PHP脆弱性対応の現場から｜不動産会社の保守体制に潜む「空白」の見つけ方
2026年10月、PHPの深刻な脆弱性が公表され、多くの企業が予防のためにサイトを一時停止しました。大手不動産ポータルでも、同じ時期に一部のサイトが閲覧できなくなっていました。本記事では、不動産会社の経営者・Web担当者の方に向けて、このとき現場で何が起きていたのか、そして保守体制に潜む「空白」の見つけ方と、次に備えて確認したい3つのことを解説します。
不動産業界のWebサイト・システムの制作と保守を手がけるサービシンクが、実際の対応とご相談をもとにまとめました。
この記事で分かること：次に備えて見直す3つのこと
いま不動産業界のWebで起きていること
2026年10月21日、Webサイトや業務システムで広く使われているプログラム言語「PHP」の開発元が、深刻な脆弱性（ソフトウェアの弱点）2件を修正した更新版を公開しました。IPA（情報処理推進機構）は翌22日に注意喚起を出し、悪用されると外部から不正なプログラムを実行されるおそれがあるとしています。
公表に合わせて、国内の多くの企業がサイトを一時停止しました。当社が確認した22日の夕方の時点では、大手不動産ポータルサイトや大手不動産会社のサイトの一部も、メンテナンス表示などで閲覧できない状態でした。SNSでは、内見の予約ができず業務に影響が出たという不動産会社の方の声も見られました。集客をポータルに頼る危うさや、自社のセキュリティ対策をお客様にどう説明するかを考える投稿も見られました。
公表から10日ほどたった今も、警戒が必要な状況が続いています。JPCERT/CC（国内のサイバー攻撃への対応を調整する機関）は10月29日に注意喚起を更新し、この脆弱性を悪用して、日本を含む4か国でネットワーク機器など計25台が侵害されたとする海外企業の調査を紹介しました。
脆弱性を突いた被害は、PHPに限りません。10月7日には、国内のクラウドサービス「IDCFクラウド」がランサムウェア（データを使えなくして金銭を要求する攻撃）の被害を受け、495の企業・自治体が利用するサーバーが停止しました。運営会社が10月27日に公表した調査結果によると、侵入の原因はサービスで使っていたソフトウェアの脆弱性でした。自社でサーバーを管理していなくても、利用しているサービス側の弱点が原因で業務が止まることがあります。PHPのようなWebサイト側の仕組みでも、クラウドのような土台の部分でも、更新の遅れが事業の継続を左右する点は同じです。だからこそ、自社のサイトがどんな仕組みで動き、どこに何を任せているのかを把握しておくことが、最初の備えになります。
現場で起きていたこと・寄せられたご相談
当社では公表を受けてすぐ、お取引のあるお客様の環境を確認し、担当ディレクターから状況と対応方針をご案内しました。翌朝までに取った対応は、環境によって次のように異なります。
環境別の初動対応（一例）
- サーバーを止め、メンテナンス中の画面を表示する
- 業務を止められないシステムは、利用できる人を限定して公開を続ける
- 設定を変えて攻撃を受けにくくする暫定対応をし、並行してPHPを更新する
- レンタルサーバーの会社がすでに修正版に切り替えていることを確認する
- 公開前のシステムは、同じ時期に公表された別の脆弱性もあわせて該当を確認する
同じ脆弱性でも、サイトの仕組みやサーバーの種類、業務への影響によって、取るべき対応は変わります。翌22日に弊社社員が参加した不動産会社の交流会でも、この脆弱性が話題にのぼっていました。
その後、当社のお知らせをご覧になった不動産会社様からご相談をいただきました。サーバーのOSもPHPもサポートが終了した古いバージョンのまま運用されており、保守の契約先がないため、サーバー会社から対応を求める通知が届いても状況を確認できない、という内容です。サイト自体は別の制作会社が担当しており、どこに何を頼めばよいか分からない状態でした。
また、PHPの件が公表される直前には、別の不動産会社でシステムを担当されている方から、「セキュリティ対策のように、売上に直結しない“保険”のような対応に、どう予算をつけてもらうか」というお悩みも伺っていました。
こうした課題の背景には、「サイトを作った会社」と「サーバーを管理する人」が分かれていたり、保守契約がないまま運用が続いていたりする、保守体制の空白があります。普段は問題がなくても、今回のような緊急時に一気に表面化します。
