BLOG / セキュリティ
お名前.comでサイバー攻撃｜最大26,739サーバーに影響の可能性、企業が今すぐ見直すべき対策【2026年10月】
- 公開日時
- 更新日時
お名前.com デスクトップクラウドへのサイバー攻撃で、不正アクセスや情報の外部持ち出しが確認され、最大26,739件のサーバーが影響対象となる可能性が公表されました。何が起きたのか、企業がパスワード・MFA・バックアップ・サーバー保守など今すぐ見直すべき7つのセキュリティ対策を分かりやすく解説します。
【2026年10月26日最新】お名前.comでサイバー攻撃。最大26,739サーバーに影響の可能性｜企業が今すぐ見直すべき7つの対策
2026年10月26日
株式会社PieceInnovation
2026年10月、国内のインターネットサービスを取り巻くセキュリティ環境が大きく動いています。
10月21日にはPHPでCVSS 9.2の重大な脆弱性が公表され、同日にはNode.jsについてもリモートコード実行につながる可能性があるHighレベルの脆弱性を含むセキュリティアップデートが公開されました。
そして現在、大きな注目を集めているのが、「お名前.com デスクトップクラウド」へのサイバー攻撃です。
GMOインターネットは、今回の事件について、
- サービスのシステムにセキュリティ上の問題が存在したこと
- 第三者による不正アクセスが行われたこと
- お客様の情報が外部へ持ち出されたこと
- 一部利用者から身に覚えのない取引が報告されていること
を公表しています。
さらに、影響の可能性があるサーバーは26,739件と発表されています。
ただし、これは26,739件すべてで不正アクセスや情報漏えいが確認されたという意味ではありません。
今回の記事では、
「お名前.comで何が起きているのか」
だけではなく、
今回の事件から、一般企業が自社のホームページやWebシステムについて何を見直すべきなのか
を、専門知識がない方にも分かるように解説します。
まず結論：今回の件はWeb担当者だけの問題ではありません
今回の事件から企業が考えるべきことは、
「大手のサービスを利用しているから、自社ではセキュリティについて考えなくても大丈夫」
ではないということです。
クラウドサービスやレンタルサーバーを利用すること自体が危険という意味ではありません。
むしろ、自社ですべてを管理するより高度なセキュリティ対策を受けられる場合もあります。
しかし、
サービス事業者が守る範囲
と、
利用企業自身が守らなければならない範囲
は別です。
例えば、
- パスワード
- 多要素認証
- サーバー内に保存する情報
- バックアップ
- アクセス権限
- PHPやNode.jsなどのアプリケーション環境
- Webサイトの保守
- 不審なアクセスの監視
などは、利用者側でも管理する必要があります。
お名前.com デスクトップクラウドで何が起きた？
GMOインターネットが公表した情報によると、今回の経緯は次のようになっています。
| 日付 | 公表されている主な経緯 |
|---|---|
| 10月19日 | 利用者からの問い合わせを受け調査開始 |
| 10月20日 | 一部サーバー環境への不正なプログラム設置を確認 |
| 10月21日 | 被害拡大防止のため全プランのサーバーを順次停止 |
| 10月21日以降 | 身に覚えのない操作などの報告を受付 |
| 10月22日 | 警察へ相談 |
| 10月23日 | 第3報を公開 |
| 10月24日 | 第4報・第5報を公開 |
10月24日に公開された第5報では、
一部のお客様のサーバー環境に第三者による不正なプログラムが設置されていた
ことが改めて説明されています。
さらに、
サーバー内に保存されていた取引口座のログイン情報などが第三者に取得され、不正に利用された可能性
も公表されています。
最大26,739件のサーバーが影響対象になる可能性
GMOが公表した情報では、
影響の可能性があるサーバーは26,739件
とされています。
ここは誤解しないことが重要です。
これは、
26,739サーバーすべてが侵入された
という発表ではありません。
GMO自身も、
「対象となり得るサーバー数であり、不正アクセスまたは情報取得が確認された件数ではない」
と説明しています。
現時点でも個別の情報取得や不正利用の有無、影響範囲について調査が続いています。
