[ITmedia エンタープライズ] 「縁の下の力持ち」なIT部門はいつまでもつ？ “おまかせ運用”は中小企業の現実解か
2026年10月21日は、忘れられない日になりそうです。多くのサーバで利用されているスクリプト言語「PHP」の脆弱（ぜいじゃく）性である「CVE-2026-109618」と「CVE-2026-109619」、通称「PHP2shell」に対して、高市早苗首相自らがその注意喚起をSNSに投稿しました。
これを受けて多くの企業が緊急メンテナンスとして、サービスを止めてでも対応する流れとなりました。これまでいい意味でも悪い意味でも“縁の下の力持ち”だったエンジニアたちの尽力により、世界的に大混乱した脆弱性対応をこなせたのではないかと思います。
その裏では、幾つかのサービスがPHP脆弱性への対応ができず、サービスを終了したり、かなり長めのサービス停止を発表したりと、苦渋の対応が目立ちました。PHPはバージョンごとに大きな仕様変更を繰り返しています。その上で動くECサイトのアプリケーションがそもそも最新のPHPに対応できていない事例もあり、PHPだけでなくECサイト自体を自前でアップデートできなかったのかもしれません。
実は私も、PHPを利用しているCMS「WordPress」を個人で運営しています。昨今の脆弱性対応を考えると、PHPやデータベースアプリを利用しない方法に移行しなければならないかもと思っていた矢先のこの事件でした。が、今回のPHP2shell事案を通じ、これはむしろWordPress／PHPでもそれなりに続けられるのかも……と思いました。ただし、幾つかの条件があります。この考え方はもしかしたら、日本の中小企業にマッチしたものかもしれません。
脆弱性対応と付き合う、もう一つの方法
かつてクラウドブームが大きく盛り上がった頃、クラウド利用のメリットとして（あるいはデメリットとして）述べられていたのは、SaaSというサービス形態では「事業者側がシステムのアップデートや保守を一元管理してくれる」という点でした。これにより、利用者が意識せずともシステムは常に最新かつ安全な状態に保たれます。これまで日本の企業のIT利用は「稼働中のシステムには極力手を加えない」という手堅い運用が主流だったため、意図しない機能変更を嫌う声もありました。
また、クラウド利用では「責任分界点」の概念が欠かせません。SaaSであればソフトウェアやミドルウェアの層まで事業者が責任を持って管理しますが、IaaSやVPS（仮想専用サーバ）では、OS以上の設定や保守運用は全て利用者の自己責任となります。自由度が高く柔軟な構築ができる反面、従来のオンプレミス同様、OSやミドルウェアの継続的なアップデート作業が企業側に重くのしかかります。
私自身も以前、サーバ構築の知識を深めるためにVPSを契約し、Linux、Apache、MySQL、PHPで構成されるいわゆる「LAMP環境」を自作してWordPressを運用していた時期がありました。今回の事案で迅速なPHP対応が困難だった企業の多くは、まさにこうした従来のLAMP構成を維持したまま、抜本的な運用刷新をせずにオープンソースソフトウェアを運用し続けていたのではないでしょうか。自由度を優先した結果、セキュリティ保守の重荷を自力で抱え込んでしまっていたのです。
ここで基本に立ち返り注目したいのが、「レンタルサーバ（共有サーバ）」事業者の存在です。例えば大手サービス事業者であるエックスサーバーでは、今回のPHP2shellにおいて公式修正パッチが提供されたPHP 8.2～8.5だけでなく、既に公式サポートが終了しているPHP 5.1～8.1に対しても、独自に修正パッチを適用しました。公式サポート終了版であるため運用自体は「非推奨」ではあるものの、オープンソースの特性を最大限に生かし、顧客防衛のためにここまでの補強を実施してくれたのです。他社の主要レンタルサーバでも同様の手厚い一次対応がなされているのを確認しています。
エックスサーバーではサポート対象外のPHP 5.1～8.1にも独自に修正パッチを適用（出典：エックスサーバーのWebサイト）
こうした対応を踏まえると、中小企業が取るべき現実的な戦略が見えてきます。PHPのように世界的に使われているプログラムであれば、脆弱性が明らかになればグローバルに対応と解析が進み、修正プログラムが発行されれば迅速に適用されます。自力でサーバやミドルウェアを管理しようとせず、責任分界点が事業者寄りにあるSaaSや高品質なレンタルサーバを最大限に活用することこそが、最も合理的で安全な選択ではないでしょうか。確かに、カスタマイズの自由度は低く、できることは限られるかもしれませんが。
特に不特定多数の利用者が接続するECサイトでは、運営をSaaSに委託して、脆弱性対応などの運用負荷を下げることが重要な課題になりそうです。ECサイト構築もPHPをベースとしたオープンソースで無料のツールがたくさんありましたが、今回のような事件は今後も必ず発生すると考え、運営部分はおまかせするという選択を真剣に考えるべきだと思いました。
これはPHPだけの話ではないし、今回始まった話でもない
今回、PHPの脆弱性が大きく注目された要因は、「PHPの品質が低かったから」という話では断じてありません。イレギュラーだったのは、本来発表すべきタイミングの前に脆弱性と攻撃手法が明らかになってしまい、「ゼロデイ状態」として攻撃者が圧倒的に有利な時間ができてしまった点です。
実はこのような脆弱性への対処は、これまでもエンジニアによって（静かに）対応されてきたものであり、今回特別だったのはその点くらいでした。実際に、一般的な報道にはあまり載りませんでしたが、エンジニアならば一目でその“ヤバさ”が分かる脆弱性が、その後も多数報告されています。まずは日々対応に追われている方々に、これまで以上に感謝したいと思います。
WordPressも、プラグインを含め簡単に攻撃ができてしまうような脆弱性が毎日報告されています。今回の大きな事件を踏まえて、以下の3つの運用ルールを再度定義しました。
- 本体アップデートは即時自動適用する
- プラグインは最小限に絞り、カスタマイズしない「素に近い状態」を維持
- 管理者ログインの徹底防衛（ネットワークレベルでの防御を追加）
むしろ今回の“最悪レベル”の事件をきっかけに、現在の構成でも守れるのではという自信もつきました。これも、レンタルサーバを利用していることが大前提です。重要なのは、自社のデータを預けられる先をどう選択するかですが、まさに今回の各事業者の“対応”こそが、ひとまずの指針になるのではないかと思います。もし自身の組織に大きな影響がなかったとしても、今回行われた各社の対応は記録しておいた方がいいかもしれません。
脆弱性対応の方法をどうすべきか――これはセキュリティ専門家でも頭を悩ませる問題です。できれば、自分でやらなくてもサービスとして提供されている部分はプロにおまかせし、自分にしかできない分野に注力したいものです。その意味で、かつては窮屈だと感じたSaaSの利用、レンタルサーバの活用は、再度検討の余地があると思います。
著者紹介：宮田健（みやた・たけし）
元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。
2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門 「木曜日のフルット」と学ぼう！〈漫画キャラで学ぶ大人のビジネス教養シリーズ〉』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる。
関連記事
関連リンク
KioskNews shows a cleaned-up reading view extracted from the publisher’s page — the original always lives on their site, not ours.