はじめに
今週は PHPの重大な脆弱性（PHP2Shell, CVE-2026-109618/CVE-2026-109619）が数日にわたって大きな話題になった。
今回、行政からの対応勧告や、一国の代表たる高市首相までもが言及し（X）、ワイドショーでも取り上げられるほど異例の大事になったのには、いくつかの理由が考えられる。
- 極めて重大な脆弱性だった
- 公開前にリークがあった（脆弱性を攻撃するツールのデモ動画などが拡散した）
- 「まだPHPなんか使ってるの？」「まだWordPressなんか使ってるの？」と利用者が情弱であるかのように煽り散らかす輩が多数いた
などなど。
パッチが公開された直後から、「御社のPHP・WordPressを診断します。◯万円」といった売り込みをする開発ベンダーが、私の周りでも目についた。ベンダー側の気持ちは痛いほど分かる。利用する側からは「うちのWordPressは大丈夫だろうか？」「PHPはやめた方がいいの？」「WordPressはやめた方がいいの？」「静的サイトに移行したい」などと言った相談が多く寄せられている。
私は長く日本の不動産業界に関わってきた。事務所や会社のサイト、マンションやリノベの案件サイトなど、WordPress で作られたものがとても多い業界だ。そして、その多くは作り切りで、保守契約を結んでいるところはほとんど聞かない。
エンジニアにとっては当たり前のことでも、エンジニアでない人には何が起きているのか、どうしたら良いのかが分からない。エンジニアなんて人類の数％しかいない伝説のポケモンみたいなもので、つまりはほとんどの人には分からない。
そこで、この記事ではそれを、多くの人が利用する住宅の、賃貸経営にたとえて説明してみたい。
「うちみたいな小さなところは大丈夫っしょ」は本当か？
一般的な保守をきちんと行っている、ごく普通の会社のWordPressサイトの実際のアクセスログを可視化した。ユーザー名の収集、ログイン試行、設定ファイルやバックドアの探索など、リクエストの中身から攻撃と判定したものを数えている。
via. https://youtu.be/COvxMVcY4C8
- 30日間で約39万回の攻撃
- そのうち99.97％はボット（自動プログラム）と推定
- 多いときは1時間に6万回
誰かがこの会社を意図して狙っているわけではない。世界中のボットが、WordPressで作られたサイトを片っ端から試しているだけだ。規模も知名度も関係なく、公開した時点で自動スキャンの対象になる。規模や知名度がある場合、指名の攻撃が積まれる。
つまり、「うちみたいな小さいところは、誰も攻撃してこない」は、残念ながら成り立たない。
WordPressは、世界中のWebサイトの40％で利用されており（W3Techs）、攻撃者からすれば5人に2人と効率が良いため、ボットや攻撃手法が充実しているのだが、WordPressではないサイトにも「お宅はWordPressですか〜？」という偵察のボットなどは日々やってくる。
なお、この動画は、だからWordPressやPHPが危ないという動画ではない。
Webサイトは「賃貸物件」である
Webサービスを賃貸経営に置き換えると、以下のような対応がある。
| Webサービス | 賃貸経営 |
|---|---|
| レンタルサーバー・PHP | 土地・地盤（サーバー会社のもの） |
| WordPressのサイト | アパート（オーナーのもの） |
| 保守を任せる会社（保守契約） | 管理会社（管理委託契約） |
| 日々のボット攻撃 | 日々の勧誘・空き巣の下見 |
| PHPの重大な脆弱性の公表 | 大きな地震警報・津波警報 |
サイトで集客し、売上を得ているなら、それは入居者から家賃をもらっているのと同じだ。建てたら終わり、ではない。
保守契約なし = 管理人のいないアパート
保守契約を結ばずにサイトを公開し、そのままにしている状態は、こんなアパートだ:
- 入居者から家賃も管理費ももらっている
- でも、管理人も管理会社もいない
- オーナーがたまに来て、掃除したり直したりするくらい
- オートロックは壊れているか、ブロックが置かれて開きっぱなし
- 勧誘も訪問販売も空き巣の下見も、毎日当たり前のように入ってくる
冒頭の動画の「月39万回」は、この「毎日入ってくる勧誘」にあたる。
