簡易セキュリティ診断｜PHPの脆弱性（PHP2Shell）対応とサイトの設定を無料でチェック
「PHPの重大な脆弱性が公表されたが、自社のサイトやシステムは大丈夫なのか」「何から確認すればよいかわからない」。セキュリティの対策状況は、社内に専任の担当者がいないと把握しにくいものです。
このページでは、10の質問に答えるだけで対策状況の目安がわかるセルフチェックと、サイトのURLから公開されている情報を確認する公開情報チェックを、無料・登録不要で利用できます。2026年10月に公表されたPHPの脆弱性（PHP2Shell）の確認項目も含めています。
この診断でわかること
- セルフチェック（10問）：PHPのバージョン管理、更新、バックアップ、ログイン保護など、基本的な対策の状況と、優先して取り組むこと
- 公開情報チェック（URLを入力）：HTTPS、セキュリティ関連の設定、PHP・サーバーのバージョンが外部に見えていないか、など
- どちらも脆弱性の有無を断定するものではありません。対策の抜けもれに気づくための目安としてお使いください
セルフチェック（10問）
公開情報チェック（URLを入力）
確認したいサイトのURLを入力してください。トップページを通常の閲覧と同じ方法で1回だけ読み込み（http から https への転送の確認でもう1回）、公開されている情報を確認します。
公開情報チェックについて入力されたURLのトップページを、通常の閲覧と同じ方法で読み込むだけです。脆弱性を突くような通信や、ページの総当たりなどの検査は行いません。入力されたURLは保存しません（同じサイトの結果を1時間だけ一時的に保持します）。短い時間に何度も実行すると、しばらく利用できなくなります。
結果の見方と、まずやること
公開情報チェックの項目
| 項目 | 見ていること | 「注意」「要対応」のときにやること |
|---|---|---|
| HTTPS | 暗号化通信で接続でき、証明書が有効か | SSL証明書を設定・更新する |
| http→https の転送 | 暗号化されない通信が残っていないか | サーバーの設定で https へ転送する |
| セキュリティ関連の設定 | HSTS、X-Content-Type-Options、X-Frame-Options、CSP | サーバーやCDNでレスポンスヘッダーを追加する |
| PHPのバージョン | 外部に表示されている場合、修正版かどうか | 修正版へ更新する。表示を止める（expose_php = Off） |
| Webサーバー・CMSの表示 | バージョンが外部に見えていないか | バージョン表示を止め、本体と拡張機能を最新にする |
PHPのバージョンが外部に表示されていない場合は、外部から判定できません。WordPressの「サイトヘルス」やサーバー会社の管理画面、委託先への問い合わせで確認してください。PHP2Shellの詳しい内容と対応手順は、次の記事でまとめています。
関連記事PHPの重大な脆弱性「PHP2Shell」（CVE-2026-109618・109619）｜業務システムで確認すること・修正版・8.1以前の対応【2026年10月】
オーバーエックスにご相談ください診断の結果、「PHPのバージョンが古い」「委託先と連絡が取れない」「どこから手を付ければよいかわからない」といった場合は、オーバーエックスにご相談ください。システムの現状調査、PHPのバージョンアップ、保守の引き継ぎまで対応します。本格的な脆弱性診断が必要な場合は、進め方や依頼先の選び方もご案内します。
無料で相談する
無料で相談する
無料ツール・資料無料ツール・資料｜システム開発の発注・予算づくりに使える
よくある質問
- この診断で「良好」なら、脆弱性はないと考えてよいですか？
- いいえ。この診断は、回答と公開されている情報から分かる範囲の目安です。サーバー内部の設定やプログラムの脆弱性までは確認できません。重要なシステムでは、専門の脆弱性診断を検討してください。
- 他社のサイトのURLを入力してもよいですか？
- 自社のサイト、または管理を任されているサイトでお使いください。通常の閲覧と同じ読み込みしか行いませんが、無断での確認はトラブルのもとになります。
- 入力したURLや回答は保存されますか？
- セルフチェックの回答は、お使いのブラウザの中だけで計算し、送信・保存しません。公開情報チェックのURLも保存しません。同じサイトの結果を1時間だけ一時的に保持し、短時間の重複した読み込みを防いでいます。
- PHPのバージョンが「外部に表示されていません」と出ました。
- バージョンを隠す設定になっているため、外部からは判定できません（隠すこと自体は望ましい状態です）。WordPressの「サイトヘルス」やサーバーの管理画面、委託先への問い合わせで確認してください。
まとめ
セキュリティ対策は、PHPなどの基盤ソフトのバージョン管理と定期的な更新、ログインの保護、バックアップ、異常に気づく仕組み、緊急時の体制づくりが基本です。セルフチェックと公開情報チェックで抜けもれを確認し、優先度の高い項目から対応しましょう。