2026年に報じられた PHP の深刻度 “Critical” 脆弱性は、 多くの企業に緊急メンテナンスを強制し、 サービス停止・ログイン不可・情報漏洩リスクの高まりなど 重大な影響を引き起こしました。

しかし、企業が直面する本当の課題はここからです。

「脆弱性が発覚したとき、企業は何を最初にすべきか？」 「情報漏洩を防ぐための初動対応は？」 「再発防止のために何を整備すべきか？」

この記事では、 企業が PHP 脆弱性に直面した際に 最初に取るべき対応（初動） を 専門的かつ実務レベルで解説します。

企業が最初に取るべき“初動対応” 7ステップ

企業の初動対応は「スピード」と「正確性」が命。 以下は、セキュリティ専門家が推奨する標準フローです。

① 影響範囲の即時特定（サービス・サーバー・バージョン）

まず最初に行うべきは 影響範囲の特定。

• どのサービスがPHPを使用しているか
• PHPのバージョン（5.x / 7.x / 8.x）
• PHP-FPMの有無
• WordPress・Laravelなどのフレームワーク利用状況
• 外部公開している機能（ログイン・API・ファイルアップロード）

ここで誤ると、 「影響を受けているのに放置されるサービス」が発生し、 情報漏洩につながります。

② 脆弱性の“悪用可能性”を評価する（攻撃ベクトルの確認）

次に、脆弱性が 実際に悪用可能かどうか を評価します。

• 認証不要で攻撃可能か
• 特定のリクエストでメモリ破損が起きるか
• RCE（リモートコード実行）につながるか
• ファイルアップロード機能があるか
• 外部から直接PHP-FPMにアクセスできるか

悪用可能性が高い場合は、 即時遮断（後述） が必要です。

③ ログの保全（証拠を残す）──最重要

脆弱性発覚時に最も重要なのが ログの保全。

• Webサーバーログ
• PHP-FPMログ
• アクセスログ
• エラーログ
• 管理画面ログ
• ファイルアップロード履歴
• DBアクセスログ

ログが消えると、 「攻撃されたかどうか」が判断できなくなり、 企業は 情報漏洩の有無を証明できなくなる。

これは法務・広報・顧客対応に大きな影響を与えます。

④ 外部公開機能の一時停止（攻撃経路の遮断）

悪用可能性が高い場合は、 以下の機能を 一時停止 します。

• ログイン機能
• ファイルアップロード機能
• API
• 管理画面（外部アクセス）
• 会員登録フォーム

「サービス停止は悪」ではありません。 情報漏洩を防ぐための最善策 です。

⑤ PHPのバージョンアップ（最短で実施）

脆弱性が発覚したら、 PHPのバージョンアップが最優先。

• 最新のパッチを適用
• PHP-FPMも同時に更新
• 古い拡張モジュールを削除
• WordPress・Laravelもアップデート
• プラグイン・テーマの更新

特に WordPress は 古いテーマ・プラグインが脆弱性を増幅するため注意。

⑥ 攻撃痕跡の調査（侵害の有無を確認）

ログを保全したら、 次は 侵害の有無を調査。

• 不審なアクセス
• 不正ログイン
• 不正ファイルアップロード
• 不正なPHP実行
• DBへの異常アクセス
• 管理者権限の変更
• 不審なcronジョブ
• 不審なファイル（shell.phpなど）

侵害が確認された場合は、 情報漏洩の可能性が高いため、 法務・広報・経営層への報告が必要。

⑦ 顧客・関係者への通知（必要な場合）

侵害が確認された場合、 企業は以下の対応を検討します。

• 顧客への通知
• パスワードリセットの依頼
• クレジットカード会社への連絡
• 関係企業への共有
• プレスリリースの準備
• 法務・監査対応

通知のタイミングを誤ると、 企業の信用が大きく損なわれます。

初動対応後に必ず行うべき“再発防止策”

初動対応だけでは不十分。 企業は再発防止策を整備する必要があります。

① PHPの定期アップデートルールを作る

• 四半期ごとに更新
• 古いPHPの利用禁止
• FPM・拡張モジュールも含めて更新

② WordPress・Laravelの更新ルールを作る

• テーマ・プラグインの更新
• 不要なプラグインの削除
• レガシーコードの排除

③ ファイルアップロード機能のセキュリティ強化

• MIMEチェック
• 拡張子チェック
• 容量制限
• サンドボックス化
• 外部ストレージ利用

④ WAF（Web Application Firewall）の導入

• RCE攻撃の遮断
• 不正リクエストの検知
• 既知の攻撃パターンをブロック

⑤ ログの長期保管ルールを作る

• 90日〜180日保管
• 改ざん防止
• 外部ストレージに保存

⑥ セキュリティ監査の定期実施

• 年1〜2回
• 外部専門家による診断
• AIスキャンの導入

まとめ｜企業の初動対応は「スピード」と「証拠保全」が命

企業がPHP脆弱性に直面した際に最も重要なのは以下の3つ。

• 影響範囲の特定
• ログの保全（証拠）
• 攻撃経路の遮断（サービス停止も含む）

その後に

• バージョンアップ
• 侵害調査
• 顧客通知
• 再発防止策の整備

という流れで対応することで、 情報漏洩のリスクを最小限に抑えることができます。