ちゃんと管理されている物件でも、勧誘は毎日来る。違うのは、入口で止まるか、部屋の前まで来るかだ。
動画の前半（対策前）では、攻撃のほぼすべてがWordPressまで届いていた。このサイトは保守こそしていたが、オートロックがない物件のようなもので、来訪者は全員、各部屋のドアまで来てインターホンを鳴らす。入居者はそのたびに手を止めて断っている。断れてはいるが、生活が回らない。実際このサイトでは、被害が出たことではなく、サイトが異常に重いという症状が出ていた。
後半（対策後）も、攻撃が来ているのは変わらない。規模が縮小しているように見えるのは時期的なもので、攻撃され続けていることに変わりはない。変わったのは、オートロックと管理人室で門前払いにしているところだ。
PHPの脆弱性 = 津波警報
今回のPHPの脆弱性は、建物ではなく地盤の話だ。
レンタルサーバーを使っている場合、PHP本体はサーバー会社が用意しているものだ。オーナーが建物（WordPress）をいくら直しても、地盤の問題はどうにもならない。直すのはサーバー会社である。
「AIがあるこのご時世、パッチ当てる作業でどうしてここまで騒ぐのか理解できない」などとつぶやいていた人たちは、根本的に何も理解していない。
さて。サーバー会社の仕事なら、オーナーは何もしなくていいのかというと、そんなことはない。津波警報が出たときと同じで、
- 警報に気づく（サーバー会社のお知らせ、ニュース）
- 自分の物件が対象か判断する（使っているPHPのバージョンは影響を受けるか）
- 避難指示を出す（必要ならサービスを停止する、サーバー会社の対応を確認する）
などの対応が必要になる。
保守契約がない物件の本当の怖さは、ここにある。警報が出ても、気づいて避難指示を出す人がいない。今回「大丈夫？」と不安になった人の多くが、何が起きているのか、どうしたら良いのかが分からなかったのは、まさにこの状態だ。
ちなみに、古いPHPを使い続けるのは、旧耐震基準の建物を運用し続けるのに近い。PHPのバージョンは、レンタルサーバーの場合、コントロールパネルで選べることが多いので、こちらはオーナー側の判断になる。
建物構造を変えれば解決するか？
はじめに、で触れた「まだPHPなんか使ってるの？」という煽りは、賃貸経営で言えば、空き巣のニュースが流れた日に「まだ木造アパートなんか持ってるの？」と言って回るようなものだ。言われたオーナーは不安になるだけで、何も良くならない。構造を変えても、鍵が壊れたまま放置されていれば、空き巣は入ってくる。
そこじゃない。
騒動の最中、SNS上ではこんな悲鳴もよく聞こえてきた。
危なくないのはどれだ？
賃貸経営で言うと、「空き巣に入られない構造はどれだ？」だ。答えは「ない」。木造でも鉄筋コンクリートでも、空き巣も勧誘も来る。構造を変えるだけでは安全にならない。鍵と管理が欠かせない。
WordPressは世界のWebサイトの約4割（39.6％）で使われている。CMSを使っているサイトに限れば、58.3%だ（W3Techs、2026年10月25日時点）。これだけ広く使われているので、守り方の知見も蓄積されている。別のシステムに移っても、攻撃は来る。動画の対策前の30日を試算すると、攻撃の9割以上は、URLを見るだけでWordPressが動く前に弾ける入口へのものだった。
安全な言語（例えば比較的安全と言われるRust）で作り直せ。1週間で。
極端な例だが、言っていることは「木造は危ないから、来週までに鉄筋コンクリートに建て替えろ。入居者入れたまま」と同じだ。無理。
10年間誰もメンテナンスしていないものを、最新版に上げろ
これが一番よくあり、一番大変なパターンだ。
「築30年、一度も修繕していない物件を、来月までに最新の耐震基準と省エネ基準に合わせろ」と言われたらどうだろう。外壁や内装だけでは済まない。配管も配線も構造もやり直しで、実質的には建て替えだ。入居者には一度退去してもらう必要がある。
一方、定期的に大規模修繕をして、修繕積立金を積んできた物件なら、その都度の工事で基準の変化に追いつきやすい。
ソフトウェアも同じか、もっと酷い。なぜこれが動いているのか、どうなっていれば正解なのかが分かることは稀で、作り直そうにも手が付けられない。
AIで全部作れる = ???
