この数日、同じ話を何度か聞きました。PHPの脆弱性（php2shell）が出たので更新が必要、その費用が数十万から数百万、という請求です。
脆弱性自体は本当です。Webに出しているPHPは、修正版へ上げる必要があります。気になっているのはそこではなく、その名前で、請求額だけが先に大きくなっていることです。請求の実物を一件ずつ見たわけではないので、相場だとは書きません。何の作業なのかが見えないまま、金額だけが届いているのが問題だと思っています。
PHPそのものの説明と、修正版の入れ方は 前回の記事 にあります。株式会社テバククリエイトのWEB制作とシステム開発の標準構成はPHPを使っていないので、当社がその構成で出しているサイトに、この更新作業はありません。
金額の前に、作業を2つに分ける
見積もりを開いたら、まず作業の名前を分けます。
- Webに出しているPHPを、同じ系統の修正版にする
- サイトを、PHP以外の仕組みで作り直す
1が、この脆弱性を閉じる作業です。修正版は PHP 8.5.12、8.4.27、8.3.36、8.2.35 です。WordPressやプラグインを新しい版にしても、php2shell は閉じません。サーバーの更新権限が自分たちにあれば、パッケージの更新とプロセスの入れ直しです。共有のレンタルサーバーなら、多くの場合は利用者がPHP本体を差し替えられず、事業者の更新を確認する作業です。サイトの中身を見ずに、ここだけで数十万、数百万になると決まる種類の作業ではありません。
2は、ページの移し替えに加えて、フォーム、予約、会員、決済の受け皿を作り直すことがあります。規模によっては費用が乗ります。ただしそれは、脆弱性の緊急対応費ではなく、サイトを持ち替える費用です。今払う必要があるかは、持ち替えで管理がどれだけ軽くなるかで見ます。
「このPHPの問題があるので」と書かれた見積もりが、中身は2だった、という取り違えが起きると、急いで払う理由と、実際の作業がずれます。作り直しは、この脆弱性を閉じる必須の作業ではありません。
比べるために、うちの1件
金額の話だけだと実感がわかないので、この数日でこちらであった1件を置いておきます。サイト名は出しません。
WordPressで公開していて、リクエストはPHPが受けていました。話題が出てから1日で Astro に作り替え、公開まで終えています。移したあとは、WordPress本体、テーマ、プラグイン、PHPの継続的な更新が、このサイトの運用から外れました。管理にかかっていた費用も下がりました。下がった円の数字は、サイトごとに違うので書きません。
これは、穴を塞ぐ手段が他になかったから選んだことではありません。PHPとWordPressの更新をこれ以上抱えないほうが、管理費用が下がると見られる大きさだったので、持ち替えのほうを取りました。
1日で終わったのも、このサイトの条件が合ったためです。ページの内容がほぼ固定で、会員登録、決済、在庫、ログインした人だけが見る画面がありませんでした。それらがあるサイトは、見た目を移すだけでは終わりません。どのWordPressでも1日、という話にはしません。
Astroは、ページを静的なHTMLとして書き出せます。公開したサイトがPHPでリクエストを受けない形になれば、今回の脆弱性の対象からは外れます。それは「PHPを更新した」の代わりではなく、「PHPで受けないサイトにした」という結果です。移し替えに何日もかけるあいだ古いWordPressを出したままにするのは、対策になりません。時間をかけるなら、先に修正版へ上げるか、移し終わるまで古いサイトを公開しない、のどちらかが先です。
案件で普段使う技術は、前回書いたとおり React、Svelte、Node.js、Go と、AWS・GCP・Cloudflare です。今回 Astro を選んだのは、このサイトをPHPなしのHTMLとして出せるためです。すべての案件を Astro にするものではありません。
払う前に並べてみること
神戸市中央区の株式会社テバククリエイトが、このような話を聞いたときに並べるのは次です。
- このサイトは、PHPでリクエストを受けているか
- 受けているなら、修正版へ上げる権限は誰にあるか
- 見積もりの中身は、修正版を入れる作業か、サイトの持ち替えか
- 持ち替えるとして、会員、決済、予約のように、見た目以外に移す機能があるか
- 今の管理費のうち、PHP、テーマ、プラグインの更新がどれだけを占めるか
- 作り直しの費用を、減る管理費で何年かけて取り戻すか
最後の項目で取り戻す見込みがないなら、今回の脆弱性を理由に作り直す必要はありません。修正版へ上げて、様子を見るほうが素直です。うちの1件は、作業量と、減る管理費の両方を見て、その日のうちに移しました。
見積もりの文面が読めないとき
受け取った見積もりが、上の1なのか2なのか、文面から読めないことがあります。その切り分けは、お問い合わせ から送れます。サイトのURLと、提示された作業の文面があれば足ります。
神戸市中央区（元町）の株式会社テバククリエイトで見ます。相談とお見積りは無料です。作り直しを勧める前提では見ていません。PHPの修正版で足りるサイトには、そのように返します。
よくある質問
数十万、数百万の見積もりは、作り直しが必要だという意味ですか
文面を見ないと分かりません。PHPを修正版にする作業と、サイトを作り直す作業は別です。脆弱性を閉じるだけなら、作り直しが必須になるわけではありません。
脆弱性を閉じるだけなら、PHPを更新すれば足りますか
足ります。PHP公式が完全な対策だとしているのは、修正版（8.5.12、8.4.27、8.3.36、8.2.35）への更新です。Astroへの作り替えは、その代わりではありません。
WordPressのサイトは、どれも1日でAstroに移せますか
移せません。ページの量と、会員登録、決済、予約などの機能の有無で日数は変わります。1日で終わったのは、今回の1件の条件が合ったためです。
Astroに移すと、なぜ管理費用が下がることがありますか
WordPress本体、テーマ、プラグイン、PHPの継続的な更新が、運用から外れるためです。会員や決済の受け皿を別に持つサイトでは、その分の管理は残ります。今回の1件では、管理費用は下がりました。
神戸でシステム開発・制作をご検討なら
神戸でシステム開発をするなら、株式会社テバククリエイトにご相談ください。兵庫県神戸市中央区海岸通（元町エリア）を拠点に、要件の整理から公開後の保守まで一貫して対応します。兵庫県内は訪問での打ち合わせが可能です。
