中小企業のサイバー対策｜PHP2Shell・不正アクセス急増で今すぐやるべきこと【2026年10月】

セキュリティ強化について

2026年10月、全国でWebサイトの「一時停止」や「緊急メンテナンス」が相次いだ。背景にあるのは、9月ごろから続く国内組織への不正アクセスと情報漏えい、そして10月21日に公表されたPHP（Webサイトで広く使われているプログラミング言語）の重大な脆弱性「PHP2Shell」である。高市早苗首相が自らXで「今夜に対応して頂きたい大至急のお願い」と呼びかけるほどの異例の事態だった。では、専任のIT担当者もいない中小企業・零細企業は、何から手をつければよいのか。本記事では、政府・公的機関とIT企業が公表した一次情報だけをもとに、今日からできる対策を優先順位つきで整理する。

この記事の要点
  • いま起きているのは「9月からの連続不正アクセス・情報漏えい」と「10月21日公表のPHP重大脆弱性（PHP2Shell）」の2つ。サイト停止の多くは予防措置であり、停止＝被害とは限らない
  • 最優先は①PHPを修正版（8.2.35／8.3.36／8.4.27／8.5.12）以降に更新する ②管理画面やメールに多要素認証を入れる ③使っていないサイト・機能・データを消す、の3つ
  • 被害が疑われたら、IPA「不正アクセス特別相談窓口」（03-6759-5760）か警察へ。個人データの漏えいは個人情報保護委員会への報告義務がある

いま何が起きているのか

「サイトが閉鎖されている」と一口に言っても、中身は大きく2種類ある。まずは状況を正しく分けて理解しておきたい。

9月ごろから相次ぐ不正アクセスと情報漏えい

JPCERTコーディネーションセンター（JPCERT/CC）は2026年10月8日、「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」を公開した（10月9日更新）。9月前後から国内組織で不正アクセスによる個人情報等の漏えいが相次いでいるとしたうえで、確認された攻撃の型を次の4つに整理している。

  • ケースA：標的ごとにさまざまなソフトウェアの既知の脆弱性を探して悪用する。環境設定ファイルやバックアップファイルの窃取など、管理の甘さを突く攻撃も含む
  • ケースB：公開しているスマホアプリを解析してAPI（システム同士をつなぐ窓口）を特定し、権限の変更や不正なアカウント作成を行う
  • ケースC：BIツール「Metabase」の脆弱性（CVE-2026-72898）を悪用する
  • ケースD：公開Webサーバーからたどれるアプリケーションサーバーに、遠隔操作用の不正プログラム（Webシェル）を設置する

中小企業にとって見逃せないのは、被害が一般向けサービスに限らないという指摘だ。JPCERT/CCは、BIツールや従業員向け管理システムなど「不特定多数のアクセスを想定していないシステム」も被害に遭っているとしている。「社内用だから大丈夫」という考えは通用しない。

10月13日には情報通信研究機構（NICT）が、漏えいの原因の一つとして、公開されたAndroidアプリを解析して接続先サーバーを狙う「A2B攻撃」への注意喚起を出した。身近な例では、日本貿易振興機構（ジェトロ）が10月14日からの不正アクセスを確認し、17日からWebサイトの利用を一時停止。企業名や担当者のメールアドレスなど743件の個人情報の漏えいを10月19日に公表している。

10月21日のPHP重大脆弱性「PHP2Shell」と予防的なサイト停止

10月21日、PHPの開発元は2件の重大な脆弱性（CVE-2026-109618、CVE-2026-109619）を修正したバージョンを公開した。2件の組み合わせは「PHP2Shell」と呼ばれ、IPAの注意喚起によれば、悪用されると遠隔の第三者に任意のコードを実行されるおそれがある。

PHPのバージョン影響修正版
8.2系8.2.35より前が影響あり8.2.35
8.3系8.3.36より前が影響あり8.3.36
8.4系8.4.27より前が影響あり8.4.27
8.5系8.5.12より前が影響あり8.5.12
8.1以前サポート終了。調査に関わったWiz社によれば5.4以降はいずれかの影響を受ける提供なし（7.4／8.0／8.1には開発元が最小限の緩和策のみ提供）

出典：IPA、JPCERT/CC

公表前から情報が漏れていたこともあり、国内では異例の呼びかけが続いた。国家サイバー統括室は21日、修正パッチの速やかな適用が難しい場合は「ウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つ」とXで発信。同日21時55分には高市首相も同じ趣旨をXに投稿した。Impress Watchの報道によれば、BASEやコドモンが21日午後からメンテナンスに入り、pixiv、DMM.com、niconico、さくらインターネットの一部サービスなども緊急メンテナンスや一時停止に踏み切った。

