PHPの脆弱性から考える！不動産ホームページを安全に運用する基本

2026年10月、ホームページの構築などに使われるプログラミング言語「PHP」で重大な脆弱性が公表され、修正版への更新が呼びかけられました。

こうしたニュースを見ると、「専門的で難しそう」「制作会社に任せているから大丈夫」と感じる方もいるかもしれません。

ホームページを安全に運用するために、プログラムの仕組みをすべて理解する必要はありませんが、自社サイトの管理状況を把握し、必要なときに対応できる体制を整えておくことは重要です。

今回は、PHPと脆弱性の基本から、不動産会社が確認したいポイント、万が一の被害に備える方法など紹介します。

---

【基本理解】そもそも「PHPの脆弱性」とは？

PHPとは

PHPとは、ホームページを動かすために、サーバー上でさまざまな処理を行うプログラミング言語です。

ホームページは、画面に見えている部分だけで成り立っているわけではありません。

例えば「物件検索」では以下のような流れで処理されます。

お客様が検索条件を指定する　→　その情報がサーバーに送られる　→　PHPがデータベースなどから条件に合う物件情報を取得する　→　その結果をもとに表示用のデータが作成される　→　ブラウザに返される　→　検索結果が画面に表示される

このとき、HTMLやCSSは主に画面の構造やデザインを整える役割を担い、PHPはサーバー側で必要な処理を行います。

建物に例えるなら、次のような役割分担です。

• HTML・CSS：壁や内装などの「見た目」を作る技術
• PHP：自動ドアや電気などの設備のように、「仕組みや動力」を担う技術

不動産サイトでは、PHPなどのプログラムを使って次のような処理を行うことがあります。

• 「駅徒歩5分」「ペット可」などの条件に合う物件を検索する
• 管理画面から登録した物件情報を表示する
• お問い合わせフォームから送信された内容を処理する

このように、ブラウザに表示されるホームページと、サーバー上で動くPHPは別の役割を持っています。そのため、画面が正常に表示されていても、サーバー側のシステムに問題がないとは限りません。

脆弱性（ぜいじゃくせい）とは

脆弱性とは、プログラムやシステムに存在するセキュリティ上の弱点のことです。

PHP自体に脆弱性が見つかった場合、使用しているバージョンやサーバーの設定などによっては、不正な処理を実行されたり、情報漏えいやホームページの改ざんにつながったりする可能性があります。

こうしたリスクを防ぐためには、PHPの脆弱性に関する情報を確認し、必要に応じて修正済みのバージョンへ更新することが重要です。

---

1．中小不動産のホームページにも、セキュリティ対策が必要

「うちは地域密着型の会社だから、狙われることはないのでは？」と思う方もいるかもしれません。

しかし、サイバー攻撃には、インターネット上のサイトを機械で自動的に調べ、弱点のあるシステムを探す手法があります。会社の規模にかかわらず、基本的な対策が必要です。

不動産会社のホームページでトラブルが起きると、次のような影響が考えられます。

• 個人情報の漏えい： お問い合わせなどで預かったお客様の情報が漏れる
• サイトの改ざん： 掲載内容が書き換えられたり、不審なページへ誘導されたりする
• 機能の停止： 物件検索やお問い合わせが利用できなくなる

もちろん、脆弱性が見つかったからといって、必ず被害が発生するわけではありません。

ただ、不動産会社にとってホームページは、物件情報を届け、お客様との接点をつくる大切な営業ツールです。安全に利用できる状態を保つことは、お客様の情報だけでなく、会社への信頼を守ることにもつながります。

セキュリティ対策は起きてから慌てて取り組むものではなく、普段のホームページ運営の一部として考えておきたいところです。

---

2．まずは制作会社に確認！押さえておきたい4つのポイント

専門知識がない場合、最初から自分で設定を変更する必要はありません。まずはホームページの制作会社やサーバーの管理会社に、現在の状況を確認してみましょう。

1. PHPを利用しているか
   自社サイトがPHPを使っているか、どのバージョンを利用しているかを確認します。
2. 今回の脆弱性への対策は済んでいるか
   修正版への更新など、必要な対応が完了しているかを聞きましょう。
3. 今後の更新や保守は誰が担当するか
   制作会社とサーバー会社が別の場合は、どちらがシステムを管理しているかを明確にしておきます。
4. バックアップや緊急時の対応体制は整っているか
   万が一の際に、どこまで復旧できるか、誰に連絡すればよいかも確認しておくと安心です。

