まず、修正版の適用を

2026年7月にWordPress本体の重大な脆弱性（通称wp2shell）が、そして2026年10月にはPHP本体の重大な脆弱性（通称PHP2shell）が公表されました。いずれも、条件によっては認証なしで外部からプログラムを実行されるおそれがあるもので、多くの企業サイトに関わる問題です。相次ぐ情報漏えいの報道とあわせ、Webサイトの安全をどう確保するかが、改めて問われています。

最初にお伝えしたいのは、脆弱性への対策の基本は修正版（パッチ）の適用だということです。PHPやWordPressを利用しているサイトの管理者の方は、まず次の公的機関の注意喚起を確認し、速やかに更新してください。

IPA「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」（2026年10月22日）

JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」（2026年10月22日）

IPA「WordPressの脆弱性対策について（CVE-2026-60137、CVE-2026-63030：wp2shell）」（2026年7月22日）

あわせて、すでに攻撃を受けていないかの確認も呼びかけられています。

すぐに直せないとき、公的機関も挙げる選択肢

一方で、古いシステムや外部に委託しているサイトなど、すぐには更新できないケースもあります。IPAは今回の注意喚起で、修正が難しい場合には、更新や移行が済むまでの間、暫定的な対策やアクセス制限を検討し、それも難しい場合は外部からのアクセスの遮断やサービスの一時停止の要否を判断するよう求めています。

つまり、「誰が、どこから、そのシステムにアクセスできるのか」を絞ることは、パッチを適用するまでの時間を稼ぐ現実的な手段の一つです。そしてこの考え方は、緊急時に限らず、平時のWebサイト運営にも当てはまります。

「見つけてもらうこと」と「無条件に受け入れること」は同じではない

これまで企業のWebサイトは、検索エンジンや広告を通じて、できるだけ多くの人に見つけてもらうことを重視してきました。その考え方は今も大切です。

しかし、国内の従業員しか使わない管理画面や業務システム、国内の会員だけが利用するログイン画面まで、世界中から同じ条件でアクセスできる必要があるでしょうか。WordPressの管理画面やログイン画面は、その代表例です。

公開ページは広く届け、利用者が限られる画面は必要な範囲に絞る。サイト全体を一律に扱うのではなく、目的ごとにアクセスの範囲を設計することが、マーケティングとセキュリティを両立させる鍵になります。

公開範囲を見直す5つの確認項目

1. 海外からの利用（海外在住の顧客、旅行者、出張中の社員など）は、実際に必要か
2. 管理画面・ログイン画面・APIを、世界中に公開しておく必要があるか
3. 制限によって、利用者・検索エンジンのクローラ・外部連携（決済、外部API、監視サービスなど）に影響が出ないか
4. 国だけでなく、VPNや国内の中継サーバを経由したアクセスをどう扱い、WAF・認証とどう組み合わせるか
5. 正規の利用者を誤って遮断したとき、誰が気づき、どう解除するか

IPジオロケーションの視点から

IPジオロケーションとは、IPアドレスをもとに、アクセスがどの国・地域から来ているか、どのような回線（家庭向けのインターネット回線、企業の回線、データセンターなど）を経由しているかといった情報を判定する技術です。当社は、こうしたIPアドレスの属性情報を、データベース「SURFPOINT™」として提供しています。

アクセス制御に活用する場合、たとえば次のような使い方が考えられます。

• 管理画面やログイン画面への接続を、国内など業務上必要な地域に限定する
• 国外からのログインや、VPN・匿名化サービスを経由したログインに、追加の本人確認を求める
• アクセスログに国・回線の情報を加え、不審なアクセスの傾向を把握する

上の5つの確認項目は、こうした制御を検討する際に、事前に整理しておきたい点をまとめたものです。

地域によるアクセス制御の限界

IPジオロケーションによるアクセス制御は有効な手段の一つですが、それだけでサイバー攻撃を防げるわけではありません。

• VPNや国内のサーバを経由されれば、国による制限はすり抜けられます。
• 公開ページを国で制限すると、検索エンジンのクローラや海外の正規利用者まで遮断し、集客に影響するおそれがあります。
• ソフトウェアの更新、認証の強化、WAFなどの対策を置き換えるものではありません。

アクセス範囲の設計は、これらの対策に重ねる「入口の一枚」として考えることが大切です。

これからのWebサイト運営に

これからのWebサイト運営には、見つけてもらうためのマーケティングだけでなく、安全に利用してもらうための「アクセス設計」という視点も必要ではないでしょうか。まずは自社のサイトについて、上の5項目を確認してみてください。

株式会社Geolocation Technologyは、IPアドレスに関する情報技術を通じて、企業の安全で合理的なインターネット活用を支援してまいります。