自社サイトがPHPを使っているか分からない。保守会社への確認項目

自社サイトがPHPを使っているか分からない。保守会社への確認項目。この記事は2026年10月21日に確認できた公式情報を起点に、自社サイトがPHPを使っているか分からない。保守会社への確認項目という疑問に答えるための確認手順を整理します。自社で対象か分からない項目は推測で埋めず、管理担当や提供元へ確認してください。

保守会社にPHP使用の有無を確認する目的

自社サイトのリスク評価に必要な情報

自社サイトがPHPで構築されているかどうかは、脆弱性情報の適用範囲を判断する上で不可欠です。開発元はWebリクエストを処理するPHPの導入環境へ注意を促しており、利用先と管理担当を把握することが対象確認の第一歩です。保守会社に現行システムの言語構成を確認させることで、緊急対応の優先順位や必要な防御策を具体化できます。

保守契約範囲の明確化

保守契約に含まれる作業範囲は、提供されるサービスと対象システムが明示されていることが前提です。PHPに関するパッチ適用や設定変更が契約対象に入っているかどうかは、契約書の条項と実際の作業内容を照らし合わせて確認します。保守会社に対し、PHP関連作業が対象かどうかを明示的に質問することで、後日の追加費用や対応遅延を防げます。

将来のアップデート計画策定の前提

PHPの利用有無が判明すれば、次期リリースへの対応スケジュールや予算策定が具体化します。IPAの事前準備案内にあるように、脆弱性が公表された際に速やかに適用できる体制を整えるため、保守会社と共にアップデート計画を立案します。利用しているバージョンとサポート終了時期を把握することで、長期的なシステム維持管理の方針を策定できます。

PHP使用有無を確認する具体的質問項目

サーバ構成とミドルウェア一覧の提示依頼

保守会社に対して、現在稼働中のサーバ構成図とミドルウェア一覧の提供を依頼します。構成図にはOS、Webサーバ、データベース、ミドルウェアのバージョン情報を含め、PHPがインストールされているかどうかを示す項目を追加してもらいます。提供された資料は、実際のサーバ上のパッケージリストと突き合わせることで、情報の正確性を確認します。

例えば会社のサイトで、紹介ページは別の仕組みで配信し、問い合わせの送信処理だけをPHPで動かしている構成も考えられます。これは仮の構成例ですが、サイト全体の言語の割合や画面の見た目だけでは対象を判断しにくい理由になります。受付先や会員機能など、実際に処理する場所も含めて担当者へ確認してください。

保守会社からは、確認したサイトと機能、PHPを使っている環境、稼働中の版、更新を管理する相手を対応させて回答してもらいます。契約しているサーバーの一般的な仕様だけでなく、自社の対象環境について確認した情報かを聞きます。秘密情報を含む設定の全文を受け取るより、対象の判定に必要な情報を絞って報告してもらうことが大切です。

外部のフォームや業務サービスを使っている場合は、その提供元が内部の更新を管理することもあります。自社で直接変更できる環境と分け、今回の注意情報への対応状況をどこで確認するかを聞いてください。利用しているか分からない項目は、記録がないことを理由に使っていないと判断せず、照会先と次の確認を残します。

コードベースの言語別比率の報告要求

保守会社に、コードリポジトリや配布パッケージ内のファイル数を言語別に集計したレポートを作成してもらいます。PHPファイル（.php）や関連テンプレートの数を示すことで、システム全体に占めるPHPの比率を把握できます。ディレクトリ構造やビルドプロセスの情報と合わせて提示してもらうと、実装範囲の全体像が明確になります。

過去のパッチ適用履歴の照会

保守会社に、過去に適用したパッチやアップデートの履歴を提供してもらい、PHP関連のものが含まれているか確認します。IPAが示す脆弱性対応のタイミングと照らし合わせ、適用漏れがないかをチェックします。履歴は日付、対象バージョン、適用方法を明記した一覧で提示してもらうと、検証作業がスムーズに進みます。