つまり、いま閉鎖されているサイトの多くは「攻撃を受けたから」ではなく「攻撃を受ける前に止めた」ものと考えられる。JPCERT/CCも22日の注意喚起で、PHPが国内で広く使われていることを確認したとし、速やかな対策と侵害有無の調査を求めている。

数字で見るランサムウェア被害

警察庁が2026年9月に公表した「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」によると、ランサムウェアの被害報告は123件で、半期としては統計開始以降で過去最多となった。

  • 被害企業の約6割が中小企業。業種別では製造業が約3割で最多
  • 復旧に総額1,000万円以上かかった組織が全体の6割
  • 1か月未満で復旧できた組織は5割弱にとどまる
  • 侵入経路はVPN機器が約5割

1件の被害が数か月の業務停止と1,000万円単位の出費につながる。体力の限られた中小企業にとっては、経営そのものを揺るがしかねない数字だ。

なぜ中小企業が狙われるのか

理由は「狙われやすい」というより「見つかりやすく、入りやすい」からだ。今回の攻撃は、会社の規模を選んでいない。インターネット上を機械的に調べ、古いPHP、更新していないプラグイン、放置された管理画面、パスワードだけで入れるVPNなど、穴が開いているところから順に攻めている。

攻撃のコストも下がっている。NICTは注意喚起の副題で「AIで高度化する脆弱性探索」に触れ、警察庁も高性能AIが悪用されるとサイバー攻撃がより高速かつ大規模になるリスクを指摘している。PHP2Shellについても、調査に関わったWiz社はAIが脆弱性を発見したと説明している。攻撃側の自動化が進むほど、「うちは小さいから見つからない」という前提は崩れていく。

さらに中小企業は、取引先に侵入するための「踏み台」としても狙われる。IPAの「情報セキュリティ10大脅威 2026」（組織編）では、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」、3位に初選出の「AIの利用をめぐるサイバーリスク」、4位が「システムの脆弱性を悪用した攻撃」だった。大企業が委託先に求める対策水準は今後確実に上がる。対策の遅れは、そのまま取引を失うリスクになる。

政府・公的機関の呼びかけ

10月7日から9日にかけて、関係機関が一斉に注意喚起を出した。国家サイバー統括室は各機関の発信を1つのページにまとめて公開している。

機関日付主な内容
個人情報保護委員会10月7日大規模な漏えい等事案を踏まえた対応について（注意喚起）
JPCERT/CC10月8日（9日更新）攻撃の4類型と対策（APIの回数制限、最小権限、不要な管理機能の公開停止、保存期間を過ぎたデータの削除など）
国家サイバー統括室10月9日不正アクセスによる漏えい等の事案を踏まえた対応について
IPA10月9日速やかに実施すべき対策等について
経済産業省・総務省・金融庁10月9日業界別の注意喚起（経済産業省、総務省、金融庁）
NICT10月13日アプリ解析からのサーバー攻撃（A2B攻撃）への注意喚起
IPA10月16日不正アクセス特別相談窓口（事業者向け）を開設
IPA・JPCERT/CC10月21〜22日PHP2Shellへの事前準備と修正版の速やかな適用

中小企業にとって特に参考になるのが、PHP2ShellについてIPAが示した判断手順だ。修正が難しい場合は暫定対策やアクセス制限を検討し、それも難しければ外部からのアクセス遮断やサービスの一時停止が必要かを判断するよう求めている。さらに、保守体制を確保する見通しが立たない場合は、保守を受けられる製品・サービスへの移行、機能の縮小、公開の終了やシステムの廃止まで検討するよう踏み込んでいる。判断にはシステム担当者だけでなく、経営層も加わるべきだとしている点も重要だ。

平時の備えとして使える公的な仕組みは次のとおり。

先進IT企業の呼びかけ

Cloudflareは、PHP2Shellの公表に先立つ日本時間10月21日12時02分から、無料プランを含むWAF（Webアプリケーションファイアウォール）利用者全員に防御ルールを自動で適用したと公表した。一方で、攻撃者が防御をすり抜けようと攻撃内容を変えている様子も観測しており、WAFがあってもPHPの更新は必要だと明言している。同社は、この脆弱性はPHP本体の問題なので、Webサイトのコードやプラグインを更新するだけでは直らないとも説明している。

Microsoftは「Microsoft Digital Defense Report 2025」で、動機がわかっているサイバー攻撃の半数以上が恐喝やランサムウェアによるものだと報告した。ID（アカウント）を狙う攻撃の97％以上はパスワードを使った攻撃で、フィッシングに強い多要素認証を導入すれば、攻撃者が正しいIDとパスワードを持っていても99％以上を防げるとしている。

