ホームページを動かす「PHP」に、
重大な欠陥が見つかりました。
会社のホームページやネットショップの多くは、PHP（ピーエイチピー）というプログラムで動いています。2026年10月、このPHPに外部からサイトを乗っ取られるおそれのある欠陥が見つかり、すでに悪用も確認されています。「うちのサイトは関係あるの？」という段階から、無料でご相談いただけます。
フォームにサイトのURLを書いて送るだけ。ご相談の段階で費用はかかりません。技術担当の方は脆弱性の詳細へ。
PHPって何？ うちに関係ある？
PHPとは
ホームページの裏側で動いているプログラムの一種です。WordPress や、ネットショップでよく使われる EC-CUBE も PHP で作られています。見た目では分かりませんが、問い合わせフォームや会員ページのあるサイトで使われていることがよくあります。
何が起きたのか
ログインしなくても、外からサーバーに命令を送り込める欠陥が見つかりました。悪用されると、ホームページの書き換え、お客様情報の抜き取り、不正なプログラムの設置などにつながるおそれがあります。
どうすればいいのか
PHPを修正版に更新すれば防げます。レンタルサーバーなら事業者が対応済みのことが多い一方、自社や制作会社が管理しているサーバーは、誰かが更新しない限り古いままです。
こんな会社は、一度確認をおすすめします
- WordPress でホームページを作った
- ネットショップや会員ページを自社で運営している
- 制作会社に作ってもらい、その後の保守契約がない（内容が分からない）
- サーバーを誰が管理しているのか分からない
分からないままで大丈夫です。
サイトのURLをお送りいただければ、PHPが使われているかどうかの確認からお手伝いします。ご相談は無料で、対象外と判断した場合はその旨をはっきりお伝えします。
制作会社・保守会社に確認したい方へ（そのまま使える文例）
次の文面を、ホームページを作った会社や保守会社にお送りください。
当社のホームページ（URL： ）について、次の2点を教えてください。
① 使っているPHPのバージョン
② 2026年10月21日に公開されたPHPの修正版（PHP2Shell／CVE-2026-109618・109619 への対策）が適用済みかどうか
返事が来ない、内容が分からないといった場合も、そのままご相談ください。
PHP2Shell（CVE-2026-109618／109619）の詳細
2026年10月21日、PHPプロジェクトが重大な脆弱性2件の修正版を公開しました。どちらも、ログインなしでサーバー上のコードを実行される可能性がある脆弱性です。
CVSS v4.0。2件とも「緊急」の水準です。認証を必要とせず、遠隔からコードを実行される可能性があります。
PHP-FPM、Apache＋mod_php、php-cgi、FrankenPHP、LiteSpeed。PHPの公式アドバイザリは mod_php を最もリスクが高い構成としています。
2026年10月26日（現地時間）、米CISAが2件を「悪用が確認された脆弱性」（KEVカタログ）に追加しました。IPAも10月27日に注意喚起を更新しています。
- 修正版
- 8.5.12 ／ 8.4.27 ／ 8.3.36 ／ 8.2.35
- 対象
- 上記より前の版。8.1以前はサポート終了のため、正規の修正版は提供されません
まず、対象かどうかを確認してください
4つの質問にお答えいただくと、確認の優先度をお伝えします。入力内容は送信されず、この画面の中だけで判定します。分からない項目は「わからない」を選んでください。
サービス
入口は3つです。緊急度の高い順に並べています。表示はすべて税別で、作業承諾書の締結後に着手します。
PHP 緊急トリアージ
「うちは影響を受けるのか」という問いに、48時間以内に答えるサービスです。判定だけでなく、今夜実施すべき暫定措置と、その手順までお渡しします。
- PHPの版数・実行方式（mod_php／FPM／CGI 等）の判定
- 修正版の適用状況を、パッケージ情報から確認
- 暫定措置の特定と実施手順書
- そのまま更新できるか、移行が必要かの判定
- 不審なファイル・プロセスの簡易確認
- 経営者向け1ページ要約＋技術詳細の報告書
PHP Security Check
