- PHPの脆弱性で管理会社に確認したいこと
- セキュリティ対策推進枠の対象・補助率・自己負担
- 申請の進め方と、みずほ会計事務所の入力サポート
2026年10月、ホームページや業務システムで広く使われている「PHP」に重大な脆弱性が発見され、国内外で注意喚起が行われました。
「自社のホームページは大丈夫なのか？」
「業務システムに問題があった場合、誰が対応してくれるのか？」
こうした不安を感じた経営者もいるのではないでしょうか。
現在、多くの企業がホームページ、クラウド会計、受発注管理、顧客管理などのITシステムを利用しています。一方で、専門のIT担当者を置いていない会社も少なくありません。
今回の問題をきっかけに、自社のセキュリティ対策を見直してみてはいかがでしょうか。
中小企業がセキュリティ対策を強化する際には、国の「デジタル化・AI導入補助金2026（旧IT導入補助金）」を利用できる場合があります。
この記事では、岐阜県内の中小企業・個人事業主に向けて、PHPの脆弱性問題、企業が確認すべきセキュリティ対策、IT導入補助金の対象経費・補助額・申請方法を具体的に解説します。
PHPの重大な脆弱性「PHP2Shell」とは？
2026年10月22日、独立行政法人情報処理推進機構（IPA）は、PHPの脆弱性「PHP2Shell」に関する注意喚起を公表しました。
今回の問題は、CVE-2026-109618とCVE-2026-109619という2つの脆弱性に関するものです。
これらを悪用された場合、外部の第三者がサーバー上で不正なプログラムを実行する可能性があります。
10月26日には、米国のCISAが実際に悪用された脆弱性として登録しました。
ただし、PHPを利用している企業すべてが被害に遭っているわけではありません。IPAは10月27日時点で、国内での攻撃被害事例を把握していないと説明しています。
重要なのは、自社で使用しているPHPのバージョンと、更新・対策の実施状況を確認することです。
ホームページの管理会社に確認したいこと
WordPressなどで作成されたホームページを利用している場合、まず管理会社に次の事項を確認しましょう。
- PHPを使用しているか、使用している場合のバージョンはいくつか
- 今回の脆弱性の影響を受けるか
- 対策済みバージョンへの更新が完了しているか
- 不審なアクセスや侵害の有無を確認しているか
- 今後の更新・セキュリティ管理の責任者は誰か
今回の脆弱性についてIPAが示している修正済みバージョンは、PHP 8.2.35、8.3.36、8.4.27、8.5.12です。PHP 8.1以前は既にサポートが終了しています。
PHPはホームページ以外のWebシステムにも使われるため、必要に応じて各システムの提供会社にも確認してください。
岐阜の中小企業にとって、セキュリティ対策が重要な理由
岐阜県は製造業の集積が厚い地域です。
製造業や建設業では、取引先から預かった図面、見積書、発注情報、現場資料などをパソコンやクラウドで管理することがあります。
例えば、社内ネットワークがサイバー攻撃を受けた場合、単にパソコンのデータが見られなくなるだけではありません。
- 受発注システムが使えず、納品や請求が遅れる
- 顧客情報や取引先情報が外部へ流出する
- 図面や製造データを利用できなくなり、業務が止まる
- 会計・給与データの復旧に時間がかかる
- 取引先への説明や事故対応の費用が発生する
といった影響が考えられます。
特に、複数の取引先と継続的に取引している企業では、自社のシステム障害が取引先にも影響する可能性があります。
セキュリティ対策は、情報を守るだけでなく、会社の仕事を止めないための事業継続対策でもあります。
セキュリティ対策に利用できる「IT導入補助金2026」
2026年度の正式名称は「デジタル化・AI導入補助金2026」です。
中小企業や小規模事業者等が、業務効率化や生産性向上のためにITツールを導入する際、その費用の一部を補助する制度です。
この制度には、通常枠、インボイス枠、セキュリティ対策推進枠などがあります。
今回のようなセキュリティ問題をきっかけに対策を見直す企業が検討したいのは、「セキュリティ対策推進枠」です。
補助金の主な内容
| 項目 | 内容 |
|---|---|
| 対象 | 中小企業・小規模事業者等 |
| 補助額 | 5万円～150万円 |
| 中小企業の補助率 | 1/2以内 |
| 小規模事業者の補助率 | 2/3以内 |
