PHPの脆弱性に、
もう振り回されない。

いま、PHPを使い続けるということ。

php2shellは、PHPで動くWebサイトなら誰にでも起こりうることを示しました。問題は脆弱性そのものより、公表されたその日のうちに対応できる体制があるかどうかです。

Foxode Secure Webが提供するもの。

Node.jsに変えれば安全、という話ではありません。安全性は、サポート中のランタイム、依存関係の自動更新、最小権限、入口の防御、何度でも再現できる構成——設計と運用の積み重ねで決まります。Foxode Secure Webは、その設計と運用をひとまとめにして、相場のおよそ3分の1で提供します。

AWSとCloudflareで、何層にも守る。

一つの製品に頼らず、入口・実行環境・認証・データ・運用のそれぞれに、世界規模で実績のあるマネージドサービスを重ねます。どこか一層が破られても、次の層が止めます。

入口Cloudflare

DNS、DDoS防御、WAF、Bot対策、フォームのスパム対策（Turnstile）。管理画面の入口はCloudflare Accessで覆い、社員以外には画面そのものを見せません。

実行環境AWS・Cloudflare

Amazon ECS（Express Mode／Fargate）、AWS Lambda、Cloudflare Workers。OSやランタイムの更新はクラウド側が行い、サーバーに手作業でログインする運用をなくします。

認証AWS・Cloudflare

Amazon Cognitoの多要素認証、またはCloudflare Access（会社のメールやIDプロバイダーと連携）。パスワードを自前のデータベースに保管しません。

データAWS・Cloudflare

Amazon Aurora／DynamoDB、Cloudflare D1。保存時と通信時の暗号化、自動バックアップ、権限の範囲だけを読み書きする設計。

運用仕組みで守る

AWS CDK／Wranglerで構成をコード管理。依存関係の自動更新、Amazon GuardDuty・AWS Security Hub・Cloudflareのセキュリティ分析で監視し、月次で報告します。

• 29.7TbpsCloudflareが2025年第3四半期に防いだ、過去最大のDDoS攻撃の規模。同じ四半期に830万件の攻撃を緩和。
• 348都市Cloudflareのネットワーク拠点。利用者の95%に50ミリ秒以内で応答します。
• 2,340億件／日Cloudflareが1日に遮断するサイバー脅威の件数。

出典：Cloudflare DDoS脅威レポート 2025年第3四半期、Cloudflareネットワーク（2026年10月時点）。

2つの構成。組み合わせも。

サイトの性質に合わせて、Cloudflareの半静的構成とAWS構成を使い分けます。公開サイトはCloudflare、管理画面はAWS、という組み合わせが最も多くなります。

半静的HTMLシステム。

動的に見えるサイトの大半は、実は「更新のときだけ」動けば足ります。Foxodeの半静的HTMLシステムは、更新のたびにPythonがすべてのHTMLを生成し直し、できあがったファイルだけをCloudflareの世界中の拠点から配信します。PHPのように、公開サーバー上でリクエストごとにプログラムを動かしません。だから、php2shellのような「サーバー上でコードを実行される」入口がそもそも存在しません。

1. 更新担当者が管理画面、スプレッドシート、Markdownのいずれかで内容を更新
2. Pythonが生成テンプレートとデータから全ページのHTMLを生成し、リンク切れや表示を検査
3. Cloudflare Pages／Workers静的ファイルを348都市から配信。静的配信は無料枠で無制限
4. Workers＋D1フォーム、検索、お知らせなど動く部分だけを小さな関数で

Cloudflareの無料枠（2026年10月時点）：静的配信は無制限、Pagesのデプロイは月500回、Workersは1日10万リクエスト、D1は1日あたり読み取り500万行・書き込み10万行、保存5GB。超える場合はWorkers有料プラン（月5ドル〜）。新規プロジェクトはCloudflareがWorkersを推奨しているため、Pages／Workersのどちらでも構築します。出典：Workers料金、D1料金、Pagesの制限。

AWS構成のイメージ。

管理画面や会員サイトは、公開サイトと分けて、入口・実行環境・データのそれぞれをAWSのマネージドサービスで守ります。

1. 利用者ブラウザーからのアクセス
2. Cloudflare／Amazon CloudFront + AWS WAF配信と入口の防御。マネージドルールで既知の攻撃を遮断
3. Node.jsアプリケーションAmazon ECS（Express Mode／Fargate）／AWS Lambda。サーバーの管理はAWSに任せる
4. データAmazon Aurora／DynamoDB。暗号化と自動バックアップ

