ひきだし ロゴHIKIDASHI
見落とし注意
見落とし注意 #01

AIの最新情報より先に、問い合わせフォームのセキュリティを確かめる

栗田加奈子

2026年10月21日、問い合わせフォームの裏側で広く使われている仕組み、PHPの本体について、重大な脆弱性2件を直した修正版が公開された。php.net の告知は、ログインしていない第三者に外からプログラムを実行されるおそれがあるとして、すべての利用者にすぐの更新を呼びかけている。この記事で書きたいのは、このニュースが落ち着いたあとにも残る問いのほうだ。

何年も前に作ったホームページの、問い合わせフォーム。そこに届いたお客様の名前や電話番号が、いまどこに保存されていて、誰が見られるのか。すぐに答えられるだろうか。

私はHIKIDASHI（以下、ひきだし）として、中小企業のホームページの運用を支える仕事をしている。打ち合わせの席でAIの話はよく出るようになったが、問い合わせフォームの話は、なかなか出てこない。正直に言えば、私もAIの話題を追いかけるほうに気を取られていて、この順番に気づいたのは、お客様のホームページを見直していたときだった。この記事は、その順番の話だ。

困りごとが出たらAIで試す。その判断は、もう普通になった

人手が足りない。資料づくりに時間がかかる。問い合わせの返信が追いつかない。こうした困りごとが出たとき、まずAIで試してみる。AIの最新情報を追いかけ、使えそうなものから入れていく。あなたの会社にも、心当たりがあると思う。私はこの流れに賛成だ。

ただ、人の注意は新しいものに向く。新しい道具は議題に上がり、予算がつき、担当が決まる。では、何年も前からあるものは、どうなるか。

一方で、何年も動いているホームページは「このままでいい」のまま

ホームページは、公開した日から毎日、問い合わせを受け付けている。表示が崩れているわけでもない。何年も休まず働いているから、「このままでいい」と思われやすい。困っていないものは、議題に上がらない。

ここで、ホームページを一つの建物にたとえてみる。何年も前に建てて、毎日お客様を迎えている建物だ。会社はそのあいだに、AIという新しい道具を次々に入れてきた。けれど、ホームページという建物の設備は、建てたときのまま。設備にあたるのは、ホームページの仕組みに後から足した部品だ。WordPress という広く使われている仕組みで作ったホームページなら、プラグインがそれにあたる。

自社のホームページが WordPress かどうか分からなくても、心配はいらない。それも、この記事の最後に挙げる質問で一緒に確かめられる。

手を入れていないものは、止まっているのではなく古くなっている

毎日働いていることと、手を入れていることは別だ。ホームページは毎日働いているが、何年も手を入れていない。動いていないのは、この「手」のほうだ。ホームページを放置しても、ホームページは止まらない。止まらずに、古くなる。

公開されている実例がある。WordPress で問い合わせフォームを作るプラグインの一つに、MW WP Form がある。WordPress.org の公開ページでは、有効インストール数は20万以上とされている。JVN（脆弱性対策情報ポータル）の公開情報によると、このプラグインの5.0.1以前の版に、外から任意のファイルを送り込まれる脆弱性があり、2023年12月14日に公表された。送り込まれたファイルによって、任意のプログラムを実行される可能性がある。建物で言えば、古い設備の穴から知らない人が入り込み、中で好き勝手ができる状態だ。

3年近く前の公表なので、古い話に聞こえるかもしれない。けれど、対策として示されているのは、修正済みの5.0.2以降への更新だ。公表の時点で、直し方は出ている。その日から、この穴が残るのは、更新していないホームページだけになる。

いまも更新していなければ、穴はいまもあいている。

「WordPress は自動で更新されるのでは」と思った方もいるかもしれない。WordPress.org の説明では、WordPress 本体の小さな更新とセキュリティ更新は自動で入る（大きな版は手で押す）。ただ、この説明にプラグインは入っていない。後から足したプラグインが新しくなっているかどうかは、誰かが確かめないと分からない。

放置した年数が長くなれば、新しい版との差も大きくなる。その差は、いつか更新するときに、まとめて埋めることになる。ホームページの仕事は、公開した日に終わらない。

世の中は、困りごとが出ればAIを試し、何年も前からあるホームページには手を入れない、という順番になりやすい。どちらも、その場では筋の通った判断だ。けれど、新しい道具が増えるあいだも、建物の古い設備はそのまま残る。だから、ひきだしは、新しいものを入れる相談を受けた日に、手を入れていない運用も一緒に見直すことにしている。あなたの会社でも、次に何か新しいものを入れる日に、問い合わせフォームのことを一緒に聞いてみてほしい。

問い合わせフォームの個人情報がどこに残っているかは、外から見えない

問い合わせフォームに届いた個人情報がどこに残るかは、保存の設定で決まる。この設定は、ホームページの中でもとくに見直されにくい。理由は2つある。

一つは、外から見えないこと。文章や写真が古ければ、ページを開いた人の目に入る。保存の設定は管理画面の中にあって、ホームページを外から眺めても、オンかオフかは分からない。

