結論：バージョン更新とコードの書き方が対策の中心です
PHPの脆弱性とは、古いPHPやプログラムの作りの不備を突かれて、改ざん・情報窃取・乗っ取りなどが起きてしまう弱点のことです。PHPの基礎はPHPとはで、動かし方はPHPの動かし方で解説した通り、PHPはサーバー側で動いてHTMLを作ります。その作り方に穴があると、攻撃者が意図しない動きを引き出せてしまいます。
よくある脆弱性のパターン
代表的なものを知っておくと、どこを直すべきかが見えます。攻撃の再現手順ではなく、守る側の視点で整理します。
| パターン | 起きること | 典型的な原因 |
|---|---|---|
| SQLインジェクション | DBの内容を盗み見・書き換えされる | 入力値をSQL文にそのまま連結している |
| XSS（出力の不備） | 訪問者のブラウザで不正な動作が起きる | 出力時のエスケープ漏れ（詳しくはXSSとは） |
| ファイル操作の不備 | 想定外のファイルを読まれ・書かれる | ファイル名やパスを利用者入力から組み立てている |
| 古いバージョンの利用 | 既知の弱点を突かれる | サポート切れのPHP・ライブラリを使い続けている |
| エラー表示の露出 | 内部構成（パス・DB名等）が漏れる | 本番環境でエラーやデバッグ情報を表示している |
| アップロード機能の不備 | 不正なプログラムを置かれる | 拡張子・保存先・実行権限の制限が甘い |
原因の多くは「更新放置」と「入力の扱い」です
原因は大きく2つに分けられます。
1つ目は更新の放置です。PHP本体、フレームワーク、WordPress本体・テーマ・プラグインのいずれかが古いと、既知の弱点が残ります。攻撃者は既知の弱点を自動的に探すため、放置されたサイトが狙われやすくなります。
2つ目は入力の扱い方です。問い合わせフォームやURLの値など、外部からの入力をそのままSQL・HTML・ファイルパスに使うと弱点になります。入力は「必ず検査し、用途に合った無害化をしてから使う」のが原則です。
FreeHostBoxでの対策：まず環境側を固める
FreeHostBoxではPHP 8.3をご用意しており、現行バージョンでの運用が可能です。コントロールパネルでのバージョン切替、エラー表示の扱い、ファイルマネージャーやFTPでの配置見直しができます。まず無料プランで実際に触って確かめてみてください。
- 現行のPHPバージョンで動かし、不要な旧バージョン指定を残さない
- 本番公開時はエラー表示を出さず、ログで確認する運用にする
- WordPressは自動設置後に本体・テーマ・プラグインを最新化し、使わないものは削除する
- ファイルとデータベースのバックアップ手段を確保する（移行・復旧の土台になります）
サーバー選びの全体像は無料レンタルサーバーとはで、通信の保護はSSLとはで固められます。
自分でできる対策チェックリスト
コード側の対策は次の順で確認します。
- DB操作はプレースホルダ（パラメータ結合）を使い、入力の文字列連結をやめたか
- ブラウザへの出力はエスケープし、XSSの入口を塞いだか
- ファイル名・パスを入力から組み立てず、許可リスト方式にしたか
- 本番環境でエラー表示・デバッグ情報を出さない設定にしたか
- アップロードは拡張子・保存先・実行権限を制限したか
- PHP・ライブラリ・WordPress一式を最新にし、更新手順を決めたか
- ファイルとDBのバックアップを取り、復旧手順を確認したか
まとめ
PHPの脆弱性の多くは、古いバージョンの使い続けと、入力の扱いの不備から生まれます。環境を現行に保ち、入力の検査と無害化を徹底し、エラー表示を抑えてバックアップを確保する。この基本を守るだけで、多くの被害は防げます。XSSの詳しい仕組みはXSSとはも合わせてどうぞ。
次に読む記事
よくある質問
PHPの脆弱性とは何ですか？
PHPの古いバージョンやプログラムの作りの不備を突いて、改ざん・情報窃取・乗っ取りなどが行われてしまう弱点のことです。PHP自体の問題だけでなく、自作コードやWordPress・プラグインの不備が入口になる場合が多くあります。
どんな被害がありますか？
ページ改ざん、管理画面の乗っ取り、データベース内の個人情報の窃取、サイトを踏み台にした迷惑メール送信などです。訪問者に被害が及ぶと信頼回復に時間がかかるため、事前の対策が重要です。
古いPHPを使い続けるとどうなりますか？
サポート切れのバージョンは新たな弱点が見つかっても修正されないため、攻撃の対象になりやすくなります。FreeHostBoxではPHP 8.3をご用意しており、現行バージョンでの運用をおすすめします。
自分でできる対策は何ですか？
PHPの更新、出力時のエスケープ、データベース操作のプレースホルダ利用、エラー表示の停止、ファイル権限の見直し、バックアップの確保です。記事内のチェックリストで順に確認できます。
WordPressを使っている場合の注意点は？
本体・テーマ・プラグインを最新に保ち、使っていないものは削除します。自動設置後は初期パスワードの変更と不要な公開情報の見直しを行い、バックアップ手段を確保してください。
安全なパスワードでFreeHostBoxを始める
漏洩警告が出たパスワードは使わず、固有の強いパスワードで登録へ進みましょう。無料プランですぐに試せます。