• 1. 前置き（振り返り）：前編の要約と「優先順位をつけた処置」の重要性
• 2. フェーズ１【至急（数週間）】：緊急度の高い「穴」の即時遮断＆緊急パッチ
• 3. フェーズ２【 1〜3 ヶ月】：認証・運用基盤の強化とパッチ管理の定例化
• 4. フェーズ３【中長期・定例化】：多層防御と継続的モニタリング
• 5. まとめ：脆弱性対応を「突発事故」にしないためのサイクルづくり

前置き：健康診断の後は「優先順位をつけた処置」へ

前編では、Web サイトの不正アクセスを防ぐ第一歩として、ASM やダークウェブ調査ツール（ RiskSensor など）を活用した「攻撃者視点の現状把握（健康診断）」の重要性を解説しました。

現状把握を行うと、「放置されていた検証環境」「外部公開された管理画面」「漏えいしたアカウント情報」に加え、「古いバージョンのまま稼働している PHP やサーバー OS 」といった脆弱なコンポーネントが浮き彫りになります。
すべてを一気に解決しようとすると現場がパンクします。後編では、可視化されたリスクを「至急（数週間）」「 1〜3 ヶ月」「中長期」の 3 フェーズに分け、実務に直結する具体的なアクションを解説します。

フェーズ１【至急（数週間）】：緊急度の高い「穴」を即時遮断・緩和する

外部から悪用可能な重大な隙を最優先で塞ぎます。

漏えい兆候のあるアカウントのパスワード強制リセット

ダークウェブ等で流通が確認されたアカウントは、今まさに攻撃者が試行している可能性があります。該当アカウントのパスワードを即座に変更し、既存のアクティブセッションをすべて切断します。

意図しない公開ポート・テスト環境の閉塞

外部公開の必要がない管理ポート（ SSH、RDP 等）や、過去の検証用サブドメインを DNS / ファイアウォール設定で直ちに非公開化・削除します。

【重要】クリティカル脆弱性（ PHP2Shell 等）の緊急適用・暫定緩和

話題となっている「 PHP2Shell 」をはじめ、外部からリモートで任意のコマンドを実行される（ RCE ）ようなクリティカル脆弱性は、情報漏えいやサーバー乗っ取りの直接的な引き金になります。

• 対応：
  影響を受けるバージョンを確認し、修正パッチが提供されていれば即座に適用します。
• パッチ適用が難しい場合の緩和策：
  システムの互換性検証などで即座のバージョンアップが難しい場合は、該当機能（特定引数や CGI 実行設定など）の無効化、Web サーバー設定での URL リライト・パラメータ拒否、WAF の一時ルール適用など、攻撃経路を遮断する暫定対応を直ちに行います。

フェーズ２【1〜3ヶ月】：認証基盤の強化とパッチサイクルの定例化

侵入を防ぐ「鍵」の強化と、システムの陳腐化を防ぐ運用の仕組みを整えます。

多要素認証（ MFA ）の義務化

ID・パスワードが万が一漏えいしていても不正ログインを防げるよう、管理画面や踏み台サーバーへの MFA 導入を必須化します。

委託先・保守ベンダーのアカウント棚卸し

Web サイト制作会社や保守運用ベンダーに付与している管理者権限を点検し、共有アカウントの廃止や作業時のみ発行する運用へ切り替えます。

【重要】サーバー OS・PHP・CMS のパッチ運用と EOL （サポート終了）管理

重大な脆弱性が出るたびに慌てないよう、アップデートを日常の保守ルーチンに組み込みます。

• マイナーアップデートの定期適用：
  セキュリティパッチを含むマイナーバージョンアップは、月次や隔月などスケジュールを決めて定期的に適用する契約・運用体制を委託先と結びます。
• EOL バージョンの排除：
  サポートが終了した古い PHP バージョン（セキュリティ修正が提供されないバージョン）や OS の利用は、それ自体が重大な脆弱性です。リプレイス計画を策定し、サポート期間内のバージョンへ移行します。

フェーズ３【中長期・定例化】：多層防御と継続的モニタリング

一度きりの対策で終わらせず、Web サイトを堅牢に保つサイクルを確立します。

WAF（ Web Application Firewall ）による仮想パッチの活用

SQL インジェクションや XSS はもちろん、ゼロデイ脆弱性や「パッチがリリースされてから本番適用するまでのタイムラグ」を埋めるために、WAF の最新シグネチャを自動追従させる体制を作ります。

「現状把握」の定例化（年次・四半期診断）

Web サイトは更新や機能追加によって日々変化します。第1部で紹介したような ASM ツールや外部診断を定期的に回し、未パッチのコンポーネントや新たな野良環境が発生していないかを継続的に監視します。

まとめ：セキュリティは「点」ではなく「継続的なサイクル」

Web サイトのセキュリティ対策において、最も危険なのは「どこに弱点があるか分からないまま放置すること」です。

1. ASM ツールやダークウェブ調査を活用し、自社サイトの現状と露出リスクを客観視する
2. PHP2Shell のような緊急脆弱性や漏えいアカウントを、優先度順に確実に塞ぐ
3. OS・ミドルウェアのパッチ適用と棚卸しを定期サイクル化する

「突発的な緊急対応」に追われ続けるのではなく、定期的な現状把握と優先度に基づく処置を回していくことこそが、限られた情シスリソースで自社 Web サイトやネットワーク内の情報資産を守る最善の道です。

関連する弊社製品・サービスのご案内

関連する製品・サービス

キャンペーン情報

見えないサイバーリスクの可視化を支援する「RiskSensor」の無償提供キャンペーン実施中！
キャンペーン内容やお申し込みはこちら

参考情報（ブログ）

・なぜ情報漏えいが起こったのか？

・情報漏洩の原因 A2B 攻撃（アプリ解析からのサーバー攻撃）

・【緊急】PHP2Shell 脆弱性と緊急パッチ適用の注意喚起