そもそもPHPとは？Webサイトで何をしているプログラム？
「看板（HTML）」に「自動販売機（PHP）」を組み込むイメージ
私たちが普段スマートフォンやパソコンで見ているWebサイトは、大きく分けると「静的なページ」と「動的なページ」の2種類があります。
- 静的なページ（HTML）： 誰がいつ見ても同じ内容が表示される「ポスターや看板」のようなページ
- 動的なページ（PHP）： 見る人や状況に合わせて中身が変わる「自動販売機やレジ」のようなページ
この「動的なページ」を裏側で動かしているのが、PHP（ピー・エイチ・ピー）というプログラミング言語です。
たとえば、Webサイトのお問い合わせフォームに文字を入力して送信したり、ECサイトで商品をカートに入れたり、会員サイトにログインしたりできるのは、すべて裏側でPHPが「入力された内容を受け取り、正しく処理して画面に返す」という計算を行っているからです。
企業のWebサイトやWordPressのほとんどで動いている
「自社のホームページは専門の制作会社に作ってもらったから、PHPなんて使っていないはず」と思っていませんか？
実は、世界中のWebサイトの4割以上で使われている「WordPress（ワードプレス）」をはじめ、企業のオウンドメディアやブログシステムの多くは、すべてPHPをベースに作られています。
特別な自覚がなくても、企業がWebサイトを運用している限り、ほぼ100%裏側でPHPが働いています。
なぜ「PHPの脆弱性（弱点）」がニュースで騒がれるのか？
使っている人が世界一多いから狙われる
セキュリティニュースで「PHPに重大な脆弱性が見つかりました」とよく報じられるのには、明確な理由があります。
それは、PHPの安全性が低いからではなく、「世界中で使われているため、攻撃者（ハッカー）にとって一番効率が良い標的だから」です。
利用者が少ない言語の隙を探すよりも、世界中の企業のWebサイトで動いているPHPの隙（脆弱性）を1つ見つけるほうが、一度に何千・何万もの企業をまとめて攻撃できるため、常に世界中の攻撃者から狙われ続けています。
放置すると「Webサイトが乗っ取られる」危険性
PHPの弱点（セキュリティホール）が放置されたままになっていると、以下のような被害に遭う恐れがあります。
- Webサイトの改ざん： トップページがまったく別の画面に書き換えられたり、怪しい偽サイトへ勝手に転送される
- 個人情報の漏洩： お問い合わせフォームから送られた顧客の個人情報やクレジットカード情報が盗まれる
- ウイルスの拡散元（踏み台）になる： 自社のWebサイトを訪れた取引先やお客さまの端末に、ウイルスを感染させてしまう加害者になる
専門知識ゼロでもできる！Web担当者がやるべき3つの安全チェック
プログラミングが分からなくても、Web担当者や社内管理者としてすぐに実行できる対策は以下の3つです。
1. PHPのバージョンを「放置」せず定期更新する
PHPは、安全性を保つために定期的に「修正版」がリリースされています。古いバージョンのままずっと放置していると、過去の弱点がそのままネット上に晒され続けることになります。
Webサイトを管理している制作会社やサーバの管理画面を確認し、サポートが終了した古いPHPのままになっていないか確認しましょう。
2. 使っていないプラグインや古いページを消す
WordPressなどを使っている場合、昔インストールしたきり使っていないプラグインや、過去のテスト用ページが残っていないでしょうか。
長期間アップデートされていない古い機能は、泥棒にとって「鍵が開けっ放しの裏口」と同じです。不要な機能は停止・削除するのが鉄則です。
3. パスワードの使い回しをやめ、二重ロック（二要素認証）にする
管理画面のパスワードが「社名＋数字」のような単純なものになっていたり、他のサービスと同じパスワードを使い回していないか見直しましょう。ログイン時にスマホへ通知が届く「二要素認証」を設定しておくだけで、不正アクセスの大部分を防げます。
まとめ：Webサイトの対策と合わせて「普段のメール」も見直すべき理由
今回は、Webサイトの裏側で働く「PHP」の基本と、担当者が知っておくべき初歩的な対策について解説しました。
WebサイトやWordPressの安全を保つことは、企業の信頼を守る上で欠かせない取り組みです。
しかし、企業のセキュリティ事故において、もう1つ絶対に知っておかなければならない事実があります。それは、「サイバー攻撃全体の8割以上は、Webサイトからではなく『普段の電子メール』から始まっている」という点です。
攻撃者は、Webサイトに直接侵入するよりも、従業員へ本物そっくりの偽メール（フィッシングメールや請求書を装ったウイルスメール）を送りつけ、社内のパソコンをクリックさせるほうがはるかに簡単だと知っています。
どれだけWebサイトの安全対策を固めても、従業員がメールを開いてウイルスに感染してしまえば、社内の機密情報やWebサイトの管理パスワードまでまとめて盗み取られてしまいます。Webサイトの保守と同時に、「最大の侵入経路であるメールセキュリティ」をしっかり固めることが、企業を守る一番の近道です。
企業を守るサイバーソリューションズのメールセキュリティ
サイバーソリューションズ株式会社では、専門知識がなくても導入できる、クラウド型の安心メールセキュリティをご提供しております。
- Cloud Mail SECURITYSUITE (CMSS)
Microsoft 365 や Google Workspace と連携し、怪しい添付ファイルの自動無害化、誤送信防止、脱PPAP対策までを丸ごとサポートする総合サービスです。 - MAILGATES Σ
最新のAIを活用し、巧妙ななりすましメールやウイルスメールを社内に届く前に水際でシャットアウトする強固なメールゲートウェイです。
「何からセキュリティ対策を始めればよいか分からない」という企業様は、ぜひお気軽にサイバーソリューションズへご相談ください。