情報漏えいだけではなく「不正取引」まで報告
今回の事件で特に重大なのが、
情報を盗まれるだけではなく、その情報が実際のサービスへのアクセスに利用された可能性
があることです。
GMOは、一部利用者から、
取引口座における身に覚えのない取引
について報告を受けていると発表しています。
今回のデスクトップクラウドは、MT4・MT5などを利用したFXの自動売買用途でも使用されていました。
サーバー上に、
- 取引口座ID
- パスワード
- ログイン情報
- セッション情報
- 各種認証情報
などが保存されていた場合、それらが攻撃者に取得されることで二次被害につながる可能性があります。
「パスワード変更」だけでは足りない場合がある
今回GMOが利用者へ案内している内容の中で、企業のWebセキュリティでも非常に重要なのが、
既存セッションの切断
です。
例えばパスワードを変更しても、
すでにログイン済みの端末については、そのままログイン状態が維持されるサービスがあります。
イメージすると、
玄関の鍵を交換したものの、すでに家の中にいる人は外に出していない
状態です。
そのため不正アクセスが疑われる場合には、
- パスワード変更
- 既存セッションの強制ログアウト
- 多要素認証の設定
をセットで考えることが重要です。
これは、
- WordPress
- Gmail
- Microsoft 365
- AWS
- Google Workspace
- SNS
- ECサイト
- 各種クラウドサービス
などでも同じ考え方です。
利用者のPCやスマートフォンについても確認を要請
GMOは今回、対象サービスの利用者に対して、
PC・スマートフォンなどの端末についてウイルス対策ソフトによるフルスキャンを実施すること
も案内しています。
さらに、
データのバックアップ
についても呼びかけています。
ただし、感染したファイルなどをバックアップしてしまう可能性もあるため、バックアップデータの取り扱いには注意が必要です。
今回の事件とPHP脆弱性は同じ問題なの？
ここは非常に重要なので明確にしておきます。
2026年10月21日には、
CVE-2026-109618
CVE-2026-109619
というPHPの重大な脆弱性が公表されています。
同じ時期に、お名前.comでも今回のサイバー攻撃が発生しています。
しかし、
現時点で、お名前.com デスクトップクラウドへのサイバー攻撃が今回のPHP脆弱性を利用したものだという公式発表は確認されていません。
そのため、
「PHP2Shellによってお名前.comが攻撃された」
と結び付けることはできません。
今回の事件とPHP脆弱性は、現段階では別の問題として考える必要があります。
自社サイトのセキュリティ状況が分からない方へ
今回のようなサイバー攻撃のニュースを見て、
- 自社サイトのサーバーがどこか分からない
- WordPressやPHPの更新状況が分からない
- バックアップが正しく取れているか分からない
- 不正アクセスを受けていないか確認したい
- 制作会社に任せたままで現在の管理状況が分からない
という企業様も多いのではないでしょうか。
株式会社PieceInnovationでは、Webサイトの構成や管理状況を確認し、現在どこを確認する必要があるのか、どの対策を優先すべきなのかを整理しています。
無理にサービスを導入する前に、まず現在のWebサイトの状態を把握することが重要です。
企業が今すぐ見直したい7つのポイント
今回の事件から、Webサイトやシステムを所有している企業が確認したい項目を整理します。
1. 自社が使っているサーバー・クラウドサービスを把握する
まず確認したいのが、
「自社のWebサイトがどこで動いているのか」
です。
例えば、
- XServer
- お名前.com
- AWS
- Google Cloud
- Azure
- さくらのクラウド
- VPS
- 制作会社管理サーバー
などです。
意外と多いのが、
ホームページを作った会社は分かるが、サーバー会社は分からない
というケースです。
重大な脆弱性や障害が発生したときに、サーバーが分からなければ迅速な対応ができません。
2. サーバー内にパスワードを保存しすぎない
今回の事件から特に考えたいポイントです。
Webサーバーやクラウド上に、
- パスワード
- APIキー
- AWSアクセスキー
- データベース接続情報
