PHPの緊急脆弱性の公表を受けて、AI会社台帳やAI実技測定を展開するYamanaka JAPANが公開した初期確認の手順は下記の通りだ。

1. 利用言語の確認：「WordPress」で作成されたサイトはPHPで動作している。「Wix」や「STUDIO」などで作ったサイトは今回の対象外となる。
2. バージョンの確認：レンタルサーバ管理画面の「PHP設定」などでバージョンを確認する。「8.2.35」「8.3.36」「8.4.27」「8.5.12」よりも古い場合は更新が必要だ。
3. サポート終了版の扱い：バージョンが「7.4」「8.0」「8.1」の場合は開発元のサポートが終了している。契約先のレンタルサーバ会社に問い合わせるか、新しいバージョンに移行する。
4. すぐに更新できない場合：更新作業に時間がかかる場合は、被害を防ぐためにもサイトの一時停止を検討する。

PHPだけではない　確認したい6つのセキュリティリスク

　管理画面が開けない場合や、制作会社との連絡が途絶えている場合は上記の手順はたどれない。また、WebサイトのリスクはPHPのバージョンを更新するだけではなくならない。

　重大な設定不備やトラブルの芽を察知するためにも、Yamanaka JAPANはまず以下の6項目を確認してほしいと提示する。

1. 証明書の期限：期限切れになるとブラウザに「保護されていない通信」と警告が表示され、利用者の離脱を招く。
2. ドメインの期限：失効するとサイトやメールが停止し、第三者にドメインを取得されるリスクが生じる。
3. なりすましメール対策（DMARCなど）：未対策の場合、自社の名前をかたった偽メールを受信者側で遮断できない。
4. 管理画面の公開状態：ログイン画面に誰でもアクセスできる状態になっていないか。
5. HTTPS化の有無：通信全体が適切に暗号化されているか。
6. 問い合わせフォームの送信形態：フォームからの送信内容が暗号化（HTTPS）されているか。

無料の外部点検サービスを利用して一次切り分けする方法も

　Yamanaka JAPANが公開した手順を踏めば、自社のWebサイトの状況が把握できる。とはいえ「自社の確認だけでは不安だ」「管理画面が開けず結局確認できなかった」という企業もあるだろう。

　そうした企業に向けて同社は10月22日、WebサイトのURLを指定するだけで、PHPの公開状況と上記の6項目のセキュリティリスクを確認する無料点検の受け付けを開始した。ログインIDやパスワードを預ける必要はなく、外部から確認できる範囲の情報のみ確認して結果を返す。

　「赤：すぐに直した方がいいもの」「黄：直した方がいいもの」「灰：外からは判定できないので、社内で確かめてほしいもの」の3色で各項目のリスクを評価する。

　Yamanaka JAPANは判定結果の提示方法について「PHPのバージョンを外に出さない設定のサイトは、外からは判定できません。見えないことは、安全だという意味ではありません。だから結果に『安全です』とは書かず、判定できなかった項目は灰色でお返しします」と説明している。

　同点検は先着30社、10月31日までの期間限定で提供される。申し込めるのは自社で管理しているサイトのみ。診断結果は既存の制作会社や保守担当者にそのまま渡せる形式で作成されるため、自社で確認が完結できない場合の一次切り分けやリスク把握の手段として有効だ。

　無料の点検では、ログインの試行や脆弱性の検証は実施しない。別途作業を依頼する場合は有料対応となる。

　Yamanaka JAPANの代表取締役 山中勇輝氏は、今回の取り組みについて「自分の会社のサイトが何で動いているか、即答できる経営者は少ないと思います。『サイトを作った制作会社との契約が切れていて、誰に聞けばいいか分からない』『管理画面の見方が分からない』――そういう相談が寄せられたことから本点検を受け付けることといたしました。今回の無料点検は緊急性の高いPHPが中心になりますが、まずは初期の対応だけでも、お役に立てないかと思っています」とコメントしている。