PHP環境の安全性を調査し、必要な対策と優先順位を明らかにします。制作会社・SIerの方が、お客様の環境をまとめて確認するのにも使えます。
- PHPの版数、パッチ適用状況、実行方式の確認
- OS・Webサーバー・パッケージ管理方式の確認
- 今回の脆弱性への影響判定、サポート終了版の有無
- 危険な設定値の点検（メモリ上限、アップロード上限など）
- 対応の優先度、改善提案、概算費用
- 経営者向け1ページ＋技術詳細の報告書
PHP パッチ適用
同一系列内のセキュリティ更新（例：8.4.24 → 8.4.27）を、検証・承認・切り戻し手順まで含めて実施します。本番環境での作業のため、受注条件を明確にしています。
- 事前調査、バックアップ取得状況の確認
- 検証環境での適用と、指定機能の動作テスト
- お客様の書面承認後に本番へ適用
- 適用後の疎通確認、エラーログの確認
- 切り戻し手順書、作業完了報告書
拡張メニュー
| サービス | 価格（税別） | 内容 | 提供状況 |
|---|---|---|---|
| Web 簡易脆弱性診断（緊急枠） | 150,000円 | 対象を1ドメイン・主要画面5程度に絞り、危険度の高い箇所から確認。電話での結果説明30分を含みます。納期48時間。 | 11月中旬〜 |
| Web 簡易脆弱性診断（標準） | 100,000円〜 | 合意した対象URL・機能への自動検査と、人による確認。OWASP WSTGを基準に項目を選定。画面10程度まで。 | 11月中旬〜 |
| PHP バージョン移行 | 300,000円〜 | サポート終了版からの移行、系列をまたぐ更新。互換性の検証、回帰テスト、切り替え作業まで。 | 提供中 |
| Web Security Care | 30,000円／月 | 月次の版数点検、サポート終了の事前警告、脆弱性情報の影響評価、月次レポート、営業時間内の相談。 | 提供中 |
| レガシー改修・再構築 | 個別見積 | 診断や移行で判明した非互換箇所の改修。対応の可否も含めてご相談ください。要件により規模が大きく変わるため、都度お見積りします。 | 提供中 |
Web 簡易脆弱性診断は、PHPの確認とあわせて使う簡易版です。対象を絞って危険度の高い箇所を確かめ、自動検査の結果を人が確認します。PHPの調査とあわせてご依頼いただくと、1冊の報告書にまとめてお渡しします。サイト全体の本格的な診断（ツール＋手動のハイブリッド診断）はWeb / Mobile 脆弱性診断、実際の攻撃シナリオでの検証はペネトレーションテストをご覧ください。
組み合わせ
まとめてご発注いただくと、確認の手間が減ります。値引きではなく、報告書の統合と作業枠の確保でお応えします。
緊急対応パック
緊急トリアージ ＋ PHPパッチ適用
判定から復旧までを1社で。作業枠を優先的に確保します。
総点検パック
Security Check（3環境） ＋ Web 簡易脆弱性診断
PHP環境とサイト全体を1冊の報告書にまとめます。
サポート終了対応パック
Security Check ＋ バージョン移行
PHP 8.2 は2026年12月31日でサポート終了です。
年間管理パック
Web Security Care ＋ Web 簡易脆弱性診断（年1回）
日常の点検と年次の総点検をまとめて。
診断して終わり、にしない
報告書は読まれなければ意味がありません。「経営者が判断できる形」と「技術者が作業できる形」を分けてお渡しします。
| 論点 | AEVUS | よくある診断サービス |
|---|---|---|
| 納期 | 緊急トリアージは48時間以内 | 2〜4週間 |
| 成果物 | 経営者向け1ページ＋技術詳細の2部構成 | 技術レポートのみ |
| 責任範囲 | 切り戻し手順と作業完了報告まで | 報告書の提出で終了 |
| 品質保証 | 日本側の技術責任者が全件レビュー | 担当者により異なる |
| 作業の前提 | 作業承諾書を交わし、範囲を書面で確定 | 口頭の依頼で着手 |
| 診断と改修 | 分離して見積。改修は他社へのご発注も可能 | 自社での改修を前提とする場合がある |
他社の水準を断定するものではありません。私たちが何を引き受けるかを、比較できる形で示しています。
ご依頼の流れ
管理者権限をお預かりするため、作業範囲を書面で確定してから着手します。