- 外部サービスのログイン情報
- 秘密鍵
などを安易に保存していると、サーバーが侵害された際に被害が拡大する可能性があります。
必要に応じて、
- AWS Secrets Manager
- 各クラウドのSecret管理機能
- パスワード管理サービス
などを利用し、認証情報の管理方法を見直す必要があります。
3. 多要素認証を設定する
パスワードだけでログインできる状態は、可能な限り減らしてください。
特に、
- サーバー管理画面
- ドメイン管理
- AWS
- Google Workspace
- Microsoft 365
- GitHub
- WordPress管理者
- SNS
など、会社にとって重要なサービスでは多要素認証を設定することをおすすめします。
パスワードが漏えいしても、追加認証によって不正ログインを防げる可能性があります。
4. PHP・Node.js・WordPressなどを更新する
今週は特にこの重要性が分かりやすく表れています。
PHPでは10月21日、
CVSS 9.2 / Critical
の脆弱性が公表されました。
Node.jsでも同日、リモートコード実行につながる可能性のあるHigh脆弱性を含むセキュリティアップデートが公開されています。
つまりWebサイトでは、
WordPressだけ最新版なら安全
ではありません。
Webサイトの裏側では、
- OS
- PHP
- Node.js
- WordPress
- Laravel
- Next.js
- プラグイン
- npmパッケージ
- データベース
- Webサーバー
など多数のソフトウェアが動いています。
これらを継続して管理する必要があります。
5. バックアップは「取る」だけでなく「戻せるか」を確認する
バックアップについて、
毎日自動バックアップしています
という会社は多いと思います。
しかし重要なのは、
そのバックアップから実際に復旧できるか
です。
最低でも、
- バックアップの保存先
- 保存期間
- 本番サーバーとは別の場所に保管されているか
- 復旧方法
- 誰が復旧できるのか
を確認しておきましょう。
可能であれば、定期的な復旧テストも重要です。
6. アクセスログを残す
不正アクセスが発生した際、
何が起きたのかを調べるために非常に重要なのがログです。
例えば、
- Webサーバーアクセスログ
- 管理画面ログイン履歴
- WAFログ
- AWS CloudTrail
- OSログ
- ファイル変更履歴
などです。
ログがなければ、
「侵入されたのか」
「どこまで操作されたのか」
「いつから攻撃されていたのか」
を調査できない場合があります。
7. 「何か起きたとき誰に連絡するか」を決める
技術的なセキュリティ対策と同じくらい重要なのが、運用体制です。
例えば重大な脆弱性が土曜日に発表された場合、
制作会社は休み
社内の担当者も休み
サーバー会社が分からない
ログイン情報を持っている社員がいない
という状態では、対応が遅れます。
最低でも、
- サーバー管理担当
- ドメイン管理担当
- Webサイト管理会社
- 緊急連絡先
- バックアップ担当
- 判断責任者
を決めておくことをおすすめします。
「分からない」が1つでもあった場合は、一度確認をおすすめします
今回ご紹介した項目について、
- サーバー会社が分からない
- PHP・Node.jsのバージョンが分からない
- WordPressの更新状況が分からない
- バックアップから復元できるか分からない
- アクセスログを確認できない
- 緊急時に誰が対応するか決まっていない
という項目が1つでもある場合、すぐに危険という意味ではありません。
ただし、重大な脆弱性や不正アクセスが発生した際に、対応が遅れる原因になる可能性があります。
PieceInnovationでは、
「何が危険なのか分からない」状態から、現在のサイトで確認すべき項目を整理するところから対応しています。
他社で制作されたWebサイトについてもご相談いただけます。
「大手サービスを使っているから安全」ではない
今回の件で誤解してほしくないのは、
大手クラウドやレンタルサーバーを利用すること自体が危険なのではありません。
AWS、XServer、お名前.comなどのサービスを利用することで、自社だけでは実現が難しいセキュリティ対策を利用できるメリットがあります。
しかし、
サーバー会社が全部守ってくれる