1. 管理者社内の担当者
2. Cloudflare Access／Amazon Cognito多要素認証と、権限ごとのログイン
3. 管理画面Node.js。操作ログを記録し、公開サイトとは分離
4. 同じデータ権限の範囲だけを読み書き

• AWS CDK（構成のコード管理）
• AWS Secrets Manager（秘密情報）
• IAM（最小権限）
• Amazon GuardDuty／AWS Security Hub（脅威検知）
• Amazon CloudWatch（監視・ログ）
• AWS Backup（バックアップ）

移行の進め方。

1. 現状診断（無料）

   PHPのバージョン、サーバー構成、プラグイン、公開範囲を棚卸しします。php2shellなど既知の脆弱性への暴露を確認し、移行前に必要な暫定対策（修正版への更新、設定変更、WAF）を助言します。

   ↘

2. 設計とお見積り

   移行する範囲（ホームページ、管理画面、フォーム）と構成（半静的／AWS）、移行後の運用内容を決め、料金表にもとづく見積りと期間をご提示します。

   ↘

3. 移行と並行稼働

   新しい環境を構築し、データと既存のURLを引き継ぎます。旧環境と並行して動かし、表示・機能・速度を確認します。

   ↘

4. 切り替え

   切り戻しの手順を用意したうえでDNSを切り替え、旧環境を停止します。

   ↘

5. 運用と監視

   監視、バックアップ、依存関係の更新、月次の報告。新しい脆弱性が公表されたときの対応も、Foxodeが行います。

料金：相場のおよそ3分の1。

• 企業サイト10ページ＋フォーム半静的。トップ1、下層9（移植）、フォーム1、コンテンツ移行30.8万円相場 50〜100万円月額7,500円（Cloudflare利用料・ドメイン代込み）
• 会員ページ付きサイト上記に、AWS基盤、ログイン基盤、会員ページ5枚を追加69.3万円相場 100〜150万円月額2.55万円〜（AWS利用料込み）
• PHP製の管理画面8画面AWS基盤、管理基盤、一覧3、編集3、集計1、CSV1131万円相場 500万円〜月額1.8万円〜（AWS利用料込み）

「一般的な相場」は、制作会社・開発会社が2026年に公開している料金記事を当社が整理したものです（2026年10月時点、当社調べ）。出典：ファーストネットジャパン、Blue Monkey、GXO、Walker-s、SIA、C3index、atsoho。案件の条件により比率は変わります。料金はすべて税別です。AWS・Cloudflareの利用料と独自ドメイン代は月額に含みます（含まれる範囲と超過時の単価は、下の「月額に含まれるもの」のとおりです。大量の配信・データや常時稼働のデータベースが必要な構成は、見積り時に月額をご提示します）。期間の目安は、ホームページで1〜2か月、管理画面で2〜4か月程度です。

月額に含まれるもの。

「インフラと構成を保つこと」は月額に含み、「コンテンツの更新やデザインの変更」は作業として分けています。曖昧にしないために、含まれないものから先に書きます。

トラフィック上限と超過時の単価

月間10万ページビュー、転送量100GBまで。超過は10万ページビューごとに、半静的は1,000円、AWS構成は2,000円。

データ保存上限と超過時の単価

10GBまで。超過は1GBあたり月100円。

監視・通知24時間自動

外形監視とエラー・攻撃の検知を24時間自動で行い、異常時はFoxodeに通知します。ご希望があれば貴社の担当者にも同時に通知します。

バックアップ頻度と保持期間

半静的：生成元のデータとテンプレートはGitで全履歴を保持し、D1のデータは過去30日間の任意の時点へ復元できます。AWS構成：日次バックアップを30日間保持し、データベースは過去35日間の任意の時点へ復元できます。公開ファイルはS3のバージョニングで世代を保持します。

復元依頼時の対応

営業時間内に受け付け、原則として1営業日以内に実施します。追加費用はかかりません。

サポート窓口平日 9:00〜18:00

メールと問い合わせフォーム。初回の応答は翌営業日まで。サービス停止時は4営業時間以内に一次対応します。

障害対応線引き

インフラ・構成に起因する障害の復旧は月額に含みます。入力内容の誤りなど、コンテンツに起因する修正は更新作業として扱います。

更新作業月2回まで

既存ページの文言・画像の差し替えを月2回まで（1回30分程度の作業）。超過分と新しいページは料金表の単価です。半静的の構成では、貴社の担当者が自分で更新することもできます。

