ＰＨＰの脆弱性発覚！！最近のサイバー攻撃の状況について

　２０２６年１０月２３日の日本経済新聞の社説に「ＰＨＰの警鐘を次の脆弱性対策に生かせ」という記事が掲載されました。また、２０２６年１０月１２日の日本経済新聞の社説に「急増するサイバー攻撃に重層的な対策を」というタイトルの記事が掲載されました。社説の内容は、多くのウェッブサイトで使われるプログラム言語「ＰＨＰ」に２種類の重大な脆弱性が見つかり、これを修正する作業のため、各国で様々なサイトが停止する事態となっていること。人工知能（AI）の性能が上がり、これまで見逃されてきた欠陥が今後、次々と明らかになる可能性は大きいこと。脆弱性への対応はサイバー防御の基本であり、今回の事案を警鐘ととらえ、混乱なく着実に対処するための体制を早急に整える必要があります。「ＰＨＰ」はサイトを動かすのに使う開発言語で、パソコンやスマートフォンにサイト表示する機能を担ってます。「ＰＨＰ」は無料のオープンソースであり、世界のサイトの７割が利用してます。このため、２０２６年１０月２３日時点、企業や銀行、政府機関などに幅広い組織が安全対策を迫られてます。ＰＨＰの運営団体であるＰＨＰ財団によると、今回の欠陥はＡＩを使った検証で発見されたとのこと。サイトの内部情報の読み取りやサーバーの乗っ取りに悪用される恐れがある欠陥です。そのため、ＰＨＰ財団は、２０２６年１０月２１日に修正プログラムを公開しました。
　また、企業へのサイバー攻撃が急増してます。不正アクセスで個人情報が大量に漏洩する事案がさまざまな業種で相次いでます。いつ、どの企業が被害にあってもおかしくない異常な事態と言わざるを得ません。漏洩が起きる前提に立ち、重層的な対策を急ぐ必要があります。セキュリティ会社のトレンドマイクロによると、企業など日本の攻撃被害は年初から９月半までに６００件に達し、すでに昨年の１年間に起きた件数を越えてます。その他、なりすましや不正ログインの道具に使うため、個人情報を売買する闇取引が拡大しています。　今後、人工知能（ＡＩ）を用いた攻撃により、このような状況が悪化しかねないと懸念されています。システムの脆弱性を突く攻撃が高速化・大規模化する恐れがあります。企業は防御を固めつつ、それを破られた場合を想定し、多様な備えをしなければなりません。
　今回は、サイバー攻撃について言及します。

目　次

１．最近のサイバー攻撃の現状について。

２．世界のサイバー攻撃の状況について

３．日本のサイバー攻撃の状況について

４．中小企業の対応について

５．アドバンス・キド株式会社の提案について

１．最近のサイバー攻撃の現状について

　① ＰＨＰの重大な脆弱性が示した危険
　2026年10月21日、世界中のWebサイトや業務システムで使われているプログラミング言語「ＰＨＰ」に、深刻な脆弱性が2件発見され、修正版が公開されました。
　今回のＰＨＰ脆弱性：
　深刻度：高
　CVSS v4.0（共通脆弱性評価プログラム）評価：9.2 / １０
　公表された脆弱性：２件

　※ＣＶＳＳは、アメリカを拠点にした非営利団体ＦＩＲＳＴ.Ｏｒｇ.Ｉｎｃによって所有、管理されており、ベンダーやプラットフォームに依存しない標準化されたスコアリング手法です。
　※PHPのWebリクエスト処理環境。認証なしで遠隔から不正なプログラムを実行される恐れがあります。

　この問題の重要な点は、攻撃者がパスワードを知らなくても、脆弱なサーバーに侵入できる可能性があることです。政府も異例の注意喚起を行い、修正プログラムを直ちに適用できない場合には、Webサイトの一時停止も選択肢になると呼びかけました。今回の事件は、企業が利用しているソフトウェアの脆弱性が、企業規模に関係なく経営リスクになることを示しています。なお、重大な脆弱性の発見と、実際に攻撃被害が発生したことは区別する必要があります。

