セキュリティやAIのニュース、どこまで心配すればいい？化学メーカー出身のWeb・IT顧問が「危険の元」と「さらされ方」を分けて考える理由

はじめに

2026年10月21日、PHP本体の緊急の脆弱性が公表された日、私のところにも相談が続けて届きました。「どう対応すればいいの？」「うちのサイトやシステムは関係あるの？」「もう攻撃されてしまっていない？」。

相談を受ける側の私も、正直に言えば落ち着ききれてはいませんでした。セキュリティの騒ぎは、いつ、どこから来るか予測できません。真剣に事業をされている経営者の方ほど、セキュリティのことを真剣に心配されます。私も同じです。

そのとき支えになったのは、気持ちの強さではなく、化学メーカーで身についた危険との向き合い方でした。危険の元を甘く見ない。そのうえで、自分がそれにどれだけさらされているかを、事実で確かめる。この記事では、この考え方でセキュリティやAIのニュースをどう読み、どこに手を打つかを書きます。

私は静岡県富士市でWeb制作とシステム開発をしています。その前は大手化学メーカーの研究開発部門で7年間働き、危険物取扱者甲種と高圧ガス製造保安責任者（甲種化学）の資格を取りました。

ニュースが伝えているのは、どこまでか？

ニュースが伝えているのは、危険の元までです。あなたの会社にとってどれだけ危ないかは、ニュースには書かれていません。

化学の世界には、この2つを分けて考える習慣があります。物質がもともと持っている有害さを「ハザード」と呼び、実際の危なさである「リスク」は、そのハザードと、人がその物質にどれだけさらされるか（ばく露量）の組み合わせで決まると考えます。NITE（製品評価技術基盤機構）の資料でも、化学物質のリスクの大きさは有害性とばく露量によって決まると説明されています。分かりやすく言えば、リスクは危険の元とさらされ方の掛け算です。

強い毒性のある物質でも、密閉された容器の中にあって誰も触れなければ、リスクは小さくなります。毒性が弱くても、毎日大量に吸い込む環境なら、リスクは大きくなります。

セキュリティのニュースに当てはめてみます。「PHP本体に緊急の脆弱性」は、危険の元の話です。あなたの会社のサイトがそのPHPを使っているか、どのバージョンか、誰が修正を当てるのか。これがさらされ方で、ここはニュースには書いてありません。

化学メーカーでは、危険の元をどう扱っていたか？

危険の元については、心配してもしすぎることはない、という考えで扱っていました。

研究開発の現場では、危険な物質や、高圧・高温のような危険な状態を扱う場面があります。そういうものに対して、たぶん大丈夫は通用しません。教科書や資格の勉強のような机上の知識と、実際に扱った経験の両方を、できる限り積む。そのうえで、運用の面と設備の面の両方で対策を取る。私が現場で身につけたのは、この順番です。

振り返ると、ここには前提が一つあります。危険の元そのものは、自分では変えられないということです。物質の性質も、圧力や温度が持つエネルギーも、気をつけたところで小さくはなりません。変えられるのは、手順や設備によって、自分がどれだけそれにさらされるかのほうです。

Webでも同じです。PHPやWordPressの脆弱性は、使っている側が直せるものではありません。直すのは開発元です。使っている側が変えられるのは、修正版を当てる手順、点検の頻度、連絡の体制といった運用の面と、サーバーの種類や、使わないものを置いたままにしないといった設備の面です。

誤解してほしくないのは、分けて考えるのは安心するためではない、ということです。危険の元を甘く見ないまま、手を打つ場所を見つけるために分けます。安全文化をWebの対策そのものにどう活かすかは、なぜ「安全第一」の製造業がWebセキュリティでは後手に回るのか？化学メーカー出身のWeb・IT顧問が考えるに書きました。

