長野県のWebサイト調査・第1回／追加調査

公開したあとも、
ホームページの手入れは続いていますか。

長野県Webサイトの更新・運用状況レポート

ホームページは、公開した後も更新や保守が必要です。長野県内の公開サイトを確認すると、サポートが終了したPHPの番号や、既知の脆弱性の修正版より古い番号の表示が残っていました。公開後の手入れを続ける体制は整っているか。県内の実例を集計し、その課題を考えます。

表示が古くても、配布元の修正が適用されている場合があります。放置や修正未適用を断定せず、確認できた事実から更新・保守の必要性を考える調査です。サイト別の確認結果では、確認日時・公開表示・保守で確認したい点を実名で掲載しています。

確認期間：2026年10月25日 19:42〜2026年10月25日 19:49（日本時間）／公開日：2026年10月23日・更新日：2026年10月25日

追加調査で対象数を増やしています。前回との件数差は、各サイトの改善・悪化を示すものではありません。

340サイトの実名入り確認結果を見る →

今回、公開情報から分かったこと

340サイトを確認

25重大な脆弱性の対象版と一致する手掛かり

72そのほかの既知の脆弱性の対象版と一致する手掛かり

一致したのは公開された番号の条件です。修正が未適用であることや攻撃が成立すること、侵入・業務停止が起きたことを示す件数ではありません。独自の修正や追加の構成条件は外から確認できません。

「重大」は脆弱性自体について公式情報でCriticalとされているものです。サイトや運営者への評価ではありません。2種類以上の手掛かりがあっても、同じサイトは各区分で1件とし、重大な対象候補のあるサイトは「そのほか」に重複計上していません。

対象と、確認できた範囲

今回選定したサイトの内訳
区分	確認数
行政	50サイト
関係団体・観光等	79サイト
企業	211サイト

県の市町村一覧、県観光機構の会員一覧、地域の企業ガイド、県公式の企業情報から対象を選定しています。企業は諏訪圏に加え、東信・北信・中信・南信も対象にしています。2026年10月25日に4地域から40サイト（製造業33、建設関連7）を追加し、その後、掲載済み340サイトを同じ方法で再確認しました。以前の記録も別に保持しています。関係団体には外郭団体・第三セクター・観光関連団体などを含みます。無作為抽出でも県内全体の網羅調査でもなく、この割合を長野県全体の状況へ当てはめることはできません。企業の法令上の規模区分や取引関係は調べていません。

技術の手掛かりと番号の公開状況（複数技術の重複あり）
技術	使用の手掛かり	番号の表示あり	番号を確認できず
PHP	42	42	298
WordPress	142	54	286
jQuery	223	113	227

「番号の表示あり」は一つの番号を抽出できた件数です。部分的な番号などは照合を保留します。「番号を確認できず」には手掛かり自体がなかった場合も含み、不使用を意味しません。手掛かりなし・対象候補なしを安全の証明には使いません。

PHPでは、上流サポート終了系列の番号表示が20サイト、サポート終了が近い系列の表示が2サイトありました。既知の脆弱性の対象候補と重複する場合があります。修正済みかどうかと、保守が続く系列への移行は別々に確認します。

この取得方法でページを取得できなかったのは5サイトでした。アクセス制限や一時的な通信不調などを区別できないため、サイト停止の件数としては扱いません。

通信・フォーム・保護設定も確認しました

追加した企業も同じ項目で確認し、各サイトの確認日時を一覧に表示しています。既存分の記録・確認日時は保持しています。以下は、ページを取得できた335サイトの範囲です。HTMLは先頭192KiBまでで、うち21サイトは途中までの確認です。

今回の公開応答・HTMLで確認した指定（重複あり）
確認したこと	サイト数
最終接続先がHTTP	28
HTTPSページにHTTPのスクリプト・iframe・CSS参照	2
HTTPへのフォーム送信先の指定	7
HTTPSページにHTTPの画像参照（参考）	10
別ドメインへのフォーム送信先（参考）	15
最終応答にHSTSの指定あり	73
最終応答にCSPの指定あり	26
最終応答にnosniffの推奨値あり	87

