相次ぐ不正アクセスとPHPの脆弱性｜企業が今確認したいセキュリティ対策

2026年10月、国内組織で相次ぐ不正アクセスと、ホームページなどに使われるプログラム「PHP」の重大な脆弱性について、相次いで注意喚起が公表されました。

いずれも企業のIT環境を見直すきっかけになる情報です。不正アクセスは、自社の業務や情報が被害を受けるだけでなく、取引先へのなりすまし連絡など、第三者へ影響が広がる場合もあります。ニュースの概要に加え、日頃の備え、被害が疑われたときの対応、復旧費用への備えまでご紹介します。

最近のセキュリティ注意喚起で何が起きている？

2026年10月8日公表・23日更新　／　不正アクセス

国内組織で相次ぐ個人情報の漏えい

JPCERT/CCは、国内の複数組織で個人情報などの漏えい被害が相次いだことを受けて注意喚起を公開しました。一般向けWebサービスだけでなく、社内業務用の管理システムやAPIなども点検対象とされています。攻撃には既知の脆弱性や設定不備を狙うものもあります。

2026年10月22日公表　／　PHPの脆弱性

ホームページを支えるプログラムに重大な問題

Webシステムの開発に広く用いられるPHPで、外部から不正なコードを実行されるおそれのある2件の脆弱性が公表されました。影響を受けるPHPを使用している場合は、修正済みバージョンへの更新と侵害の有無の調査が推奨されています。

※この2つは別々の注意喚起です。今回の国内不正アクセス事案が、PHPの脆弱性によって発生したと確認されたわけではありません。

PHPの脆弱性、ホームページはすべて対象？

PHPは、ホームページやWebシステムの裏側で動くプログラムの一つです。ニュースに「PHPの脆弱性」とあっても、すべてのホームページが同じ影響を受けるわけではありません。利用しているプログラムとそのバージョン、サーバーの構成によって確認内容が異なります。

今回、2026年10月21日に公表された修正済みバージョンは以下のとおりです。該当するPHPを利用している場合、管理担当者や保守会社に更新状況を確認してください。

※各系統で上記より前のバージョンが対象です。PHP 8.1以前はサポートされる系統への移行を検討してください。OSや製品側が独自に修正を提供する場合もあるため、判断には提供元の情報をご確認ください。

保守会社に任せている場合も、次の3点を聞いておくと状況が整理できます。

• 当社のホームページやWebシステムは、今回のPHPの脆弱性の影響を受けますか？
• 影響を受ける場合、修正版の適用予定と、更新済みかどうかを教えてください。
• 不審なアクセスや改ざんの兆候の確認は必要ですか？

なお、PHPそのものの更新と、ホームページの文章・画像の更新は別の作業です。ページの更新を定期的に行っていても、サーバー側のPHPが最新とは限りません。

被害は自社だけで終わらない。取引先を巻き込むおそれも

不正アクセスの被害を考えるとき、まず思い浮かぶのは自社の情報漏えいやシステム停止かもしれません。しかし、企業のメールやホームページが攻撃者に悪用されると、取引先や顧客にまで被害が広がる場合があります。

自社が被害を受けるケース

業務が止まる、情報が漏れる

データが暗号化されて仕事ができない、顧客情報が流出する、ホームページが書き換えられる、といった被害です。復旧作業だけでなく、顧客対応や取引への影響も生じます。

取引先に被害が広がるケース

会社の信用が悪用される

メールアカウントが乗っ取られ、取引先へ偽の請求書や振込先変更の連絡が送られるケースがあります。ホームページの改ざんにより、閲覧者が偽サイトへ誘導されることも考えられます。

たとえば、なりすましによる被害は次のように広がります。

被害が広がる一例

1. 攻撃者が自社のメールアカウントに不正にアクセスする。
2. 実際の取引に見せかけて、取引先へ振込先変更のメールを送る。
3. 取引先が本物と信じ、誤った口座へ送金してしまう。

これは想定例ですが、実際に同様の手口は「ビジネスメール詐欺」として注意喚起されています。メールアカウントへの侵入がなくても、差出人を偽装したメールが使われることがあります。対策としては、多要素認証、不要アカウントの整理、送信ドメイン認証の設定に加え、振込先変更の依頼を受けた際に既知の電話番号など別の手段で確認する運用が有効です。

