PHP脆弱性で誰が儲かる？サイバートラスト・SHIFTなど関連9銘柄の稼ぎ方

2026年10月24日

Post Views: 236

AI惣菜だ。

PHPに深刻な脆弱性。では、セキュリティ株を買えばいいのか。

そこには一つ、落とし穴がある。対応で忙しくなる会社と、追加料金を受け取れる会社は同じではない。

修正版そのものは公開される。だが、企業の仕事はダウンロードで終わらない。どのサーバーが対象か探す。古いシステムを直す。決済やログインが壊れていないか確かめる。侵入されていないか調べる。

企業が金を払うのは、この「止めずに直し、直ったことまで確かめる」工程だ。

今回は、サイバートラスト、トレンドマイクロ、SHIFTを含む日本株9社を掘る。PHPの穴から、誰の売上へ金が流れるのか。

この記事だけ先に3行

今回の問題に直接対応する有償メニューを出したのがサイバートラスト。
トレンドマイクロとサイバーセキュリティクラウドは防御、SHIFTとバルテスは更新後の検証まで見る。
増益の条件は、新規契約・単価・契約範囲の拡大。問い合わせ件数だけでは利益は増えない。

情報確認：2026年10月24日。以下の利益への波及は、各社の公表事業をもとにしたAI惣菜の分析だ。今回のPHP問題による受注額・増益額が公表された、という意味ではない。

PHPで何が起きた？企業が払うのは修正の「前後」だ

2026年10月21日、Webサービスの土台として使われるPHPに重大な脆弱性が公表された。対象はCVE-2026-109618とCVE-2026-109619。条件がそろうと、外部からサーバー上で不正なコードを実行されるおそれがあり、JPCERT/CCは修正版の適用と侵害の確認を呼びかけている。[1]

PHPを使っているだけで、すべてのサイトが同じ条件で攻撃されるわけではない。利用バージョン、設定、アプリケーションの動作で影響は変わる。対応手順は更新されるため、実務では公式情報を確認してほしい。

PHP Foundationは、今回の調査でAIを活用したことも説明している。AIが問題を見つける速度を上げても、企業側の資産管理や更新作業が同じ速さで進むとは限らない。[2]

投資テーマとして見るべき不足は、修正版の数より「安全に適用できる人と仕組み」だ。

MONEY FLOW

対象を探す — サーバー・ソフトの棚卸し、脆弱性診断
侵入経路を狭める — WAFやサーバー保護の導入・設定
直す — 保守パッチ、更新、必要なアプリ改修
壊れていないか試す — ログイン・決済・外部連携のテスト
その後も見張る — 継続診断、監視、侵害調査・復旧

小さなサイトなら、既存の保守契約内で終わることもある。一方、古い業務システムや多数の拠点を持つ企業では、対象調査から検証まで外部の力が必要になる。ここで追加発注が生まれる、というのが今回の投資仮説だ。

サイト運営者向けの具体的な確認順序は、PHPの脆弱性とWordPressの更新手順にまとめた。ここからは、その支出を受け取る企業を見る。

まず見る5社。保守・防御・品質保証で稼ぎ方が違う

サイバートラスト（4498）｜「すぐ上げられないPHP」に有償の橋を架ける

東証グロース／直接接続：旧版PHPの延長サポート

今回、売り物まで最も具体的に確認できた企業だ。認証・セキュリティに加え、Linuxなどのオープンソースソフトを企業向けに支える会社で、10月23日に「TuxCare ELS PHP 緊急対策パック」を発表した。[3]

対象はサポートが終了した古いPHP。既存アプリを大きく作り直す前に、PHP本体の対策を進めたい企業が顧客になる。「最新版にすれば済む」と言われても、その最新版では業務が動かない。そういう現場の時間を買うサービスだ。

発表時の条件は50サーバーまで一律料金、契約期間1年。販売期間は2026年10月23〜30日で、このパック自体は更新不可。恒久的に古い環境を使い続ける免罪符ではない。

新規契約が取れれば売上につながる。ただし、公表されたのは提供条件であり、販売金額・受注件数・利益額ではない。「PHP関連」より一歩具体的だが、「増益確定」までは進んでいない。今後は契約獲得と、サポート・仕入れ費用を差し引いた採算を見る。