2社の発信から導ける原則はシンプルだ。

  1. 更新（パッチ）がすべての前提。WAFなどは時間を稼ぐ補助にすぎない
  2. アカウントは多要素認証で守る。可能ならパスキーなどフィッシングに強い方式を選ぶ
  3. 人の注意力に頼らず、仕組みで防ぐ

今すぐやるべき対策チェックリスト

ここからは、予算も人手も限られた会社を想定し、優先順位の高い順に並べる。

【今日〜1週間】まず穴をふさぐ

  1. PHPのバージョンを確認する。WordPressなら管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できる。レンタルサーバーなら事業者の告知とコントロールパネルを見る。制作会社や保守会社に任せている場合は「PHPのバージョンと、修正版を適用した日付」をメールで問い合わせ、記録に残す
  2. PHP 8.1以前のサイトは、移行するか止める。正式な修正版は提供されない。キャンペーンサイトや旧サイトなど、普段見ていない「休眠サイト」ほど危ない。なお8.2系もセキュリティサポートが2026年12月31日で終了するため、8.3以降への移行計画を立てておく
  3. 侵害の痕跡を確認する（保守会社に依頼）。JPCERT/CCは、不自然に長いPHPSESSID Cookie、不審なmultipart/form-data形式のリクエストとその前後のメモリ上限エラーやHTTP 500エラー、PHPのプロセスの異常終了や頻繁な再起動などの確認を推奨している。ただし痕跡がなくても、攻撃を受けていないとは断定できない
  4. 主要アカウントに多要素認証を設定する。WordPress管理画面、サーバーのコントロールパネル、ドメイン管理、Microsoft 365／Google Workspace、ネットバンキング、SNSの公式アカウント。管理者アカウントから先に
  5. VPN機器・ルーター・UTMのファームウェアを最新にする。ランサムウェアの侵入口の約半分はVPN機器だ。使っていないリモート接続の口はインターネットに公開しない
  6. 不要なものを消す。退職者のアカウント、使っていないプラグインやテーマ、テスト環境、サーバー上に置きっぱなしのバックアップや設定ファイル。これらはJPCERT/CCのいう「ケースA」の格好の標的になる
  7. バックアップを別の場所にも取り、戻せるか試す。ネットワークにつながったままのバックアップは、ランサムウェアでまとめて暗号化されることがある

WordPress本体やプラグインを更新しても、PHP2Shellは直らない。レンタルサーバーなら事業者が、自社管理のサーバーなら自社または保守会社がPHPを更新する必要がある。「WordPressは最新だから大丈夫」と思い込まないこと。

【1か月以内】守りの土台をつくる

  1. IT資産を棚卸しする。Webサイト、ドメイン、サーバー、クラウド、各種SaaS、VPN機器について「誰が管理し、どこと保守契約を結び、更新期限はいつか」を1枚の表にまとめる。管理者がわからないものは止めるか廃止を検討する
  2. 持っている個人データを減らす。個人情報保護委員会もJPCERT/CCも、利用目的を終えたデータや保存期間を過ぎたデータを残さないよう求めている。持っていないデータは漏れない
  3. 委託先との契約を見直す。制作会社・保守会社・クラウド事業者との間で、セキュリティ要件、漏えい時の報告義務と期限、契約終了時のデータ削除を文書にしておく
  4. WAFを導入する。今回、Cloudflareの無料プランでも緊急ルールが自動で配信された。ただし更新の代わりにはならない
  5. 「5分でできる！情報セキュリティ自社診断」を実施し、SECURITY ACTIONを宣言する。補助金申請の準備にもなる
  6. 初動対応の手順と連絡先をA4用紙1枚にまとめる。「誰が判断し、誰に連絡し、何を止めるか」を決めておく

【継続】仕組みとして回す

  • 毎月の「更新点検日」を決める。CMS、プラグイン、PHP、ネットワーク機器の更新状況をまとめて確認する
  • 保守契約に「緊急時の対応範囲」を入れる。今回のように「今夜中に対応」を求められる場面に備え、夜間・休日の連絡手段と費用を事前に決めておく
  • 振込先の変更や認証コードの要求は、メール以外の手段で確認するルールを社内で徹底する
  • 専任者がいないなら外部に任せる。お助け隊サービスやサイバー保険で、監視と駆けつけを確保するほうが現実的だ

被害に遭ったときの初動と相談窓口

初動は「広げない・消さない・記録する」

  1. 広げない：感染が疑われる端末はネットワークから切り離す。サーバーはアクセス遮断やサービス停止を検討する
  2. 消さない：JPCERT/CCは、侵害が疑われる場合はログなどの証拠を保全したうえで対応するよう求めている。慌てて初期化しない
  3. 記録する：いつ、何に気づき、誰が何をしたかを時系列で残す
  4. 相談する：下の窓口と、保守会社・サーバー事業者に連絡する
  5. 知らせる：個人データが関わる場合は、法令に基づく報告と本人への通知を行う

