日本の外部公開面
インターネットから誰でも確認できる情報をもとに、日本企業の外部公開面を毎月観測しています。個別の企業名やドメインは公開せず、日本全体や業種・規模ごとの傾向を示します。
- 観測月
- 2026年10月
- 観測した会社
- 44,425社
- 観測日時
- 2026年10月22日 5:59（日本時間）
- メールのなりすまし対策
母数: DNS を引けて、メールの受け口（MX）がある会社 40,515社
- DMARC で隔離・拒否まで設定している9.2%
- DMARC を設定している（隔離・拒否はしない）41.6%
- SPF だけを設定している45.0%
- SPF・DMARC とも見当たらない4.2%
- Webサイトの作成ソフト（CMS）
母数: トップページを取得できた会社 35,841社
- CMS が分からない73.6%
- WordPress 以外の CMS・サイト作成サービスと分かる5.2%
- WordPress と分かる（バージョンは読めない）6.9%
- WordPress のバージョンが外から読める11.8%
- WordPress 公式が「insecure」とするバージョンを使っている2.5%
- Webサイトの証明書
母数: 443 番ポートで証明書を取得できた会社 38,497社
- 有効95.8%
- 期限が切れている0.3%
- 名前が合わない（掲載 URL が https）0.2%
- 名前が合わない（掲載 URL が http など）3.7%
- Webサイトの PHP のバージョン
母数: トップページの応答ヘッダを読めた会社 38,331社
- PHP のバージョンが外から読めない92.3%
- セキュリティ修正を当てている0.9%
- セキュリティ修正が当たっていない0.8%
- サポートが終了したバージョン5.9%
- 2026年10月21日に公表された CVE-2026-109618 / CVE-2026-109619（PHP）
母数: PHP のバージョンが外から読めた会社 2,941社
- 修正版を当てている12.2%
- 修正版より前（サポート中のバージョン）10.7%
- 該当（サポートが終了したバージョン）77.1%
なぜ外部公開面を見るのか
攻撃者は、インターネットから確認できる情報を使って、攻撃対象や攻撃方法を探ります。メール認証、Webサイトのソフトウェア、証明書などの基礎的な状態も、その判断材料になり得ます。
また、サプライチェーンセキュリティでは、自社だけでなく取引先を含めた対策が重要です。企業規模にかかわらず、自社の外部公開面がどう見えているかを把握することが、サイバーセキュリティ対策の第一歩になります。
条件
全国この条件の会社数: 44,425社
メールのなりすまし対策
取引先や自社を名乗る偽のメールは、詐欺や不正送金、ウイルス感染の入口として使われます。送信元を申告する SPF と、なりすましと判定したメールの扱いを決める DMARC を隔離・拒否まで設定すると、自社のドメインを名乗る偽のメールが相手に届きにくくなります。ここでは、その設定をどこまで進めているかを示します。
母数: DNS を引けて、メールの受け口（MX）がある会社
- DMARC で隔離・拒否まで設定している
- DMARC を設定している（隔離・拒否はしない）
- SPF だけを設定している
- SPF・DMARC とも見当たらない
業種ごと（いちばん上は全国）
数字の根拠
全国母数: 40,515社
| 区分 | 割合 | 社数 | 前月差 |
|---|---|---|---|
| DMARC で隔離・拒否まで設定している | 9.2% | 3,709 | +0.2 pt |
| DMARC を設定している（隔離・拒否はしない） | 41.6% | 16,872 | +0.3 pt |
| SPF だけを設定している | 45.0% | 18,237 | -0.4 pt |
| SPF・DMARC とも見当たらない | 4.2% | 1,697 | -0.1 pt |
- ※ DMARC の 2 つの区分には、SPF を設定していない会社も含みます。
Webサイトの作成ソフト（CMS）
Webサイトの作成ソフト（CMS）を、弱点の見つかった古いバージョンのまま使い続けると、公開されている手口で改ざんや乗っ取りを受けるおそれがあります。外から種類やバージョンが読めると、弱点のあるバージョンを使っているサイトが見分けやすくなります。ここでは、トップページから使っている CMS が分かるか、WordPress ならバージョンまで読めるか、WordPress 公式が「insecure」とするバージョンかを示します。
母数: トップページを取得できた会社
- CMS が分からない
- WordPress 以外の CMS・サイト作成サービスと分かる
- WordPress と分かる（バージョンは読めない）
- WordPress のバージョンが外から読める
- WordPress 公式が「insecure」とするバージョンを使っている
業種ごと（いちばん上は全国）
数字の根拠
全国母数: 35,841社
| 区分 | 割合 | 社数 | 前月差 |
|---|---|---|---|
| CMS が分からない | 73.6% | 26,382 | +3.7 pt |
| WordPress 以外の CMS・サイト作成サービスと分かる | 5.2% | 1,863 | -0.2 pt |
| WordPress と分かる（バージョンは読めない） | 6.9% | 2,490 | -0.9 pt |
| WordPress のバージョンが外から読める | 11.8% | 4,212 | -2 pt |
| WordPress 公式が「insecure」とするバージョンを使っている | 2.5% | 894 | -0.7 pt |
- ※ 「CMS が分からない」には、CMS を名乗らないサイトや手作りのサイトのほか、外から見分けられないように隠している WordPress も含みます。
- ※ 「WordPress 以外の CMS・サイト作成サービスと分かる」は、ページの generator 表示に CMS やサイト作成サービスの名前が出ている会社です。
