SECURITY
ホームページのセキュリティ対策
会社のホームページ、
放っておいて大丈夫ですか。
ホームページは、作ったあとも守り続けないと、乗っ取りや書き換えの入口になります。株式会社木立の「Air Guard（エアガード）」は、一般の会社のホームページを攻撃から守り、止まらないようにするサービスです。まずは無料の安全診断で、今の状態を調べます。
- 他社が作ったサイトもOK
- WordPressのサイトもOK
- 診断は無料
- 専門用語なしでご説明
世界のホームページの約7割がPHPで動いています。WordPressで作ったホームページも対象です。ログインしなくてもサーバーを乗っ取られる恐れがあり、実際の攻撃も確認されています。くわしくはこちら
1つでも当てはまれば、一度ご相談ください
- ホームページをWordPressで作った（または、何で作ったか分からない）
- 作った会社や担当者と、今は連絡がとれない
- WordPressやプラグインを、1年以上更新していない
- サーバー代は払っているが、中の管理は誰もしていない
- お問い合わせフォームや採用フォームがある
- ホームページが攻撃されていても、気づける仕組みがない
当てはまる数が多いほど、早めの対策をおすすめします。どこが危ないかは、無料の安全診断でお調べします。
守りが弱いホームページで起きること
ホームページの被害は、会社の信用と売上に直接つながります。気づいたときには、お客様に迷惑がかかっていることもあります。
PHPの重大な弱点「PHP2Shell」とは
2026年10月21日、PHP本体に2つの重大な弱点（CVE-2026-109618／CVE-2026-109619）が公表されました。まとめて「PHP2Shell」と呼ばれます。危険度は10点満点中9.2で、細工した通信を送るだけで、ログインしなくてもサーバーを乗っ取られる恐れがあります。
これはPHPそのものの弱点です。WordPressやプラグインを最新にしても直りません。サーバーに入っているPHPを、修正版に入れ替える必要があります。
（ログインは不要）
図：PHP2Shellの攻撃の流れと、どこで止めるか
これまでの経過
- 10月17日公表の4日前から、攻撃の試みが見つかっていました。
- 10月21日情報が先に漏れたため、予定を早めて公表。同じ日に修正版が出ました。Cloudflareは公表の約9時間前から防御を始めていました。
- 10月22日Cloudflareが観測した攻撃は数百万件に。乗っ取った機器を攻撃の道具にしようとする動きも出ました。
- 10月23日関連する3つ目の弱点（CVE-2026-115560）が見つかりました。
- 10月下旬米国の政府機関も、PHPの修正を急ぐよう強く呼びかけています。
なぜ今回は影響が大きいのか
範囲が広い
世界のホームページの約7割がPHPで動いています。中小企業のホームページの多くも当てはまります。
待ってくれない
公表から1時間もたたずに攻撃が広がりました。「来週やる」では間に合いません。
古いPHPは長く狙われる
8.1以前の古いPHPは修正版が出にくく、何年も狙われ続ける恐れがあります。
弱点探しが速くなった
AIの力で弱点が見つかる速さが上がりました。公表の2日後には、関連する弱点がもう1つ見つかっています。
制作会社・サーバー会社に確かめていただきたいこと
- うちのホームページはPHPで動いているか、PHPのバージョンはいくつか
- PHPは修正版（8.2.35／8.3.36／8.4.27／8.5.12以降）に入れ替えたか、そのあとPHPを再起動したか
- 応急処置の設定（session.upload_progress.enabled=0）は入っているか
- 10月17日以降に、サーバーの記録や見慣れないファイルに不審な点はないか
- Cloudflareを使っている場合、防御の設定が「ブロック」になっているか
聞く相手がいない、聞いても分からないという場合は、木立が代わりにお調べします。
うちのサイトは大丈夫？ まずは無料でお調べします。
無料の安全診断を申し込むCloudflare（クラウドフレア）とは
Cloudflareは、ホームページを見に来る人と、会社のサーバーの「あいだ」に立つ、世界規模のサービスです。世界330都市以上の拠点から、見る人にいちばん近い場所で応答します。
そのまま
図：Cloudflareが立つ場所と、攻撃を止める場所
建物にたとえると
サーバーの中のしくみ（OS）
建物の中の管理人
機械の中で、ホームページのプログラムを動かす土台です。WindowsやLinuxがこれにあたります。
Cloudflare
建物の前の受付・警備員
建物の外で、出入りを整理して守ります。サーバーに何かを入れる必要はなく、住所録（DNS）の設定を切り替えるだけで手前に置けます。
1回の表示で起きていること
図：サーバーがお客様と直接やりとりしないので、負担も危険も減ります
世界のどこからでも、いちばん近い拠点へ
図：どの拠点も同じ住所を名乗るので、お客様は自動でいちばん近い拠点につながります。1か所が攻撃されても、ほかの拠点が引き受けるので止まりません。
Cloudflareを使う前と後
| Cloudflareなし | Cloudflareあり | |
|---|---|---|
| 攻撃 | そのままサーバーに届く | 手前で止める。サーバーの住所も隠せる |
| アクセスが集中したとき | 負担が集まり、止まりやすい | コピーで返す分、サーバーの負担が減る |
| 表示の速さ | 遠くからだと遅い | どこからでも速い |
| 通信の費用 | 見られるほど増える | サーバー側の通信が減り、抑えやすい |
| 始めるための作業 | ― | 住所録（DNS）の切り替えが中心。今のホームページはそのまま |
ひとつの守りに頼らない「多層防御」
Cloudflareは入口を守りますが、サーバーの中のPHPやOSまで更新してくれるわけではありません。木立は守りを4段に重ね、1つが破られても次で止めます。