最近は「AIで作れば安く済む」という話もよく聞く。確かに安く済むこともある。
AIに全部任せて、誰も中身を確かめないというのは、バイトを雇ってDIYで建てたアパートに人を入れるようなものだ。
- 一見、よくできているように見える
- でも、建築基準法や消防法を満たしているかは分からない
- 構造計算をしたのか、誰も知らない
- 図面がない。改修で壁を剥がしたら、配線がめちゃくちゃ
AIで作ること自体が悪いわけではない。むしろ使わないなんて選択肢はない。問題は、検査をする人も、管理をする人もいないまま、公開してしまうことだ。建築確認を通さず、管理会社も付けず、入居者を入れてしまう。庭のツリーハウスじゃないんだゾ。
実際、AIで作ったものを人が直して仕上げる依頼は増えている。海外のフリーランス市場Upworkでは、AIの生成物の修正・改善・仕上げを求めるソフトウェア開発の募集が、2023年から8.3倍になった（Upwork、2026年8月）。やりたいかやりたくないか、安いか高いか、どうだろうか？
一方、保守を任せる会社に任せておけば安心なのか？
少し賃貸経営からはズレてしまうので、先に結論だけ述べると「その会社と、保守の内容による」だ。
今回、日本ではサービスを停止するところが多かった。
10mの津波が迫っています。海辺の木造3階建てのアパートです。住民を避難させました。
妥当な判断であり、誰でも同じ決断を下しそうな話である。
しかしながら、SNS上での悲痛な叫びには「上司や役員の説得に一番時間がかかった・大変だった」というものが多く見られた。
「サービス停止なんて大げさなんじゃないの？」
「いまキャンペーン中だし、止められない」
などなど。容易に目に浮かぶ。そんな中、高市さんの発言に救われた現場の人間も多かったらしい。現職総理大臣が危ないって言うレベルという絶大な説得力。高市さんありがとう、現場のみんなお疲れ様でした。
なのだが、「現場が会社を説得する」という構図に問題がある。本来、このような技術的に重要な意思決定は、現場判断にまかせて上を説得するようなものではない。CTO/CIO などが下して、現場に落とすべき意思決定である。
いかに現場まかせになっているかは、数字にも現れている。
- IT企業の経営者で、CTOの必要性を感じているのは約半数だが、実際に置いているのは16％（インターノウス「IT企業経営者のCTO設置に関する意識調査」、2020年）
- 大企業（TOPIX100）で CTO を置いているのは、26.3％（TECH HIRE「CTO/CIO/CDO調査2024」、2024年）
- 経営者がデジタル分野の見識を「十分に」「まぁまぁ」持っているのは40.2％（IPA「DX動向2025」）
大企業でもこの水準であり、中小企業ではより低い数字になっているものと思われる。役職名だけで権限の伴わない、C-suite の中では最弱、みたいな CTO も多いものと思われる。
アメリカでは、サイバー保険の加入審査で、インシデント対応計画やパッチ管理の体制を求められることが多い（Duo、NinjaOne）。保険という仕組みが、「非常時に誰が何を決めるか」をあらかじめ用意させている。不動産でも、管理を怠って起きた被害には保険が下りないことがある。制度は違うが、管理の状態が保険の前提になる点は似ている。
一方、日本の中小企業のサイバー保険加入率は5％程度にとどまる（日本損害保険協会、2024年。警察庁の対談記事）。
また、気になって調べてみたが、セキュリティ人材の求人自体は増えている（レバテックによると、セキュリティ関連の正社員求人は直近3年間で約2.5倍。2025年12月時点）。一方で、ISC2の2025年の調査では、日本の回答者の39％が「競争力のある給与が提示されていない」と答えている（世界は25％）。業務量に圧倒されていると答えた人も50％にのぼる（ISC2のプレスリリース）。求人は増えても、待遇や負荷が追いついていない。
つまりは、組織として構造的に脆弱なところが多いということ。
なので、会社選びと保守内容は慎重に。少なくとも、次の3つは契約前に確認しておきたい。
- 有事に、サービスを止める・切り替えるといった判断を誰がするのか。オーナーの確認を待つのか、任せられるのか
- 有事の連絡は、どの手段で、どれくらいの時間で来るのか
- 定期的な更新（定期修繕）が、保守の内容に含まれているか
まとめ
- 規模や知名度によらず、攻撃は来る
- 攻撃は止まらない
- PHPをやめても、WordPressをやめても、攻撃は来る
- どうやって捌くかの設計が重要
- 久しぶりの保守は高くつく
管理人のいないアパートに、家賃をもらって人を住まわせていないか。一度、確認してみてほしい。