PHPの脆弱性への対応としてフォームを一時停止、現在は再開

作成： 2026-10-22

2026年（令和8年）10月21日の夜、21時頃に、当事務所サイトのお申し込み・お問い合わせフォームを一時的に停止しました。

翌22日の朝9時頃に、サーバー側で修正版の適用が完了したことを確認し、フォームを再開しています。

停止していた間にフォームをご利用になろうとした方には、ご不便をおかけしました。

今回は、なぜ止めたのか、どう止めて、どう再開したのかをご紹介します。

何が起きたのか

当事務所のフォームは、PHP（Webサーバー上で動くプログラム言語）で作っています。

10月21日、このPHPに、認証なしで外部から任意のプログラムを実行される恐れがある脆弱性（セキュリティ上の欠陥）が2件公表されました。

CVSS（Common Vulnerability Scoring System）は、脆弱性の深刻度を0〜10の数値で表す国際的な指標です。9.0以上は最も深刻な「緊急（Critical）」に分類されます。9.2は、かなり深刻な水準です。

フォームは、外部から誰でもデータを送れる場所です。脆弱性が悪用されれば、まさにここが攻撃の入口になります。

サイトが乗っ取られたわけではないんですよね？

はい。サーバー内の不審なファイルがないかを確認しましたが、侵入された形跡はありません。入口に穴があると分かったので、ふさがるまで扉を閉めたという対応です。

修正版はすぐに公開されましたが、当事務所が借りているエックスサーバーのサーバーに適用されるまでには、時間差があります。

その間もフォームを開けておけば、穴が開いたまま営業することになります。

当事務所はフォームを通じて、企業名・ご担当者名・連絡先、場合によっては労務上のご相談内容をお預かりします。一晩フォームが使えない不便と、お預かりした情報が漏れる危険とを比べれば、答えは明らかでした。

一晩くらいなら、様子を見てもよかったのでは？

労働災害の防止でも、危ないと気づいたら、まず機械を止めるのが基本です。止めずに様子を見て事故が起きれば、取り返しがつきません。Webサイトでも考え方は同じです。

サイトのアクセス制御の設定（.htaccess）で、PHPで動くページへのアクセスをすべて遮断しました。フォームを開こうとした方には、「脆弱性への対応のため一時停止中」と表示されるお知らせページを案内しています。

フォームのプログラム自体には手を加えていません。設定を数行追加するだけで止められ、元に戻すのも数行を消すだけです。

エックスサーバーから修正版の適用完了が告知された後、当事務所のサイトが実際に修正版のPHPのバージョンで動いていることを確認しました。

そのうえで停止の設定を削除し、すべてのフォームで送信テストを行い、正常に届くことを確かめています。

サーバー会社が「直しました」と言ったら、それで十分じゃないんですか？

告知が出たことと、自分のサイトに実際に適用されていることは別の話です。自分の目で確認してから再開しました。

大企業には情報システム部門がありますが、多くの中小規模の事業者では、Webサイトやフォームの管理を1人の担当者、または外部の業者に任せているのが実情でしょう。

今回、対応が一晩で済んだのは、次の2点を事前に把握していたからです。

採用ページの応募フォーム、勤怠システム、社内の情報共有ツールなど、従業員の個人情報を扱う仕組みは多くの会社にあります。それらについて「止めるならどうするか」を一度確認しておくことをお勧めします。

顧問先から「うちのシステムも大丈夫か」と聞かれたら、どうしますか？

私はシステムの専門家ではありません。ただ、自分で運用しているからこそ、誰に何を確認すべきかは一緒に整理できます。

当事務所は、給与や健康に関する情報など、機密性の高い個人情報をお預かりする立場にあります。サイト1つの運営であっても「危ないと分かったら止める」「確かめてから再開する」を徹底していきます。