兵庫県のWebサイト459件は本当に必要か｜PHP緊急停止で見えた広報とデジタルのガバナンス、委託管理の問題

本稿の調査範囲：2026年10月24日までに確認した兵庫県の公表資料、公開委託仕様書、ドメインに関する公開WHOIS照会記録に基づく。459件は県が影響調査の対象とした「Webサイト等」の数であり、459個の独立ドメイン、サーバー、IPアドレス、県所有資産を意味しない。個別の登録者や委託先による不正・脆弱性放置を主張するものではない。

PHPの緊急停止で、459件のWeb資産が見えた

2026年10月21日にPHPの重大な脆弱性が公表されたことを受け、兵庫県は県および関係機関のWebサイト等について緊急対応を実施した。10月22日午前には各部局等の総務担当課へ対策完了までの原則停止を指示し、同日午後、459件について影響を調査した。

10月23日12時時点の集計は、PHPを使用していないもの109件、PHPを使用し必要な対応を行って公開しているもの232件、PHPを使用し一時停止しているもの118件である。別途、同日16時時点の「停止中のWebサイト等の一覧」には101掲載項目がある。118件と101項目は異なる時刻の資料であり、同じ母集団の数字として単純に比較しない。

県は10月23日に緊急幹部会議を開催し、停止対象を公表した。また、同日時点では、この脆弱性に起因する不正アクセスや情報漏えい等を確認していないと説明している。大規模な影響を短期間で集約し、予防的な停止に至った事実は、県の緊急時対応能力として評価できる。

しかし、今回見えてきたのは別の問題である。

県民に必要な行政情報やサービスを提供するために、これほど多様なWebサイト、ドメイン、委託先、管理構造を維持する必要があるのだろうか。

公共サービスの数と、独立したWebサイトの数は同じである必要はない。本稿は、PHPパッチの成否ではなく、Web資産を生み、維持し、終了させる行政の仕組みを検証する。

出典：兵庫県「PHPの脆弱性に関する兵庫県の対応」2026年10月23日（緊急幹部会議資料・停止一覧へのリンクを含む）。

独立サイトを「認める」のではなく、積極的に勧める広報方針

兵庫県の広報ガイドライン「独自ドメインとサーバー」（2022年9月13日更新）は、独立したプロジェクトや独自の情報発信を行う場合に独自ドメインの作成を勧めている。新規サイトのサーバーについては、制作事業者に任せれば適切なものを選んでもらえるという説明もある。

独自の名前とURLを持つことは、広報上の目的にかなう場合がある。観光、文化、産業振興など、対象者を明確にした情報発信に利点があることまで否定すべきではない。

しかし、広報上の独立性と、情報システムとしての独立性は別である。

専用URLを作る場合には、ドメイン登録、DNS、TLS証明書、ホスティング、管理アカウント、CMS更新、ログ、障害対応、契約更新、廃止後の管理が必要になる。毎月のホスティング料金やドメインの年間更新料だけが、Webサイトのライフサイクル費用ではない。

行政の広報政策が独立サイトの新設を積極的に促すのであれば、その技術的分離が本当に必要かを審査する制度も対になっていなければならない。

出典：兵庫県広報ガイドライン「独自ドメインとサーバー」。

県の委託仕様書にも、Web資産を増やす仕組みがある

この問題は、個々の担当者や制作会社の判断だけに帰することができない。実際の委託仕様書にも、事業専用のWebサイトの制作や新設を想定する記述が存在する。

2026年度「ひょうごTECHイノベーションプロジェクト運営業務」では、前年度のWebページを廃止して新しいページを制作する場合を想定し、廃止したドメインの1年間の保持と、成果物の引継ぎを規定している。

「学生とミモザ企業のマッチング促進事業」でも、Webページ等を制作する場合には事業専用の独立したものとすること、廃止ドメインを1年間保持することが仕様化されている。また別の事業では、専用ドメインか受託者サイト内での公開かを選択できる規定もある。

これは、制作会社が必要性を審査せず独断でサイトを増やした、という話ではない。県が提示する発注条件そのものが、独立したWeb資産の発生を予定しているのである。

事業年度ごとには適正な予算執行であっても、新設・更新・再制作が積み重なれば、県全体では多数の管理対象と将来の費用が残る。Webサイトの新設が予算獲得を目的としている、と断定する根拠はない。ただし、事業予算の中にWebサイト制作が組み込まれ、それが独立した管理単位を増やし得ることは公開仕様書から確認できる。