攻撃者に悪用されたからといって、その企業が直ちに法律上の加害者になるという意味ではありません。ただし、第三者への被害拡大や信用低下、契約上の対応が必要になる可能性があります。IPAの2024年度調査でも、サイバーインシデントが発生した、または発生した可能性が高いと回答した中小企業のうち、約7割が取引先への影響を報告しています。

会社で確認したい4つの対策

1．ホームページ・業務システムの更新状況

ホームページだけでなく、予約管理、顧客管理、従業員向け管理画面など、インターネット経由で使うシステムを洗い出します。「何を使っているか」「誰が保守しているか」「脆弱性への更新を誰が行うか」を明確にしておくことが重要です。

2．アカウントとアクセス権限

退職した従業員のアカウント、使っていない管理者アカウント、広すぎる共有設定が残っていないかを確認してください。メールやクラウドサービス、遠隔アクセスなどで多要素認証を利用できる場合は有効にします。管理画面やAPIが不要に外部へ公開されていないかも管理担当者が点検します。

3．パソコン・ソフトウェアの保護

OS、ブラウザー、業務ソフト、ウイルス対策の更新を続けてください。不審なメールの添付ファイルやリンクを開かず、判断に迷うときは送信元を別の方法で確認します。更新を後回しにしている端末や、サポートが終了したソフトウェアも見直しの対象です。

4．バックアップと復旧の確認

バックアップは「取得したか」だけでなく「元に戻せるか」が大切です。重要データを定期的にバックアップし、別の場所や保護された保存先に保管します。バックアップ機器が常時接続されていると攻撃の影響が及ぶ場合があるため、保管方法や復元テストも確認しましょう。

自社に合ったセキュリティ対策の進め方

サイバー攻撃を完全に防ぐことは難しく、企業の規模にかかわらず一定のリスクは残ります。それでも、日頃からの備えには意味があります。大切なのは、侵入されにくくする・異常に早く気づく・被害から復旧できる状態をつくることです。IPAの調査でも、対策の実施状況の評価が高い企業ほど、インシデント後の影響が「特になし」と回答した割合が高い傾向が見られました。

対策の目的は「ゼロリスク」だけではありません

防ぐ。早く気づく。事業を戻す。

費用をかける前に、まず「止まると困る業務」と「失うと困る情報」を整理してみてください。たとえば、取引先とのメール、予約・受発注、顧客データのどれが使えなくなると事業が止まるでしょうか。その影響の大きさによって、必要な対策の優先順位が決まります。

費用を抑えながら始める3段階

1. まず、日常の運用を見直す。 更新の徹底、多要素認証、退職者アカウントの停止、振込先変更の電話確認、連絡先一覧の整備から始めます。
2. 次に、止まると困る業務を守る。 重要データのバックアップ・復元テスト、端末の保護、ログの確認、保守担当者の明確化を進めます。
3. 自社で管理が難しい部分は外部の力を活用する。 通信や端末の監視、脆弱性対応、事故時の相談先を必要な範囲から検討します。

対策を一度にすべて導入する必要はありません。自社にとって影響の大きいリスクを把握し、対策を続けられる体制にすることが大切です。

担当者別・まず確認しておきたいこと

不審なログインや改ざんなどの異常が疑われる場合は、社内の管理担当者や保守会社に速やかに連絡してください。調査が必要な状況では、関係するログを消さずに保全することも大切です。

もし被害が疑われたら。最初に行うこと

「見覚えのないログイン通知が来た」「取引先から不審なメールを受け取ったと連絡があった」「ファイルが突然開けなくなった」。このようなときは、原因が分からない段階でも、社内の管理担当者へ速やかに連絡してください。