ご相談（無料）
対象の環境、緊急性、保守の体制を伺います。この時点で費用はかかりません。
作業範囲の確定
対象ホストと作業内容を特定し、作業承諾書と秘密保持契約を交わします。
調査・作業
合意した範囲でのみ実施します。想定外の構成があれば一旦停止してご相談します。
品質レビュー
判定の根拠と復旧手順を、日本側の技術責任者が確認します。
報告・ご説明
報告書をお渡しし、口頭でご説明します。更新や移行が必要な場合は、その費用もご提案します。
料金
表示はすべて税別です。作業範囲によって変わる場合は、着手前にお見積りを確定します。
| サービス | 料金（税別） | 単位・条件 | 納期 |
|---|---|---|---|
| PHP 緊急トリアージ | 100,000円 | 1環境／調査のみ／作業時間の上限8時間 | 情報受領後48時間 |
| PHP Security Check | 50,000円 | 3環境まで／4環境目以降 1環境 +12,000円 | 3営業日 |
| PHP パッチ適用 | 100,000円〜 | 1環境／同一系列内／緊急枠（48時間以内）+50% | 5営業日 |
| PHP バージョン移行 | 300,000円〜 | 1環境／作業40時間まで／超過は別見積 | 3〜8週間 |
| Web 簡易脆弱性診断（標準） | 100,000円〜 | 1ドメイン・画面10程度まで | 10営業日 |
| Web 簡易脆弱性診断（緊急枠） | 150,000円 | 1ドメイン・画面5程度まで／電話での結果説明30分 | 48時間 |
| Web Security Care | 30,000円／月 | 1環境／12か月契約／初期費用なし | — |
| レガシー改修・再構築 | 個別見積 | 要件により変動 | — |
別途かかるもの
- 追加環境：4環境目以降は1環境あたり12,000円（Security Check）
- 緊急対応：夜間・休日・48時間以内の作業は +50%
- 拡張モジュール：PHP拡張の再ビルドや独自コードの修正が必要な場合は別見積
- 復旧作業：作業に起因しない障害の復旧は別見積
作業時間の上限を超える見込みが出た場合は、作業を止めて事前にご相談します。ご承認なく追加費用が発生することはありません。表示価格は2026年10月時点のもので、変更する場合があります。
よくある質問
体制と安全対策
本サービスは、Webシステムを単発の対応ではなく継続的に守るためのメニューです。日々の点検と、サポート終了の事前把握を軸にしています。お客様とのやり取り、契約、品質の最終判断は日本側が行い、実務はインドの技術者が担当します。お客様のサーバーの管理者権限をお預かりする以上、私たち自身の管理体制を契約と手順で定めています。
| 作業アカウント | 案件ごとに発行し、完了後24時間以内に無効化。共有アカウントは使いません |
|---|---|
| 認証情報の保管 | 暗号化された共有の保管環境で管理。閲覧は案件担当者に限定 |
| 作業端末 | 私物端末の使用を禁止、ディスク暗号化、二要素認証を必須化 |
| 作業記録 | 誰が・いつ・どのサーバーに・何をしたかを記録し、1年間保存 |
| 秘密保持 | ご契約時に秘密保持契約を締結。再委託先にも同じ内容を課します |
| データの取り扱い | お客様のデータを複製・持ち出しません。報告書には必要最小限のみ記載 |
| 本番作業 | 技術試験に合格した作業者だけが担当し、必ず2名で確認します |
| 賠償責任保険 | 業務上の事故に備え、賠償責任保険に加入しています |
ご利用にあたっての注意事項
- 本サービスは、対象環境の状態を調査し、判定と改善案を提示するものです。脆弱性が存在しないことを保証するものではありません。
- 簡易確認は、侵害の有無を断定するものではありません。フォレンジック調査は含みません。
- Web 簡易脆弱性診断は、ペネトレーションテストおよびソースコード診断とは異なります。
- 作業は、書面による作業承諾書の締結後、合意した日時・範囲に限定して実施します。
- 診断の実施中、対象サイトのWAFやIDSが反応する場合があります。事前にご担当者へお知らせください。
- サーバーの設定変更やアプリケーションの改修は、別途お見積りとなります。