1 min read
「シンプルな指示だけで『すべてのバグ』を掘り起こせるモデルなど存在しない」。これは、先週みんなが修正に追われた2つのWeb脆弱性を見つけたセキュリティ企業Califの言葉です。大切なことを思い出させてくれます。AIは古い発見を実際に使える攻撃に変える手助けをしましたが、対策はいまも、普通の人が普通のメンテナンスをすることにかかっています。あなたのビジネスのWebサイトがWordPressで動いているなら、今週その「普通の人」はあなたです。
ここでは、開発者ではないひとりビジネスのオーナー向けに、落ち着いて進められる手順をまとめました。30分ほど時間を取り、技術的に見える部分はAIアシスタントに手伝ってもらいましょう。
PHP2Shellとは何か、やさしく説明
PHPは、WordPressをはじめWebの非常に大きな部分を支えるプログラミング言語です。TechCrunchの報道によると、外部に公開されているインターネットの約70%がPHPに依存しています。2026年10月21日、PHP Foundationは2つの深刻な脆弱性、CVE-2026-109618とCVE-2026-109619を公表しました（CVEとは、既知のセキュリティ上の欠陥に付けられる公開IDのことです）。修正パッチも同日に公開されています（公式のお知らせはPHPのニュースアーカイブにあります）。米国のサイバーセキュリティ機関CISAも同時に警告を出しました。
なぜ重要なのか。この脆弱性はパスワードなしでのリモートコード実行を可能にします。つまり、ネット上の見知らぬ誰かが、ログインもせず、あなたが何もクリックしなくても、あなたのWebサーバー上で自分のコマンドを実行できてしまうのです。Amazonはパッチ公開の約1週間前に攻撃を検知しており、防御側には10月17日までさかのぼって異常を調べるよう呼びかけられています。
よい知らせもあります。WordPress本体に特別なプラグイン更新は必要ありません。修正はその一段下、ホスティング会社が動かしているPHPソフトウェアにあります。あなたの仕事は、その部分が更新されたことを確認し、それ以前に何かが入り込んでいないか点検することです。
ステップ1：PHPの管理責任が誰にあるかを確認する
この1つの質問で、あなたが担う作業量が決まります。
- マネージドWordPressホスティング（サーバーは見えず、管理画面だけがあるタイプ）：PHPの更新はホスティング会社が行います。あなたの仕事は、実施されたかを確認することです。
- cPanelなどのコントロールパネル付き共用ホスティング：通常はホスティング会社がPHPを修正しますが、「Select PHP Version」や「MultiPHP」といった画面で自分でバージョンを選ぶ場合があります。
- 自分のサーバーやVPS（自分やフリーランスが構築した仮想専用サーバー）：誰かが更新を実行しない限り、修正されません。緊急事項として扱ってください。
どれに当たるかわからない場合は、最新のホスティングの請求書を見てください。「managed WordPress」と書かれていれば、最初のグループです。
ステップ2：コードに触れずにPHPのバージョンを確認する
WordPressの管理画面で、ツール、サイトヘルス、情報タブ、サーバーの順に開きます。「PHPバージョン」という行があるので、その数字を控えておきましょう。自分で意味を読み解く必要はありません。次のステップでホスティング会社に伝えるだけです。
ステップ3：ホスティング会社に率直に質問する（メールはAIに書かせる）
多くのホスティング会社が先週お知らせを出しているので、まずはステータスページやブログを確認しましょう。はっきりした答えが見つからなければ、サポートに短いメッセージを送ります。ChatGPT、Claude、Geminiに貼り付けられるプロンプトはこちらです。
「ホスティング会社宛てに、短く丁寧なサポート依頼を書いてください。私のWordPressサイトは[ドメイン]です。サイトヘルスではPHPバージョン[数字]と表示されています。2026年10月21日にPHP FoundationがCVE-2026-109618とCVE-2026-109619向けに公開したパッチが私のサーバーに適用済みかどうか、また10月17日以降に私のアカウントで悪用の兆候が見られたかどうかを、書面で確認してもらうようお願いしてください。」
「はい」か「いいえ」を書面でもらいましょう。「セキュリティを真剣に考えています」は答えになっていません。返信は事業の記録と一緒に保管しておきます。
自分でサーバーを運用しているならプロンプトを変えます。たとえば特定のPHPバージョンを使うUbuntuなど、自分の環境に合わせて、最新のPHPセキュリティ更新を入れてWebサーバーを再起動する方法をAIに説明してもらいます。そして実行する前に、提供元の公式ドキュメントと照らし合わせてください。AIアシスタントはコマンドをでっち上げることがありますし、実際にそうします。だからこそ、私たちのAIのハルシネーション入門ガイドでは、行動に移す前の確認をすすめています。