回答内容の検証と例外対応策

提供資料と実際のファイルの照合手順

保守会社から受領したサーバ構成図やミドルウェア一覧と、実際にアクセスできるサーバ上のディレクトリを突き合わせます。まずは、一覧に記載された「/var/www/html」等のパスをSSHで確認し、拡張子が「.php」のファイルが存在するかを目視または簡易検索コマンドで抽出してください。

抽出結果を一覧に追記し、差分があれば「未確認」や「別途調査」などのステータスを付与します。照合作業は、担当者が実施した旨の作業ログと、照合結果のスプレッドシートを添付して報告してもらう形が安全です。

PHPが組み込まれたサードパーティ製品の例外確認

保守会社が管理しているサーバだけでなく、社内で利用しているCMS、業務支援ツール、ネットワーク機器のマニュアルも確認対象です。製品の仕様書や提供元の公開情報に「PHP」や「PHPエンジン」の記載がないかを検索し、該当があればそのバージョンと導入経路を一覧化します。

特に、社内で自動化スクリプトやレポート生成に利用しているツールは、内部でPHPを実行しているケースが散見されますので、担当者に「バックエンドでPHPが動作する可能性があるか」を具体的に質問し、回答を文書化してください。例外が判明した場合は、別途パッチ適用計画を立てる根拠として扱います。

不一致時の再確認と追加質問例

照合結果と保守会社からの資料に食い違いが見られた場合、まずは「対象ディレクトリの権限やシンボリックリンクの有無」に起因する可能性を確認します。その上で、以下のような追加質問を用意すると効果的です。

①「一覧に記載されていないPHPファイルが存在する場合、どのような運用上の理由で除外されていますか」②「サードパーティ製品の内部PHP利用は、アップデート対象に含まれますか」③「過去にPHP関連のパッチ適用が行われた記録がない場合、手動での修正は実施されていますか」といった具体的な点を尋ね、回答を文書で受領したうえで、再度照合シートに反映させます。

確認完了後の報告と次工程への引き継ぎ

保守会社への最終確認メール雛形

件名：PHP利用状況確認の最終報告依頼（案件番号：SC-093） 本文：お世話になっております。先日ご提供いただいたサーバ構成図・ミドルウェア一覧について、弊社で照合を実施いたしました。以下の点について最終的なご確認をお願い申し上げます。

（1）一覧に記載されたPHPファイル数と実際のサーバ上の数が一致しているか（2）サードパーティ製品で内部PHPが使用されている場合、そのバージョンとサポート情報（3）過去のPHPパッチ適用履歴の有無　ご回答は○月○日までにPDF形式でご返信いただけますと幸いです。

ご協力のほど、何卒よろしくお願いいたします。

社内担当者への結果共有ポイント

確認結果は、経営層向けのサマリ資料と、開発・運用担当向けの詳細シートの二種類で共有します。サマリでは「PHP利用の有無」「影響範囲の概算」「次期アップデートの必要性」の三点を箇条書きで示し、意思決定の材料とします。

詳細シートには、照合したファイル一覧、例外製品リスト、保守会社からの最終回答を添付し、担当者が具体的な作業指示を出せるようにします。資料は社内共有フォルダに保存し、アクセス権限は関係者のみに限定してください。

検収完了後の改善タスク設定方法

PHP利用が確認された場合、まずは対象システムのバージョンを特定し、IPAの事前準備情報に基づくリスク評価を実施します。その上で、アップデートスケジュールと予算案を策定し、保守会社と実装窓口を明確にします。検収項目としては「新バージョン適用後の動作確認」「バックアップからのリストアテスト」「セキュリティスキャン結果の合格」が含まれます。

各タスクは担当者と期限を明示したチェックリストに落とし込み、完了時にレビュー会議で承認を得るプロセスを設定してください。