Cloudflareを通らずに、サーバーを直接ねらう攻撃もあります。住所を隠すだけでなく、受け口を閉じるところまで行うことが大切です。
乗り換えWordPressのホームページは、3つの方法で守れます
WordPressは世界のホームページの4割以上で使われる便利なしくみですが、PHPで動き、たくさんのプラグインに頼るため、弱点への対応に追われがちです。Cloudflareによると、WordPressの弱点の大半はプラグインから生まれています。木立は、会社ごとの使い方に合わせて3つの方法からご提案します。
A. 今のまま守る
WordPressは残し、手前にCloudflareを置いて守ります。PHPとサーバーの更新も木立が行います。
- 向いている会社
- まず急いで守りたい
- 期間の目安
- 短い（住所録の切り替えが中心）
- PHPの弱点
- 更新し続ける必要あり
B. PHPを使わないページに移す
見た目はそのままで、動きのないページ（静的なページ）に作り直し、Cloudflareに移します。会社案内のような、更新の少ないホームページに向いています。
- 向いている会社
- 更新は年に数回程度
- 期間の目安
- 中くらい
- PHPの弱点
- 影響を受けない
C. 新しい更新のしくみ（EmDash）へ
Cloudflareが2026年4月に公開した「EmDash（エムダッシュ）」に移ります。PHPを使わず、プラグインを1つずつ囲った安全な場所で動かす作りです。
- 向いている会社
- お知らせやブログをよく更新する
- 期間の目安
- 長め（作り直しを伴う）
- PHPの弱点
- 影響を受けない
EmDashとは：Cloudflareが「WordPressの精神的な後継」として公開した、ホームページを更新するためのしくみ（CMS）です。無料で使える公開ソフトで、AIと一緒に使うことを前提に作られています。まだ新しいしくみなので、木立はホームページごとに向き不向きを見極めてからご提案します。
予約・会員・ネットショップなど、独自のプログラムで動いている部分は、移し方を個別にご相談します。メールの設定は引き継ぎ、メールが止まらないようにします。
どの方法が合うかは、ホームページを見ればお伝えできます。
無料で相談する大きな会社でも狙われる。だから「運用」まで守る
Linuxの弱点「Copy Fail」
サーバーで広く使われるLinuxの中心部分に、管理者の権限を奪える弱点（CVE-2026-31431）が見つかりました。Cloudflareのサーバーも対象でしたが、公表の翌日には全世界で応急処置を入れ、その後修正版へ入れ替えました。悪用の形跡はなく、サービスも止まりませんでした。
Cloudflareの社内システムへの侵入
攻撃者が、Cloudflareの社内の資料や課題管理のしくみに入り込みました。原因はソフトの弱点ではなく、別の会社への攻撃で盗まれ、変えられずに残っていたログイン情報でした。お客様のデータへの影響はなかったと発表されています。
Air Guard（エアガード）でできること
1無料の安全診断
PHPのバージョン、WordPressとプラグインの状態、サーバーの設定、不審なファイルの有無を調べ、危ない順にお伝えします。
2緊急の対応
PHPの入れ替え、応急処置の設定、Cloudflareの防御の設定など、今すぐ必要なことを行います。
3Cloudflareへの移設
住所録（DNS）の切り替え、メールの設定の引き継ぎ、受け口を閉じる設定まで行います。切り替えは営業時間内に1つずつ行います。
4WordPressからの乗り換え
動きのないページへの作り直しや、EmDashなど新しいしくみへの移行を行います。
5毎月の見守り
PHP・OS・プラグインの更新、攻撃の見張り、異常があったときのご連絡と対応を続けます。
6社内のルールづくり
パスワードと2段階認証、権限の決め方など、人や運用のすきを作らない決まりを一緒に作ります。
木立が選ばれる理由
- 沖縄でホームページ制作とシステム開発を続けてきた会社が、作るところから守るところまで担当します
- 自社のホームページや、自社で作ったAIのしくみを、実際にCloudflareで動かしています
- AIを使った自動の見張りで、異常に早く気づける体制をとっています
- 他社が作ったホームページも、そのままお任せいただけます
ご依頼の流れ
- お問い合わせホームページのアドレスをお知らせください
- 無料の安全診断今の状態と、危ない順の対応をご報告します
- お見積り緊急の対応・移設・毎月の見守りから、必要なものだけ選べます
- 対応と見守り作業のあとも、毎月の見守りで安全を保ちます
よくあるご質問
他社が作ったホームページでも頼めますか
はい。作った会社に関係なくお引き受けします。サーバーやドメインの管理情報が分からない場合も、探し方からお手伝いします。
パソコンに詳しくなくても大丈夫ですか
はい。専門用語を使わずにご説明し、作業は木立が行います。社長や総務のご担当者さまからのご相談が多くあります。
作業中にホームページは止まりますか
止まらないように進めます。切り替えは営業時間内に1つずつ行い、表示を確かめてから次へ進みます。
会社のメールに影響はありますか
住所録（DNS）を切り替えるときに、メールの設定もすべて引き継ぎます。メールが届かなくならないよう、事前に確かめます。
WordPressのままでもよいですか
はい。WordPressのまま手前にCloudflareを置いて守る方法（A）もあります。診断の結果を見て、合う方法をご提案します。
費用はどのくらいかかりますか
ホームページの大きさや、選ぶ方法によって変わります。無料の安全診断のあとに、必要なものだけのお見積りをお出しします。
このページに出てくることば
まずは無料の安全診断から
下のかんたんなアンケートにお答えください。分からないところは空欄で大丈夫です。今の状態をお調べして、危ない順にご報告します。
メールでも受け付けています：info@kodachi.jp
掲載の情報は2026年10月31日時点の公開情報にもとづきます。PHPの修正版の番号、攻撃の件数、Cloudflareの拠点の数と対応は、各社の公表によるものです。