PHPのEOL（サポート終了）や緊急の脆弱性対応において、診断・報告にとどまらず、影響調査からコード修正・検証・本番反映まで月額定額で一貫対応。「社内に改修リソースがない」課題を解消し、取引先へのセキュリティ説明責任までしっかり果たせる体制を構築します。
CMMI Level 3Development & Services
ISO/IEC 27001:2022情報セキュリティマネジメント指摘事項の一覧はあるものの、修正を依頼できる先がなく、優先度の高い項目も残ったままになっている。
制作会社との契約はプラグインやOSの更新のみ。独自に作り込んだ部分の修正は都度見積もりとなり、なかなか進まない。
担当者の異動や退職で、PHPやミドルウェアのバージョンを誰も把握していない。新しい脆弱性が出ても、影響があるか判断できない。
アップデートすると画面や機能が動かなくなる恐れがあり、手を付けられない。結果として、公式の修正版が出ないバージョンで運用が続いている。
2026年10月21日、認証なしに遠隔からコードを実行される恐れのある脆弱性（PHP2Shell、CVE-2026-109618／109619）の修正版が、PHP 8.2〜8.5向けに公開されました。サポートの終了したPHP 8.1以前には修正版のリリースはなく、ソースコードから自らビルドする利用者向けに、最小限の修正パッチが示されたのみです。
出典：php.net、JVN（JVNVU#99905564）クレジットカード・セキュリティガイドライン（現行6.1版、2026年3月）では、EC加盟店に、脆弱性対策に基づく定期的な点検と、Webアプリケーションの脆弱性対策などが求められています。
出典：クレジットカード・セキュリティガイドライン 6.0版／6.1版経済産業省は「サプライチェーン強化に向けたセキュリティ対策評価制度」を2026年度末頃（2027年1〜3月頃）に開始する予定です（2026年3月時点）。発注元が取引先に求める対策水準を示す仕組みです。
出典：経済産業省 FAQ（2026年3月27日）IPA「情報セキュリティ10大脅威 2026（組織編）」では、「システムの脆弱性を悪用した攻撃」が4位に挙げられています。また、W3Techsの集計（2026年10月）をもとに当社が試算すると、PHPで動くWebサイトの半数近く（約48%）が、PHP公式のサポートが終了したバージョンで稼働しています。
| 終了日 | 対象 | 状況 |
|---|---|---|
| 2025年12月31日 | PHP 8.1 | 終了済み修正リリースなし |
| 2026年4月30日 | MySQL 8.0 ／ Node.js 20 | 終了済み |
| 2026年12月31日 | PHP 8.2 | まもなく終了 |
| 2027年1月12日 | Windows Server 2016 | 延長サポート終了（有償のESUあり） |
| 2027年2月24日 | Laravel 12 | セキュリティ修正の提供終了 |
| 2027年4月30日 | Node.js 22 | サポート終了 |
| 2027年12月31日 | PHP 8.3 | サポート終了 |
出典：endoflife.date（2026年10月22日時点）、PHPはphp.net。日付は各製品の公式発表をご確認ください。
PHP・フレームワーク・OS・ミドルウェアのバージョンと、利用しているライブラリを一覧にします（構成一覧＝SBOM）。サポート終了（EOL）日と照らし合わせ、対応の優先順位をまとめます。
JVN・NVDなどの公開情報と構成を照合し、影響のある脆弱性だけをお知らせします。深刻度と、実際に悪用されているかどうかをもとに優先度を判断します。
更新の適用やソースコードの修正をステージング環境（本番と同じ構成の確認用環境）で行い、動作を確認してから本番環境へ反映します。必要に応じて元に戻せるよう、手順を用意してから作業します。修正版がない場合は、WAF（不正な通信を遮断する仕組み）の設定や機能の一時停止などの暫定対策を講じます。ソースコードの修正とステージングでの検証は、Standardプラン以上が対象です。
対応した脆弱性、残っている課題、次に迎えるサポート終了日を、経営層向けの要約と技術者向けの詳細の二部構成でご報告します。