ステップ4：10月17日以降に入り込んだものがないか探す
パッチはドアを閉めます。しかし、その前に誰かが入ったかどうかは教えてくれません。次の点検に10分かけましょう。
- ユーザー：「ユーザー」から「ユーザー一覧」を開き、権限グループで並べ替えます。見覚えのない管理者がいれば危険信号です。
- プラグイン：インストールした覚えのないプラグイン、特に名前があいまいなものや説明のないものを探します。
- 最近の変更：ホスティング会社がファイルマネージャーを提供していれば、メインフォルダ内で10月17日以降に変更され、自分では触っていないファイルを探します。
- 無料スキャン：WordfenceやSucuriの無料スキャナーのようなセキュリティプラグインは、コアファイルを正常なコピーと比較して差分を知らせてくれます。
- プライベートウィンドウでサイトを見る：ログアウトした状態でトップページと問い合わせページを開きます。予期しないリダイレクトや不審なポップアップは、改ざんの典型的なサインです。
何かおかしいと感じたら、何かを削除する前に手を止めてホスティング会社に連絡してください。こうした事態では、10月17日以前の正常なバックアップを無料で復元してくれる会社も多くあります。
ステップ5：怖い部分の読み解きはAIに、ただし慎重に
セキュリティスキャンの結果やサーバーログはエンジニア向けに書かれています。ここはアシスタントが本当に役立つ場面です。スキャンの概要をチャットボットに貼り付けて、こう聞いてみましょう。「それぞれの警告をやさしい言葉で説明し、緊急度順に並べて、どれをホスティング会社に相談すべきか教えてください。」
安全に使うためのルールは2つです。
- 貼り付ける前に秘密情報を消す。共有する内容から、パスワード、データベース名、APIキー、顧客のメールアドレスを削除します。
- 答えは判定ではなく「翻訳」として扱う。AIは警告の意味を教えてくれます。サイトが本当に侵害されたかどうかを確認できるのは、ホスティング会社かセキュリティの専門家だけです。
ステップ6：問題がなさそうでも鍵を替える
脆弱性が知られる前から攻撃は始まっていたので、念のため認証情報を変更しておく価値があります。
- WordPressの管理者パスワードと、アカウントを持つ他の全員のパスワード。
- アプリケーションパスワード（「ユーザー」の「プロフィール」内）。ツールや自動化がサイトに投稿する際に使うものです。使っていないものは取り消しましょう。
- ホスティングアカウントのパスワードと、あればFTPやSFTPのパスワード。
- 決済、メールマーケティング、AIライティングなどのプラグインに保存されたAPIキー。
ついでに、ホスティングアカウントで2段階認証をオンにしましょう。5分で済み、最もよくある追撃を防げます。
ステップ7：次回を「退屈な出来事」にする
PHP2Shellが最後の大きなWeb脆弱性になることはありませんし、AIによって攻撃者は既知の欠陥をより早く攻撃に変えられるようになっています。いくつかの習慣で、次の緊急事態をなんでもない出来事に変えられます。
- 毎日の自動バックアップをサーバー以外の場所に保存し、少なくとも2週間分の履歴を残す。
- マイナーアップデートの自動適用を、WordPress本体と信頼できるプラグインに設定する。
- AIポリシーに1行のセキュリティ項目を加え、チャットボットに貼り付けてよいもの、いけないものを決めておく。私たちの1ページで作るAIポリシーのクイックウィンで、午後のうちに書く方法を紹介しています。
- 保存しておくプロンプトを用意し、どんなセキュリティニュースも「自分のサイトにとって何を意味するか、ホスティング会社に何を聞くべきか」に変換できるようにする。
Webサイトはあなたのお店の顔であり、顧客がAIアシスタントにおすすめを尋ねたときにAIが読む情報源にもなりつつあります。ハッキングされたサイトは、そうした回答から静かに消えてしまうかもしれません。サイトを健全に保つ理由がもうひとつ増えたわけです。詳しくはひとりビジネスがAIに推薦される方法で解説しています。
30分のおさらい
サイトヘルスでPHPバージョンを確認する。10月21日のパッチについてホスティング会社から書面で「はい」をもらう。10月17日以降の新しい管理者、見知らぬプラグイン、不審なリダイレクトを探す。パスワードとアプリケーションパスワードを変更する。バックアップと2段階認証をオンにする。これで完了です。
ホスティング会社からもう返事は来ましたか？どれくらい早く、何と回答があったかをコメントで教えてください。よい回答とはどんなものか、ほかのひとりビジネスの参考になります。