もう一つは、公開のときに決めたきりになること。保存の設定は、フォームを作るときに一度決めれば、そのあと触る場面がほとんどない。そのあいだにも、届いた問い合わせは溜まり続け、管理画面に入れる人は入れ替わっていく。

さきほどの脆弱性にも、ここに関わる条件がついている。JVN によると、影響を受けるのは、フォームの設定で「問い合わせデータをデータベースに保存する」が有効になっている場合だ。

建物の絵に戻る。保存の設定がオンのホームページは、一つの建物の中に、受付と金庫が一緒に入っている。受付は問い合わせフォーム。金庫は、フォームから届いた氏名や電話番号、メールアドレスを溜めておく場所だ。古い設備に穴があくと、同じ建物の中の金庫まで手が届くおそれがある。

経営者が答えられればよいのは、届く先・保管場所・閲覧できる人・削除の時期

「セキュリティ」と言われると、話が急に遠くなる。経営者が、プラグインや脆弱性といった用語を覚える必要はない。穴をふさぐのは、保守の担当者の仕事だ。経営者が押さえておきたいのは、万一穴があいたときに被害の大きさを決めるもの、つまり届いた個人情報が、どこに、どれだけ、いつまで残っているかのほうだ。

答えられればよいのは「フォームに届いた個人情報が、いまどこにあって、誰が見られて、いつ消えるのか」だ。分けると、次の4つになる。

  • 届く先：問い合わせの通知は、誰のメールアドレスに届いているか
  • 保管場所：届いた内容は、メールの中だけか。サーバーや管理画面にも残っているか。外部サービスか
  • 閲覧できる人：その場所に入れるIDを、いま誰が持っているか
  • 削除の時期：残っている内容を、いつ消すと決めているか

届く先と削除の時期も、穴と無関係ではない。通知の宛先が辞めた人のメールアドレスのままだと、問い合わせが担当者に届かないうえに、そのアドレスを開ける人なら誰でも読める。消す時期を決めていなければ、溜まった件数が、そのまま万一のときに漏れる量になる。

ホームページをどんな仕組みで作り直しても、この4つは変わらない。

ホームページは「見せる」だけにして、個人情報は外部サービスへ。契約は会社の名義で

受付と金庫を、ホームページの外に出す形もある。ホームページは「見せる」だけにして、問い合わせの受付と記録は、フォームサービスや顧客管理などの外部サービスに置く。ホームページには「お問い合わせはこちら」の入口だけを残す。こうしておくと、ホームページの設備に穴があいても、金庫まで手が届きにくくなる。

作り直さなくても、この形にはできる。いまのホームページのまま、フォームだけを外部のフォームサービスに切り替える方法もある。

外部サービスは、会社の名義で契約しておく。そうすれば、ホームページを作る会社や担当者が替わっても、問い合わせの記録は会社の手元に残る。

外に出しても、4つの問いは残る。届く先も、閲覧できる人も、削除の時期も、今度はその外部サービスの中で決めることになる。

これは急ぐ話ではない。明日やることは、次の質問を送るだけでよい。

明日、保守の担当者に聞くこと

明日、保守の担当者にメールを1通送る。最初にホームページの仕組みと更新のことを1行、そのあとに、さきほどの4つを同じ順番で並べる。

  1. ホームページは WordPress で作られていますか。そうであれば、本体と、問い合わせフォームの部品（プラグイン）は、いま最新の版ですか。最後に更新したのはいつですか。サーバーのPHPは、WordPress やプラグインの更新とは別に、2026年10月21日の修正版（8.2.35、8.3.36、8.4.27、8.5.12 のいずれか以降）に上がっていますか。
  2. 問い合わせの通知は、誰のメールアドレスに届いていますか。
  3. 届いた内容は、メールのほかに、サーバーや管理画面にも保存されていますか。
  4. その場所に入れるIDを、いま誰が持っていますか。
  5. 保存されている内容は、いつ消すことになっていますか。

答えが返ってきたら、中身を見る。最後の更新が最近で、保存の場所と消す時期が決まっていれば、ひとまず安心していい。

保守の担当者がいない会社なら、同じメールを、ホームページを作った制作会社に送る。連絡先が分からなければ、サーバーの契約先に相談する。社内で判断がつかないときは、私に声をかけてほしい。

そして、次にAIなど新しいものを入れる日には、同じメールをもう一度送ってほしい。

出典

栗田加奈子

栗田 加奈子

BtoBマーケティングコンサルタント／ひきだし代表

プロフィールを見る

見落とし注意　全2話中　#01（1話目）

次の話　#02 →

GA離れしかけていた私が、BigQueryにハマった。SQLの壁は、AIが越えてくれる

まずは相談する