Access を Web に移すときの守り方：PHP の脆弱性「PHP2shell」から考える

PHP の脆弱性の報道を見て、Access のツールを Web に移すのが心配になった方に向けて、何が起きたのかと、Web に移すときに決めておくことを整理します。

何が起きたのか

2026年10月21日、PHP の開発元は、PHP 本体の2件の脆弱性（CVE-2026-109618、CVE-2026-109619）を直した版を公開しました。PHP は、Web のシステムを作るときによく使われるプログラムの言語で、サーバーの上で動きます。

どちらも、ログインしていない人から届いたリクエストで、サーバーの上で勝手にプログラムを動かされるおそれがある、重大な脆弱性とされています。2件は、まとめて「PHP2shell」と呼ばれています。

開発元の告知では、構成によっては、作ったシステムのプログラムが動く前の段階で起きうるとされています。そのため、システムの側の作りだけでは防ぎきれず、PHP 本体の更新が対策になります。

対策は、PHP 本体の更新

開発元は、完全な回避策はなく、更新することが唯一の確実な対策だとしています。2件を直した版は次のとおりです（2026年10月21日の公開時点）。

• PHP 8.5 系は 8.5.12 以降
• PHP 8.4 系は 8.4.27 以降
• PHP 8.3 系は 8.3.36 以降
• PHP 8.2 系は 8.2.35 以降

IPA（情報処理推進機構）の注意喚起によると、影響を受けるのは、8.2〜8.5 系のうち、上の版より前の版です。IPA は、調査に関わった Wiz 社の話として、PHP 5.4 以降の版も、2件の少なくともどちらかの影響を受けると紹介しています。

10月23日には、開発元が追加の案内を出しました。まれな設定とプログラムの組み合わせのときにだけ起きる、別の弱点（CVE-2026-115560）についてで、次の定例の更新で直すまでの間、関係する機能を設定で止めておくよう勧めています。

PHP 8.2 は、2026年12月31日で開発元のサポートが終わる予定です。

PHP 8.1 以前の版は、開発元のサポートが終わっています。今回は例外として、開発元が 7.4・8.0・8.1 向けに最小限の修正を公開しました（7.3 以前の版向けには出ていません）。OS などの提供元が修正を出している場合もあります。修正があるかは、サーバーを管理する人に確かめます。IPA は、修正が提供されない版を使っている場合、サポートされている版への更新か、対策済みの製品・サービスへの移行を検討するよう案内しています。

PHP は、使っている製品やサービスの中で動いていることもあります。IPA は、影響をその製品の開発元やサービスの提供元の情報で確かめるよう案内しています。すぐに更新できない場合は、更新や移行が済むまで、環境に合った暫定の対策や、つながる範囲を絞ることを検討するよう案内しています。有効な暫定の対策が難しいときは、被害や業務への影響を踏まえて、外からのつながりを断つことや、サービスを一時止めることが必要かを判断するよう求めています。

サーバーの PHP を更新するのは、多くの場合、システムを作った会社や、サーバーを管理する人の仕事です。使っている側からは見えにくいところでもあります。

危なさが大きくなるのは、2つが重なったとき

開発元は、PHP を使うすべての人に、ただちに更新するよう強く勧めています。どのサーバーでも更新は要りますが、一般に、危なさが特に大きくなるのは、次の2つが重なったサーバーです。

• インターネットから、誰でもつながる場所に置かれている
• 弱点が見つかっても、直されない（サポートの終わった版を使っている、更新する人や手順が決まっていない）

問題は「Web だから」というより、「外に開いたまま、直されない」状態にあります。

どんな形で作っても、守り方を決めて、弱点が見つかれば直し続けることが要ります。

今の Access にも、同じことが言える

サポートの終わった版の Access も、弱点が見つかっても直されません（Access 2016・2019・2021 のサポート終了）。社内のネットワークだけで使っていても、直されない部品が残ることに変わりはありません。

今のまま使い続けるときも、Web に移すときも、考えることは同じです。外からどこまでつながるか、弱点が見つかったときに誰が直すか、です。

Web に移すときに、決めておく4つのこと

Web に移すと決めたら、作り方と一緒に、守り方も決めておきます。

1. 外から、どこまでつながるようにするか

社内のネットワークや VPN からだけ使う形にすれば、システムそのものは、インターネットから誰でもつながる状態を避けられます。ただし VPN の機器は、インターネットに開いた入口になるので、この機器も更新し続け、ログインには多要素認証を使います。

VPN を使わずに在宅やほかの拠点から使うなら、会社のアカウントでのログイン（シングルサインオン）と多要素認証を済ませないとシステムに届かない入口を、システムの手前に置きます。この入口もインターネットに開いているので、VPN の機器と同じく更新し続けるか、提供元が更新し続けるサービスを使います。システムの中のログイン画面だけでは、今回のようにログインより前に起きる弱点は防げません。

2. 弱点が見つかったとき、誰がどう直すか

• 使っている部品（言語、ライブラリ、OS、VPN などの機器）と、その版を記録しておく
• 部品ごとにサポートが終わる時期も記録し、その前に新しい版へ移す予定と予算を決めておく
• サポートの期間が長く続く部品を選ぶ
• 脆弱性の情報を見張り、更新するまでの手順と、保守の契約での目安を決めておく

IPA も、システムの担当者だけでなく、事業の責任者や経営層も含めて、更新や移行と、そのあとの維持管理に必要な人員・予算・保守体制を確保できるかを検討するよう勧めています。

当社では、作ったシステムについて、移したあとも、弱点が見つかったときに直し続ける体制まで用意しています。どこまでお任せいただくかは、進め方とあわせてご相談します。

3. 入られても、広げない

• 使う人ごとに、見られる範囲と操作できる範囲を絞る
• システムそのものが持つ権限（データベースやサーバーの権限）も、必要な分だけにする
• 使わない機能は止めておく
• 記録（ログ）をシステムとは別の場所にも残し、誰が見るかを決めて、いつもと違う動きに気づけるようにする
• バックアップを、システムから消したり書き換えたりできない別の場所に取り、戻す手順を確かめておく

4. 使い始める前に、確かめる

使い始める前に、第三者による脆弱性診断を受けると、作った側では気づきにくい弱点が見つかることがあります。分かるのはその時点のことなので、大きく作り変えたときにも受け直し、2. の更新も続けます。

直す・Web に移す・置き換える、どれでも同じ

守り方を決める必要があるのは、Web に移すときだけではありません。今の Access を直して使い続けるときも、既製のクラウドサービスに置き換えるときも、外からつながる範囲、誰がどう直し続けるか、ログインのしかたと、権限・記録・バックアップの管理は、同じように決めておきます。置き換えるときは、提供元がどこまで更新を受け持つかを確かめます。

どの進め方が合うかは、ツールの使われ方で変わります。目安は「Access を直すか、Web に移すか：判断の目安を表で整理する」にまとめています。

まずは、診断で進め方の目安を確かめる

当社の「無料Web診断（Access版）」では、選択式の質問に答えると、3つの進め方のどれが合いそうかの目安と、その理由が分かります。この診断は、ツールの使われ方から進め方の目安を出すもので、ツールやサーバーの脆弱性を調べるものではありません。

守り方は、進め方を決めるときに、ツールの使われ方に合わせて一緒に決めます。

無料Web診断（Access版）を見る

ご希望の方は、30分の無料オンライン相談もご利用いただけます。無理な営業はいたしません。