PHP重大欠陥で注目の隠れ出遅れセキュリティ関連株7銘柄【本命との上昇率比較・2026年10月】

ウェブサイトづくりに広く使われるプログラミング言語「PHP」に、外から乗っ取られるおそれのある重大な欠陥が見つかり、サイバーセキュリティ関連株が買われています。ただ、大きく上がったのはセキュリティが本業の銘柄で、セキュリティ事業を持つIT企業の多くはほとんど動いていません。本命の銘柄は10月23日に反落し、7銘柄の中ではアイビーシーが動き始めました。

本業は別にあるものの、脆弱性診断や不正アクセスの調査、監視サービスを手がける7社を「隠れ出遅れセキュリティ関連株」として取り上げます。7社の開示資料と公式サイトを読み、どこがセキュリティにつながっているのか、PHPの欠陥とどこまで関係があるのかを1社ずつ確かめました。

PHPの重大欠陥とは｜10月21日に修正版

PHPは、ブログやネット通販などのウェブサイトを動かすのに使われるプログラミング言語です。WordPressもPHPで動いています。開発チームは10月20日に重大な欠陥2件の修正を予告し、21日の日本時間23時に修正版を公開しました。

PHPで動くサイトはとても多く、企業には修正版への更新や、すでに入られていないかの確認が必要になります。この対策の需要が見込まれるとして、10月22日の朝にはセキュアヴェイルやアズジェント、FFRIセキュリティなどに買いが集まったと報じられました。

10月22〜23日の続報｜国内でも注意喚起、侵入の調査も呼びかけ

JPCERTコーディネーションセンターは10月22日に注意喚起を出し、修正版への更新を急ぐよう求めました。あわせて、攻撃を受けていないかの調査も勧めています。痕跡が残らない場合もあるため、痕跡が見つからなくても攻撃を受けていないとは言い切れない、という内容です。

米国のPalo Alto Networksの調査部門Unit 42は、攻撃の実証コードを確認したと公表しました。影響を受けうる公開サーバーは自社の観測で2,260万件を超え、欧州のある政府は予防のためにウェブサイトを止めたとしています。更新だけでなく「すでに入られていないか」の確認が必要になると、診断や調査を手がける会社の仕事が増える可能性があります。

10月23日｜クラウドフレアCEO「同様の深刻な脆弱性がまだ公表される」

ウェブサイトへの通信を中継して攻撃を防ぐ米クラウドフレアのマシュー・プリンスCEOは10月23日、日本経済新聞やロイターの取材に応じました。日経によると、今後は別のソフトでも「同様の深刻な脆弱性が公表される」と予告しています。ロイターには、ほかの重要なソフトにも深刻な脆弱性がまだいくつもあると把握していると話しました。そのうえで「この先数年は、毎週のように空が落ちてくるように感じるだろう」と述べています。

プリンスCEOは10月22日のX投稿で、PHPへの攻撃を防ぐ仕組みを無料の利用者も含めて提供したと説明しています。それでも最善の対策は修正版への更新だとしました。同じ投稿では、PHPとは別に、電子証明書の大元（ルート証明書）の一部に簡単に破れる鍵が使われていた問題も取り上げています。重大な欠陥の公表がこの先も続くなら、診断や防御、被害の調査の需要は一度きりで終わらない可能性があります。一方で関連株は、欠陥のニュースが出るたびに大きく上下しやすい点にも注意が必要です。

本命と出遅れの差｜10月20日からの値動き

どちらも10月20日の終値からの騰落率です。

本命の銘柄は10月22日までに平均+31.2％上がり、GRCSとサイバートラストは5割を超えました。ところが23日は8銘柄中7銘柄が下げ、20日からの上げ幅は平均+21.5％に縮んでいます。アズジェントは22日までの+17.5％が23日には+1.1％まで戻りました。

7銘柄は23日まで平均+3.6％で、本命との差はなお大きいままです。その中でアイビーシーは23日に+7.8％上がり、20日からでは+13.5％になりました。この日に同社の適時開示はなく、上がった理由ははっきりしません。一方でインターネットイニシアティブは-1.0％と、20日の水準を下回っています。セキュリティが本業の会社に資金が集中し、事業の一部にとどまる会社には一部しか広がっていない形です。本命の銘柄はサイバーセキュリティ関連株23銘柄完全リスト【2026年最新】で1社ずつ紹介しています。

隠れ出遅れセキュリティ関連株7銘柄の一覧

PHPの欠陥とのつながりの強さ

判定の基準は、Webサイトの診断・防御（WAF）・被害の調査のいずれかを自社のサービスとして公式に案内しているかどうかです。売上の大きさや、今回の件で実際に受注が増えたかどうかは含めていません。

今回の欠陥はPHPそのものの問題で、対策の中心はPHPの更新です。診断や監視の需要につながるのは、更新が遅れたサイトの点検や入られたかどうかの調査、攻撃の監視といった周辺の仕事です。この点を踏まえて、つながりの強さを3段階に分けました。なお7社とも、今回のPHPの件について特別な発表は見当たりませんでした。

FRONTEO（2158）｜カード情報漏えいの調査を認められた国内5社の1つ

FRONTEOは自社開発のAI「KIBIT」を使った創薬支援やリーガルテックで知られる会社です。その一方で、不正アクセスや情報漏えいの事後調査（デジタル・フォレンジック調査）も手がけています。