HTTP通信やHTTP参照・送信先は、HTTPSへの変更と主要機能の動作を確認するきっかけです。参照先の取得やフォーム送信はしていません。ブラウザによる遮断・HTTPSへの自動変換、CSP等の効果も未確認なので、実際に通信や送信が発生したという判定ではありません。

外部フォームは正規サービスの場合もあり、危険の判定や対応対象への自動追加はしません。HSTS・CSP等は応答ヘッダーの指定の有無で、設定内容の妥当性やHTML内の指定まで評価していません。欠落だけを理由に保守確認対象には加えていません。HTTPからHTTPSへの転送は、今回HTTPで始まった取得経路で確認したものだけです。

公開後の保守を、地域の課題として考える

制作して公開するところまでで、予算や役割が終わっていないでしょうか。公開後の更新、サポート期限の把握、障害時の復旧まで、誰がどの範囲を担うかを決めておく必要があります。今回の調査だけで各組織の保守体制は分かりませんが、古い番号の表示が複数残っているという事実を、運用を見直すきっかけにしたいと考えています。

お知らせ、予約、問い合わせなど、サイトが止まると影響する仕事もあります。担当者だけに任せず、保守に必要な時間や費用、停止時の代替手段も含めて、運営側と制作・保守側で確認することが大切です。

仕事への影響を避けるために、何をするか

重大な脆弱性の対象候補は、まず修正状況を確認する。公開番号と実稼働版が同じか、配布元の修正が入っているかを、保守担当と本日中を目安に確認します。未修正なら早急に修正の適用を調整します。公開表示の削除だけでは修正になりません。
停止すると困る仕事と、代わりの連絡先を決める。お知らせ・予約・問い合わせなどのうち、停止時に何が止まるかを棚卸しし、電話等の代替手段と復旧担当を共有します。この調査では、各サイトがどの業務につながるかまでは確認していません。
更新前に戻せる状態を作り、更新後に使えるかを確認する。バックアップ・復元手順を確保し、互換性を確認して更新します。主要ページやフォームの動作確認までを作業に含めます。
今回の修正と、サポート期限への対応を分けて計画する。今回の脆弱性が修正済みでも、系列のサポート終了は別の課題です。PHP 8.2系は2026年12月31日が期限。利用ソフトが対応するPHP 8.5系の最新版、未対応なら8.4系の最新版などへの移行を検討します。

番号を確認できなかった場合は、運用画面で使用技術・稼働版・保守期限を確認してください。外から番号が見えないことだけを、保守できている根拠にはできません。

調べ方と限界

シオラボが公開情報から選定したURLの1ページを、間隔を空けて通常取得しました。確認範囲は応答ヘッダー、HTML上の参照先・フォーム送信先の指定とHTMLの先頭192KiB、転送は最大3回です。ログイン、フォーム送信、リンクの自動巡回、攻撃を再現するリクエストは行っていません。サイト全体や、接続されている業務システムの検査ではありません。

PHP・WordPress・jQueryの公開番号を、対象としている既知の脆弱性の版条件と比較しました。WordPressは本番ツール内の照合先へ接続できなかったものを、番号だけをNVD公式へ照合して補足しています。PHPは今回の2件、jQueryは2020年の2件を照合対象とし、全CVEを網羅する調査ではありません。Drupal・Joomlaの個別CVE照合は対象外です。

この地域調査については、団体名・URL・確認日時・観測事実・保守で確認したい点をサイト別一覧へ掲載します。修正適用の断定や危険度の順位付けは行いません。内部の保存ID・管理情報・原記録は公開せず、専用の非公開ストレージへ180日間保存します。一般利用者が無料ツールへ入力した結果は、この調査の集計・実名一覧に含めていません。

初回調査のため、更新で改善した件数や継続的な稼働率はまだ示せません。修正・更新・移行はそれぞれ別に確認する必要があります。

出典・お問い合わせ

調査方法や記載内容についてのご質問・訂正のご連絡は、お問い合わせフォームからお寄せください。

自分のサイトを無料でチェックする →

公開したあとも、ホームページの手入れは続いていますか。