「OpenSSHの脆弱性」の知らせ、うちのホームページは関係ある？｜レンタルサーバーと自分で管理するサーバーで違う、確かめること

「OpenSSHに、パスワードなしで入られる脆弱性が見つかったらしい」。

「うちのホームページのサーバーは大丈夫なのか」。

2026年11月9日、JPCERT/CCがこの件について情報を出しました。

ニュースの言葉だけを見ると不安になりますが、影響を受けるのは条件がそろったサーバーです。

この記事では、詳しい担当者がいない会社でも、自社が関係あるかを見分けるための考え方をまとめました。

■OpenSSHとは

OpenSSHは、サーバーに離れた場所から入って作業するための仕組みです。

ホームページのファイルを置いたり、設定を変えたりするときに使われます。

ホームページを見に来る人が使うものではありません。

■どんな脆弱性なのか

JPCERT/CCによると、条件がそろうと、本来パスワードで入れないはずのアカウントに、正しいパスワードなしで入られるおそれがあります。

条件は、次のようなものがすべてそろう場合とされています。

・軽量な部品（musl）を使うLinuxのサーバーである

・特定のログインの仕組み（PAM）を使っていない

・パスワードで入れる設定になっている

・パスワードを使えないようにしたアカウントがある

見本となる攻撃の手順はすでに公開されていて、海外では悪用の試みも報告されています。

一方、JPCERT/CCは、国内の組織が被害を受けた例は今のところ確認していないとしています。

直った版は、2026年11月5日に公開されたOpenSSH 10.6p2です。

古い版に直しを取り込んで配っている提供元もあるため、版の番号だけでは判断できないことがあります。

■自社のサーバーは、どちらの形か

まず、ホームページを置いているサーバーが、どの形かを確かめましょう。

・共用のレンタルサーバー：サーバーの部品の更新は、提供会社が行います

・自分で借りて管理するサーバー（VPSなど）：更新は、借りた側の仕事です

・制作会社が用意したサーバー：管理の担当を、制作会社に確かめます

多くの小さな会社は、共用のレンタルサーバーを使っています。

その場合は、自社でOpenSSHを更新する作業はありません。

提供会社のお知らせを確かめれば十分です。

■自分で管理するサーバーの場合

1. サーバーのOSの種類を確かめます（AlpineなどのmuslのLinuxかどうか）

2. OSの提供元の案内で、直ったものが出ているかを確かめます

3. 直ったものを当てます

4. パスワードで入れる設定を、必要がなければ止めます

5. ログイン記録に、見覚えのない成功がないかを見ます

社内の機器の中には、外からは分からなくても、この形のLinuxで動いているものがあります。

機器の提供元のお知らせも、あわせて確かめましょう。

■身近なところにも、同じ仕組みがある

サーバーに入るための仕組みは、ホームページのサーバーだけにあるとは限りません。

・社内のファイルを置く機器（NAS）

・ネットワークの機器や、外から社内に入るための機器

・制作会社が試しに作った、テスト用のサーバー

こうした機器の提供元が、お知らせを出していないかも確かめましょう。

分からないときは、機器を入れた会社に聞くのが早道です。

■管理している人への聞き方

「2026年11月9日にJPCERT/CCが情報を出した、OpenSSHの脆弱性の件です。

弊社のサーバーや機器で、対象になるものがあるか教えてください。

対象なら、更新の予定と、入られていないかを確かめた結果も教えてください。」

このように聞けば、何を答えればよいかが相手にも伝わります。

■入られていないかの確かめ方

JPCERT/CCは、次のような確かめ方を挙げています。

・本来パスワードで入れないアカウントに、パスワードで入った記録がないか

・見覚えのないユーザーが増えていないか

・ログインに使う鍵が、勝手に変わっていないか

・知らないファイルや、外への不審な通信がないか

記録の見方が分からない場合は、サーバーを管理している人に任せてください。

■やってはいけないこと

・共用のレンタルサーバーなのに、慌てて設定を触る

・「版の番号が古いから危ない」と、版だけで決めつける

・更新だけして、入られていないかを確かめない

・知らせを受けて、サーバーのパスワードをメールで送り合う

■頼むときに伝えること

・ホームページのアドレス

・サーバーの種類（共用のレンタルサーバーか、自分で管理するサーバーか）

・サーバーの提供会社や、管理している人

・最近、見覚えのないログインや変更に気づいたか

・ログイン記録を見られる人がいるか

この5つが分かれば、確かめる順番を決めやすくなります。

■自分で確かめるチェックリスト

・サーバーの種類を確かめた

・提供会社のお知らせを見た

・自分で管理するサーバーなら、OSの種類を確かめた

・直ったものを当てた

・ログイン記録を見た

・サーバーに入れる人の一覧を見直した

■よくある質問

Q. ホームページを見ただけの人に、影響はありますか？

A. この脆弱性は、サーバーに入るための仕組みのものです。サイトを見た人に直接の影響はありません。

Q. 共用のレンタルサーバーです。何かすることはありますか？

A. 提供会社のお知らせを確かめてください。サーバーの部品の更新は、提供会社が行います。

Q. WordPressの更新で直りますか？

A. いいえ。WordPressとは別の、サーバー側の仕組みです。

Q. 版の番号が10.6p2より古いと、危ないのですか？

A. 提供元が直しを取り込んでいる場合があります。番号だけでなく、提供元の案内で確かめてください。

Q. 入られたかもしれないときは？

A. 記録を消さずに残し、早めにサーバーを管理している人や専門家に相談してください。

■任せたい方へ

サーバーを管理している方がいて、ご自分で確かめられる場合は、この手順で十分です。

「見覚えのないログインや変更がある」「ホームページが書き換えられていないか心配」という方には、乗っ取り・改ざんの復旧をお受けしています。

気になる症状と、気づいた時期が分かれば、話が早く進みます。

乗っ取り・改ざんのWordPressを復旧します

https://coconala.com/services/4455914