【PR】この記事はアフィリエイト広告を含みます
PHPにおける複数の脆弱性には、更新できるなら PHP の更新を、更新まで時間がかかるなら WAF を確認してください [1][2]。脆弱性（ソフトウェアの弱点）が悪用されると、攻撃者に好きな命令を実行される恐れがあります [1]。WAF（サイトの弱点を狙う攻撃から守る仕組み）を使うセキュリティ対策を、料金・導入の形・サポートの3つの軸で整理しました [2]。
要点（3行）
- WAF を初めて使い、運用を任せたい人なら、SiteGuardシリーズ。クラウド型は DNS の設定を変えるだけで入れられ、運用を提供側に任せられます [2]
- レンタルサーバーで PHP のサイトを動かしている人なら、攻撃遮断くん。DNS 切り替え型はレンタルサーバー環境に対応でき、サーバーに手を入れずに始められます [5]
- 無料のプランから確認したい人なら、Cloudflare WAF。Free プランの案内があります。WAF が使えるかどうかは、公式ページで最新の情報を確認してください [4]
ひと目で比較
月額の安い順（料金が分かる製品から。並びは順位ではありません）。金額はいちばん安いプランの税込（公式の税抜表示は×1.1で換算）で、料金は 2026-10-31 時点。プラン名・契約期間などの条件は下の「各サービスの公式情報」に。
税込11,000円/月
無料期間 なし・要確認
DNS切り替えで導入でき、最短1営業日で始められる
料金は公式ページで確認
無料枠 試せる版の案内あり
環境に合わせて3種類から選べる
料金は公式ページで確認
無料期間 なし・要確認
管理ルールセットとカスタムルールを組み合わせられる
選び方
結論
WAF を初めて使い、運用を任せたい人
SiteGuardシリーズクラウド型は DNS の設定を変えるだけで入れられ、運用を提供側に任せられます [2]
レンタルサーバーで PHP のサイトを動かしている人
攻撃遮断くんDNS 切り替え型はレンタルサーバー環境に対応でき、サーバーに手を入れずに始められます [5]
無料のプランから確認したい人
Cloudflare WAFFree プランの案内があります。WAF が使えるかどうかは、公式ページで最新の情報を確認してください [4]
選定基準（選び方の軸3つ）
選び方の3つの軸
- 料金の形: SiteGuardシリーズのクラウド型は、月ごとの通信量でプランが決まる月額です [2]。ソフトウェア型は OS ごとの年間ライセンスで、攻撃遮断くんはトラフィック連動のタイプと定額のタイプがあります [2][5]。
- 導入のしかた: DNS の切り替えで入れるもの、サーバーに入れるもの、サーバーの前に置くものがあります [2][3]。自社のサーバー環境で使えるかを先に見ます。
- サポートと運用の手間: 日本語の電話サポートの有無、緊急時の対応時間、ルール更新を任せられるかを見ます [3][4]。
順位や点数はつけず、上の軸に照らして状況別に整理しています。報酬や提携の有無で順番を決めていません。試用による評価ではなく、公式情報の整理です。
比較表
料金の比較グラフ
機能の対応表
| サービス | 料金の掲載 | 無料お試し | 主な連携先 | サポート |
|---|---|---|---|---|
| SiteGuardシリーズ | 要確認 | あり | 要確認 | 要確認 |
| 攻撃遮断くん | あり | 要確認 | あり | あり |
| Cloudflare WAF | 要確認 | 要確認 | あり | あり |
税込は公式の税抜表示に1.1を掛けて計算。料金は 2026-10-31 時点
| サービス | 税込料金 | 無料枠 | 対象規模 | 主な連携先 | サポート | 強み | 弱み |
|---|---|---|---|---|---|---|---|
| SiteGuardシリーズ | 公式ページで確認（クラウド型は月額、ソフトウェア型は年間ライセンス）[2] | 試せる版の案内あり [2] | クラウド型は WAF が初めての会社向け、ゲートウェイ型は複数サーバー向け [2] | 公式ページで確認 | 公式ページで確認 | 環境に合わせて3種類から選べる [2] | ソフトウェア型は OS ごとの年間ライセンス [2] |
