PHPの脆弱性「PHP2Shell」と今すぐ必要な経営と技術対策

①御社のサイトは、まず射程内です。コーポレートサイト、問い合わせフォーム、会員機能——WordPress／EC-CUBE などの定番システムで作られていれば、それは PHP です。

②「直す」のはサーバー側なのに、その責任者が空白になりがちです。シェアードホスティング（Xserver、さくら等）は事業者が一括対応するので、告知を待てば済みます。しかし、自社で借りたサーバー、クラウド上の「昔だれかが構築した」サイトは、担当が決まっていないことが多い。今回、Palo Alto のファイアウォールの管理画面まで対象になりました。

③他社はすでに「止める」という形で意思表示しています。日本では当日211のサービスが予防停止——CoDMON、BASE、pixiv、niconico、Xserver、『ウマ娘』。欧州でも、オランダの行政ログイン DigiD、フランス内務省の地方自治体サイト、ドイツ連邦ITサービス（ITZBund）、フィンランド（Valtori）、デンマーク（Kombit）の公共サービスが相次いで停止しました。

①「PHPの責任者は誰か」を確定させる

何をするかサイト制作会社、ホスティング事業者、自社IT部門のそれぞれに書面で回答を求めてください。サイトはどの PHP バージョンで動いているか。修正版に上がっているか。いつ上げたか、上げた後に再起動したか。

経営の判断3つの質問のうち1つでも答えられなければ、それは誰も責任を持っていないという意味です。脆弱性そのものより、こちらのほうが心配すべき状態です。

②更新を「検討する」ではなく、日程に落とす

何をするか下表で自社の系列を確認し、修正版に上げる。

経営の判断8.1 以前は公式の修正版がありません。更新かリプレースが必要です。あわせて1つ覚えておいてください：現在サポートされている最も古い 8.2 も、今年12月31日でサポート終了です。どのみち必要になる費用なら、今回まとめて 8.3 以上に上げるのが最も安く済みます。

③分かる人に任せる。本番環境で直接いじらない

何をするか先週、ある顧客のサイトを PHP 8.3 に切り替えました。方向は完全に正しい。それでも、サイトは真っ白になりました。テーマの中の、何年もだれも触っていない古いコードが致命的なエラーを起こし、メンテナンスモードの画面すら表示されない状態に。さらにメールプラグインが通信できなくなり、テストメールも送れません。

なぜそうなるかPHP の更新は、数字を1つ変える作業ではなく、変更管理です。正しい順序は、完全バックアップ → テスト環境で主要フロー（ログイン／メール送信／フォーム／注文）を一通り → 業務の閑散時間に切り替え → テストメール1通で受け入れ確認。

経営の判断手順自体は複雑ではありません。ただし、どの段階にも分かる人が立ち会う必要があります。1つ飛ばせば、代償は一晩の真っ白なサイトと、翌日の顧客からのクレームです。