セキュリティ

2026年10月21日に公表されたPHPの脆弱性（CVE-2026-109618／109619）。ログイン不要でサーバーを乗っ取られ得る種類のものです。確認することは1つだけ。保守業者への聞き方と、出回った回避策だけでは足りない理由までまとめます。

報道が続き、普段ネットワークの話をされないお客様からも相談が増えています。慌てて高いものを買う前に、効果の大きい順に何から手をつけるか。保守の現場でお話ししている内容をそのまま書きました。

「このメール、開いても大丈夫でしょうか」と聞かれたとき、私が実際に見ている5つの点をまとめました。日本語が自然でも偽物はあります。押してしまった後にやること、社内で決めておきたいことまで。

設定した覚えがなくても有効になっていることがあるBitLocker。回復キーを求められる理由、見つからないときにやってはいけないこと、使えている今のうちにやるべきこと。

再起動しても消えない偽の警告画面は、ブラウザが詐欺のページを開き直しているだけのことが多い。見分け方と、現場で行った対処の手順、電話してしまった場合にすぐやること。

今年6月、自社のサーバーが乗っ取られ攻撃の踏み台にされていました。原因は半年以上使っていないサーバーの電源が入ったままだったこと。しかも気づいたのは自分たちではなく、接続事業者からの警告でした。IT保守を仕事にしている会社の、情けない実話です。

異変の連絡を受けたとき、原因を聞くより先に「線を抜いてください」と伝えます。なぜ電源ではなくLANなのか、抜く順番はどうするのか。とっさに間違えないための初動を、理由から書きます。

去年の8月で3件目でした。目の前で数秒で広がった1件目、社長に「今すぐ線を抜いてください」と伝えて外付けHDD1台を守った2件目、業務システムのバックアップが無く復旧できなかった3件目。現場で分かった、本当に効いた備えを書きます。