中小企業のWeb・IT管理

こんにちは。アイエーアイの藤本です。

「いつも使っているサービスが、急にメンテナンス中になった」。2026年10月21日前後のPHPをめぐるニュースを見て、自社のホームページは大丈夫だろうか、と気になった方もいらっしゃると思います。

PHPと聞くと難しそうですが、経営者が押さえておきたいのは、プログラムの書き方よりも「会社のWebサイトを、誰が、どこまで管理しているか」です。今回は、公式情報をもとに、身近な仕事に置き換えて整理します。

緊急の確認事項は、先に掲載した「PHPの重大な脆弱性に関する注意喚起」でもご案内しています。

PHPは、お店の「裏方」のようなもの

ホームページをお店に例えると、画面のデザインは看板や店内の見せ方です。その裏で、お問い合わせを受け付けたり、予約を登録したり、商品情報を取り出したりする仕事があります。PHPは、そうした処理を動かすために使われるプログラミング言語です。

WordPressのようなホームページ管理システムでも使われています。経営者ご自身がPHPに触れていなくても、制作会社やサーバー会社が用意した環境で動いていることがあります。

今回、何が問題になったのでしょうか

PHPの開発元は10月21日、条件によってはログインしていない第三者がサーバー上で不正な命令を実行できる、重大な弱点2件の修正版を公開しました。問題の識別番号はCVE-2026-109618とCVE-2026-109619です。PHP公式の発表

「脆弱性（ぜいじゃくせい）」とは、仕組みの中にある安全上の弱点のことです。建物なら、外から開けられてしまう扉が見つかったようなイメージです。ただし、弱点があることと、実際に誰かが侵入したことは同じではありません。

安全の確認や修正のために、運営者があらかじめサービスを止める場合もあります。例えば港区は、利用者の情報とサービスの安全を守るため、一部機能を一時停止したと案内しています。「止まった」という情報だけで、情報漏えいが起きたと決めつけないことも大切です。港区の公式案内

中小企業では、どんな仕事に関係する？

自社のホームページを思い浮かべてみてください。会社案内だけでなく、次のような仕事の入口になっていないでしょうか。

• 製造業：図面の送付、見積もり依頼、取引先からのお問い合わせ。
• お店や教室：来店予約、体験申し込み、ネット注文。
• サービス業：相談の申し込み、会員向けの案内、採用応募。

これは今回それぞれの業界で被害が発生したという話ではなく、業務への影響を考えるための例です。サイトが止まれば、注文の機会を逃す、電話対応が増える、申し込みを確認できない、といった負担につながることがあります。

また、自社サイトとは別に、予約サービスやネットショップ、業務用のクラウドサービスを使っている会社もあるでしょう。それぞれについて、提供会社の公式なお知らせと、使えない間の対応方法を確認しておくと安心です。

まずは管理会社に、この5点を確認しましょう

専任のIT担当者がいない場合は、細かい設定を自分で変更する前に、現在の保守会社・サーバー会社へ確認してください。「大丈夫ですか」だけでは、どこまで確認できたのかが分かりにくいので、次のように聞くと話が進めやすくなります。

1. 自社サイトでPHPを使っていますか？
   本サイトのほか、古いキャンペーンページや使わなくなったフォームも確認の対象にします。
2. 今回の脆弱性への対応は完了していますか？
   サーバー会社側の修正も含め、対応内容・実施日・残っている作業を確認します。
3. 更新後、仕事で使う機能を確認しましたか？
   画面が表示されるだけでなく、フォームの送信・メールの受信・予約や注文が最後までできるかを確かめます。
4. 不審な動きの確認は、どこまで行いますか？
   更新は弱点を直す作業です。侵入の形跡を調べる作業の範囲や、問題が見つかった際の連絡方法も確認します。
5. 今後の更新と緊急対応は、誰の担当ですか？
   保守契約の対象、連絡先、対応時間、追加費用が生じる条件を整理します。

WordPress公式も、今回の問題はPHP側の問題であり、この件のためのWordPress本体の更新は予定していないと説明しています。「WordPressの更新ボタンを押したから完了」と判断せず、PHPを管理する側の対応を確認しましょう。 WordPress公式の案内

「止められない仕事」の代わりの手段も用意する

経営者が決めておきたいのは、安全のために一時停止が必要になった場合、どうやって仕事を続けるかです。修正作業は専門家と進めながら、お客様の受付方法を社内でそろえましょう。

• 予約・注文：電話で受け付ける担当者と時間を決め、受付内容を一つの記録にまとめる。
• お問い合わせ：利用できる連絡手段を確認し、担当者が毎日チェックする。
• お客様への案内：止まっている機能、代替手段、次に状況を知らせる予定を、使える公式の窓口で伝える。
• 復旧後：電話受付分とオンライン分を照合し、二重予約や対応漏れを防ぐ。

例えば予約を電話に切り替えるなら、「電話を受ける人」だけでなく、「空き状況を確認する人」「記録する場所」まで決めておくと、現場が迷いにくくなります。これは当社からの運用の提案です。扱う情報に合わせて、記録の閲覧者も絞ってください。

IPAは、すぐに更新できない場合も、脆弱なまま放置せず、アクセス制限や一時停止の必要性を判断するよう案内しています。古い仕組みを続けるか、更新・移行するかには、人員や予算を含む経営判断も必要です。IPAの対策情報

AIの進歩と一緒に、Webの管理も見直す時期に

今回、もう一つ注目したいのは、AIがセキュリティ研究にも使われている点です。PHP Foundationは、AIを使った調査や報告の検証に取り組んでいる一方、修正の判断や作業は人が担っていると説明しています。PHP Foundationによる説明

私たちの会社でも、AIで文章や画像をつくる機会は増えています。それと同じように、Webを支える技術も変わり続けます。ホームページは、公開したときの状態のまま何年も安心して使える、とは考えない方がよさそうです。

「制作した会社は分かるけれど、今の管理担当は分からない」「サーバーの契約更新はしているけれど、中の仕組みの更新は頼んでいない」。こうした状態なら、今回をきっかけに一度整理してみてください。

まずは「誰に確認するか」を、一つ決めるところから

経営者が専門用語をすべて覚える必要はありません。自社のホームページがどんな仕事を受け持っているか、誰に確認すればよいか、止まったらどうするか。この3点を、社内で共有できる状態にしておきたいですね。

アイエーアイでは、Webサイト制作やDX推進、AI・データ活用についてご相談をお受けしています。現在の管理状況が分からない場合も、契約や環境を確認しながら、必要な対応を一緒に整理していきます。

なお、過去に当社で制作したサイトでも、現在の保守契約や管理環境によって対応範囲は異なります。制作時のご依頼だけで、その後の点検・更新が自動的に行われるものではありません。現在の管理先が分からない方も、まずはお問い合わせください。

Webサイトの管理・今後の運用について相談する →

出典・参考情報

• PHP公式：重大な脆弱性と修正版の案内（2026年10月21日）
• PHP公式：追加情報を含む2026年のお知らせ
• IPA：PHPの脆弱性対策について（2026年10月22日）
• WordPress公式：Critical PHP Security Release
• 港区：PHPの重大な脆弱性への区の対応について
• PHP Foundation：今回の修正とセキュリティ体制について