ブログ
PHPの重大な脆弱性が公表された2026年10月21日の前後には、証券会社やサーバーの会社でも、サービスが止まる出来事が続きました。
先に、大事な点を書いておきます。
この記事で取り上げる2つの出来事は、どちらも、PHPの脆弱性が原因だとは発表されていません。
それでも、「自社の仕組みを、外の会社やサービスに預けている」すべての会社にとって、考えるきっかけになる出来事です。
証券会社：委託先のシステムに不審なアクセス
マネックス証券は10月20日、口座開設のシステムの一部を管理する外部の委託先で、第三者がアクセスを試みた形跡が見つかったと発表しました。
予防のために、Webサイトとアプリからの「証券総合取引口座」の新規開設の受け付けを、一時的に止めています。
発表の時点では、侵入や顧客の情報の漏えいは確認されていないとしています。
自社のシステムでなくても、仕事の一部を任せている委託先が狙われれば、自社のサービスを止める判断が要る、という例です。
GMO：借りたサーバーに、不正なプログラム
GMOインターネットは、サーバーを借りられるサービス「お名前.com デスクトップクラウド」で、一部のお客様のサーバーに、第三者の不正なプログラムが置かれていたことを10月20日に確かめたと発表しました。
21日の朝4時からは、被害が広がらないように、全プランのサーバーを順に止めています。
影響を受けた可能性のあるサーバーは26,739件で、これは対象になりうる数であり、被害が確かめられた件数ではないとしています。侵入の経路は調べている最中です(23日時点)。
GMOは利用者に、サーバーの中に保存していた証券会社やFX会社の取引口座のパスワードを、取引に使っていない端末から変えること、取引の履歴と残高を確かめること、二段階の認証を設定することなどを、至急求めています。
借りたサーバーの上に置いていたパスワードや情報が、そのまま狙われる、という例です。
3つの出来事に共通すること
PHPの脆弱性、証券会社の委託先、借りたサーバー。
どれも、自社の外にある仕組みで起きたことが、自社のお客様や仕事に響きました。
そして、いざというときに「止めるか」「何を変えるか」を、短い時間で決めなければなりませんでした。
今のうちに確かめておきたい5つのこと
1. 預けている仕組みの一覧があるか
ホームページ、ネットショップ、予約や問い合わせのフォーム、借りているサーバー、仕事を任せている委託先のシステム。
名前・どこで動いているか・作った会社・保守している会社を、1枚の表に書き出します。
2. 管理画面に、会社として入れるか
サーバー、ドメイン、ホームページやショップの管理者のアカウントが、会社のものになっているかを確かめます。
辞めた社員や、取引の終わった会社のアカウントのままでは、いざというときに何もできません。
3. パスワードを、サーバーの上や使い回しで持っていないか
借りたサーバーやパソコンの中に、ほかのサービスのパスワードを書いたファイルや、ブラウザの保存を残していないか。
同じパスワードを、いくつものサービスで使っていないか。二段階の認証を使えるサービスでは、使っているか。
4. 「直す人」と「止めると決める人」が決まっているか
保守の契約に、今回のような更新が入っているか。
IPAは、更新や移行の判断には、システムの担当者だけでなく、事業の責任者や経営層も加わるよう求めています。止めるかどうかは、経営の判断でもあります。
5. サポートの終わる時期を知っているか
PHP 8.2 は、2026年12月31日にサポートが終わる予定です。
ショップの仕組みやプラグイン、業務システムの部品にも、サポートの期限があります。1の一覧の横に書いておきます。
1枚の表から始める
5つ全部を一度にそろえなくても大丈夫です。
まずは1の一覧を作り、分からない欄に印を付けてください。印の付いた欄が、次に確かめるところです。
私たちがお手伝いできること
私たちWy-at.Technologiesは、名古屋を拠点に、外部CTO・技術顧問として、中小企業のITの「誰が・何を」を整えるお手伝いをしています。
一覧づくりや、委託先・制作会社・保守会社とのやり取りの整理から、ご相談いただけます。
気になる方は、お問い合わせからご連絡ください。
出典(10月27日時点で確認)
- GMOインターネット：お名前.com デスクトップクラウドへの不正アクセスについて(第3報)
- IPA：PHPの脆弱性対策について
- マネックス証券の10月20日の発表(同社のWebサイト)