セキュリティ対応月額に含む範囲

WAFルールの調整、依存関係の自動更新、公表された脆弱性の影響確認と対応、月次の報告。

運用で、何をしているか。

使っているサービスと、その目的です。半静的の構成ではCloudflare側の機能を主に使い、AWS側に過剰なサービスを積みません。

監視異常を知る

半静的：Cloudflare Workersの定期実行による外形監視、Cloudflare AnalyticsとWAFログによるトラフィック・攻撃の把握。AWS構成：Amazon CloudWatchのメトリクスとアラーム、Route 53 Health Checksによる外形監視。通知はAmazon SNSからメールで届きます。

ログ調べられるようにする

アクセスログとアプリケーションログをCloudWatch Logsに保持し、Logs Insightsで検索します。エッジ側の攻撃検知はCloudflareのWAFログを主とします。

バックアップと復旧戻せるようにする

公開ファイルはS3のバージョニングとライフサイクルで世代を保持。データベースがある構成だけ、AWS Backupの日次バックアップ（30日保持）とマネージドサービスの任意時点復元を使います。半静的の生成元はGitで履歴を保持します。

監査変更を記録する

AWS CloudTrailで設定変更の操作を記録し、CloudflareのAudit Logで設定変更を追えるようにします。

脅威検知見逃さない

Amazon GuardDutyとAWS Security Hubで、AWSアカウント内の不審な動きと設定の逸脱を検知します。

脆弱性対応仕組みと確認

依存関係の自動更新（週次）とランタイムの更新は仕組みで行い、公表された脆弱性は影響の有無を確認して対応します。第三者による定期的な外部診断は、ご希望に応じて手配します。

報告月次

稼働状況、検知した攻撃、適用した更新、バックアップの結果を月次でご報告します。

対応技術。

新しく作る部分は最新の安定版で組み、既存の環境は接続・移行で引き継ぎます。

• Node.js（LTS）
• TypeScript
• Python（HTML生成・データ処理）
• Cloudflare Pages／Workers
• Cloudflare D1／R2
• Cloudflare Access／Turnstile／WAF
• Amazon ECS（Express Mode／Fargate）
• AWS Lambda
• Amazon Cognito
• Amazon Aurora（PostgreSQL／MySQL）
• Amazon DynamoDB
• AWS CDK
• Nginx（最新安定版をコンテナで自動更新）
• MongoDB（MongoDB Atlas／Amazon DocumentDB）
• Redis（Amazon ElastiCache）
• GitHub Actions（CI/CD）

よくあるご質問。

なぜ相場の3分の1でできるのですか？

少人数ですが、Claude Code（Fable 5.1、Max 20xプラン）を3アカウント、Codex（ChatGPT Proプラン）を2アカウント、合わせて5つのAIアカウントをフル活用しています。AWS CDKやWorkersの基盤を案件ごとに作り直さず再利用し、サーバーの運用をマネージドサービスに任せているからです。営業や中間管理の費用も乗せていません。安い分、構成や検証の手を抜くことはありません。料金表と出典を公開しているので、他社の見積りと並べて比べてください。

月額のほかに、クラウドの利用料を請求されますか？

されません。AWS・Cloudflareの利用料と独自ドメイン代は月額に含みます。通常の企業サイト・管理画面の利用量（月間10万ページビュー、保存データ10GBが目安）を大きく超える見込みがある場合だけ、見積り時に月額を個別にご提示します。

いますぐPHPを更新すれば、十分ではありませんか？

修正版（8.5.12／8.4.27／8.3.36／8.2.35）への更新は必須で、まず最初に行ってください。そのうえで考えたいのは、次の脆弱性が公表された日に、同じ作業を数時間で繰り返せるかどうかです。Foxode Secure Webは、その体制を人手ではなく仕組みとして用意します。

半静的HTMLの更新は、誰がどうやって行いますか？

お客様の担当者が、管理画面、スプレッドシート、Markdownのいずれかで内容を更新します。保存するとPythonが全ページを生成し直し、検査を通ったものだけが公開されます。更新作業そのものをFoxodeに依頼することもできます。

WordPressで作ったサイトはどうなりますか？

見た目と内容を引き継ぎ、半静的HTMLへ移行します。記事やお知らせの更新が必要な場合は、管理機能を公開サイトから切り離した構成をご提案します。

既存のデータやURLは引き継げますか？

引き継ぎます。URLを変えざるを得ない場合はリダイレクトを設定し、検索結果や外部からのリンクを維持します。

AWSやCloudflareのアカウントは誰の名義になりますか？

お客様名義のアカウントに構築します。Foxodeは必要最小限の権限で運用し、契約が終了してもお客様の資産として残ります。

社内にエンジニアがいません。

問題ありません。運用・監視・更新はFoxodeが担当し、月次で状況を報告します。