【2026年10月 PHP脆弱性】点検DB・コリンズ・国交省サイトなど建設系データベースの停止・再開まとめと、受注者・発注者・自社サイトの対応策

このページでわかること

• 今回のPHPの脆弱性（PHP2Shell）で何が起きたのか、3分でわかる要点と時系列
• 点検DB・コリンズ/テクリス・国交省サイトなど、建設・公共系サイトの停止と再開の状況
• 停止のあいだに「やり方が変わったこと」と、受注者・発注者が確認すること
• 自社のホームページや業務システムでPHPを使っている会社がやること
• 公式のお知らせがどこに載るか（ブックマーク用の一覧）

何が起きたのか（要点）

今回の特徴は、国が「すぐ直せないなら、サイトを一時停止するのも有効」と呼びかけたことです。そのため、国の機関、自治体、金融機関、大学、通販サイトなどが、予防のためにサイトを止めました。各社の告知を数えたセキュリティブログの集計では、一時停止した組織は200を超えています。

時系列（日本時間）

建設・公共系データベースの状況一覧

電子納品やデータ登録でよく使うサイトについて、公式のお知らせを確認しました。通常はいま使える、注意は使えるが確認や予定に注意、という意味です。

停止で「やり方が変わった」こと

サイトが止まっただけでなく、データの流れや使い方が一時的に変わったものがあります。とくに点検DBにデータを登録している人は確認してください。

1. 基礎DBへの反映が5日ほど止まっていた

   10月22日夜から10月26日夜までの間、道路橋DB・舗装DBなどで更新した内容は、基礎DBにすぐには反映されませんでした。処理は10月27日に再開しています。この期間に更新したデータは、基礎DB側にも反映されているか確認しておくと安心です。

2. 点検DB WEB申請システムが改修後に再開した

   11月4日に、システムの改修が終わって再開しました。停止中に出せなかった登録用IDの申請などがあれば、あらためて手続きします。画面や手順が変わっていないかも、最初に一度確認してください。申請の流れは「データ登録申請の手順」にまとめています。

3. JACICクラウドのシングルサインオンが11月14日に使えない

   11月14日（土）9時〜18時は、JACICクラウドからコリンズ・テクリス検索システムやコブリス・プラスへ入るシングルサインオンが止まります。この日に使う人は、各システムのホームページから直接ログインします。

受注者・発注者がやること

データベースを「使う側」の人は、PHP の更新作業をする必要はありません。やることは、止まっていた期間の影響の確認と、だましへの注意です。

1. 止まっていた期間に登録・申請したデータを確認する

   10月21日〜11月4日の間に、点検DB（道路橋DB・舗装DB・附属物DB・基礎DB）や WEB申請システムで作業した場合は、仮登録のままになっていないか、内容が反映されているかを確認します。舗装DBの登録手順は「舗装DB登録 実務ガイド」にまとめています。

2. 提出期限にかかった場合は、発注者に早めに相談する

   システムが止まって登録や申請ができなかった場合は、停止のお知らせの日時を控えたうえで、発注者（監督職員）に相談します。打合せ簿などで記録を残しておくと、後で説明しやすくなります。

3. 「PHP対応のため」をうたうメールや偽サイトに注意する

   大きなニュースのあとは、「緊急対応のためパスワードを再設定してください」といった、だましのメールが増えがちです。ログインはブックマークした正しい URL から行い、メールのリンクからは入らないようにします。点検DBのトップページにも、偽サイトへの注意が載っています。

4. 止まったときの代わりの手段を知っておく

   点検DBの無償公開データを見るだけなら、ログイン不要の「全国道路施設点検データベース～損傷マップ～」が使えます。見方は「データの閲覧・取得とAPI」で紹介しています。

公式のお知らせが載る場所（ブックマーク用）

自社でPHPのサイト・システムを持つ会社がやること

建設会社や設計事務所のホームページは、WordPress など PHP で動いていることがよくあります。採用ページ、施工事例、問い合わせフォーム、社内の工事管理システムも要注意です。WordPress 本体やプラグインを更新しても、この脆弱性は直りません。直すのはサーバーの PHP そのものです。

1. 自社

   PHP を使っているものを洗い出す

   ホームページ、問い合わせフォーム、社内システム、レンタルサーバー上のサイトを書き出します。IPA は、VPN 機器や UTM などのセキュリティ機器の管理画面にも PHP が使われていることがあると注意しています。機器はメーカーのお知らせを確認します。

2. 自社

   PHP のバージョンを確認する

   レンタルサーバーなら、管理画面の「PHP バージョン設定」などで確認できます。WordPress なら、管理画面の『ツール－サイトヘルス－情報－サーバー』にも表示されます。8.5.12／8.4.27／8.3.36／8.2.35 以上なら修正済みです。

3. サーバー会社・保守会社

   修正版になっていなければ、更新を依頼する

   レンタルサーバーでは、サーバー会社が同じ系統の PHP を順次更新していることが多いので、サーバー会社のお知らせを確認します。自社で管理しているサーバーや、保守会社に任せているシステムは、更新日と更新後のバージョンを書面やメールで返してもらいます。

4. 自社

   7系・8.1 を使っていたら、移行を決める

   PHP 7系と 8.1 には通常の修正版がありません。8.2 も 2026年12月31日でサポートが終わるので、移行するなら 8.3 以上を選びます。古いテーマやプラグインが動かないことがあるので、テスト用のサイトで確かめてから切り替えます。

5. 自社

   すぐ直せないときは、暫定策かアクセス制限・一時停止

   PHP 開発元が示した暫定策は、session.upload_progress.enabled=0 を設定し、すべての PHP ワーカーを再起動することです（ini_set() や .user.ini での設定は不可）。ただし開発元は「完全な緩和策はなく、更新だけが安全」としています。社内向けのシステムなら、接続元 IP の制限や VPN の内側に置く、それもできなければ一時停止を検討します。

6. 自社

   更新したあとも、侵入の跡がないか調べる

   JPCERT/CC は、異常に長い PHPSESSID の Cookie、不審な multipart/form-data のリクエスト、メモリ上限エラーや HTTP 500 の急増、PHP ワーカーの異常終了などを確認するよう呼びかけています。修正前に入り込まれている可能性があるためです。

よくある質問

あわせて読みたい

• 全国道路施設点検データベース 実務ガイド 第1回 はじめに読むページ
• 同 第2回 データ登録申請の手順（受託業者・道路管理者）
• 舗装工事後の舗装DB登録 実務ガイド 第1回
• 電子納品チェックシステムの使い方とエラーの直し方