STEP 2
小規模なWebサイト・ECサイト向け
独自に開発した機能のあるサイト・業務システム向け
売上や業務への影響が大きいシステム向け
表示価格はすべて税別です。法人・事業者様向けのサービスです。
公式パッチの提供が終了した環境では、従来の保守運用だけでセキュリティを守り切ることは困難です。しかし、サポート終了（EOL）はシステム構造を根本から見直す好機でもあります。事前の棚卸しで可視化した構成や業務ロジックに基づき、PHP・フレームワークのバージョンアップから、蓄積された既存資産をAI活用型システムへと進化させる移行プランまでご提案します。
| 主な対象 | PHP（WordPress、EC-CUBE、Laravel、CakePHPなど）、Node.js、Linux・Windows Server、Apache・Nginx、MySQL・PostgreSQL |
|---|---|
| 他社が構築したシステム | 対応できます。棚卸しで構成と状態を確認してからお引き受けします |
| 対応時間 | 平日9:00〜18:00（日本時間）。緊急時の連絡方法と対応の進め方は、ご契約時に取り決めます |
| ご報告 | 月次レポート（日本語）。経営層向けの要約と技術者向けの詳細 |
| サーバーへのアクセス | 作業に必要な範囲の専用アカウントを発行いただき、契約終了時に削除します |
| 含まないもの | 24時間365日の監視、侵入テスト（ペネトレーションテスト） |
構成情報やソースコードをお預かりする前に、秘密保持契約を締結します。アクセス権限は作業に必要な範囲に限ります。
情報セキュリティマネジメントの国際規格に基づく運用のもとで、お預かりした情報を管理します。保管期間と削除方法は契約時に取り決めます。
ご契約・ご報告は日本法人が担当し、修正作業は協力会社DEHA VIETNAMの開発体制で行います。
CMMI Development & Services Level 3 ／ ISO/IEC 27001:2022
はい。最初に棚卸しで構成と状態を確認し、お引き受けできる範囲をご説明します。ソースコードや設計書が揃っていない場合も、まずはご相談ください。
はい。お手元の診断結果をもとに、修正の優先順位と作業内容をご提案します。継続的な対応が必要な場合は、セキュリティ保守のご契約をおすすめしています。
公式の修正版が出ないため、保守だけで安全を保つことはできません。暫定対策を講じながら、PHPやフレームワークの更新、または移行の計画をご提案します。
構成一覧と照合して影響の有無を確認し、ご連絡します。修正版がある場合は検証のうえ適用し、ない場合は暫定対策を講じます。連絡方法と対応の進め方は、ご契約時に取り決めます。
秘密保持契約の締結後にお預かりし、ISO/IEC 27001:2022に基づいて管理します。アクセス権限は作業に必要な範囲に限り、契約終了後の削除方法も事前に取り決めます。
ガイドラインが求める対策のうち、脆弱性の修正と更新の適用を担当します。第三者による脆弱性診断が必要な場合は、診断会社の結果をもとに修正からご支援します。
作業に必要な範囲の専用アカウントを発行していただき、契約終了時に削除します。管理者のパスワードをお預かりすることはありません。
ステージング環境で動作を確認してから反映し、必要に応じて元の状態に戻せるよう手順を用意してから作業します。
セキュリティ保守の最低契約期間は6か月です。棚卸しのみのご依頼も承ります。
「EOL・脆弱性棚卸しプラン（5万円・税別）」にて、稼働中バージョンの詳細調査を行い、対応の優先順位と具体的な改修ロードマップをご提示します。なお、調査はお客様と秘密保持契約（NDA）を締結した上で安全に着手いたします。
貴社が保守しているシステムのバージョンとサポート終了日をまとめて確認し、対応の優先順位を一覧にします。お客様へのご説明資料としてご利用いただけます。
脆弱性の照合から、ソースコードの修正、ステージングでの検証までを当社が担当します。お客様へのご報告は貴社名義で行えます。再委託先としての体制・情報管理をご説明する資料もご用意します。
修正の出ないバージョンで動くシステムについて、PHPやフレームワークの更新、移行の開発を、貴社の案件として共同で進めます。