1. 社内で情報を集め、責任者と専門家に連絡する。 発見時刻、端末、表示されたメッセージ、取引先からの連絡などを記録し、保守会社・インシデント対応窓口に相談します。
2. 被害の拡大を止める。 状況に応じて、影響が疑われる端末やアカウント、システムをネットワークから隔離します。不用意に電源を切ったり初期化したりすると調査に必要な記録が消える場合があるため、担当者と対応を判断します。
3. 影響範囲と連絡・報告の要否を確認する。 取引先や顧客への影響を調べ、必要な相手に状況を伝えます。個人データの漏えい等で法令上の報告対象となる場合は、個人情報保護委員会への速やかな報告や本人への通知などが求められます。
4. 安全を確認して復旧し、再発防止へつなげる。 原因を調査し、必要な修正や認証情報の変更を行ったうえで、信頼できるバックアップなどから業務を復旧します。

個人データの漏えい等について報告義務があるケースでは、速報は発覚から概ね3〜5日以内が目安です。該当性、報告先、本人への通知は事案により異なります。個人情報保護委員会の案内をご確認ください。

連絡先、代替業務の方法、復旧に使うデータを事故が起こる前に決めておけば、発生時の混乱を減らせます。IPAも中小企業向けに、初動・報告・復旧の手順をまとめた資料を公開しています。

私たちも社内で掲示している「情報セキュリティ6か条」

企業のセキュリティ対策は、管理担当者の作業だけでは完結しません。当社でも「情報セキュリティ6か条」を社内に掲示し、従業員が日々の業務で注意点を意識できるよう取り組んでいます。

6か条は、IPAが中小企業向けに示す基本的な対策をもとにしたものです。2026年の改訂では、「バックアップを取ろう！」が加わりました。

1. OSやソフトウェアを最新の状態にする：パソコン・スマートフォン・業務ソフトなどの更新を後回しにしない。
2. ウイルス対策を有効にする：保護機能を有効にして、最新の状態を維持する。
3. パスワードを強化する：使い回しを避け、重要なサービスでは多要素認証を活用する。
4. 共有設定を見直す：ファイル・クラウド・NASなどの公開範囲とアクセス権限を確認する。
5. バックアップを取る：定期的に取得し、必要なときに復元できるか確認する。
6. 脅威や攻撃の手口を知る：不審なメールや偽サイトなどの手口を知り、迷ったら相談する。

社内掲示・回覧用資料

情報セキュリティ6か条（A4・PDF）

職場で共有しやすいよう、A4サイズの掲示用資料をご用意しました。印刷してオフィスに掲示したり、朝礼や従業員教育の資料としてご活用ください。

情報セキュリティ6か条をダウンロード（PDF）

情報セキュリティ6か条の掲示用資料を画像で確認する

事故後の負担に備える「サイバー保険」という選択肢

サイバー攻撃の影響は、機器やデータの復旧だけではありません。原因調査の専門家費用、顧客・取引先への説明、法律相談、場合によっては業務停止による損失など、事故の後にもさまざまな費用が発生します。

こうした費用や損害への備えの一つがサイバー保険です。一般に、契約内容に応じて次のような補償や支援が用意されています。

保険会社・プランによって補償対象や条件は異なります。加入時は補償対象となる事故、支払限度額、免責金額・免責事由、事故発生時の連絡先、専門家の手配方法を確認するとよいでしょう。事故時の初動支援が付帯する商品もあります。

ただし、保険はセキュリティ対策そのものの代わりではありません。 事故を減らす日常の対策、被害時に迅速に対応する体制、金銭的な損失への備えを組み合わせて考えることが重要です。

参考情報・出典

• JPCERT/CC：国内組織で相次ぐ不正アクセスに関する注意喚起（2026年10月8日公開、10月23日更新）
• JPCERT/CC：PHPにおける複数の脆弱性に関する注意喚起（2026年10月22日公開）
• The PHP Group：2026年10月21日のセキュリティアドバイザリ
• IPA：中小企業の情報セキュリティ対策ガイドライン 第4.0版
• IPA：2024年度 中小企業における情報セキュリティ対策に関する実態調査
• IPA：ビジネスメール詐欺（BEC）対策特設ページ
• IPA：中小企業のためのセキュリティインシデント対応の手引き
• 個人情報保護委員会：漏えい等の対応とお役立ち資料
• 日本損害保険協会：サイバー保険

本記事は2026年10月28日時点の公表情報をもとに作成しています。影響範囲や対処方法については、提供元が公開する最新情報もご確認ください。