② AIがサイバー攻撃を変える

AIは防御側にも役立つ一方、攻撃側にも利用されます。

重要なのは、AIがすべての攻撃を自動化しているわけではないという点です。現在の主要な脅威は、従来の攻撃手法にAIが組み合わされ、攻撃の速度、規模、説得力が高まることです。

２．世界のサイバー攻撃の状況について

　ENISA（欧州連合サイバーセキュリティ機関）の2026年9月の報告では、ランサムウェア、情報漏えい、詐欺、地政学的な対立を背景とする攻撃が引き続き大きな脅威となっています。

　EUで分析された2025年の金銭目的のサイバー攻撃活動の内訳

• ランサムウェア: 割合 40%
• 情報漏えい: 割合 31%
• 詐欺・なりすまし: 割合 19%

出典：ENISA Threat Landscape 2026。全サイバー攻撃ではなく、分析対象の金銭目的の活動。

残る10%はその他の活動。世界全体の割合ではありません。

世界で特に警戒される4つの動き

1. 米国： 企業や重要インフラへのランサムウェア、情報窃取、サプライチェーン攻撃が課題になっています。
2. 欧州： 行政機関や交通などへのDDoS攻撃、地政学的対立に伴う攻撃が続いています。
3. アジア： 製造業、金融、通信など、国境を越えてつながる企業活動への攻撃が懸念されます。
4. 世界共通： AIによるなりすまし、ソフトウェアの脆弱性悪用、委託先を経由した侵入への対策が必要です。

　ENISA（欧州連合サイバーセキュリティ機関）によると、2025年に公開されたCVE（共通脆弱性識別子）識別番号付きの新たな脆弱性は4万8,000件を超え、前年より22%増加しました。世界的に見ると、サイバーセキュリティはIT部門だけの問題から、国家安全保障と企業の経営継続に関わる問題へと広がっています。

３．日本のサイバー攻撃の状況について　。
　日本でも深刻な被害が続いています。警察庁が2026年9月に公表した上半期の統計では、企業・団体から報告されたランサムウェア被害は123件となり、半期として過去最多を記録しました。

2026年上半期のランサムウェア被害（日本）

被害報告　　　　　　123件
　　うち中小企業　　　79件
　　うち製造業　　　　37件

出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等」。報告された被害の件数です。

日本で狙われる主な業種

　特に注意すべきは、サプライチェーン攻撃です。大企業の防御が強固でも、取引先の中小企業や委託先を経由して侵入される可能性があります。そのため、中小企業のセキュリティ水準が、大企業との取引継続条件として重視されることも考えられます。また、IPAの「情報セキュリティ10大脅威2026」では、組織向けの第1位がランサム攻撃、第3位に「AIの利用をめぐるサイバーリスク」が初めて選ばれています。日本政府も２０２６年10月9日、相次ぐ個人情報漏えいを受け、Webシステムの脆弱性、サプライチェーン経由の侵害、データ管理の弱さに対する対策徹底を呼びかけました。

４．中小企業の対応について
　中小企業に必要なのは、高額なセキュリティシステムを最初から導入することではありません。「侵入させない」「侵入を早期発見する」「被害を広げない」「速やかに復旧する」という4段階の重層防御を構築することです。

① 優先して実施すべき7つの対策

② 中小企業のための90日対策計画

　◎最初の30日：現状把握と緊急対策

　Webサイト、VPN、パソコン、クラウドサービスを棚卸しし、重大な脆弱性の修正、多要素認証、重要データのバックアップを優先します。重大な問題は30日を待たず即時対応します。

　◎31〜60日：防御の強化

　PCやスマートフォン、サーバなどのエンドポイントにおける不正な活動をいち早く検知し、迅速な対応を可能にするセキュリティソリューションであるEDR（Endpoint Delection and Response）等の導入検討、社員教育、取引先・委託先のセキュリティ状況確認、バックアップ復元テストを行います。
　
　◎61〜90日：BCPと経営管理

