株式会社アシュアードが運営する脆弱性管理クラウド「yamory（ヤモリー）」は、プログラム言語「PHP」で重大な脆弱性が公表されたことを受け、速報調査レポートを公開した。レポートでは、国内組織のWebサイト・サービスの停止と再開の状況をまとめている。データは2026年10月23日 14時時点のもので、数値はいずれも「株式会社アシュアード調べ」によるものである。
PHPのほぼ全てのWebサービスが対象となる脆弱性
PHPは、利用者の操作に応じて情報を動的に処理するWebサイトやWebアプリケーションの基盤となるプログラム言語だ。企業のコーポレートサイトや問い合わせフォーム、行政サービス、会員制システム、ECサイトなどで、世界中で無償かつ極めて広く利用されている。国内でも、官公庁や大手企業から中小企業まで、数多くのWebサイトやシステムに採用されている。
2026年10月21日に公表された今回の脆弱性は、非常に危険度が高く、PHPで作られたWebサービスのほぼ全てが対象となる。悪用された場合、サーバーを外部から不正に乗っ取られるおそれがある。その結果、保有する顧客情報の窃取やWebサイトの改ざんなど、企業の事業継続を揺るがす致命的な被害につながりかねない。開発元も修正版への速やかなアップデートを強く呼びかけている。企業には、自社で運用するWebサイトに加え、外部委託先のシステムも含めて、PHPの利用有無と稼働バージョンを把握することが急務になっているという。
停止告知は累計502件、再開告知の確認は217件にとどまる
アシュアードの独自調査によると、脆弱性の公表後、多くの組織がリスクを重く受け止めた。予防的措置として、Webサイトやサービスの稼働を一時的に停止する組織が相次いだ。停止告知の件数は10月21日夜から急激に増え、10月23日14時時点で累計502件に達した。一方、対策を講じて再開に至った告知は217件にとどまっている。
- 停止告知（累計）：502件
- 再開告知を確認できたもの：217件
- 再開告知が確認できていないもの：285件（全体の約60%）
同社は、被害を防ぐための「迅速な停止」が行われた一方で、「安全な再開」に向けた対応や検証に時間を要している組織が多いことがうかがえるとしている。
調査対象は、X（旧Twitter）上の公開投稿データである。「PHP」「緊急メンテナンス」「脆弱性」「停止」「メンテナンス」「再開」「復旧」等のキーワードに加え、CVE番号、「php2shell」、IPAやJPCERT/CC等のセキュリティ関連機関名などを組み合わせた独自検索で、該当する投稿を抽出・分類した。集計にあたっての留意点は次のとおり。
- X上で告知していない組織は計上していない。また、国内のすべての事案を網羅するものではない。
- 再開の告知をX上で行っていない組織は「停止中（再開告知未確認）」として残る。そのため、停止中の件数は実態よりも多く計上されている可能性がある。
- 1つの告知に複数のWebサイトやサービスが含まれる場合も1件として数えている。そのため、実際に影響を受けたサイト・サービスの実数は、今回の数値を上回る可能性がある。
復旧が長引く背景にEOL、「安全に動かす判断」への備えを
同社は、復旧に時間がかかっている背景として二つの可能性を挙げている。一つは、社内や外部委託先を含め「どこでどのバージョンのPHPが使われているか」の特定に時間を要していることだ。もう一つは、稼働環境がすでにEOL（サポート終了）を迎えており、本来は計画的に進めるべき「メジャーバージョンアップ」の緊急対応に追われていることである。サポート終了版では修正パッチが提供されないケースも多い。上位バージョンへの移行や他機能への影響検証、リスクに応じたトリアージ（優先順位付け）が現場で追いつかず、停止の長期化につながっていると同社は推測している。
サイトの停止が長引くほど、企業活動や顧客の利便性への影響は避けられない。同社は、平時からEOLの状況を把握して計画的に対応を進めておくことと、有事に迅速なトリアージを行える体制を整えておくことを重視している。それが即応性を高め、被害と事業損失を最小限に抑える鍵になるという。yamoryでは、脆弱性対応やサイト停止に伴うリスクを、単なるシステム上の問題ではなく重要な「経営課題」として捉え、今すぐ着手すべき対応として以下の4点を提案している。
事業継続を守るため、企業が今すぐ取るべき4つの対応
- 自社および委託先システムの利用状況の可視化：自社で運用するWebサイトだけでなく、外部委託先やクラウド環境も含めて、PHPがどこで使われているかを網羅的に洗い出す。
- 稼働バージョンの特定と修正版への速やかな更新：影響を受けるバージョンかどうかを確認し、開発チームが提供している修正版へのアップデート、または回避策を最優先で適用する。
- EOL（サポート終了）の計画的管理による即応性の向上：有事に緊急の大規模改修を迫られるリスクを減らすため、平時からソフトウェアのEOL状況を把握し、計画的なバージョンアップを運用プロセスに組み込む。PHPに限らず、すべてのソフトウェアが対象となる。
- トリアージ基盤と継続的な管理体制の整備：有事のたびに手作業や個別対応で済ませるのではなく、保有するIT資産と脆弱性を即座に紐付け、事業への影響度に応じた優先度判断（トリアージ）を自動化・迅速化できる仕組みを平時から整える。
yamoryは、ITシステムの脆弱性を自動で検知し、管理から対策までを一気通貫で行える国産クラウドサービスだ。ITシステムを登録するとSBOMが作成され、複数のリスク情報とマッチングされることで、ITシステムやソフトウェアに潜むリスクを統合的に管理できる。システム内のリスクを検知・管理する機能として、脆弱性のあるソフトウェアの検出、EOL（サポート終了）管理、OSSライセンス違反チェック（AGPL等）、クラウド設定不備（CSPM）の検知、SBOM管理を備えている。同サービスは政府の「ISMAPクラウドサービスリスト」に登録されている。運営元のアシュアードは、Visionalグループでサイバーセキュリティ領域を担う企業である。
出典：Visional