公式サイトによると、クレジットカード情報の漏えいを調べる「PFI」の認定を受けた調査機関は日本で5社（2025年4月時点）で、FRONTEOはその1社です。ECサイトの改ざんやWebスキミングも調査でき、ECサイトの脆弱性を突かれてカード情報が抜かれ続けた事例も紹介しています。PHPの欠陥を突かれた被害が出れば、調査の依頼先になりうる立場です。ただし決算短信でいう「不正調査」の中心は社内不正の調査で、サイバー攻撃の調査はその一部です。

インターネットイニシアティブ（3774）｜WAFと24時間監視を自社で持つ

インターネットイニシアティブ（IIJ）の本業は、インターネット接続やクラウド、格安スマホのIIJmioなどのネットワークサービスと企業のシステム構築です。セキュリティでは自社で開発したサービスをそろえています。Webサイトへの攻撃を防ぐWAFやIPS/IDS、DDoS攻撃への対策のほか、メールを守るIIJセキュアMXサービスや24時間の監視を担うC-SOCサービスがあります。2025年6月には、IIJマネージドWAFサービスなどが政府の情報システム向けのセキュリティ評価制度（ISMAP）に登録されました。

ネットワークサービスのうちセキュリティ事業の売上は、2026年3月期に409億1千万円（13.8％増）でした。2026年4〜6月は107億5千万円です。システム構築を含めたセキュリティ事業の規模は483億7千万円で、売上収益3,453億95百万円の約14％にあたります。

今回の欠陥では、CloudflareがWAFに暫定の防御ルールを入れたと報じられました。修正版への更新が済むまでのつなぎとして、Webサイトの入口で攻撃を止めるWAFの役割が注目されています。ただしPHPの開発チームは、更新以外の方法では完全な対策にならないとしています。

シーイーシー（9692）｜セキュリティを含む部門の受注が1.5倍

シーイーシーは独立系のシステム開発会社で、売上の7割近くを企業や官公庁向けのシステム構築で稼いでいます。セキュリティは会社が「注力事業」と位置づける分野で、自治体向けのシェア1位をうたう自社製品「SmartSESAME」や、200社以上が使うSOC（24時間365日の監視）を持っています。公式サイトには、Webアプリケーションの脆弱性診断とペネトレーションテストの案内もあります。

中間期のソリューションセグメント（セキュリティとデータセンターなど）は、売上高53億86百万円（3.1％増）、営業利益13億21百万円（46.6％増）でした。受注高は87億27百万円で前年同期の150.0％、受注残高は92億8百万円で156.7％に増えています。伸びを引っ張ったのはSmartSESAMEの大型商談で、PHPとは関係のない認証製品です。

アイビーシー（3920）｜手作業によるWebアプリ診断

アイビーシーの主力は、ITシステムの稼働状況を見張る性能監視ソフト「System Answer」です。製品区分の「セキュリティソリューション」には、Webアプリケーションやネットワークを手作業で診断する自社のサービス（IBC-SAS）があります。

セキュリティソリューションの売上は第3四半期累計で1億65百万円と、売上の1割弱です。累計の売上は第1四半期の45百万円から第2四半期の1億17百万円、第3四半期の1億65百万円へと積み上がり、第2四半期累計では前年同期比26％増でした。WAF（ウェブサイトへの攻撃を防ぐ仕組み）の「攻撃遮断くん」や「WafCharm」も扱っていますが、どちらもサイバーセキュリティクラウドの製品です。

CAICA DIGITAL（2315）｜脆弱性診断ツールの正規代理店

CAICA DIGITALは金融機関向けを中心としたシステム開発の会社で、ITサービス事業が売上の8割ほどを占めます。セキュリティでは、アプリケーションの脆弱性を診断するツール「HCL AppScan」の正規代理店として販売と導入支援をしています。

7月には暗号資産取引所のZaifとセキュリティ分野で業務提携し、8月には自動で生成されたプログラムをHCL AppScanで診断するサービスを始めました。ただ会社は、どちらも業績への影響は軽微だとしています。

クエスト（2332）｜監視と攻撃対象の洗い出し

クエストは大手企業向けのシステム開発や運用を手がける会社で、キオクシアグループなどが顧客です。セキュリティでは24時間365日の監視サービス「Q-SOC」と、外部に公開しているサーバーなどを洗い出すASM（アタックサーフェスマネジメント）を提供しています。

脆弱性診断やWAF、事故の調査は、チェンジホールディングス傘下のサイリーグとの提携で提供する形です。クエストは公式サイトで、サイリーグのパッケージの販売代理店だと説明しています。放置されて古いPHPが残ったサーバーを見つける用途はありえますが、会社の資料にPHPとの直接の記載はありません。

GreenBee（3913）｜Androidアプリの脆弱性診断

GreenBee（旧sMedio）の本業は、クラウドバックアップや蓄電所の運営、パソコン向けソフトのライセンスです。セキュリティでは、Androidアプリの脆弱性を500項目以上で診断するウェブサービス「RiskFinder」を持っています。

RiskFinderはスマホのアプリ側を調べるサービスで、ウェブサーバーで動くPHPとは対象が違います。今回の欠陥と直接結びつける根拠は、会社の資料にも公式サイトにも見当たりません。業績が伸びているのは、クラウドバックアップの契約増と蓄電所の稼働によるものです。

出遅れ株を見るときの注意点

まとめ

隠れ出遅れの7社は、どれもセキュリティ以外の本業で業績が決まる会社です。PHPの欠陥がきっかけで注目されても、セキュリティの部分がどれだけ業績を押し上げるかは会社ごとに大きく違います。開示されている数字とPHPとのつながりの強さを、1社ずつ確かめてから判断したいところです。