9.2CVSS v4.0
2件とも認証なしで遠隔からコードを実行されるおそれ。深刻度は最上位の Critical。
Solution
Acsim
モダナイゼーション
更新できないシステムを、
業務を止めずに安全な基盤へ
既存システムと業務をコード・資料から全量解析し、
現行への影響を最小限に抑えて、最短3ヶ月でモダナイズします。
- 全量コード・DB定義・既存資料から現行の業務と仕様を復元
- 現行踏襲画面・操作を維持したまま内部を刷新することも可能
- 最短3ヶ月解析から対策の実装・テスト・リリースまで
Powered by
OVERVIEW
サービス概要
Acsim モダナイゼーションは、サポート切れの基盤や仕様が分からないまま動き続ける既存システムを、AIによる全量解析とテストによる品質担保で「更新し続けられるシステム」へ移行するサービスです。
BACKGROUND
2026年10月、PHPの脆弱性が世界中のシステムを揺るがした
PHPの開発元は10月21日、認証なしで遠隔から任意のコードを実行されるおそれのある脆弱性2件（CVE-2026-109618／CVE-2026-109619、通称「PHP2Shell」）を修正しました。Webサイトや業務システムの多くを支える言語だけに、影響は世界中に広がりました。
国内でも、行政機関・金融機関・ECなどが公開時刻に先立ってサービスを予防的に停止。IPA・JPCERT/CC が相次いで注意喚起を出し、10月26日には米CISAが「悪用が確認された脆弱性」として登録しています。
2,260万件超
影響を受けるおそれがあるとして観測された、インターネット上のPHP環境の数。
8.1以前修正版なし
サポート終了済みのため、通常の修正版は提供されず、移行の検討が呼びかけられている。
2026.12.31PHP 8.2 終了
今回修正された 8.2 系も年内でサポート終了。以降はセキュリティ修正が提供されない。
- 10月21日PHP開発元が修正版（8.2.35／8.3.36／8.4.27／8.5.12）を公開
- 10月22日IPA・JPCERT/CC が注意喚起。更新が難しい場合は遮断や停止の判断も
- 10月26日米CISAが「悪用が確認された脆弱性」カタログ（KEV）に掲載
THE REAL RISK
本当のリスクは「すぐに更新できないシステム」にある
PHPの開発元は「緩和策で安全になるわけではなく、更新が唯一の完全な解決策」としています。しかし、長年稼働してきた業務システムほど、すぐには更新できません。
- 01
仕様が分からない
設計書と実装が乖離し、詳しい担当者も異動・退職。更新したときに何が壊れるのか、誰も説明できません。
- 02
古い基盤に縛られている
フレームワークや独自部品が新しいPHPに対応しておらず、バージョンを上げること自体が改修になります。
- 03
業務を止められない
受発注や会計など止められない業務が乗っており、十分な検証期間や切り替えの時間を確保できません。
- 04
次の脆弱性も必ず来る
今回をパッチでしのいでも、サポートが切れた基盤のままでは、同じ判断を何度も繰り返すことになります。
必要なのは、その場しのぎの更新ではなく、
現行を正しく把握し、安全に更新し続けられる状態へ移ること。
Acsim モダナイゼーションは、AIによる全量解析とテストによる品質担保で、この移行を業務を止めずに進めます。
WHY ACSIM
全量解析で把握し、テストで確かめながら移行する
既存システム・業務を、コードと資料から全量解析
ブラックボックスを27種類の設計資産へ
ソースコード・DB定義・既存資料をまとめて解析し、画面・処理・データ・外部連携・依存関係を復元します。業務フローや機能一覧まで可視化し、根拠のある内容と推測を区別して信頼度スコアを付与します。
セキュリティリスクと影響範囲を特定
セキュリティ診断レポートで脆弱性をリスク別に分類し、対策方針と影響範囲を提示します。どこを変えれば何に影響するのかを把握してから、対策に着手できます。
既存業務への影響を、最小限に抑えてモダナイズ
現行踏襲を基本に、変える範囲を合意
使い慣れた画面・操作を維持したまま、内部だけを新しい基盤へ刷新することも可能です。セキュリティなど必要な対策（守り）と、機能改善（攻め）を分けて判断します。
現行と同じ結果になることをテストで確認
期待結果と判定方法を実装前に合意し、Acsim テストで準備・実行を自動化。新旧の挙動を比較し、合格基準を満たしたことを確かめてから切り替えます。
最短3ヶ月で、対策から刷新までを実施
解析・合意・実装・テストを一気通貫
リバースエンジニアリングの成果をそのまま要件・合格基準・テストケースへつなぐため、工程間の手戻りや作り直しが発生しません。
AIと現場の実装チームを組み合わせた体制
AI要件定義「Acsim」、AI-native開発基盤「Plain」、現場で実装と合意形成を担うエンジニアを組み合わせ、短いサイクルで構築・検証を回します。