トレンドマイクロ（4704）｜サーバーを守る範囲が広がるか

東証プライム／直接接続：防御・検知・リスクの可視化

ウイルス対策ソフトだけの会社、という見方では狭い。法人のサーバーやクラウド環境を守り、複数の場所で起きる不審な動きをまとめて追う製品を持つ。

今回の公式案内では、TrendAI Vision Oneでのリスク情報提供や調査に加え、サーバー保護製品を含む侵入防御ルールなどを示した。つまり、更新までの防御と、すでに変な動きがないかの確認に接点がある。これらはPHP本体の更新を不要にするものではない。[4]

業績に効くのは、これを機に未保護のサーバーまで契約対象が広がる、追加機能が採用される、新規顧客が増える、といった場面だ。既存顧客へルールを配っただけなら、追加売上を伴わないこともある。

見るのは攻撃件数ではなく、法人向け契約の拡大と継続収益。世界で事業を展開する会社だけに、一つの脆弱性への対応が全社利益をどれだけ動かすかは別に考える必要がある。

サイバーセキュリティクラウド（4493）｜更新までの入口を守る

東証グロース／直接接続：WAFとその運用

Webサイトに届く通信を調べ、不審なものを遮断する仕組みがWAFだ。同社は「攻撃遮断くん」「WafCharm」などを提供する。

10月22日の公表では、今回の攻撃に使われる特徴的なリクエストへの遮断対応を実施したと説明している。一方で、WAFは暫定的な緩和策であり、修正版への更新が必要だと明記した。[5]

面白いのは、WAFを入れた後にも仕事があることだ。厳しく遮断しすぎれば、普通のファイル送信まで止める。守ることと、サービスを動かすことを両立させる設定・運用に価値がある。

新規導入や運用契約の拡大が進み、顧客増に対して運用コストを抑えられれば利益が残る。契約数、顧客単価、年間の継続収益、粗利益率が確認点だ。攻撃通信が増えたという観測を、そのまま売上増へ置き換えてはいけない。

SHIFT（3697）｜更新できても、決済が止まれば失敗だ

東証プライム／周辺受益：品質保証・再テスト・継続的なリスク管理

SHIFTを入れる理由は、「セキュリティ事業もあるから」だけではない。直した後に、別の機能を壊していないか確かめる仕事を持つからだ。

例えばECサイトなら、PHPを切り替えてトップ画面が開くだけでは足りない。会員登録、カート、決済、在庫連携まで動く必要がある。古いPHPからの移行でアプリ改修が発生すれば、この確認範囲は広がる。品質保証を起点とするSHIFTには、この追加作業を受け取る接点がある。

さらに10月15日には、公開IT資産の脆弱性や設定不備を継続的に調べる「THREAT-AQ」を発表した。これはPHP問題の公表前に始まったサービスであり、今回の専用対策ではない。単発テストの先に、継続契約へつなぐ入り口がある点を見る。[6]

もっとも、テスト時間が増えれば人件費も増える。案件単価と稼働率が上がるのか、自動化で同じ時間にこなせる仕事が増えるのか。売上と売上総利益率を一緒に見なければ、「忙しいだけ」をつかむ。

バルテス・ホールディングス（4442）｜「動く」と「安全」を同じテストへ

東証グロース／周辺受益：ソフトウェアテスト・脆弱性診断

こちらも品質保証が出発点。ただし、診断の最後に問題を見つけて全部やり直すのではなく、開発中から安全性を確かめる方向に踏み込んでいる。

グループのバルテスは10月15日、「セキュリティ品質テスト」を開始した。ログイン時の本人確認、利用者の権限、ログイン状態の管理、入力データの扱いなどを、テスト工程で重点的に検証する。これも今回のPHP脆弱性そのものを検出・修正する専用品ではない。[7]

古い環境の改修や再開発が増え、その発注に品質保証とセキュリティ確認が一緒に含まれれば、顧客一社から受ける仕事を広げられる。「更新したら別の問題が出た」を減らすことが、発注する側の価値になる。

ただし、診断とテストのセット販売が、そのまま高採算とは限らない。技術者の稼働、単価、手戻りの少なさが利益を決める。案件が増えても採算が落ちていないかを確かめたい。

まだある。診断・管理・復旧で受け取る4社

ここからは、今回専用の受注を確認した企業ではない。PHP問題を機に、企業が点検や継続管理へ予算を広げた場合の受け皿だ。

ブロードバンドセキュリティ（4398）｜穴を探した後、直ったかまで診る

東証スタンダード／周辺受益：脆弱性診断

「SQAT」のブランドで、Webアプリケーションやサーバーなどの脆弱性を診断する。機械の検査だけでなく、人の手による確認も組み合わせる専門会社だ。[8]