という考え方は適切ではありません。
サーバー会社にはサーバー会社の責任範囲があり、
利用者には利用者の責任範囲があります。
Webサイトでも、
「どこまでサーバー会社が守り、どこから自社が管理するのか」
を明確にする必要があります。
今回の事件から見る「これからのホームページ保守」
これまで企業のホームページ保守というと、
- 文章変更
- 写真変更
- お知らせ投稿
- ページ追加
などが中心でした。
しかし今後は、それだけでは不十分です。
これからのWebサイト保守には、
セキュリティ保守
という考え方が必要です。
例えば、
- PHP・Node.jsなどの脆弱性情報確認
- WordPressアップデート
- サーバーセキュリティ確認
- WAF確認
- バックアップ確認
- ログ監視
- 不正アクセス調査
- SSL・ドメイン管理
- 管理者アカウント確認
などです。
「ホームページが表示されているから問題ない」
ではなく、
裏側が安全に管理されているか
まで確認する時代になっています。
自社サイトのセキュリティ、本当に説明できますか？
今回のお名前.comの事例に限らず、Webサイトやサーバーを狙った攻撃、PHP・Node.js・WordPressなどの脆弱性は継続的に発生しています。
重要なのは、
「今サイトが表示されているから大丈夫」ではなく、問題が発生したときにすぐ対応できる状態になっているか
です。
株式会社PieceInnovationでは、Webサイトを制作するだけでなく、公開後のセキュリティ・保守についてもご相談いただけます。
PieceInnovationで確認・対応できること
- WordPress・CMSの更新状況確認
- PHP・Node.jsなど実行環境の確認
- 管理画面・アカウント・権限の見直し
- 不正アクセス対策
- アクセスログの確認
- バックアップ・復旧体制の確認
- AWS・サーバー環境の確認
- WAF・アクセス制御の検討
- 脆弱性発表時の対応
- 継続的なWebサイト保守
また、
「そもそも何を確認すればいいか分からない」
という段階でも問題ありません。
現在のWebサイトの構成・管理状況・ご不安な点を確認し、優先して対応すべき内容から整理します。
このような企業様は一度ご相談ください
- 数年前に制作したホームページをそのまま利用している
- WordPressの管理を制作会社へ任せきりにしている
- PHPのバージョンが分からない
- サーバーの管理者が分からない
- バックアップがあるか分からない
- 不正アクセスが心配
- セキュリティ対策をしたことがない
- 保守会社を見直したい
- 他社で制作したサイトを保守してほしい
「被害が起きてから」ではなく、「何も起きていない今」の確認をおすすめします。
PieceInnovationのWebセキュリティ対策を見る
関連記事
PHPに重大な脆弱性｜CVSS9.2の危険性と企業サイトの対応方法
2026年10月21日に公表されたPHPの重大脆弱性について、危険性や企業が取るべき初動対応を解説しています。
WordPressのPHPバージョン確認方法｜重大脆弱性への対応
WordPress利用企業向けに、PHPバージョンの確認方法やレンタルサーバー利用時の注意点を解説しています。
参考情報
- GMOインターネット公式：お名前.com デスクトップクラウドへのサイバー攻撃 第4報
- GMOインターネット公式：お名前.com デスクトップクラウド 第5報
- お名前.com：お知らせ・メンテナンス情報
- IPA：重要なセキュリティ情報
- PHP公式：2026年ニュースアーカイブ
- Node.js公式：2026年10月 Security Releases
- WordPress公式：Critical PHP Security Release
※本記事は2026年10月26日時点で、GMOインターネット、お名前.com、PHP、Node.js、WordPress、IPAなどが公開している情報をもとに作成しています。
※お名前.com デスクトップクラウドへのサイバー攻撃と、2026年10月21日に公開されたPHPの脆弱性について、両者に直接の因果関係があるとの公式発表は、本記事執筆時点では確認していません。
今後、新たな調査結果や追加情報が公表される可能性があります。最新情報については各社の公式発表をご確認ください。
