2026年10月、PHPの重大な脆弱性で大手サービスが次々と止まり、GMOへのサイバー攻撃が連日報じられています。大きな会社の話に見えて、本当に危ないのは——誰も手入れしていない、放置されたサイトです。
いま何が起きているのか
Webサイトの多くが使うプログラム言語PHPに、未認証の攻撃者でも遠隔でプログラムを実行できてしまう重大な脆弱性が2件見つかりました。国家サイバー統括室とIPAが注意喚起を出し、BASE・コドモン・Pixiv・DMM・niconico・さくらの一部、多数のゲームなどが、攻撃を警戒して予防的にサービスを一時停止しました。
修正版は 8.2.35 8.3.36 8.4.27 8.5.12。これより古い版、特にサポートが終わった版を使い続けているサイトには、標準の修正が届きません。
GMOのクラウドサービスが不正アクセスを受け、顧客情報の外部持ち出しが公式に確認されました。影響の可能性があるサーバーは2万6千件超と説明されています。攻撃者は金銭を要求し、GMOが応じなかったため、顧客の個人情報とみられるものを公開しました。GMOもこの公開を確認しています。
GMOは「攻撃者からの要求には応じない」との姿勢を崩さず、被害者への補償を表明しています。セキュリティを本業にする規模の会社ですら、これだけの事態が起きています。
web制作の前提が、変わった
今回のPHPやGMOの件は、特別な事故ではありません。始まりに過ぎないと考えています。AIは、攻撃する側の手間とコストも下げ続けています。放置されたサイトが狙われる機会は、これから増えることはあっても、減ることはありません。
そして、乗っ取られた古いWordPressは、ただ自分のサイトが壊れるだけでは済みません。迷惑メールの発射台や詐欺サイトの配布元として、知らないうちに他人への加害に使われます。
被害は、放置した本人の範囲を超えて広がります。「自分のサイトは小さいから大丈夫」は、もう通用しません。点検は、取引先や地域への責任でもあります。
これは脅かすための話ではありません。起きている事実を、そのままお伝えしています。
まず、ご自身で確認できること
専門知識がなくても確かめられる項目です。ひとつでも「わからない」があれば、そのサイトは点検のタイミングです。
8.2未満、特にサポート切れの版なら要注意。/wp-login.php に誰でも何度でも挑戦できる状態になっていないか。RESONIXの無料診断
外から確認できる4つの軸を、それぞれ25点・合計100点で採点し、総合判定とあわせてレポートにまとめます。
PHP・WordPress本体・プラグインが古くないか。既知の脆弱性が残っていないか。
設定ファイルやログの公開、ユーザー名の漏れ、迷惑メール送信元リストへの登録がないか。
SSL（暗号化）の状態、証明書の有効性、安全性を高めるヘッダ設定ができているか。
管理画面ログインの防御、ファイアウォールの有無、メール認証（なりすまし対策）の状態。
合計点に応じて、総合判定をお出しします。
※ これは見本です。実在の企業・サイトとは一切関係ありません。
サーバーのアクセス権をお預けいただければ、別途有償でこのような調査も承ります。
無料診断で調査できる範囲は、お使いのサーバー環境によって変わります。結果はわかりやすいレポートでお渡しし、対応するかどうか・どこに頼むかは、そのうえでご判断ください。
その先に ——
サイトの安全を分けるのは、要塞の堅さではなく、手入れをし続ける人がいるかです。
どれほど立派に作られたサイトも、誰も見ていなければ、時間とともに穴が開きます。大手でさえ狙われる時代に、本当に効くのは「作って終わり」にしない運用です。
RESONIXは2002年に米国で創業し、現在はつくばを拠点に活動しています。これまでに手がけたサイトは数百を数え、いまも多くのサイトを、自社のサーバー群で日々監視・更新しながら運用しています。診断のあと、もし今の管理に不安があれば、保守・管理ごとこちらへ引き受けることもできます。「web制作会社を乗り換えたい」というご相談も、いつも受けています。
なぜ、私たちがこれをやるのか
つくばには、日本のシリコンバレーになれるだけの力があると、本気で思っています。研究学園都市としての土壌、集まる人と技術——その可能性を、Webの足元から支えたい。
一つひとつのサイトが安全であることは、この街のデジタルの基礎体力になります。だから私たちは、つくばのWebを安全にしたい。その最初の一歩として、この無料診断を始めました。
本ページの情報は2026年10月28日時点で公表されている内容に基づきます。PHPの脆弱性・GMOの件に関する各数値や経緯は、今後の公式発表により変わる可能性があります。無料診断はお申し込みいただいたサイトのみを対象とし、ご依頼なく第三者のサイトを調査することはありません。