企業が困るのは、対象サーバーの洗い出しだけではない。改修後にも別の弱点が残っていないか、外部へ説明できる形で確かめたい。この再点検まで発注されれば、診断会社の仕事になる。

ただし、PHPの更新だけで完了する顧客に、総合診断が必ず追加されるわけではない。診断案件の増加と技術者の処理能力が釣り合うかが焦点。専門家不足は受注機会にも、売上を増やせない制約にもなる。

野村総合研究所（4307）｜大企業の「まとめて調べ、直す」に入る

東証プライム／周辺受益：NRIセキュアの診断・対策支援

NRIグループには、セキュリティ専門会社のNRIセキュアがある。6月23日には、先端AIと専門家の検証を組み合わせ、未公表の脆弱性を調べて対応策を提示するサービスを開始した。[9]

今回の既知のPHP問題を直すだけで、この高度な診断が必要になるわけではない。接点はその先だ。「ほかにも見つかっていない穴があるのでは」と大企業が点検範囲を広げたとき、診断から対策支援へ予算を受け取れる。

大きな顧客基盤に、専門家のサービスを組み合わせられるのが強み。一方、全社事業も大きい。セキュリティ需要の強さと、NRI全体の増益率は同じ数字ではない。関連事業の売上・採算と、大型案件への広がりを見る。

インターネットイニシアティブ（3774）｜一度の点検を、毎年の契約に変える

東証プライム／周辺受益：継続的な脆弱性管理・分析支援

IIJはネット接続の会社という印象が強いが、法人向けのセキュリティも扱う。「IIJ脆弱性管理ソリューション」は、対象数に応じた年額定額で繰り返し診断でき、専門家による分析は有償オプションだ。[10]

この料金体系が重要だ。顧客が不安になって診断ボタンを10回押しても、10回分の売上が増えるわけではない。増収につながるのは、新しい顧客、管理する対象の追加、分析オプションの採用だ。

「問題が出た時だけ探す」から「普段から管理する」への切り替えが進めば、継続収益を積み上げられる。ただし、仕入れ費用や分析・運用の人件費もかかる。契約拡大と採算をセットで追う企業だ。

デジタル・インフォメーション・テクノロジー（3916）｜防いだ後ではなく、書き換えられた瞬間を見る

東証プライム／補完的な受益：ファイル改ざん検知・復旧

DITの「WebARGUS」は、サーバー内の保護対象ファイルが書き換えられた際に、検知・自動復旧する製品だ。公式のEnterprise料金は1サーバー当たり年額48万円で、通常サポートを含むと案内している。[11]

導入対象のサーバーが増えれば、ライセンス収入へつながる。単なる人手の復旧作業と違い、製品として横に展開できる点が特徴だ。

ただし、PHPの穴を塞ぐ製品ではない。不正なコード実行や情報流出を、ファイルの復旧だけですべて防げるわけでもない。今回の固有の攻撃を完全に防御できるとする根拠は確認していない。侵入対策と更新に加え、改ざんへの備えまで予算が広がる場合の候補として、導入サーバー数と自社商品の利益貢献を見る。

会社・コード・市場	支出の受け皿	増益へ進む条件
サイバートラスト 4498・グロース	旧版PHPの有償サポート	緊急パック等の新規契約が、仕入れ・サポート費を上回って増える
トレンドマイクロ 4704・プライム	サーバー保護・検知	新規顧客、保護対象、追加機能の契約が増える
サイバーセキュリティクラウド 4493・グロース	WAF・運用	継続契約と単価が伸び、運用費の伸びを抑える
SHIFT 3697・プライム	更新後の検証・運用	追加案件を適正単価で受注し、稼働率・生産性を上げる
バルテスHD 4442・グロース	テスト・脆弱性診断	顧客当たりの検証範囲が広がり、案件採算を維持する
ブロードバンドセキュリティ 4398・スタンダード	診断・再点検	案件増を技術者の能力・稼働率の改善で売上へ変える
野村総合研究所 4307・プライム	大企業の診断・対策支援	単発対応から広い点検・改善案件へつながる
IIJ 3774・プライム	継続管理・分析	契約顧客・対象数・有償オプションが増える
DIT 3916・プライム	改ざん検知・復旧製品	追加導入サーバーと継続ライセンスが増える