| 攻撃遮断くん | WebセキュリティタイプNeo 1サイトプラン 税抜10,000円/月（税込11,000円）から [5] | 公式ページで確認 | 1サイトから大規模環境まで [3] | AWS、Azure、レンタルサーバーなどに対応 [3] | 電話・メールの日本語サポート。緊急時は24時間365日 [3] | DNS切り替えで導入でき、最短1営業日で始められる [5] | すべてのプランで初期導入費用が発生 [5] |
| Cloudflare WAF | 公式ページで確認（米ドル表示）[4] | Freeプランの案内あり（WAFが含まれるかは公式ページで確認）[4] | 個人向けから中小企業向け、エンタープライズ向けまで [4] | Terraform との統合 [4] | チケットのみから電話つきまで、プランで異なる [4] | 管理ルールセットとカスタムルールを組み合わせられる [4] | 料金は米ドル表示で、税込かどうかは読み取れない [4] |
各サービスの公式情報
SiteGuardシリーズ
公式ページで確認してください（クラウド型は月額、Server Edition と Proxy Edition は年額の体系です）
税込は公式の税抜表示に1.1を掛けて計算。料金は 2026-10-31 時点
- 向いている人
- WAF が初めてで運用を任せたい人はクラウド型。サーバー構成に合わせて調整したい人はソフトウェア型 [2]
- 向かない人
- 月ごとの支払いにしたい人。月額なのはクラウド型だけです [2]
- 長所
- クラウド型・ホスト型・ゲートウェイ型の3種類から、環境に合わせて選べます [2]
- 短所
- 公式のアラート情報に、Server Edition の緊急の脆弱性（2026年10月14日付）が載っています。使う場合は更新情報の確認が欠かせません [2]
- 料金
- 公式ページで確認してください（クラウド型は月額、Server Edition と Proxy Edition は年額の体系です）[2]
SiteGuardシリーズの料金はいくら？
公式ページで確認してください（クラウド型は月額、Server Edition と Proxy Edition は年額の体系です）[2]。
クラウド型は DNS の設定を変えるだけで入れられ、運用を任せられます [2]。ゲートウェイ型は、サーバーの前に置いて複数の Web サーバーをまとめて守ります [2]。
PHP の件では、php2shell への対応を知らせるアラートが、2026年10月22日付で載っています [2]。内容は公式ページで最新の情報を確認してください。
攻撃遮断くん
WebセキュリティタイプNeo 1サイトプラン 税抜10,000円/月（税込11,000円）から
税込は公式の税抜表示に1.1を掛けて計算。料金は 2026-10-31 時点
- 向いている人
- レンタルサーバーのサイトを、サーバーに手を入れずに守りたい人 [5]
- 向かない人
- サーバーの管理者権限が無い人。サーバセキュリティタイプは、権限が要るうえにレンタルサーバー環境で使えません [3][5]
- 長所
- 電話・メールの日本語サポートがあり、緊急時は24時間365日対応です [3]
- 短所
- DDoS対策とBot対策は DDoSセキュリティタイプNeo だけです。すべてのプランで初期導入費用も発生します [3][5]
- 料金
- WebセキュリティタイプNeo 1サイトプラン 税抜10,000円/月（税込11,000円）から [5]
攻撃遮断くんの料金はいくら？
WebセキュリティタイプNeo 1サイトプラン 税抜10,000円/月（税込11,000円）から [5]。
攻撃を防ぐルールは自動で更新されるため、自社での運用の手間を抑えられます [5]。
PHP の脆弱性 php2shell への対応を知らせるお知らせが、2026年10月22日付で載っています [3]。内容は公式ページで最新の情報を確認してください。
Cloudflare WAF
公式ページで確認してください（表示は米ドルです）
税込は公式の税抜表示に1.1を掛けて計算。料金は 2026-10-31 時点
- 向いている人
- 無料のプランから試したい個人サイトや小さな会社 [4]
- 向かない人
