Webシェルとは?サーバーに仕込まれる「遠隔操作の裏口」の仕組みと対策

一言でいうと

**Webシェルとは、攻撃者がWebサーバーに設置する、遠隔操作のための不正なファイル(プログラム)**のことです。設置されると、攻撃者は、ブラウザなどから、サーバーを自由に操作できるようになります。

たとえ話:建物に作られた「裏口」

建物の鍵を、一時的に開けられた時に、こっそり、内側から開けられる裏口を作られたとします。その後、鍵を直して、正面の玄関を固く閉めても、裏口が残っていれば、いつでも出入りできてしまいます。

Webシェルは、この「裏口」のような存在です。一度、侵入された後に、再び入るための入口として、設置されます。

2026年10月の注意喚起でも、取り上げられた

JPCERT/CCの注意喚起(2026年10月8日)でも、確認されている手口の1つとして、公開されているWebサーバーから到達できるアプリケーションサーバーに、Webシェルが設置されたケースが、挙げられています。背景は、なぜ今、個人情報の流出が相次いでいるのかで整理しています。

どのように設置されるのか

どの入口も、他の記事で取り上げた、一般的な弱点です(個人情報の流出はなぜ起きるのか)。

設置されると、何をされるのか

• サーバー内の情報の窃取(顧客情報、設定ファイル、鍵情報など)
• ファイルの書き換え・削除
• 他のシステムへの侵入の足がかりにする(同じネットワークの別のサーバーを、攻撃する)
• 別の不正なプログラムの設置(ランサムウェアなど)

一度設置されると、元の脆弱性を直しても、Webシェルが残っていれば、侵入され続けます。この点が、対応を難しくします。

見つけるための手がかり

Webシェルは、普通のファイルに、紛れ込んでいることがあります。次のような点が、手がかりになります。

ただし、巧妙に隠されたものは、目視では見つけにくいため、専門家による調査が必要になることが多くあります。

設置を防ぐ対策

• 修正プログラムを、適用する:使っているソフトウェアや機器を、把握し、更新する(SBOMとは)
• アップロードを、制限する:受け付けるファイルの種類を絞り、保存場所では、プログラムが実行されないようにする
• 権限を、最小限にする:Webサーバーが、書き込みできる場所を、必要な範囲に絞る(最小権限の原則とは)
• 管理画面を、守る:多要素認証を設定し、必要のない外部公開を止める
• ファイルの変更を、監視する:意図しない追加や変更を、検知できるようにする
• ログを保存し、確認する:後から、追跡できる状態にしておく

見つけた(疑われる)時の初動

Webシェルが疑われる時は、慌てて削除せず、次の順に動きます。

1. 被害の拡大を止める:影響の範囲を見極め、必要に応じて、該当のサーバーを、ネットワークから切り離す
2. ログと、不審なファイルを、保全する:調査のために、消さずに残す
3. 専門家・関係窓口に、相談する:自力で完結させない
4. 他のサーバーや、アカウントへの影響を、確認する:パスワードやキーの変更も、検討する
5. 原因の脆弱性を、修正する:再侵入を防ぐ

「見つけたから、消して終わり」にすると、他の侵入の跡が、残ったままになることがあります。

利用者の側から見ると

Webシェルのような、サーバー内の攻撃は、利用者からは見えません。利用しているサービスのサーバーが侵害されても、利用者が、気づくことは、まずできません。

• 企業からの公式の発表や、通知を、確認する
• 自分の情報が、流出した可能性がある場合の対処を、把握しておく(自分の情報が流出したと通知が来たら)
• 普段から、パスワードの使い回しをやめ、多要素認証を設定しておく

サーバー側の侵害は、防ぐのも、気づくのも、運営側の責任です。利用者としては、漏れた時に、被害を小さくする備えが、現実的な対策になります。

まとめ

• Webシェルは、サーバーに仕込まれる、遠隔操作の裏口
• 脆弱性・アップロードの不備・盗まれた認証情報などを入口に、設置される
• 設置されると、情報の窃取・書き換え・他への侵入の足がかりに使われる
• 対策は、修正・アップロード制限・最小権限・変更監視・ログ
• 見つけたら、消す前に保全して、専門家へ相談する

組織の点検項目は、個人情報を漏らさないための点検リストにまとめています。

関連記事:個人情報流出 2026年10月の主な事案|パスワード変更は必要?早見表

関連記事:PHPの重大な脆弱性とは

関連記事:PHPとは