【ご報告】PHPの脆弱性「php2shell」、SHO-SANが支援するすべてのホームページで対応を完了しました

〜修正版の公開から2日以内に、支援中のすべてのサイトで対応を終えました〜

いつもSHO-SANをご利用いただき、誠にありがとうございます。

10月22日に【重要なお知らせ】ホームページの土台「PHP」のセキュリティ更新について（php2shell）でお知らせしたPHPの脆弱性について、2026年10月23日（金）、SHO-SANが制作・保守で支援しているすべてのホームページで対応を完了しました。

対応期間中は、安全のためにホームページを一時的に非公開とさせていただきました。お問い合わせや来場予約を止めてしまう中、早いご判断とご協力をいただいたお客様に、心より御礼申し上げます。

本記事では、今回SHO-SANがどのように動いたのか、PHPを入れ替えるだけで終わらせなかった点を中心にご報告します。

10月21日23時の修正版公開から、10月22日のお知らせ掲載と対応開始、10月23日の全サイト対応完了までの流れ

PHPの開発元が修正版を公開したのは、10月21日（水）の日本時間23時です。SHO-SANはその翌日から、次の順で動きました。

脆弱性への対応は、攻撃の方法が広まる前に終えることが何より大切です。今回は、修正版の公開から2日以内に、すべてのサイトを安全な状態に戻しました。

PHPの入れ替えを中心に、バックアップ、WordPressとプラグインの最新化、古い書き方の修正、外から見える弱点の対策をあわせて行ったことを示す図

今回の脆弱性そのものは、PHPを修正版に入れ替えれば解消します。ただ、SHO-SANは「この機会にサイト全体を安全な状態に整える」ことを目標にしました。

作業前のバックアップ：万一に備え、データとファイルを保全してから作業に入りました
PHPを修正版へ：古いPHPを使っていたサイトも、開発元のサポート期間が長いバージョンへ切り替えました
WordPress本体とプラグインを最新に：PHPだけでなく、その上で動く部品もすべて最新版にそろえました
新しいPHPで動かなくなる書き方を先に修正：お問い合わせフォームなど、古い書き方のままでは止まってしまう部分を、更新の前に洗い出して直しました
外から見える弱点もあわせて対策：ログインに使う名前を外部から調べられる経路を閉じる、エラーの内容を画面に出さない、バージョン情報が分かるファイルや不要なログを片付ける、使っていないプラグインを止める、といった対策を行いました

攻撃する側は、ひとつの穴だけでなく、手がかりになる情報を組み合わせて狙ってきます。入口を一つずつ減らしておくことが、次の脆弱性への備えにもなります。

全ページの表示とエラーの確認、フォームの送信確認、スマートフォンでの表示確認の3つの確認項目

トップページが表示されるだけでは、作業が終わったとは言えません。住まいづくりを考えるお客様との接点は、施工事例や見学会の案内、そしてお問い合わせや来場予約のフォームです。

確認の中で見つかった不具合は、その日のうちに修正しています。報告書は、担当フロントより順次お届けします。

自社で制作から保守まで担っていること、作業手順の標準化と確認の自動化、ログインを担当者だけが行う運用の3つの柱

短い期間で、品質を落とさずにすべてのサイトを対応できたのは、日ごろから次の体制を整えてきたためです。

制作から保守まで自社で担っている：サイトごとの作りや使っている部品を把握しているため、どこを直せば安全か、すぐに判断できます
作業手順を標準化し、確認をAIとツールで自動化：PHP更新後の作業を手順書として整え、全ページの巡回やエラーの検出は機械で行います。人の目だけに頼らないことで、急ぎの作業でも確認の抜け漏れを防ぎます
管理画面へのログインは担当者だけが行う：作業に使うツールにはパスワードを預けず、ログインはその都度担当者が行い、作業が終わればログイン状態は残りません。スピードを上げても、守りは緩めない運用です

SHO-SANは全社でAIの活用を進めています。AIを使って作業を速くするだけでなく、確認の精度と安全性を上げるために使うことを大切にしています。