| 補助対象 | 所定の登録済みセキュリティサービス |
| サービス利用料 | 最大2年分が対象 |
個人事業主も、所定の要件を満たせば申請対象になります。
なお、小規模事業者の区分には業種ごとの従業員数の基準があります。製造業や建設業などは原則20人以下、一般的な商業・サービス業は原則5人以下が目安です。
補助金を利用すると自己負担はいくらになる？
仮に、ある小規模事業者が、補助対象となるセキュリティサービスを2年間で90万円（税抜）導入するとします。
以下は制度説明のための仮定例です。
| 費用 | 小規模事業者 | 中小企業 |
|---|---|---|
| 対象経費 | 90万円 | 90万円 |
| 補助率 | 2/3 | 1/2 |
| 想定補助額 | 60万円 | 45万円 |
| 実質自己負担（税抜） | 30万円 | 45万円 |
小規模事業者の場合、90万円の対象経費について、補助金を60万円受け取れれば実質負担は30万円です。
ただし、補助金には審査があり、申請すれば必ず交付されるわけではありません。また、消費税や補助対象外の費用についても注意が必要です。
さらに、一般的な補助金と同様、補助金の入金までに支払いが先行するため、資金繰りも考慮しましょう。
どのようなセキュリティ対策が対象になる？
セキュリティ対策推進枠で対象となるのは、IPAが公表する「サイバーセキュリティお助け隊サービスリスト」に掲載され、補助金事務局にも登録されたサービスです。
例えば、次のようなセキュリティ機能を含むサービスがあります。
| サービスの内容 | 期待される役割 |
|---|---|
| ネットワーク監視 | 社内ネットワークの不審な通信を検知する |
| 端末監視 | パソコンなどの不審な動作を検知する |
| セキュリティ相談 | 異常やトラブルが発生した際に相談できる |
| 初動対応支援 | 被害拡大を抑えるための初期対応を支援する |
| 簡易サイバー保険 | 所定のサイバー事故に備える |
実際に提供される機能やサービス範囲は、商品によって異なります。
PHPの更新費用も補助金の対象になる？
ここは間違えやすいところです。
PHPの更新費用や、一般的なホームページ保守費用が、そのまま補助対象になるわけではありません。
| やりたいこと | 補助対象になる可能性 |
|---|---|
| PHPの脆弱性を修正する | 原則として、この枠の対象サービスとは別 |
| WordPressの保守契約を更新する | 一般的な保守契約のみでは対象外 |
| 登録済みのお助け隊サービスを導入する | 所定の条件を満たせば対象 |
| 市販のセキュリティソフトを単独購入する | 製品購入だけでは原則対象外 |
| 会計・販売・受発注システムを導入する | 通常枠などで対象になる場合がある |
今回のPHP脆弱性への緊急対応と、今後のセキュリティ体制を整備するためのIT投資は、分けて考える必要があります。
岐阜の事業者で考えられる活用例
ここでは、瑞穂市周辺で事業を営む従業員15人の製造業を想定します。
※実在する顧問先の事例ではありません。
この会社では、取引先から受け取った図面や製造指示書を社内パソコンで管理し、ホームページの運営は外部制作会社に委託しているとします。
一方、社内にIT専任担当者はいません。
まず、ホームページのPHPや使用しているシステムについて、管理会社へ安全性を確認します。必要な更新は速やかに実施します。
そのうえで、社内のパソコンやネットワークを継続的に監視する必要があるか検討します。
専門のIT担当者を採用するのが難しい場合、外部のセキュリティサービスを利用することも選択肢です。
そのサービスが補助金の対象として登録されていれば、導入費用の一部について補助を受けられる可能性があります。
ただし、サービスの内容と費用が自社のリスクに見合っているかを判断することが重要です。
「補助金があるから導入する」のではなく、「必要な対策の費用を補助金で抑えられないか」を検討しましょう。
IT導入補助金2026の申請方法
申請は、補助金事務局に登録された「IT導入支援事業者」と連携して進める必要があります。
主な手順は次のとおりです。
STEP1 導入目的を整理する
自社のセキュリティ上の課題や、導入するサービスに期待する内容を明確にします。
STEP2 GビズIDプライムを取得する
電子申請に必要なGビズIDプライムを準備します。
事務局の案内によると、発行にはおおむね2週間かかります。
