止TOMENAI止めなくてよいWebサイトへ

PHP脆弱性 対応チェック ─ CVE-2026-109618 / 109619

そのサイト、
脆弱性への対応を
確認できていますか？

PHPの重大な脆弱性は、サイトの改ざんや情報流出につながるおそれがあります。まずは無料診断で確認できる情報と注意点をチェック。詳しい調査結果や対応手順は、有料レポートで確認できます。

無料で分かる範囲と、有料レポートの内容を分けてご案内します。

診断を実行すると、利用規約に同意したものとします。

診断は読み取りのみです。通常の閲覧と同じ GET リクエストを約10〜40回送ります（機密ファイルの確認を含めると約10回増え、最大70回）。攻撃的な入力や大量の送信は行いません。

BEFORE YOU CLOSE THE CASE

「サーバー会社が対策した」で、確認を終えていませんか？

サーバー側の修正状況に加え、使用中のPHPのサポート状況や、更新後の動作確認も大切です。

  • 自分のサイトへの影響が分からない
  • バージョンは分かるが、修正済みか判断できない
  • 更新の進め方や、管理会社への確認事項が分からない

RISKS

確認を後回しにすると、お客様の信頼まで失うおそれがあります。

  1. ①

    改ざん

    自社サイトが不正サイトへの入口に。

  2. ②

    情報流出

    問い合わせ情報や接続情報が外部へ。

  3. ③

    停止

    問い合わせも注文も受けられなくなる。

  4. ④

    侵入の継続

    更新だけでは解決しない場合も。

攻撃が成立した場合に想定される被害です。診断対象サイトで被害が発生していることを示すものではありません。

SCOPE

診断の範囲

判定は全て、実際に送った通信の応答と、公式の脆弱性情報への照会に基づきます。各項目には根拠・確認日時・確認できる範囲を添えます。

サーバー内部の設定や修正の適用状況など、外部から確認できない点は「追加確認が必要な項目」に分けます（無料では件数のみ。項目の名前と確認の方法・確認先は詳細レポートに記載）。侵入被害の有無は判定しません。

  1. 01

    公開エリアの構造

    実行環境・CMS・データベース・管理画面が公開側にあるかを、応答ヘッダー・Cookie・HTML・既定パスの応答から判定します。

  2. 02

    PHP2shell との照合

    PHP の動作と版を確認し、検査のたびに php.net と GitHub（php-src）から取得した最新の修正版・追加告知と照合します（2026年10月23日時点：8.5.12 / 8.4.27 / 8.3.36 / 8.2.35、8.6.0 RC4。7.4 / 8.0 / 8.1 は公式のソース修正）。

  3. 03

    Next.js / React の重大脆弱性

    配信ファイルから Next.js の版を読み取り、React2Shell と 2026年10月の Next.js 更新の修正版と照合します。

  4. 04

    使われている部品の脆弱性

    フレームワーク・JS ライブラリ・WordPress のプラグインとテーマ・PHP・Apache・nginx の版を特定し、OSV.dev・WPVulnerability などに照会します。

  5. 05

    WordPress 本体の版

    WordPress.org の公式APIで、latest / outdated / insecure のどれに当たるかを判定します（判定結果と該当する脆弱性の ID は詳細レポート）。

  6. 06

    通信の暗号化

    HTTPS、証明書の発行者と残り日数、http:// からの転送、TLS の版を確認します。

  7. 07

    セキュリティヘッダーと Cookie

    CSP・HSTS・クリックジャッキング対策・nosniff と、Cookie の Secure / HttpOnly / SameSite。

  8. 08

    外部スクリプトと供給網

    polyfill.io 事件で乗っ取りが確認されたドメインの参照と、改ざん検知（SRI）の有無。

  9. 09

    管理画面と機密ファイル

    管理画面ログインの公開状況。サイト管理者が選んだ場合は .env・.git・設定バックアップ等の露出も確認します。

  10. 10

    メールなりすまし

    ドメインの SPF と DMARC を DNS から確認します。

APPROACH

防御を固めるのではなく、当たる場所を公開エリアから無くす。

脆弱性の発見は AI によって加速しています。見つかって直ること自体は健全です。問題は、直った版を誰が・いつ当てるか。公開エリアに生成済みの HTML だけを置けば、実行環境の修正を追う必要そのものが無くなります。

従来の構成ご提案する構成
公開エリアにあるもの実行環境・データベース・管理画面生成済みの HTML のみ
脆弱性の修正を当てる人事業者・制作会社・自社で分担専任組織を持つ各ベンダー
10月21日のような夜待つ ／ 止める対応事項なし

動的な部分は一部残る

お問い合わせフォーム等は、範囲を最小化した管理下のコードで実装します。

ベンダーの障害は起こり得る

ただし「表示が止まる」であり「侵入される」とは別。復旧は専任チームが行います。

アカウント保護は継続

二段階認証などの設定と運用は、引き続き必要です。

「絶対に安全」とは言いません。残るリスクを明示したうえで、範囲を最小にします。

FREE / DETAILED REPORT

無料診断と詳細レポートの違い

無料診断詳細レポート
緊急度ごとの件数と、確認日時・確認できる範囲○○
このサイトで考えられる危険と、起こり得る結果○○
見本として、注意が必要な1項目の全文（注意項目が2件以上のとき）○○
注意が必要な全項目の名前・原因と、実際に観測した値（判定の根拠）─○
基本情報（使われている技術・部品とその版）─○
確認状況（話題の脆弱性との照合結果）─○
外部から判定できなかった項目の名前と、確認の方法・確認先─○
どの項目が、どの危険につながるか─○
対応の優先順位─○
具体的な確認・対応手順─○
管理会社・制作会社への確認文─○
更新前後のチェック項目─○
実際に行った通信と応答ヘッダーの記録（保存・印刷できる一覧）─○

詳細レポートは、診断結果の画面から購入できます。料金・提供方法・提供時期は購入ボタンの横と特定商取引法に基づく表記に記載しています。修正作業は含みません。

FAQ

よくある質問

Q. 問題が検出されなければ安全ですか？
A. 診断範囲には限りがあり、脆弱性や侵入被害がないことを保証しません。
Q. サーバー会社が対策済みでも利用できますか？
A. 対策内容の確認や、古いPHPからの移行に向けた確認事項の整理に活用できます。
Q. 有料で何が追加されますか？
A. 注意が必要な項目の原因と実際に観測した値（判定の根拠）、どの項目がどの危険につながるか、対応の優先順位、確認・対応の手順、管理会社への確認文、更新前後のチェック項目が追加されます。サーバー内部の設定や修正の適用状況など、外部から確認できない項目は有料でも判定できません。その場合は確認の方法と確認先をお示しします。
Q. 修正作業もしてもらえますか？
A. 詳細レポートは診断結果と対応手順の提供で、修正作業は含みません。

被害が表面化する前に、確認できることがあります。

まずは無料診断で、サイトの情報と確認が必要な点を整理しましょう。

サイトURLを入力して無料診断