企業の看板である自社サイト。その守りを、任せきりにしていませんか？ 盗まれる情報がなければ、サイトを守らなくてもよいのでしょうか。

会社案内しか載せていない。ネット販売もしていない。顧客情報を保存する機能もない。それでも、企業のウェブサイトが攻撃の対象から外れるわけではありません。

サイトを改ざんされ、不審なページへ誘導される。会社の名前を使われ、訪問者を危険にさらす。攻撃者の活動にサーバーが悪用される。企業が守るべきものには、データだけでなく、自社の名前とサイトを訪れる人の信頼も含まれます。

情報漏洩に注目が集まる今、顧客情報を扱わない企業にも、自社サイトのセキュリティ状況を把握し、継続して守る意識が求められます。

PHPの注意喚起を、自社には関係ないニュースにしない

2026年10月、PHPに重大な脆弱性が公表され、IPAが対策を呼びかけました。悪用された場合、遠隔の第三者によって任意のコードを実行される可能性があります。※1

PHPは、WordPressなどを動かす基盤となるプログラミング言語です。今回の問題はWordPress固有のものではなく、利用しているPHPのバージョンやサーバー構成などに応じた確認・対応が必要です。

「WordPressは更新した」「制作会社につくってもらった」「その会社に依頼している」という確認だけでは、運用環境全体の対策状況を把握したことにはなりません。

自社サイトは何で動き、誰が更新を担当し、必要な修正が適用されているのか？ 今回の注意喚起は、普段は見えにくい管理体制を見直す機会でもあります。

サイトが表示されていても、中身の更新は止まっているかもしれない

ウェブサイトは、制作・公開した時点の状態を維持すれば、それでよいものではありません。

WordPress本体に加え、機能を追加するプラグイン、表示を担うテーマ、動作基盤となるPHPなど、それぞれに更新やサポート状況の確認が必要です。WordPress公式も、セキュリティ維持のため、プラグインとテーマを最新に保つよう案内しています。※2

一方、更新には互換性の確認も伴います。「更新したら表示が崩れるかもしれない」「問い合わせフォームが動かなくなるかもしれない」。こうした不安から対応を先送りすれば、既知の脆弱性への修正を適用できない状態が続く可能性があります。

必要なのは、更新のたびにサイトを全面的につくり直すことではありません。バックアップや動作確認を行いながら、必要な更新・修正を継続することです。

サイトが表示されていることと、必要な保守が行われていることは別です。

日本のよくない風習！？制作時のまま運用している！？

「制作会社に任せているから大丈夫」。その安心と、実際の更新状況は一致しているでしょうか。

株式会社AVII IMAGEWORKS代表・新井陸王は、企業サイトのリニューアルに携わる中で、保守会社がついていても、WordPressが最新版ではないケースを数多く見てきたといいます。

新井が問題視するのは、単にバージョンが古いことではありません。更新を見送る理由や、必要なセキュリティ修正の適用状況を、企業と保守会社が把握・共有できているかです。

表示崩れを避けるために更新を止め、そのまま必要な修正まで先送りしていないか。「今、動いているから大丈夫」で終わらせず、公開後の管理の中身を問い直す必要があります。

企業がまず確認したいのは、次の4点です。

WordPress・プラグイン・PHPの更新担当と、最終確認日

バックアップの取得状況と、復旧方法

障害や改ざんが疑われる際の連絡先

保守に含まれる作業と、追加費用がかかる作業

「誰かが管理しているはず」を、担当者と実施内容がわかる状態に変える。それが、公開後のサイトを守る出発点になります。

現状を知る入口をつくるため、制作会社の代表が無料診断ツールを開発

この課題に対し、株式会社AVII IMAGEWORKSの代表・新井陸王は、企業が自社サイトの状態を確認できる無料の「サイトセキュリティー診断ツール」を開発・公開しました。

開発の狙いは、専門知識がなくてもURLを貼り付けるだけで、自社サイトの現状を知り、制作会社や保守担当者と具体的な話ができる入口をつくることです。

自社サイト、または診断の許可を得たサイトのURLを入力すると、外部から確認できる情報をもとに状態を診断します。もちろん管理画面のパスワードを入力する必要はありません。

無料診断はこちら： https://brix999.com/

※公開情報による簡易診断です。情報漏洩の有無やサイト全体の安全性を保証するものではありません。PHPの脆弱性への対応状況など、管理画面やサーバー側で別途確認が必要な項目があります。

セキュリティやWordPressの保守状況など、8分野を確認

本ツールでは、HTTPSやセキュリティヘッダー、PHPのサポート状況、公開されているWordPressの情報などを確認します。

さらに、検索での見つけやすさ、アクセシビリティ、表示速度、サーバー・ドメイン、プライバシー・外部サービス、ウェブサイトの健全性を含む8分野を診断します。

結果の閲覧には、アカウント登録やメールアドレスの入力は不要です。所定の同意とメールアドレスの入力により、詳細PDFも取得できます。

点数を見るだけで終わらず、保守について話すきっかけに

公開情報だけで、すべての管理状況を把握することはできません。バックアップの取得・復旧状況や非公開の設定など、別途確認が必要な項目もあります。

そのため、本ツールでは確認できた問題と、外部からは判断できない項目を区別します。スコアが高くても、サイト全体の安全性が保証されるわけではありません。

診断結果は、制作会社や保守担当者に「この項目は対応できていますか」「誰が確認していますか」と相談するための材料として活用いただけます。また、AVII IMAGEWORKSでも、結果の解説や改善の優先順位、保守体制について無料相談を受け付けています。

PHPの注意喚起を一時的なニュースとして受け流さず、自社サイトの更新状況と管理体制を確認する。その第一歩を、専門知識の有無にかかわらず踏み出せるようにすることが、本ツール開発の目的です。

取材でお話しできるテーマ

・顧客情報を保存しない企業サイトにも、保守が必要な理由

・WordPress・プラグイン・PHPの違いと、企業が確認すべき管理範囲

・「更新したいが、不具合が怖い」をどう解消するか

・経営者や広報担当者が、制作・保守会社に確認したいこと

・無料診断ツールの実演と、公開情報だけでは分からない項目

株式会社AVII IMAGEWORKS

株式会社AVII IMAGEWORKS 担当：代表取締役 新井陸王 メール：atsumi@avii.jp 電話：078-855-8220 企業サイト：https://avii.jp/

無料サイトセキュリティ診断ツールについて

名称：サイトセキュリティー診断ツール URL：https://brix999.com/ 利用料金：無料 対象：自身が所有するサイト、または診断の許可を得たサイト 提供：株式会社AVII IMAGEWORKS

参考資料

・IPA「PHPの脆弱性対策について」 https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html

・WordPress公式「Critical PHP Security Release」 https://wordpress.org/news/2026/10/critical-php-security-release/

・WordPress公式「Plugin and themes auto-updates」 https://wordpress.org/documentation/article/plugins-themes-auto-updates/