「うちのHPなんて、入られても盗られて困る情報はないから大丈夫」
中小企業の経営者様から、こうしたお声をよく伺います。
しかし今、その考えが会社を大きな危険にさらすかもしれません。
2026年10月、世界中のホームページを動かしているプログラム言語「PHP」に、深刻度9.2（10点満点）の重大な脆弱性が見つかり、IPAや経済産業局が最新版への更新を呼びかける注意喚起を出しました。
そこで今回は、AI時代の建設会社が知っておくべきホームページの本当のリスクと、取るべき対策をご紹介します。
攻撃する集団も、AIで活発化しています
サイバー攻撃をする集団は、いまやAIを使いこなしています。
- 自然な日本語のなりすましメールを、AIで大量に作る
- 公開された弱点を、AIですぐに調べて狙う
- 取引先を装った、本物そっくりの請求メールを送る
狙いやすい弱点が公開されてから大量の攻撃が始まるまでは、約5時間（中央値）。
気づいたときには攻撃されていた、が当たり前の時代です。
実際に、ランサムウェア被害の報告は2026年上半期だけで123件と、半期で過去最多。
ホームページ（Webシステム）経由の個人情報漏えいの公表も、10月時点で前年1年間の件数を上回りました。
WordPress関連で新たに見つかった弱点は2025年に11,334件（前年比＋42％）で、その91％は追加機能（プラグイン）にあります。
AIによって、攻撃は「大企業を狙う手間のかかる仕事」から「弱いところを片っ端から狙う作業」に変わりました。
会社の規模が小さいからといって、狙われない理由にはなりません。
怖いのは「盗まれること」より、「踏み台にされること」
攻撃者がホームページに入り込む目的は、自社や顧客の情報を盗むことだけではありません。
乗っ取ったホームページやサーバーを「踏み台」にして、大手企業など別の会社への攻撃に使うことがあります。貴社とは何の関係もない会社が、貴社のHPを経由して攻撃されるのです。
踏み台にされると、攻撃は貴社のホームページから届いたように見えます。被害を受けた会社から見れば、まず疑われるのは攻撃の発信元になった貴社です。
- 被害を受けた会社から、原因の調査や説明を求められる
- 「セキュリティ対策ができていない会社」として、自社の取引先からの信用も失う
- 場合によっては、損害の責任を問われる
「うちのHPは入られても問題ない」では済まないのは、このためです。
まずは社長が、次の点を確認してください。
- 自社HPのPHPのバージョンと、修正版が適用されたか（サーバー会社・制作会社に確認）
- 使っていないプラグインや古いテーマが残っていないか
- 保守契約で「何を・いつ・誰が」更新しているか
- 社員が生成AIに入力してよい情報・いけない情報が決まっているか
攻撃する側がAIを使う以上、守る側もAIを味方に付ける必要があります。ホームページの守りは、制作会社任せではなく経営の仕事です。
深刻度9.2（10点満点）の重大な脆弱性
気づいたときには攻撃されていた、が当たり前の時代です。
まず疑われるのは攻撃の発信元になった貴社です。
「うちのHPは入られても問題ない」では済まないのは、このためです。
ホームページの守りは、制作会社任せではなく経営の仕事です。
PHPの重大な脆弱性への備えと、AIに選ばれるAIO対策を1冊に
無料レポートでは、以下の内容をご覧いただけます。
- いま、ホームページに何が起きているか（PHPの脆弱性と最新の攻撃動向）
- 今週、社長が確認すべき5つのことと社内AIガイドライン
- AIに選ばれるホームページの共通点とAIO対策の進め方
- ホームページの守りとAIO対策に取り組んだ建設会社の変化
- HPの守りとAIO対策を進める3つのステップ
「HPの更新状況を制作会社任せで把握できていない」「取引先からセキュリティやAI活用の状況を聞かれても答えにくい」「AI検索から民間工事の問い合わせを増やしたい」
そのようにお考えの経営者様は、ぜひ無料レポートをご覧ください。
