連絡方法と判断する担当者を整理しておく必要があります。担当者が不在のときの代替連絡先も決めておけば、一人と連絡が取れないだけで対応が止まる状態を避けやすくなります。
連絡する内容も、専門用語を並べるだけでは不十分です。「対象かどうか」「どの対応が必要か」「企業側に判断してほしいことは何か」を分けて伝えると、関係者が状況を把握しやすくなります。
Q3．一時停止の判断は、技術担当者に任せればよいですか？
技術担当者のリスク評価を踏まえ、契約や社内ルールに沿って判断します。停止に伴う業務への影響や案内もあるため、経営・運営側の責任者と連携できる体制が必要です。緊急時に判断する人を、あらかじめ決めておきましょう。
課題3．更新後の確認まで保守に含まれているか
「更新作業を依頼した」という事実だけでは、どこまで確認が行われるか分かりません。表示確認だけなのか、フォームや管理画面も含むのか、企業側で追加確認する項目があるのかを整理する必要があります。
見積もりや契約では、「保守」という名称だけではなく、具体的な作業範囲を確認してください。定期更新と緊急更新の扱い、確認対象、不具合が見つかった場合の調査や修正の範囲などが重要です。
これは、すべての作業を一つの会社に任せるべきだという意味ではありません。分担しても構いませんが、担当のない作業が残らないようにすることが大切です。
Q4．保守契約で、最低限何を確認すればよいですか？
更新する対象、更新後の確認範囲、障害時の連絡方法、追加対応の扱いを確認してください。サーバー側の作業とサイト側の作業を分けて聞くと整理しやすくなります。契約外の作業が必要になった場合の相談先も把握しておきましょう。
Q5．保守契約があれば、夜間も必ず対応してもらえますか？
契約内容によります。今回、弊社が深夜に対応したという活動報告が、すべての契約で夜間対応を保証するという意味ではありません。受付時間と実際に作業する時間、緊急時の対応条件を区別し、現在の委託先へ確認してください。
5．自社サイトは大丈夫？経営者・Web担当者が確認すべきこと
最初に、技術操作ではなく管理体制を確認する
経営者やWeb担当者が、すべての更新操作を自分で行う必要はありません。まずは、自社サイトを誰が管理しているかを把握することが重要です。
会社案内のサイト以外に、採用サイトやキャンペーン用ページ、別の問い合わせシステムがある場合は、それぞれの管理窓口も確認します。一つのサイトの対応が済んだからといって、ほかの環境も対応済みとは限りません。
確認のために、担当範囲が分からないまま設定を変更することは避けましょう。まず管理者へ状況を照会し、自社で行う作業と委託先へ依頼する作業を分けます。
企業担当者が押さえたいチェックリスト
管理体制の点検では、次の項目を確認してください。
•自社サイトと関連するシステムの管理窓口が分かる。
•PHP・サーバー側の更新担当者が分かる。
•今回の修正が自社の利用環境に適用済みか確認できる。
•フォーム・管理画面などの動作確認を誰が行うか決まっている。
•一時停止や公開再開を判断する責任者が決まっている。
•緊急時の連絡方法と、不在時の代替連絡先が分かる。
•未対応の項目や、次に行う作業が整理されている。
大切なのは、チェックを付けること自体ではありません。「誰が」「何を」「どこまで」確認したかが分かる状態にすることです。すべてを一度に整えるのが難しい場合は、管理窓口と未対応の項目を把握するところから始めましょう。
委託先には「対応済みか」だけでなく確認範囲を聞く
委託先への問い合わせでは、修正の適用状況と、サイトの確認状況を分けて聞きます。
例えば、「自社の利用環境に今回の修正が適用済みか」「更新後にどの機能を確認したか」「企業側で確認することはあるか」という聞き方です。対象の確認だけでなく、修正が適用されたことまで確かめましょう。
提供会社が対応を発表していても、自社の契約プランや利用環境が含まれるかは確認が必要です。返答が専門的で分からない場合は、企業側に必要な操作や判断を説明してもらいましょう。
その際、今すぐ必要な修正と、将来に向けた環境の見直しを分けることも重要です。緊急対応を進めながら、長期的な更新計画は別に整理することで、何を優先するか判断しやすくなります。
細かな確認・更新手順は、管理者向けガイドへ
WordPressを利用している場合は、管理画面からPHPバージョンを確認できます。具体的な確認操作や更新時の注意点は、WordPress管理者向けのPHP確認・更新手順で解説しています。
本記事では、手順を繰り返すのではなく、作業を誰に依頼し、結果をどう確認するかに重点を置いています。実際の操作方法は、利用しているサーバー会社の最新の案内と合わせて確認してください。
Q6．専任のWeb担当者がいない会社は、何から始めればよいですか？
まず、現在の管理窓口と緊急時の連絡先を確認してください。そのうえで、更新を担当する会社と、動作確認を担当する人を整理します。すべてを社内で対応する必要はありませんが、委託している範囲と、自社で判断する範囲を把握しておくことが大切です。
6．まとめ｜Webサイトは作って終わりではない
今回のPHP重大脆弱性への対応は、企業サイトを維持するには、修正版の適用だけでなく、関係者との連携と更新後の確認が必要であることを改めて示しました。
当社の活動報告で紹介したのは、自社サーバー上で運営を担当する企業サイトへの更新と確認です。その経験からお伝えしたいのは、緊急時の個人の頑張りではなく、会社として必要な対応を進められる体制の重要性です。
代表談｜誰か一人の頑張りではなく、対応できる体制を
ここからは、デジレク代表である中村の考えです。私は、Webサイトの価値は「公開したときの完成度」だけでは決まらないと考えています。公開後も情報を届け、問い合わせを受け付け、企業活動を支え続けられることが、本当の価値です。
今回のような事態では、対応するスタッフの技術力が欠かせません。しかし、それを代表や特定の担当者一人の頑張りに頼るべきではありません。担当範囲が分かり、必要な連絡が取れ、更新後の確認まで進められる。そうした体制を整えることも、会社としての責任だと感じています。
セキュリティ対策に「これさえあれば絶対に安全」という保証はありません。WordPress公式のセキュリティ指針でも、リスクを排除するのではなく、低減する取り組みとして説明されています。だからこそ、日常の更新やバックアップ、緊急時の連絡体制を軽視してはいけません。
中小企業では、限られた人員と予算で運営している場合もあるでしょう。私は、すべてを一度に整えようとするより、まず「自社サイトを誰が管理しているか」「緊急時にどこへ連絡するか」を明確にすることが大切だと思います。そこから、契約範囲と確認項目を整理していけばよいのです。
Webサイトは作って終わりではありません。事業に使い続けるものとして、運用と保守まで考えることが企業の信頼を守ります。管理体制を整理したい場合は、デジレクのWebサイト保守・運用に関するご相談から、現在の状況をお知らせください。対応可否と担当範囲は、管理環境や契約内容を確認したうえでご案内します。
コメント