STEP3 SECURITY ACTIONを宣言する
IPAのSECURITY ACTIONについて「一つ星」または「二つ星」の自己宣言を行います。
STEP4 IT導入支援事業者とサービスを選ぶ
補助対象として登録されたサービスを確認し、費用や契約条件について見積もりを取得します。
STEP5 交付申請を行う
IT導入支援事業者と事業計画を作成し、公式の「申請マイページ」を利用して交付申請を行います。
申請内容の最終確認と提出は、申請事業者自身が行います。
STEP6 交付決定後に導入する
原則として交付決定後に契約・導入を行います。
交付決定前に契約・発注・支払いを行うと、補助対象外になる可能性があるため注意が必要です。
STEP7 実績報告・補助金受領
導入と支払いを完了し、必要な実績報告を行います。その後、制度に定められた手続きを経て補助金が交付されます。
申請期限に注意
GビズIDの取得やIT導入支援事業者との調整が必要なため、準備ができていない事業者が今回の締切に間に合わせるのは難しい場合があります。
次回以降の公募日程は、公式サイトの発表を確認してください。
また、補助金の申請準備中であっても、現在発生している脆弱性への対処は先延ばしにしないでください。
みずほ会計事務所のIT導入補助金申請サポート
補助金を活用したIT投資を検討する際、
「どのITツールを選べばよいか分からない」
「申請書への入力や、事業計画の文章作成に不安がある」
「導入費用と補助金のメリットを比較したい」
という方もいらっしゃるかと思います。
みずほ会計事務所では、デジタル化・AI導入補助金の申請サポートを行っています。
具体的には、次のような内容です。
- 事業者とIT導入支援事業者の間に立ち、ITツールの選び方や商談内容の整理を支援
- 申請者側で必要となる情報整理と申請マイページへの入力を支援
- 交付申請書の自由記載部分について、伝わりやすい文章への改善を支援
当事務所はIT導入支援事業者ではありません。ITツールの提供・導入は登録されたIT導入支援事業者が行い、申請内容の最終確認・提出は事業者ご本人が行います。
申請サポート料金
1回の申請につき10万円（税抜）
ITツールの利用料や、IT導入支援事業者への費用は別途必要です。
当事務所自身も、2018年と2026年に本制度を利用して会計ソフトを導入した経験があります。
詳しい支援内容、料金、依頼の流れは次のページをご覧ください。
また、補助金を使ったIT投資では、導入後の利用料や更新費用、資金繰り、補助金を受け取った際の会計・税務処理なども検討する必要があります。
よくある質問
Q. PHPの問題に対処するため、すぐ補助金を申請すべきですか？
いいえ。脆弱性の緊急修正を優先してください。補助金は、その後の継続的なセキュリティ体制の整備などで利用を検討するものです。
Q. 個人事業主でもセキュリティ対策推進枠は使えますか？
はい。個人事業主も、事業規模やその他の要件を満たせば対象になる可能性があります。
Q. 今使っているウイルス対策ソフトの更新にも使えますか？
単なるソフトの更新が補助対象になるわけではありません。所定の登録サービスに該当するか確認する必要があります。
Q. 補助金の申請をすれば必ず採択されますか？
いいえ。審査があるため、採択・交付は保証されません。導入の必要性や投資額、自己負担を十分に検討して申請しましょう。
まとめ｜セキュリティ対策を会社の経営課題として考える
今回のPHP脆弱性問題は、企業にとってITシステムの管理体制を見直す機会となっています。
ホームページだけでなく、取引先情報、会計・給与データ、業務システムなどについても、誰が管理し、問題が発生した場合にどのように対応するのか整理しておくことが大切です。
必要なセキュリティ対策がある場合には、デジタル化・AI導入補助金2026を利用できる可能性があります。
まずは自社のセキュリティ対策を点検し、必要なIT投資と費用負担について検討しましょう。
補助金の申請準備や書類入力でお困りの方は、みずほ会計事務所のIT導入補助金申請サポートをご覧ください。
情報基準日：2026年10月29日
※本記事は作成時点の公表資料に基づく一般的な情報提供を目的としています。法令・制度・公募要領・運用等の変更により内容が変わる可能性があります。実際の申請や個別案件への適用にあたっては最新の公式資料を確認し、必要に応じて専門家にご相談ください。本記事の利用により生じた損害について、当事務所は責任を負いかねます。