APPROACH
解析結果をもとに、3つの進め方から選ぶ
すべてを作り直す必要はありません。領域ごとに、刷新するか、既存を活かすか、必要な対策だけ行うかを判断します。
A
リプレース
機能追加を続ける領域に
合意した仕様を、サポートされた新しい基盤で実装します。画面・操作は維持したまま内部を刷新できるため、現場の教育や受入の負担を抑えられます。
- 画面・操作の維持も可能
- 新旧の挙動を比較して検証
- 今後も更新し続けられる基盤へ
B
運用保守改善のAI化
既存システムを活かす領域に
Acsim と AI ハーネスで、調査・改修・確認の作業を省力化します。脆弱性対応のような改修サイクルを短くし、運用・保守の負担と属人化を減らします。
- 調査・改修・確認を省力化
- 既存業務とデータを維持
- 異常時は停止し人へ引継ぎ
C
現行継続＋必要な対策
大きく変えない領域に
画面・操作・データは変えずに、サポートされたPHPへの更新など必要な対策に絞って実施します。あわせて、次に見直す時期と方式も決めておきます。
- 業務を止めずに継続
- 対策の範囲を限定
- 次の判断時期を明確化
WORKFLOW
各工程で、お客様が判断できる材料をそろえる
現状把握から受入まで、工程ごとに判断ポイントを設けます。合意した合格基準を満たしたことを確かめてから、次へ進みます。
- 01 UNDERSTAND
現状と実現可否を把握
Acsim リバースエンジニアリングで現行仕様を復元。方式ごとの実現可否・必要な改修・テスト量を報告します。
お客様の判断報告を受けて、次に進むかを判断
- 02 DEFINE
対策範囲と合格基準を合意
現行を踏襲する範囲、必要な対策、追加する改善を整理し、期待結果と判定方法をテストケースに落とし込みます。
お客様の判断方式・範囲・合格基準を決定
- 03 IMPLEMENT
決めた範囲を実装
リプレース／AI化／現行継続のうち選んだ方式で、合意した仕様と受入条件に対応づけて実装します。
お客様の判断試作レビューで仕様を確認
- 04 VERIFY
テストで確かめてリリース
Acsim テストで準備・実行を自動化し、合否と証跡をレポート。現場で最終確認してから本番へ切り替えます。
お客様の判断合格基準の充足を確認し受入
SCHEDULE
最短3ヶ月のモデルケース
- 1ヶ月目
全量解析・実現可否の報告
- コード・DB定義・資料の解析
- セキュリティ診断・影響範囲の特定
- 方式ごとの可否・条件を報告
- 2ヶ月目
方式決定・合格基準の合意
- 対策範囲と改善範囲の整理
- テスト設計・ケースの作成
- 受入条件・合格基準の合意
- 3ヶ月目
実装・テスト・リリース
- 必要な対策の実装
- 新旧比較・回帰テストの自動実行
- 現場確認のうえ本番へ切替
※ サポートされたバージョンへの更新など、必要な対策に絞って進める場合のモデルケースです。リプレースなど対象範囲が広い場合は、初月の解析結果をもとに期間を具体化します。
ソースコードの取り扱い
解析対象のコードを、安全に取り扱います
- NDA（秘密保持契約）を締結した上で提供
- ローカル環境での解析実行に対応
- ソースコードを外部クラウドへ保存・蓄積しない
- 必要に応じてオフライン環境での実行にも対応可能
解析の成果物を見る
全量解析では、基本設計書・画面機能マッピング・テストケース・セキュリティ診断レポートなど27種類の設計資産を生成します。成果物の詳細とサンプルは、Acsim リバースエンジニアリングのページでご覧いただけます。
Acsim リバースエンジニアリングFAQ
よくあるご質問
- QPHPを最新版に更新するだけでは不十分ですか？
- A更新できる場合は、まず更新を最優先で実施してください。ただし、フレームワークや独自部品が新しいバージョンに対応していない場合、更新そのものが改修になります。Acsim モダナイゼーションでは影響範囲を解析し、現行と同じ動作になることをテストで確かめながら更新・移行します。
- Q設計書が残っていなくても進められますか？
- Aはい。ソースコードとDB定義を起点に現行仕様を復元します。既存資料や実機・運用情報があれば補完に活用し、根拠のある内容・推測・未確認を区別してご報告します。
- QPHP以外で作られたシステムも対象になりますか？
- Aはい。Java、C#、COBOL、VBA、PL/SQL など、主要エンタープライズ言語11種以上に対応しています。サポート切れの基盤で動き続けているシステム全般が対象です。
- Q3ヶ月ですべてのシステムを刷新できますか？
- A最短3ヶ月は、サポートされたバージョンへの更新など必要な対策に絞って進める場合のモデルケースです。リプレースなど範囲が広い場合は、初月の解析結果をもとに対象範囲・テスト量・期間を具体化してご提示します。