PHPサイト診断

そのPHPサイト、いまの修正版で動いていますか？

2026年10月、PHPに認証なしで攻撃される恐れのある脆弱性が公表されました（CVSS v4.0 で 9.2）。バージョン、サポート期限、公開ファイルまで、PHPサイトの安全度をまとめて診断します。

診断を申し込む料金を見る

いま、PHPサイトで何が起きているか

4系統

PHP 8.2〜8.5 すべてで修正版

8.5.12／8.4.27／8.3.36／8.2.35 より古い版では、認証なしで攻撃される恐れがあります。

7.4〜8.1

公式サポートは終了済み

最小限の修正ソースが例外的に用意されましたが、通常のリリースではありません。

12/31

PHP 8.2 のサポート終了日

いま修正版に更新しても、年内に次の移行が必要です。

PHPサイトが見落としやすい5つの落とし穴

落とし穴	起きること	診断での見つけ方
管理画面のPHPとWebのPHPが違う	確認した版と、実際に動いている版が別になる	Webで動いている版を、外部と管理画面の両方から確認
CMSやプラグインだけ更新している	PHP本体の脆弱性は直らない	PHPの版とCMS・プラグインの版を別々に判定
サポート終了版を使い続けている	新しい脆弱性が出ても、修正版が来ない	サポート期限との照合
phpinfoやバックアップが公開されている	設定情報やソースが外部から見える	よくあるファイル名・場所の公開確認
古いテスト環境・別ドメインが動いている	更新が止まったまま攻撃の入口になる	サブドメインや旧URLの洗い出し

診断でわかること

PHPのバージョンとサポート期限

修正済みか、サポート終了が近いか。外部の情報と管理画面での確認結果を突き合わせます。

既知の脆弱性との照合

公表済みの脆弱性と、検出したバージョンを照らし合わせます。

CMS・プラグイン・テーマ

WordPressなどの版と、更新が止まっている部品を洗い出します。

公開されているファイル・設定

phpinfo、バックアップ、管理画面のURLなど、外から見えてはいけないものを確認します。

HTTP・SSL・ヘッダー

SSL証明書の期限、セキュリティ関連のヘッダー、バージョンの露出を確認します。

侵害の兆候（標準診断以上）

不審なファイル、見覚えのない管理者、異常なアクセスの痕跡を確認します。

レポートの項目例

レポートの形式を示すための例で、実在するサイトの結果ではありません。

項目	判定	次の一手
Web側のPHPバージョン	要対応	修正版へ更新し、PHP-FPMを再起動
PHPのサポート期限	注意	年内に後継バージョンへの移行を計画
プラグインの更新状況	注意	停止中のプラグインを削除
公開ファイル（phpinfoなど）	良好	現状を維持
SSL証明書	良好	期限の監視を設定

料金プラン

ライト診断

¥29,800（税別）

まず現状を知りたい方

URLのみで外部から診断
PHP・CMS・プラグインのバージョン、公開されているファイル、HTTP・SSLの確認
優先順位つきのレポート
結果の説明（オンライン30分）

ライト診断を申し込む

標準診断

¥98,000（税別）

自社で更新まで進めたい方

ライト診断の全項目
Webで動いているPHPの版と設定の確認（読み取り専用の権限をお預かり）
不審なファイル・管理者・ログの確認
更新計画書（手順・戻し方つき）
報告会（オンライン60分）

標準診断を申し込む

診断＋対応一式

¥198,000〜（税別）

更新作業も任せたい方

標準診断の全項目
バックアップ、PHPの切り替え、動作確認の実施
WAFや暫定策の設定
復旧テストと、更新後の再診断1回

診断＋対応一式を申し込む

料金はサイトの規模・構成によって変わる場合があります。お申し込み後、担当者が内容とお見積もりを確認するご連絡をしてから開始します（この時点で料金は発生しません）。

診断の範囲と、お約束しないこと

できること

外部から確認できる範囲の診断（公開されているバージョン情報、CMS・プラグイン、公開ファイル、HTTP・SSL）
公開されている脆弱性情報との照合
優先順位つきのレポートと、更新・対策の計画づくり
ご希望のプランでの、更新作業と暫定策の設定

できないこと・お約束しないこと

「攻撃を受けていない」ことの保証（痕跡がないことは、被害がないことの証明にはなりません）
バージョンが外部に公開されていないサイトの、外部診断だけでの断定（その場合は管理画面での確認をご案内します）
ご自身が管理していないサイトの診断
未公表の脆弱性の発見。攻撃的な侵入テストや負荷試験も行いません

ご利用の流れ

お申し込み：診断するURLと、サーバーの種類（レンタルサーバー・VPSなど）をお知らせください。診断できるのは、ご自身が管理するサイトのみです。
内容とお見積もりの確認：担当者からご連絡し、管理者であることと、作業の範囲・料金を確認します。
診断：ライト診断はURLだけで外部から確認します。標準以上は、読み取り専用の権限をお預かりし、Webで動いているPHPの版や設定まで確かめます。
レポートと対策の相談：要対応・注意・良好の3段階で、優先順位つきのレポートをお渡しし、更新の手順と戻し方まで説明します。

よくある質問

PHPのバージョンは、自分でも確認できますか？

できます。WordPressなら管理画面の「ツール → サイトヘルス → 情報 → サーバー」で確認できます。レンタルサーバーなら管理画面のPHP設定を見てください。VPSで php -v を使う場合は、コマンドライン用のPHPの版が出る点に注意が必要です。

診断で、PHP2Shellの影響を受けるかどうかが分かりますか？

Webで動いているPHPが修正版より古いかどうかを判定します。攻撃が成立するかどうかは構成によって変わるため、「修正版か」の判定と、侵害の兆候の確認（標準診断以上）で行います。

他社が管理しているサイトも診断できますか？

できません。診断はご自身が管理するサイトのみが対象です。お申し込み時に確認します。

診断でサイトに負荷や影響は出ませんか？

外部診断は、通常の閲覧に近いアクセスが中心です。負荷をかける試験や、侵入を試みる攻撃的なテストは行いません。

レンタルサーバーでも、PHPの確認は必要ですか？

必要です。多くの事業者はサーバー側でPHPを更新しますが、管理画面で選んでいるPHPのバージョンの設定が古いままのことがあります。

診断のあとの更新作業も任せられますか？

「診断＋対応一式」のプランで、バックアップ、PHPの切り替え、動作確認、復旧テストまで対応します。

まずは無料で確認できますか？

できます。Web攻守診断（トップページ）でURLを入れると、外から見えるPHP・WordPress・プラグインの状態をその場で無料診断できます。結果を見てから、有料の診断をご検討ください。

診断を申し込む

お申し込み後、担当者から内容とお見積もりを確認するご連絡をします。料金はご確認いただいてから発生します。