PHPの首相注意喚起で不安な経営者へ。HPの安全と維持費をどう見直す？

首相の注意喚起。すべてのHPを、一律に止める話ではありません。

10月22日の報道では、高市総理がPHPの問題について修正の準備や、状況に応じたサイトの一時停止に言及したことが伝えられています。10月26日の官邸発表では、企業の被害支援、中小企業の相談窓口、システムの弱点を確かめる取組の強化が示されました。

PHP開発元は10月21日、外部からログインせずに不正な命令を実行されるおそれがある2件を修正し、即時更新を推奨しました。公式の修正版は8.5.12・8.4.27・8.3.36・8.2.35です。配布元が同じ問題の修正を以前の版へ取り込む場合もあるため、番号だけでなく適用記録を担当者と照合します。暫定対策だけを、修正完了とは扱いません。

10月23日の追加案内や、26日のWindows配布物の更新もあります。自社で使うOS・構成・ライブラリによって確認箇所が変わります。具体的な更新内容は、既存のPHP解説と、PHP・Java・Node.jsの更新確認から担当者へ共有できます。

中国政府関連の攻撃についても、国際的な注意喚起が出ています。

10月8日の共同アドバイザリーAA26-281Aには、日本の警察庁・国家サイバー統括室も署名しています。中国の企業Integrity Technology Groupに支援された中国政府関連の攻撃主体について、公開サイトなどの弱点やアカウントへの攻撃を使う活動が説明されています。

これは、すべての攻撃の発信元が中国だという意味でも、自社が侵害された証拠でもありません。この注意喚起と今回のPHPの2件を、同一の攻撃として結び付ける根拠はここでは確認していません。経営者が実務へ持ち帰りたいのは、使わない入口を減らし、更新と本人確認を継続するという点です。

高い製品を買う前に、5つの空欄を埋める。

以下は、担当者との会話を始めるためにJPMが整理した確認表です。項目に答えられたことだけで、安全性が証明されるものではありません。

1. 何を使っている？

   会社HP、予約、問い合わせ、メール、外部サービス。製品名と管理会社を一つの表へ。

2. 誰が更新する？

   文章・写真と、サーバー・ソフトウェアの更新を分け、連絡先と契約範囲を確認。

3. 誰が入れる？

   管理者のアカウントと権限、退職者の利用停止、追加の本人確認を点検。

4. 戻せる？

   バックアップの保存場所・対象・復元テスト。保存していることと、戻せることを分ける。

5. 異常時に誰へ連絡する？

   停止・記録の保全・調査・復旧の判断を頼める窓口と、その費用を確認。

IPAも、公開アプリや外部サービス、アカウント、ログ、保有データの点検を案内しています。異常が見つかった場合は、通常の更新作業だけで済ませず、専門の調査が必要か相談してください。

「自分で更新できる」と「何でも自分で直す」は、分けてよい。

たとえば、営業時間を18時へ直す作業と、管理者が見られる情報の範囲を変える作業。同じ「HPの更新」でも、確認の重さが違います。

AIへの指示で変更できても、AIが安全性の確認や判断の責任まで引き受けるわけではありません。日本語で更新を頼める窓口と、確認後に公開する仕組み、専門担当へ渡す境界を一緒に設計します。

安さは、月額だけでなく「残る仕事」まで比べる。

見積りでは、制作費、月額、AI利用料・ドメイン等の外部費用、修正回数、緊急対応、バックアップ・復元、解約時の引き継ぎを同じ条件で並べてください。月額が低くても、社内の確認や復旧に必要な仕事が消えるとは限りません。

JPMでは、少人数で自社更新を学ぶ研修と、チャットから更新指示を送る運用、担当者へ任せる運用を用意しています。現行の更新プランは月5万円・6万円・8万円、制作研修は1名10万円／2〜3名15万円。対象の窓口・作業範囲が異なり、ドメインやAI利用料等は別途確認します。記事・SNS・分析を含む集客一式は個別見積りです。

これらの料金だけで、すべてのセキュリティ調査・緊急復旧が含まれるわけではありません。自社の環境と、誰にどこまで任せるかを確認してご案内します。