出典：ひょうごTECHイノベーション仕様書、学生とミモザ企業のマッチング促進事業仕様書、西播磨の山と海をつなぐ・めぐる事業仕様書。

停止一覧とWHOISが示す、管理主体の分散

県が公表した10月23日16時時点の停止一覧101掲載項目を、公開WHOIS照会記録と照合した。今回の提供データでは、掲載行単位で84項目にWHOIS取得成功、6項目が照会失敗・情報なし、11項目が未照会となった。84件は独立ドメイン84個を意味せず、同じ登録ドメインに対応する掲載項目の重複を含む。

代表例を示す。

ここでいう「登録名義」は、ドメインのWHOISに表示された登録者である。登録者とWeb制作受託者、サーバー運用者、DNSの管理担当者、最終的な契約権限者は同一とは限らない。 また、NSの事業者名から実際のWebホスティング事業者やWAF利用の有無を判断することはできない。

県以外の法人や団体の名義で登録されていること自体に問題があるわけではない。大学、医療機関、独立した法人や会議体には、それぞれ独自の管理責任がある。

ただし、県の委託事業に使用するドメインが外部法人名義の場合、契約終了後に県が登録・DNSの管理権限を引き継ぐのか、同じ登録者が管理し続けるのか、誰が更新費を負担するのかが重要になる。

公開一覧には、県公式ドメインのサブドメインだけでなく、関連団体、医療・教育機関、外部のフォームサービス、民間サービスのURLも含まれる。したがって、101掲載項目を県が所有する101サイトと表現することも、459件を459の独立サーバーと解釈することも適切ではない。

調査の対象は、単なるサイト数ではなく、行政サービスを構成する公開資産と、その変更権限・契約権限の所在である。

→ 付表：停止一覧101掲載項目とWHOIS照合記録

共通WAF・CDNが存在しても、個別サイトを直接統制できるとは限らない

兵庫県は情報セキュリティクラウドを整備している。2021年のWAF・CDN調達仕様書では、県および市町の主要Webサイトと防災サイトなど、約50FQDNを利用対象としていた。

これは県に共通の防御基盤が存在することを示す。一方、2021年の調達対象と2026年10月の調査対象459件は、時期も対象範囲も集計単位も異なる。したがって、その差を共通WAF・CDNの未適用件数とすることはできない。

外部ホスティングを利用していても、CDNやWAFの前段保護を利用し、オリジンサーバーへの直接接続を適切に制限する構成は可能である。逆に、共通の防御基盤が用意されていても、対象として設定されていない独立サイトへ自動的に保護が及ぶわけではない。

確認すべきなのは、各サイトについて、どの基盤が防御を担い、どの組織が設定変更を承認し、どの委託先が監視し、問題発生時に誰が停止・再開を判断するかである。

県の広報部門が事業専用サイトの制作を推奨し、契約ごとに運営主体や管理権限が分かれるなら、デジタル部門の技術的な指示だけでは、全サイトを直接変更できない場合がある。

ガバナンスの担当者が努力していないからではなく、委託・登録・管理権限が分散した構造では、一律の指示と技術的な実行との間に契約上・権限上の壁が生じる。

もっとも、そのような構造でも、事前審査、標準契約、共通の監査条件、権限移管条項を通じた制度的な統制は可能である。公開資料だけで内部制度が存在しないと断定せず、実効性と適用範囲を検証する必要がある。

参考：兵庫県情報セキュリティクラウドWAF・CDN調達仕様書（2021年）。

PHPの修正と、情報システム全体の監査は別である

PHPの修正プログラムの適用は、該当する脆弱性への重要な対策である。しかし、更新だけでCMSやプラグインの安全性、管理アカウントの適切性、過去の侵害の有無、ログの保全、Web公開経路の構成まで確認できるわけではない。

また、Webサイトの停止・修正・再開において、作業実施者と、作業が十分かどうかを評価して承認する主体は区別されるべきである。

今回県は459件の影響調査を実施し、緊急時の情報集約を行った。そこには一定の管理能力が表れている。その一方で、個別サイトごとの侵害調査範囲や技術的な監査結果は、公表された集計からは分からない。

調査対象が広く分散した環境であるほど、PHP対応だけで終わらせず、管理対象の必要性と、継続的に監査できる運用体制を併せて点検する意義がある。

委託終了後、誰がドメインを守るのか

Webサイトの制作委託が終了しても、そこで使われたURLに対する社会の記憶は消えない。印刷されたパンフレット、報道記事、外部サイトのリンク、検索結果、ブックマークなどに、過去の行政事業のURLは残り続ける。

県の一部委託仕様書は、廃止したWebページのドメインを1年間保持することを求めている。短期間の放棄を避ける配慮として意味がある。しかし、1年を過ぎた後、誰が保有継続を判断し、どの予算で更新するのかは、それらの条項だけでは明らかでない。