以前作った特設ページや、別契約で運用しているブログなども確認対象になる場合があります。管理しているページを整理しておくと、対応漏れを防ぎやすくなります。

---

3．知っておきたい、間違いやすいセキュリティ対策

セキュリティ対策では、それぞれの対策が何を防ぐものなのかを理解することも大切です。

パソコンのウイルス対策ソフトだけでは不十分

社内のパソコンにウイルス対策ソフトを導入することは重要です。ただし、ホームページを動かすサーバーのPHPに弱点がある場合、パソコン側の対策だけでは解消できません。

パソコンとホームページは、それぞれの環境に合った対策が必要です。

見た目が正常なら安全、とは限らない

ホームページがいつもどおり表示され、物件検索もできていると、問題はなさそうに感じます。しかし、脆弱性は画面を見ただけでは判断できません。

普段の動作に問題がなくても、システムの更新状況を確認する習慣をつけておきましょう。

自分で最新バージョンに変更するのは避ける

PHPを更新することは大切ですが、担当者が自己判断でバージョンを変更すると、古いプログラムや追加機能が対応できず、サイトに不具合が出る可能性があります。

更新の際は、管理会社に影響範囲を確認し、必要なバックアップや動作確認を行ったうえで進めてもらいましょう。

大切なのは、何か一つの対策だけで安心するのではなく、システムの更新、管理画面の保護、バックアップなどを組み合わせて備えることです。

---

4. これからのサイバー攻撃に備えるためにできること

今後も新たな脆弱性や攻撃手法が見つかる可能性があります。とはいえ、不動産会社の担当者が専門的な情報をすべて追い続ける必要はありません。

まずは、日頃から対応できる体制を整えましょう。

定期的な点検を習慣にする

ホームページは、一度作ったら何年もそのままでよいものではありません。システムの更新状況やバックアップの有無を定期的に確認しましょう。

保守契約を結んでいる場合も、PHPなどの更新、バックアップ、緊急時の調査・復旧がどこまで含まれているかを確認しておくと安心です。

管理画面への不正ログインを防ぐ

管理画面のパスワードを推測されにくいものにする、二段階認証を利用する、退職者のアカウントを削除するといった対策も有効です。

また、バックアップは保存するだけでなく、実際に復旧できるか、どの時点まで戻せるかも確認しておきましょう。

緊急時の連絡・対応体制を整える

トラブルが起きたときに慌てないよう、事前に社内の役割分担や復旧に必要な準備を確認しておきましょう。

• 連絡先の整理： 制作会社やサーバー会社の連絡先、緊急時の問い合わせ方法
• 社内の役割分担： 対応を判断する責任者や、社内外への連絡担当者
• 契約・補償の確認： 制作会社などの対応範囲や、サイバー保険の補償内容
• 復旧の準備： バックアップの保存場所や復元方法
• 業務継続の準備： ホームページが停止した場合の問い合わせ対応や、お客様への案内方法

あらかじめ役割や対応方法を決めておけば、トラブル発生時にも落ち着いて行動しやすくなります。

すべてを一度に完璧にする必要はありません。まずはできることから運用ルールを整え、継続的な対策につなげていきましょう。

---

5. もし被害が起きたら？慌てずに進めたい初動対応

万が一、ホームページの改ざんや情報漏えいなどの被害が疑われる場合は、事前に決めた連絡体制に沿って、次の手順で対応しましょう。

① 制作会社やサーバー会社に連絡する

社内の責任者に報告し、発生している異常や気づいた時刻などを伝えます。自己判断で設定変更やデータ削除を行わず、専門家の指示を受けましょう。

② 被害状況を確認する

いつ、どのような異常が起きたのかを記録し、影響範囲や原因を調べます。調査に必要な記録が失われないよう、データの削除や初期化は避けましょう。

③ 必要な報告や連絡を行う

個人情報が漏えいした、またはそのおそれがある場合は、対象となる情報や影響範囲を確認します。状況に応じて、個人情報保護委員会などへの報告や、本人への通知を行います。

④ 復旧し、再発防止策を考える

原因に応じて修正やデータの復元を行い、物件検索やお問い合わせフォームなどが正常に動くか確認します。復旧後は、同じ問題が起きないよう、更新方法や管理体制を見直しましょう。

こうした対応の参考として、経済産業省の「中小企業のためのセキュリティインシデント対応の手引き」や、個人情報保護委員会の「漏えい等の対応とお役立ち資料」も活用できます。