不動産会社がWebでできること
1自社サイトの「中身」と「担当」を把握する
自社サイトや業務システムごとに、使っている仕組み（PHPのバージョン、OS、CMSなど）、サーバー会社、保守契約の有無、緊急時の連絡先を一覧にします。
脆弱性が公表されたときに、「自社は影響を受けるのか」「誰に連絡すればよいか」をすぐ判断できるようになります。制作会社とサーバーの管理者が別の場合は、両方の連絡先を書いておきましょう。
2緊急時に「止めるかどうか」の判断ルールを決めておく
サイトを止めると反響も止まりますが、止めずに被害が出れば損害はさらに大きくなります。どんな場合に止めるのか、誰が判断するのかを事前に決めておくと、迷っている間に対応が遅れることを防げます。
あるお取引先様では、攻撃などの緊急時には、経営層の承認を待たずに現場の判断でシステムを止めてよい体制を整えています。
3損害額を試算し、保守を予算に組み込む
「サイトが止まった場合」と「個人情報が漏えいした場合」に分けて、金額の目安を出します。停止中に受けられない反響とそこから見込める売上、調査・復旧の外部費用、お客様対応の人件費などです。今回ポータルが止まった時間に、自社にどれだけ反響が来なかったかを振り返ると、具体的な数字を出しやすくなります。
比べられる形にすると、決裁者と危機感を共有しやすくなります
一度きりの対策費ではなく、更新や確認を続けるための保守費用として予算化することが大切です。
あわせて、自社の保守や更新の取り組みを説明するページを用意しておくと、今回のようなニュースのあとに取引先やお客様から聞かれた際も、同じ説明を示せます。
進めるときのポイント（よくある質問）
Q今回のPHPの脆弱性、自社サイトは大丈夫でしょうか？
Aまず、サイトがPHPを使っているか、使っている場合はどのバージョンかを確認してください。開発元の正式な修正版が出ているのはPHP 8.2以降です。8.1以前はすでにサポートが終了しており、今回は開発元から例外的に最低限の修正が出されたものの、サポート対象のバージョンへの移行がすすめられています。なお、PHP 8.2も2026年12月31日にサポートが終了する予定です。
Qサポートが終了した古い環境のまま運用しています。どうすればよいですか？
A今回の脆弱性への応急対応と、サポート対象の環境への移行は分けて考えるのが現実的です。移行するとサイト側のプログラムの改修が必要になる場合があるため、サイトを作った制作会社とも連携して進めます。
Q制作会社とサーバーの管理者が別の場合、どこに相談すればよいですか？
Aどちらか一方が全体を把握していないことが多いため、まず現状の調査を依頼できる窓口を決めることをおすすめします。サーバーとサイトの両方を確認できる会社に相談すると、話が早く進みます。
Q相談するとき、何を準備しておけばよいですか？
AサイトのURL、サーバー会社やレンタルサーバーの契約名、サイトを作った制作会社が分かれば十分です。サーバー会社から届いた通知があれば、あわせてお知らせください。PHPのバージョンなどが分からなくても、調査から相談できます。
まとめ
- ✓PHPの脆弱性対応では多くの企業がサイトを一時停止し、保守体制の差が対応の差になった
- ✓自社サイトの仕組みと担当を把握し、緊急時の判断ルールを決めておくことが備えになる
- ✓「止まったらいくら失うか」を示し、保守費用として予算に組み込む
次の一歩として、自社サイトのPHPのバージョンと、保守契約の有無を確認してみてください。
サイト公開後の保守で見落としやすい点は、不動産サイト構築後の保守運用が重要な理由｜見落としがちな5つのポイントで詳しく解説しています。
自社サイトの保守体制をどこから見直せばよいか分からない場合は、ぜひ一度サービシンクにご相談ください。
この記事を書いた会社
保守・運用に関する実績
Webサイトのセキュリティ、2026年度末から変わる3つのこと
出典
Webサイト・システムの
お悩みがある方は
お気軽にご相談ください
仕事のご相談はこちら
まずは資料でご検討したい方へ
会社案内をダウンロード
不動産業界に特化したWeb制作・システム開発の強みや実績をまとめた資料をご覧いただけます。
