調査と解説
メンテナンス中のサイトが別のURLから開けました
当社は2026年11月4日、ホテル運営会社の関連サイトとサーバーを調査しました。その中に、普段のURLではメンテナンス中なのに、別のURLからは開けるサイトがありました。この記事では、この調査で見つかった旧サイトや古いWordPressの問題をもとに、サイトの停止や更新を依頼するときに確かめたい範囲を説明します。
メンテナンス中のサイトが別のURLからは開けました
2026年11月4日に当社が調べたホテル運営会社の関連サイトでは、正規のURLはメンテナンス中でも、サーバーの初期ドメインを使った別URLでは通常のページが表示される例がありました。
初期ドメインとは、独自のドメインを設定する前からサーバー会社が用意しているアドレスです。同じファイルに、ホテルの正式なドメインとサーバー側のアドレスの両方から接続できる構成があります。普段の運用で使っていないアドレスでも、外部から利用できれば、確認対象になります。
このサイトでは、メンテナンス画面に切り替える条件が、一部の接続方法とホスト名に限られていました。その条件に当てはまらない経路では、古いPHPが動き、ページを返していました。ここで確認したのは公開経路が残っていた事実で、そこから侵入されたことを確認したわけではありません。
サイトを止めるよう依頼するときは、「正式なアドレスでメンテナンス画面を出す」だけでなく、「同じプログラムが外部から動く経路を閉じる」と伝えてください。管理会社には、どのアドレスと経路を確認したかを返してもらいます。
新しいWordPressがあってもサイトは古い方で動いていました
サーバー内に新しいWordPressが見つかっても、公開サイトがそのWordPressを使っているかは別に確認が必要です。
同じ調査では、ひとつのサイトに複数のWordPressが置かれ、実際のページが参照するものと、別の場所にあるものの版が異なっていました。新しい方だけを見れば更新済みに見えますが、閲覧者に応答する本番側は別の状態です。
制作会社に確認してもらうのは、フォルダー名からの推測ではなく、公開ページの入口がどのプログラムを呼び出しているかです。管理画面で表示される版、ファイル内の版、実際に使われる保存先を照合します。PHPも、サーバー全体の標準設定と、サイトごとに指定した設定が異なることがあります。
更新報告には、「どのサイトの、どの実行先を更新したか」を書いてもらってください。更新済みの場所と、使われ続ける古い場所を取り違えなければ、保守の見積もりも実際の対象に合わせられます。
使わなくなった旧サイトも外部から開けるなら点検します
リニューアル後の旧サイトやテスト用のWordPressも、外部からプログラムを動かせる状態なら、安全対策の対象に含めます。
確認した環境には、現行サイトとは別に古いWordPressや独自のプログラムが残っていました。移行時の控えや検証用として必要なものもあるため、古いという理由だけで一括削除することはできません。一方、残す必要があることと、誰でも外部から使える必要があることは別です。
最初に、用途、管理者、外部公開の必要性、ほかのサイトとのつながりを一覧にします。保存が必要でも公開が不要なら、インターネットから利用できない保管先へ移せます。検証に使う場合は、認証や接続元の制限を設け、本番と権限を分ける方法を検討します。
複数施設が同じサーバーやアカウントを使う場合は、一施設だけの更新で終わらせないことも必要です。ただし、同じIPアドレスというだけで、他施設に侵入できるとは判断できません。ファイルに触れられる権限や実行環境の分離を、管理側で確認します。
PHPの版番号が古くても修正が入っている場合があります
PHPの版番号が古くても、その番号を維持したまま個別の修正が入る場合があり、表示番号だけで特定の脆弱性への対応を断定しないことが必要です。
今回のサーバー調査では、提供会社の修正案内と実行ファイルの状態を照合しました。その結果、特定の脆弱性への修正状況と、古いPHPを使い続ける保守上の課題を分けて評価しました。個別の修正が入っていても、古い仕組みを今後も更新・保守できるかという問題は残ります。
PHP公式のサポート対象を確認し、提供会社が独自に行う修正の範囲と期間も確かめます。自分で置いた実行ファイルや、標準設定と違う構成まで、提供会社の対応に含まれるとは限りません。
依頼先には、版番号の一覧だけでなく、どの情報を根拠に評価したかを示してもらってください。全サイトのPHPを一度に切り替える前に、各サイトの指定先と動作への影響を調べます。
設定を変えた後は旧サイトの停止と予約機能の動作を確かめます
設定を変更したあとは、閉じると決めた経路が使えず、残すと決めた予約・問い合わせの導線が動くことを確認します。
| 対象 | 管理会社に求める確認 |
|---|---|
| 正規ドメイン | 計画した停止状態または通常表示になっているか |
| 初期・別名ドメイン | 同じプログラムへ回り込めないか |
| 旧サイト・検証用領域 | 用途に応じた閉鎖やアクセス制限が働くか |
| 予約・問い合わせ | 残す導線と機能が変更の影響を受けていないか |
トップページの表示だけでは、深い階層にある旧ファイルや別の管理画面まで確認できません。どの範囲を確かめたか、確認できなかった箇所があるかも記録します。バックアップファイルが公開場所に残っていないかは、保存場所の点検と合わせて確認できます。
考察：旧サイトは外部から使えない場所に保管できます
旧サイトを残す理由がある施設でも、そのプログラムを誰でも動かせる状態で保管する必要があるとは限りません。今回の調査は、正式なURLの表示だけで停止を判断すると、別の入口と実際の実行先を見落とすことを示しています。制作会社へ点検を依頼する際は、旧サイトも含めて、残す用途と公開する必要性を一緒に確認してください。
残すものを決めたら、次は保管方法です。バックアップの保存場所と復元確認では、復旧のためのデータが公開場所に置かれていた事例を扱います。現在のページを見せ続けながら古いプログラムの実行を止めたい場合は、静的化の効果と更新運用が判断材料になります。
Maximizeは、外部からの応答と、許可されたサーバー内の設定・実ファイルを照合し、使われている仕組みと残された公開領域を整理します。不要な公開の停止、更新、切り替え後の確認まで、施設の運用に合わせて進めます。セキュリティ対策の内容はこちら。
この記事の前提と条件
当社事例は2026年11月4日の調査時点の結果です。許可されたサーバーの設定、実ファイル、保存されていたアクセス記録を読み取り、公開URLの応答と照合しました。PHPの公式資料は2026年11月10日に確認しています。施設名、ドメイン、IPアドレス、具体的な保存先、施設数は掲載していません。
この調査で言えないこと
別URLでの動作や古い領域の存在は、侵入や情報漏えいが発生した証明ではありません。侵入試験、攻撃コードの実行、すべてのファイルやプラグインの検査は行っていません。調査対象の現在の状態や、ほかの施設にも同じ問題があることを示す記事ではありません。
Maximize株式会社について
ホテル・旅館の集客を、Webサイト制作、写真・映像制作、広告運用、AI検索対策で支援し、業務のソフトウェアも開発している。セキュリティ対策の詳細
この記事の内容は、出典「Maximize株式会社『メンテナンス中のサイトが別のURLから開けました』」を明記して引用してください。調査・参照資料の条件は本文に記載しています。