分けて考えないと、何が起きるのか？

手近な対策で安心してしまったり、ニュースのたびに同じ不安を繰り返したりします。

10月の騒ぎで届いた相談の多くは、「うちは関係あるの？」「もう攻撃されていない？」というものでした。この2つは、実はとても良い問いです。どちらも、自社のさらされ方を確かめようとしているからです。答えを出すには、使っているサーバー、PHPのバージョン、誰が保守をしているかを確かめる必要があります。その手順は「PHPの脆弱性、うちのホームページは大丈夫？」と聞かれて、Web・IT顧問が最初に確かめたことにまとめています。

気をつけたいのは、手近な対策で安心してしまうことです。騒ぎの最中は、とにかく何かしなければと焦ります。私も焦ると、すぐにできることへ手が伸びそうになります。管理画面のパスワードを変えるのは、その代表です。すぐにできて、やった実感もあります。パスワードの見直しそのものは悪いことではありません。けれど今回の脆弱性はPHP本体にあり、ログインしていない第三者が外から突ける種類のものでした。パスワードを変えても、この穴は塞がりません。動こうとしたこと自体は正しいので、その対策が今回の危険の元に当たっているかを、一度だけ確かめてみてください。

もう一つは、今回は大丈夫でも次は本当に大丈夫なのか、という不安です。PHPを使っていないと分かった方からも、この声を聞きました。もっともな不安だと思います。PHPに限らず、次の騒ぎは必ず来ます。ただ、この不安が毎回ゼロから始まるのは、自社のさらされ方を普段から把握していないからでもあります。どこで何が動いているかが手元に書いてあれば、次のニュースが出た日に確かめることは、ずっと少なくなります。

「乗り換えれば安全」は本当か？

乗り換えは、危険の元を取り替える提案です。新しい技術には、新しい危険の元があります。

今回の騒ぎの後、SNSでは脱PHPや脱WordPressを勧める投稿が増えました。乗り換え先としてよく名前が挙がるのが、EmDash（エムダッシュ）です。Cloudflareが2026年4月1日に試用版を公開したCMS（コンテンツ管理システム）で、Cloudflare自身はWordPressの考え方を受け継ぐものと位置づけています。9月末には1.0系の版が出ました。

いいものだと私も思っています。プラグインをそれぞれ隔離した環境で動かす設計は、WordPressの脆弱性の大半はプラグインから来ているというCloudflareの問題意識に、正面から応えたものです。

それでも、今すぐ強くお勧めはできません。公開から約7か月、1.0系になってからはまだ1か月ほどの若い技術です。使っているサイトはまだ少なく、今後どこまで更新が続くかは、これからの実績を見ないと分かりません。既存のPHPのテーマはそのままでは動かず、作り直しが必要になることも、Cloudflare自身が説明しています。若い技術であること自体が、一つの危険の元です。

WordPressにも、積み重ねがあります。セキュリティの不安を何年も言われ続けながら、本体の自動更新などの改善を重ね、W3Techsの集計では2026年10月28日時点で世界のWebサイトの39.5%で使われています。その歴史を無かったことにするような論調には、私は乗れません。

技術を選ぶとき私が大事にしているのは、良い点と心配な点の両方をお伝えしたうえで、そのお客様に一番合うものをご提案することです。WordPressが合う会社もあれば、そうでない会社もあります。乗り換えるかどうかも、その会社の運用の体制や予算と一緒に考えるものです。

騒ぎのたびに、こうした話は増えます。有益な情報を発信している方もたくさんいます。一方で、不安を入口にして自分の商品やサービスへ誘う話があるのも事実です。見分けるときに私が見ているのは、その話が危険の元だけを大きく語っているのか、それともあなたのさらされ方まで聞いてくるのか、です。あなたの会社の環境を一度も聞かずに今すぐ乗り換えを、と勧める話には、一度立ち止まってください。

AIのニュースにも、同じ考え方は使えるか？

使えます。AIのニュースも、多くは危険の元か、AIにできるようになったことの話で、あなたの会社でどう使うかまでは書いていません。

生成AIから情報が漏れたというニュースが出ても、自社の誰が、何を、どのサービスに入れているかで、さらされ方はまったく変わります。何を入れないと決めるかについては、生成AIに社外秘を入れていい？カメラにシールを貼られていた元研究者が考える「持ち出し」の線引きに書きました。