- 電話を含むサポートが必要な人。サポートの段階を先に確認してください [4]
- 長所
- SQLインジェクションなどの一般的な攻撃に加え、管理ルールとカスタムルールを組み合わせられます [4]
- 短所
- 料金は米ドル表示で、税込かどうかは読み取れません。Pro は、事業の中心ではないサイト向けと案内されています [4]
- 料金
- 公式ページで確認してください（表示は米ドルです）[4]
Cloudflare WAFの料金はいくら？
公式ページで確認してください（表示は米ドルです）[4]。
Cloudflare WAF は、Cloudflare のネットワーク上で動き、Web アプリケーションの前面に置かれます [4]。PHP の件への対応は、公式ページで最新の情報を確認してください。
用語の定義
くわしく読む
安全なウェブサイトの作り方とは？
安全なウェブサイトの作り方とは、IPAが受けた脆弱性の届出をもとに、サイトの作り手や運営者が取るべき対策をまとめた資料です [6]
関係する制度
くわしく読む
IPA（情報処理推進機構）は、受け付けた脆弱性の届出をもとに、「安全なウェブサイトの作り方」でSQLインジェクションなど11種類の脆弱性を取り上げています [6]。IPAの重要なセキュリティ情報には、PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）の対策を扱うページがあります [6]。IPAの脆弱性対策関連ガイドには、ECサイト構築・運用セキュリティガイドラインなどが案内されています [7]。
費用の目安（計算例）
費用の計算例
計算式と前提を見る
攻撃遮断くんの表示は税抜です。この記事では税込に直して載せています [5]。
- WebセキュリティタイプNeo 1サイトプランを1年使う場合: 計算式: 税込11,000円/月 × 12か月 = 税込132,000円（2026-10-31時点の料金から計算）
- WebセキュリティタイプNeo 1サイトプランを半年使う場合: 計算式: 税込11,000円/月 × 6か月 = 税込66,000円（2026-10-31時点の料金から計算）
計算に使った料金は上の比較表の値です。実際の請求額はピーク時のトラフィック量やオプションで変わることがあります。初期導入費用は含めていません [5]。
よくある質問
Q. PHPにおける複数の脆弱性は、自社のサイトに関係するかをどう確かめますか？
まず、使っている PHP のバージョンを調べます。たとえば 8.4 系は 8.4.27 より前、8.3 系は 8.3.36 より前が対象で、ほかの系統は公式ページで最新の情報を確認してください [1]。8.1 以前は更新版が出ないため、サポート中のバージョンへの移行が勧められています [1]。PHP を組み込んだ製品の PHP も影響を受ける場合があります [1]。
Q. WAF を入れるセキュリティ対策だけで、PHP の更新は後回しにできますか？
後回しにはできません。JPCERT/CC は、緩和策は特定の攻撃経路への対処にとどまり、更新だけが対策だとしています [1]。WAF は、サイトの弱点を直しにくいときの対策や、万一に備える保険的な対策として案内されています [2]。WAF の PHP への対応は、各社の公式ページで最新の情報を確認してください。
Q. 攻撃を受けたかどうかは、どこを見れば確かめられますか？
異常な形の PHPSESSID の Cookie が返っていないか、不審な multipart/form-data のリクエストの前後にメモリ上限のエラーや HTTP 500 が出ていないか、PHP のワーカーが異常終了や再起動を繰り返していないかを見ます [1]。痕跡が見つからなくても、攻撃を受けていないとは言い切れません [1]。
Q. PHP をすぐ更新できないとき、WAF のほかにできる設定はありますか？
開発元は、CVE-2026-115560 の更新版が出るまで、session.upload_progress.enabled を 0 にしてワーカーを再起動する設定を勧めています [1]。この設定は CVE-2026-109619 の緩和策としても案内され、すでに適用済みなら追加の対応は要らないとされています [1]。
