脆弱性が見つかったら。
まず、何を確かめるか。
急いで対策を進めたいときこそ、対象の確認と侵害の有無を分けて整理します。PHP・WordPressなどの更新、公開制限、WAFの役割を、Webサイトの運用担当者向けにまとめました。
「該当する」と「侵害された」を分ける。
脆弱性のニュースを見たら、製品名だけで判断せず、自社のバージョン・設定・公開範囲を公式アドバイザリと照合します。PHPを利用していても、すべての脆弱性がすべての構成に影響するわけではありません。
同時に、改ざん、不審な管理者アカウント、身に覚えのない処理などがないか確認します。攻撃の記録があることと、侵害が成立したことは別です。一方、アラートがないことだけで安全とも判断できません。
| 現在の状態 | 優先すること |
|---|---|
| 影響するか不明 | 公式情報と実際の構成を照合し、保守担当者に確認する |
| 影響するが、侵害の兆候は未確認 | 兆候の確認と並行して修正を計画し、必要な暫定対策を実施する |
| 侵害・漏えいの疑いがある | 社内責任者と保守会社へ連絡し、被害拡大防止・記録保全・調査を進める |
初動で整理する、5つのこと。
対象と責任者を特定する
公開URL、サーバー、PHP・CMS・プラグインのバージョン、管理者と保守会社を一覧にします。公式の影響条件・修正版・回避策を確認し、誰が判断するかを決めます。
記録を残し、兆候を確認する
検知時刻、画面の変化、アクセスログ、管理操作の記録を保全します。侵害が疑われる場合、原因調査に必要な情報を失わないよう、むやみにログやファイルを削除しないでください。
必要な公開制限・隔離を判断する
業務影響とリスクを踏まえ、該当機能の停止、アクセス制限、ネットワークからの隔離などを担当者と検討します。実施内容と時刻、復旧条件も記録します。
修正を適用し、確認する
復旧可能なバックアップを確認し、公式の修正版や設定変更を適用します。表示だけでなく、ログイン・フォーム・連携処理などを確認。侵害済みの可能性がある場合は、更新だけで復旧完了とせず調査を続けます。
担当者と次の確認日を決める
経緯、対応内容、残る課題を記録し、更新管理と監視の担当者を明確にします。情報漏えいの疑いがある場合は、報告・通知の要否も責任者と専門家が確認します。
すぐに更新できないとき、WAFで補える範囲。
業務システムへの影響確認などで更新まで時間が必要な場合、対象の攻撃に対応するWAFルールや公開制限を暫定的な緩和策として検討できます。
ただし、ルールがあるだけでは十分ではありません。対象通信がWAFを通ること、必要な項目を検査できること、実際に拒否できること、正規の利用を妨げないことを確認します。
暫定対策には担当者と期限を置きます。WAFで防御できたことを理由に、根本的な更新を先送りし続けないことが大切です。
保守会社に、これを伝える。
「セキュリティが心配」だけでなく、わかっている事実と未確認事項を分けて共有すると、対応の判断が進みます。
- 対象のサイト・サービスと、利用製品・バージョン
- 見つけた公式情報のURLと、気づいた日時
- 表示の異常・不審な通知・ログなどの兆候
- すでに実施した変更と、業務上止められない機能
- バックアップの有無、連絡できる管理者・責任者
何から始めるか、一緒に整理します。
現在の構成、困っていること、変更できる範囲をお聞かせください。開発・運用の経験をもとに、対策の優先順位や技術選定からご相談を承ります。対応範囲と日程は、内容を確認したうえで個別にご案内します。
お問い合わせには、パスワードやAPIキー、個人情報を含むログを記載しないでください。
参考資料
参照日：2026年10月25日。方式の比較は一般的な検討項目を整理したものです。個別の対応可否は、最新の公式情報と実際の構成をご確認ください。