　攻撃を受けた場合の初動対応マニュアル、緊急連絡網、復旧訓練を整備し、経営会議で継続的にリスクを管理します。セキュリティ予算に余裕のない中小企業は、IPAの「SECURITY ACTION」や「サイバーセキュリティお助け隊サービス」などの制度・サービスも活用候補になります。

５．アドバンス・キド株式会社の提案

　アドバンス・キド株式会社は、電気代の見直しを入口として、企業の固定費削減と経営リスク対策を一体的に考えることを提案します。サイバーセキュリティと電気代削減は、一見すると異なる分野ですが、企業経営において共通点があります。
　それは、限られた経営資源を有効に活用し、事業を継続できる企業体質をつくることです。

① 電気代削減による経営資源の確保

　例えば、電気料金を年間1,000万円削減できた企業が、その一部をセキュリティ対策へ振り向けることができれば、固定費削減と経営リスク低減を両立できます。

電気代削減効果の活用シミュレーション（仮定）

　年間電気代削減額　　　　　　1,000万円
　セキュリティ対策への配分率　　20%
　年間セキュリティ対策予算　　　200万円
　その他に活用できる削減額　　　800万円

　本算定は、説明用の仮定であり、実際の削減効果やセキュリティ導入費用を保証するものではありません。

② 日立グループ30年間の情報システム関連の営業経験

　アドバンス・キド株式会社の強みは、代表者が日立グループで約30年間、企業や自治体のお客様に対する情報化・システム導入提案に携わってきた経験です。
　この経験を活かし、セキュリティの専門事業者との連携を視野に入れ、次のような取り組みを進めることを提案します。

• 経営課題の整理　　： 電気代、ITコスト、システム停止リスクを経営の視点で把握する。
• 専門企業への橋渡し： セキュリティ診断、脆弱性対策、監視などは専門事業者と連携する。
• BCPの強化　　　　： サイバー攻撃だけでなく、停電・自然災害を含めた事業継続を検討する。
• 投資効果の検証　　： 固定費削減効果とセキュリティ対策費用を比較し、無理のない導入計画を立てる。

　これらは今後の協業・事業展開の提案であり、アドバンス・キド株式会社がすでにセキュリティ監視や脆弱性診断を自社提供しているという意味ではありません。

③ BCPを中心とした総合的な提案

企業の経営安定・事業継続　　　　コスト削減 × リスク低減 × BCP
電気代削減　　　　　　　　　　　電力契約の見直し・省エネ
サイバー対策　　　　　　　　　　専門事業者との連携
停電対策　　　　　　　　　　　　蓄電池・太陽光の検討
IT・BCP対策　　　　　　　　　  システム停止への備え

※目指す姿：利益を守り、事業を止めない企業へ

④まとめ：AI時代の中小企業に求められる経営とは

　今回のPHPの脆弱性問題と、急増するサイバー攻撃に関する日本経済新聞の社説から学ぶべきことは、企業が「攻撃を受けないこと」だけを目標にしていては不十分だということです。今後の企業経営では、サイバー攻撃、電力供給不足、異常気象、自然災害など、複数のリスクに同時に備える必要があります。
　特に中小企業は、限られた人材と資金の中で、何を優先して守るのかを経営者自身が判断しなければなりません。
　アドバンス・キド株式会社は、まず電気代という固定費の見直しから企業の収益力を高め、その成果を省エネ、設備更新、BCP、情報セキュリティなど、将来の経営基盤強化につなげていくことを提案します。
　「電気代を減らす」だけでなく、「企業の利益と事業継続を守る」。
　これが、AI時代にアドバンス・キド株式会社が目指す新たな経営支援の方向性です。
　固定費削減を入口に、将来の経営リスクに備えましょう。

　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　以　　　　　上