相談窓口一覧

窓口対象・内容連絡先
IPA 不正アクセス特別相談窓口不正アクセスの被害を受けている、またはその可能性がある全国の企業・組織。被害の可能性の助言、応急処置案、専門業者一覧の紹介など電話 03-6759-5760（平日9:30〜17:30、12:00〜13:00を除く）
メール incident-support@ipa.go.jp
IPA 企業組織向けサイバーセキュリティ相談窓口不正アクセス以外のインシデントや平時の予防策の相談メールで受付
警察（サイバー事案の相談窓口）ランサムウェアや不正アクセスなどの通報・相談緊急時は110番、緊急でない相談は#9110
JPCERT/CCインシデント対応の依頼・情報提供Webフォーム
個人情報保護委員会個人データ漏えい等の報告（法的義務）Webから報告

個人情報保護委員会への報告義務

個人データの漏えい等が起き、次のいずれかに当たる場合は、個人情報保護委員会への報告と本人への通知が義務づけられている。

  • 要配慮個人情報が含まれる
  • 財産的被害が生じるおそれがある
  • 不正の目的をもって行われた漏えい等である（不正アクセスはこれに当たる）
  • 本人の数が1,000人を超える

不正アクセスによる漏えいには人数の要件がないため、件数が少なくても報告の対象になる。速報は「速やかに（概ね3〜5日以内）」、確報は30日以内（不正の目的による場合は60日以内）に提出する。

使える支援制度

対策費用には「デジタル化・AI導入補助金2026」のセキュリティ対策推進枠（旧IT導入補助金）が使える。

補助対象「サイバーセキュリティお助け隊サービスリスト」に掲載されたサービスのうち、IT導入支援事業者が提供し事務局に登録されたものの利用料（最大2年分）
補助率中小企業：1/2以内、小規模事業者：2/3以内
補助額5万円〜150万円
直近の締切6次締切：2026年10月30日（金）17:00（交付決定は12月10日予定）。以降の日程は事業スケジュールで確認

申請前に必要な手続きもあるため、「申請を行う前に必要な手続き」と最新の公募要領を必ず確認したい。補助金を使わない場合でも、お助け隊サービス自体は比較的安価に導入できる。

よくある質問

Q
うちのサイトはWordPressで、本体もプラグインも最新です。それでもPHP2Shellの対策は必要ですか？
A

必要だ。PHP2ShellはPHP本体の脆弱性なので、WordPressやプラグインの更新では直らない。サーバーのPHPが修正版になっているかを、サーバー事業者または保守会社に確認してほしい。

Q
サイトを一時停止すると、取引先やお客様に「被害に遭った」と思われませんか？
A

国家サイバー統括室やIPAは、修正が間に合わない場合の一時停止を正式な選択肢として示している。「予防のための点検中」と告知すれば、むしろ誠実な対応と受け止められやすい。

Q
WAFを入れれば、PHPの更新はしなくてもいいですか？
A

よくない。Cloudflare自身が、攻撃者が防御をすり抜けようと攻撃内容を変えていることを観測したうえで、WAFがあってもPHPを更新するよう求めている。WAFはあくまで時間稼ぎだ。

Q
警察に届けると、捜査で業務が止まりませんか？
A

警察庁は、被害組織の状況に応じて初動対応の助言や復号ツールの提供などの支援も行っていると説明し、早めの通報・相談を呼びかけている。迷ったらまずIPAの特別相談窓口に相談するのも一つの方法だ。

まとめ

今週中にやること
  • PHPを修正版に上げる。上げられないなら止める
  • 管理画面・メール・ネットバンキングに多要素認証を入れる
  • 使っていないサイト・機能・アカウント・データを消す

全国で続くサイト停止には、「攻撃が成功した結果」と「攻撃を防ぐための予防措置」の両方が混ざっている。予防のために止めることは恥ずかしいことではない。まずは上の3つで、今回の2つの攻撃の波に対するリスクを大きく下げられる。そのうえで、委託先との契約見直し、SECURITY ACTION、お助け隊サービスと補助金を組み合わせ、担当者が1人でも回る仕組みをつくってほしい。国家サイバー統括室の言葉を借りれば、サイバー攻撃は「もはや情報システム部門だけの問題」ではない。経営者自身が判断すべき課題である。

※本記事は2026年10月23日時点の公表情報に基づく。PHP2Shellへの対応状況や被害の全体像は日々更新されているため、最新情報はJPCERT/CC、IPA、国家サイバー統括室の公式発表で確認してほしい。

参考資料

タイトルとURLをコピーしました