Webサイトの証明書
Webサイトの証明書（HTTPS で使う TLS 証明書）は、訪問者が本物のサイトと暗号化した通信でつながっていることを確かめるためのものです。期限が切れていたり名前が合わなかったりするとブラウザが警告を出し、訪問者が警告を読み飛ばすことに慣れると、偽のサイトや通信の盗み見に気づきにくくなります。ここでは、証明書が有効か、期限切れか、サイトの名前と合っているかを示します。
母数: 443 番ポートで証明書を取得できた会社
- 有効
- 期限が切れている
- 名前が合わない（掲載 URL が https）
- 名前が合わない（掲載 URL が http など）
業種ごと（いちばん上は全国）
数字の根拠
全国母数: 38,497社
| 区分 | 割合 | 社数 | 前月差 |
|---|---|---|---|
| 有効 | 95.8% | 36,871 | +1.2 pt |
| 期限が切れている | 0.3% | 121 | -0.1 pt |
| 名前が合わない（掲載 URL が https） | 0.2% | 83 | 0 pt |
| 名前が合わない（掲載 URL が http など） | 3.7% | 1,422 | -1.1 pt |
- ※ 「名前が合わない（掲載 URL が http など）」は、HTTPS を設定していないとみられる会社です。
Webサイトの PHP のバージョン
PHP は多くの Webサイトや WordPress を動かすプログラムの実行環境です。サポートが終了したバージョンや、セキュリティ修正を当てていないバージョンのまま使い続けると、公開された弱点を突かれて乗っ取りを受けるおそれがあります。ここでは、トップページの応答ヘッダから PHP のバージョンが読めるか、読めるならセキュリティ修正を当てているか、サポートが終了したバージョンかを示します。
母数: トップページの応答ヘッダを読めた会社
- PHP のバージョンが外から読めない
- セキュリティ修正を当てている
- セキュリティ修正が当たっていない
- サポートが終了したバージョン
まだ 1 か月分です。翌月以降の観測で推移が描かれます。
業種ごと（いちばん上は全国）
数字の根拠
全国母数: 38,331社
| 区分 | 割合 | 社数 | 前月差 |
|---|---|---|---|
| PHP のバージョンが外から読めない | 92.3% | 35,390 | — |
| セキュリティ修正を当てている | 0.9% | 358 | — |
| セキュリティ修正が当たっていない | 0.8% | 316 | — |
| サポートが終了したバージョン | 5.9% | 2,267 | — |
- ※ 「PHP のバージョンが外から読めない」には、PHP を使っていない会社や、バージョンを隠している会社も含みます。
- ※ Ubuntu・Debian などの配布元の版は、配布元が公開しているセキュリティ情報（Ubuntu の USN・Debian の security tracker）で、観測を始めた日までにそのリリースに出た最後のセキュリティ更新を当てているかを判定しています。サポートが終了したバージョンは、配布元の版でも「サポートが終了したバージョン」に数えています。
- ※ 「セキュリティ修正を当てている」は、観測を始めた日までに PHP が公開した、そのバージョンの系列の最後のセキュリティ修正版と同じかそれより新しいものです。不具合の修正だけの版は数えません。
2026年10月21日に公表された CVE-2026-109618 / CVE-2026-109619（PHP）
2026年10月21日に、PHP のセキュリティチームが重大な脆弱性 2 件（CVE-2026-109618 / CVE-2026-109619）の修正版を公開しました。ここでは、PHP のバージョンが外から読めた会社のうち、修正版を当てているか、修正版より前のバージョンのままかを月ごとに示します。サポートが終了したバージョン（8.1 系以前）には修正版が出ません。
母数: PHP のバージョンが外から読めた会社
- 修正版を当てている
- 修正版より前（サポート中のバージョン）
- 該当（サポートが終了したバージョン）
まだ 1 か月分です。翌月以降の観測で推移が描かれます。
業種ごと（いちばん上は全国）
数字の根拠
全国母数: 2,941社
| 区分 | 割合 | 社数 | 前月差 |
|---|---|---|---|
| 修正版を当てている | 12.2% | 358 | — |
| 修正版より前（サポート中のバージョン） | 10.7% | 316 | — |
| 該当（サポートが終了したバージョン） | 77.1% | 2,267 | — |
- ※ 修正版は 8.2.35・8.3.36・8.4.27・8.5.12 です（PHP のセキュリティ勧告）。サポートが終了したバージョンは、NVD の登録した範囲（8.2.35 より前）に従って該当に数えています。
- ※ Ubuntu・Debian などの配布元の版は、配布元が公開している CVE の追跡情報（そのリリースで修正が入ったパッケージの版）と比べて判定しています。配布元が延長サポートで修正している場合は、サポートが終了したバージョンでも「修正版を当てている」に数えます。
調査方法
調査対象は、厚生労働省の職場情報総合サイト「しょくばらぼ」に掲載されている企業です。対象企業と業種・従業員規模・都道府県は、同サイトのデータを加工して作成しています。
観測は、インターネットから誰でも確認できる範囲に限っています。DNSの記録、企業サイトのトップページ、Webサイトの証明書を確認し、侵入や負荷をかける検査は行っていません。
メールのなりすまし対策、Webサイトの作成ソフト（CMS）、証明書は、それぞれ確認できた企業を母数として集計しています。詳しい区分の定義は各項目に記載しています。
ISMS取得企業との比較には、ISMS認証登録の一覧と社名・都道府県で照合できた企業だけを使用しています。照合できなかった企業を「ISMS未取得」とは扱っていません。