サーバーを移さずにWebサイトのセキュリティを強化する方法｜WAF・改ざん検知を今のサーバーに後付けする

PRこの記事にはPRを含みます

「会社のWebサイトのセキュリティが心配だが、サーバーを引っ越す予算も時間もない」。2026年10月のPHPの重大な脆弱性（PHP2Shell）の公表をきっかけに、こうした相談が増えています。サーバーの移行は確かに効果の大きい対策ですが、準備に時間がかかり、すぐには実行できないことも多いものです。

この記事では、今のサーバーを使ったまま後から追加できるセキュリティ対策に絞って、改ざん検知・脆弱性診断・WAFなどの選択肢と、それぞれでできること・できないこと、導入の順番を整理します。WAFの仕組みそのものや、改ざんされた後の初動対応は別の記事で詳しく解説しているので、あわせてご覧ください。

後付けのセキュリティ対策とは

後付けのセキュリティ対策とは、Webサイトのプログラムやサーバーを作り直さずに、外側や周辺に追加して安全性を高める対策のことです。サーバーの外から定期的にサイトを点検するサービス、サイトの手前で不正な通信を止める仕組み、管理画面への入口を絞る設定などが当てはまります。

IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」では、組織向けの脅威として「システムの脆弱性を悪用した攻撃」が4位に挙げられています。脆弱性の修正（更新）が根本的な対策であることは変わりませんが、更新までに時間がかかる場合や、気づかないうちに被害を受けている場合に備えて、後付けの対策を重ねておく意味があります。

今のサーバーのまま追加できる対策の全体像

このうち、管理画面の保護（IP制限や二段階認証）とバックアップは、費用をほとんどかけずに始められます。そのうえで、「気づく」ための改ざん検知・診断と、「止める」ためのWAFを組み合わせるのが基本です。

関連記事IP制限・固定IPで管理画面と社内システムを守る｜仕組みと、テレワーク・委託先から接続するときの使い方

改ざん検知・脆弱性診断を後付けする

改ざん検知とは、Webページの内容に不正な書き換えやマルウェア（悪意のあるプログラム）の埋め込みがないかを定期的に確認する仕組みです。大きく分けて、次の2つの方式があります。

サーバーを移さずに始めるなら、まず外部から見る方式が現実的です。改ざんは見た目ではわからないことが多く、Googleの警告や取引先からの連絡で初めて気づくケースもあります。毎日自動で確認し、異常があればメールで知らせてくれる仕組みがあれば、被害が広がる前に対応を始められます。

関連記事Webサイトの改ざん・不正アクセスの確認方法と初動対応｜症状・調べ方・個人情報保護委員会への報告と相談窓口

WAFを後付けする3つの方法

WAF（Webアプリケーションファイアウォール）は、Webサイトへの通信の中身を調べ、SQLインジェクションなどの攻撃と思われるものを止める仕組みです。今のサーバーのまま導入する方法は、主に3つあります。

どの方法でも、導入直後は誤検知に注意が必要です。問い合わせフォームや決済、管理画面の操作が止まっていないかを確認し、止まった場合に誰が設定を調整するのかを決めておきましょう。WAFの種類や守れる攻撃・守れない攻撃の違いは、次の記事で詳しく解説しています。

関連記事WAFとは？ファイアウォール・IPSとの違い、種類と守れないもの｜中小企業のWebサイト・業務システムに必要か

導入の進め方

1. 守る対象を洗い出す公開中のサイト、問い合わせフォーム、使っていない古いサイトやテスト環境まで一覧にする
2. すぐできる設定を済ませる管理画面のパスワードの見直し、二段階認証、IP制限、バックアップの外部保管
3. 外部からの診断で現状を知る改ざん・マルウェアの有無と、古いCMSやプラグインなどの脆弱性を確認する
4. WAFを有効にするサーバー付属の機能から確認し、なければクラウド型やプラグインを検討。誤検知の確認も行う
5. 通知を受けたときの手順を決める改ざん検知や診断でメールが来たら、誰が見て、誰に連絡し、どこまで止めるかを決めておく

後付けの対策は、入れただけでは効果が出ません。特に通知メールが担当者の退職や異動で誰にも届かなくなっている、というケースはよくあります。通知先は個人ではなく、複数人が見られるアドレスにしておくと安心です。

後付けの対策では足りないケース

次のような状態では、後付けの対策を重ねても根本的なリスクは残ります。サーバーの移行やサイトの改修を並行して計画しましょう。

• PHPやCMSを更新できない：サポートが終了したPHP、改造したWordPressなどで、更新すると動かなくなる
• サーバーのOSやソフトが古い：自社管理のサーバーで、OSのサポートが終了している
• 誰が管理しているかわからない：制作会社と連絡が取れず、サーバーの管理画面に入れない
• 個人情報やカード情報を扱っている：会員情報や決済を扱うサイトは、外部からの診断だけでなく、専門家による診断が必要

関連記事企業サイトのWordPressセキュリティ対策｜被害の原因と対策の優先順位、PHP更新・バックアップ・月次の保守チェック表

関連記事WordPress・会社サイトのサーバー移行（引っ越し）手順と注意点｜DNS切替・メール・SSL・PHPで失敗しない

よくある質問

まとめ

サーバーを移さなくても、外部からの改ざん検知・脆弱性診断、WAF、管理画面の保護、バックアップの外部保管を組み合わせれば、Webサイトの安全性は高められます。ただし、後付けの対策は「気づく」「止める」ための補助で、ソフトウェアを更新できない状態を解消するものではありません。まずは現状を知り、移行が必要かどうかの判断材料にしましょう。

関連記事脆弱性診断の費用相場と実施タイミング

参考：IPA「情報セキュリティ10大脅威 2026」、IPA「安全なウェブサイトの作り方」、IPA「Web Application Firewall 読本」、XServer サイトセキュリティ公式サイト・サポートマニュアル「診断対象」（2026年10月時点）。