もう一つ気をつけたいのが、AIの答えそのものです。AIに聞いた答えを、そのまま信じて動いてしまう方に会うことがあります。AIの答えは、それ自体がまだ確かめる前の情報です。ニュースと同じく、公式の発表や規約で裏を取ってから判断してください。

では、本当に急ぐべきときはどう見分けるのか？

ニュースやSNSの騒ぎ方ではなく、公式の発表で決めます。

今回、私が本当に急ぐべきだと判断したのは、PHPの公式サイトの発表を読んだときでした。深刻度は2件とも「緊急」で、ログインしていない第三者がサーバー上でプログラムを実行できてしまう種類の欠陥です。そこに、公表の前から実際の攻撃の試みが観測されていたという、複数のセキュリティ企業の報告が重なりました。これは本当に危ないものだと、その時点ではっきり思いました。

ニュースやSNSで騒がれていることは、もちろん知っていました。騒ぎは、危険の元が大きいかもしれないという合図にはなります。それでも、何がどれだけ危ないかを決める根拠にするのは、開発元の公式な発表です。騒ぎが大きくても公式の評価は高くないこともあれば、その逆もあります。

振り回されないというのは、急がないことではありません。急ぐべきときに、なぜ急ぐのかを事実で言えることだと私は考えています。

ニュースを見たら、確かめる3つのこと

セキュリティでもAIでも、ニュースを見て不安になったら、次の3つを順に確かめてください。

1. 公式の発表で、何がどれだけ危ないのかを確かめる

ニュースやSNSではなく、開発元やサービス提供元の発表を読みます。発表が英語のときは、JPCERT/CC（JPCERTコーディネーションセンター）やIPA（情報処理推進機構）が日本語の注意喚起を出していることがあります。ここで分かるのは、危険の元の大きさです。

2. 自社がそれを使っているか、どこでさらされているかを確かめる

使っているサービスや技術、そのバージョン、誰が管理しているか。ここは自社にしか分かりません。分からなければ、制作会社や保守を頼んでいる会社に聞いてください。自社のサイトで何が動いているかを外から確かめる方法は、ホームページがPHPで動いているか確認する方法。外から分かること、中に入らないと分からないことに書いています。

3. 取ろうとしている対策が、その危険の元に当たっているかを確かめる

パスワードの変更、ソフトの更新、サービスの乗り換え。どれも対策ですが、今回の危険の元に効くとは限りません。動く前に、この対策で何が塞がるのかを一言で言えるかを確かめます。

2つ目を普段から手元にまとめておくと、次のニュースの日に確かめるのは1つ目と3つ目だけで済みます。

まとめ

• ニュースが伝えるのは危険の元まで。自社のリスクは、それにどれだけさらされているかで決まる
• 危険の元は自分では変えられないから、甘く見ない。手を打つのは、運用と設備で変えられるさらされ方
• 分けて考えないと、的を外した対策で安心したり、ニュースのたびに同じ不安を繰り返したりする
• 乗り換えは危険の元の取り替え。新しい技術の良い点と心配な点の両方を見て、自社に合うかで決める
• 急ぐかどうかは公式の発表で決める。振り回されないとは、急ぐ理由を事実で言えること

セキュリティの騒ぎは、これからも予告なく来ます。私も、そのたびに平気でいられるわけではありません。それでも、公式の発表を読み、さらされ方を確かめ、対策が当たっているかを見るという順番があれば、次の一手は決められます。

私は静岡県富士市を拠点に、地域密着のWeb・IT顧問をしています。ニュースを見てうちはどうなのかと思ったときに、公式の情報を確かめたうえで、御社のさらされ方に合わせてお答えします。初回のご相談と一般的なご質問は無料です。くわしくはWeb・IT顧問のページをご覧ください。