ドメインを廃止すると、一定期間の後に第三者が同じドメイン名を再取得できる場合がある。日本レジストリサービス（JPRS）は、旧URLの外部リンクや検索エンジンによる評価が残るため、第三者による再取得が詐欺サイトなどに悪用され得ると説明している。メールアドレスに利用したドメインでは、なりすましやアカウント復旧の悪用という危険もある。

そして、これは実際に地方自治体で生じている。徳島県は2026年9月2日、過去の行政事業で使用したドメインが第三者に再取得されたと公表した。愛知県も10月22日、3月31日に終了した事業の旧ドメインが第三者に取得されたと公表している。 いずれも旧URLが現在の県の事業と無関係であると住民へ注意喚起している。

2026年度版のフィッシング対策ガイドラインは、組織内の各部門や発注先が個別にドメインを設け、全体を把握できなくなることを管理上の課題として明示している。同ガイドラインでは、廃止を避けて保有を継続することを重視し、やむを得ず廃止する場合にはサービス終了後に最低10年程度保持する案も挙げている。これは一律の法的義務ではないが、事業終了後1年間の保持だけで十分かを考えるための重要な比較材料となる。

• JPRS「ドメイン名の廃止に関する注意」
• 徳島県「県が廃止したドメインの第三者による再取得について」（2026年9月2日）
• 愛知県「廃止したドメイン名の第三者による取得について」（2026年10月22日）
• フィッシング対策協議会「フィッシング対策ガイドライン 2026年度版」

フィッシング、特殊詐欺、匿名・流動型犯罪グループへの懸念

公的機関が過去に広報で使用したURLは、一般の利用者から見れば信頼の手掛かりとなる。そのURLが第三者の手に渡れば、正規の行政情報を装うWebページ、偽の申込フォーム、なりすましメールなどに利用される危険がある。

匿名・流動型犯罪グループ（いわゆる「トクリュウ」）が関与する特殊詐欺等が社会問題となる中で、廃止した行政関連ドメインの再利用を犯罪対策の観点から考える意義は大きい。

ただし、今回の兵庫県関連ドメインが犯罪に利用されたこと、また、廃止ドメインの再取得に特定の犯罪グループが関与したことを示す資料はない。 ドメインの再取得と、フィッシング行為と、トクリュウの関与は、それぞれ別の事実として扱う。

問うべきなのは既発生の事件の有無ではなく、行政の事業終了後も、公的なURLの信用を第三者に利用させない管理方針があるかどうかである。

閉鎖しても費用はゼロにならない

事業終了後のドメイン管理には、保持する場合と廃止する場合の双方に費用がある。

保有期間を無制限に延ばせばよいというわけではない。すべてのドメインには継続費用が発生するため、社会的な信用の残存期間や犯罪悪用の危険、利用実績を評価して方針を定める必要がある。

一方、更新料を節約するため安易にドメインを放棄すれば、利用者保護や事後対処に、より大きな負担が発生する可能性がある。

制作費と運用保守費だけを事業費に計上し、閉鎖後の管理費を見ないまま新設することは、ライフサイクル費用を評価したことにはならない。

公式サイトのリニューアルと、Web資産全体の適正化は別である

兵庫県は、2026年10月28日10時から、県公式ホームページを全面リニューアルする予定である。検索機能や情報発信を改善する施策として公表されている。

ただし、公式サイトを再構築することと、県や関係機関の個別事業で取得されたドメイン、外部ホスティング、契約・管理権限を全体最適化することは別である。

公式サイトを更新しても、各部局がこれまでどおり事業ごとに独立サイトを発注すれば、管理対象の数やライフサイクル費用は引き続き増加し得る。公式サイトの役割を明確にし、個別事業の静的な広報コンテンツをそこへ集約できるかを、新規調達時に検討する必要がある。

出典：兵庫県「県公式ホームページを全面リニューアルします」2026年10月21日。

行政DXをスマートシュリンクするための提言

今回の調査は、Webサイト数が多いこと自体を失策と断定するものではない。予約・申請、医療、教育、独立した組織の情報提供など、個別の機能や権限を必要とするサービスもある。

必要なのは、サイトの数を先に削ることではなく、行政サービスとして維持すべき機能を確認し、その提供方法を適切な規模と管理体制へ再設計することである。

本稿では、次の六つを提言する。

1. 新設審査：独自サイト・独自ドメインを取得する前に、県公式サイト、既存の共通基盤、静的ページ、既存の申込サービス等による代替可能性を確認する。
2. 広報・デジタル・契約の横断統制：広報上の独立性と技術基盤の独立性を区別し、新規発注にはセキュリティ構造と長期保守の審査を組み込む。
3. 管理権限の明文化：登録名義、レジストラ、DNS、証明書、運用権限、委託契約の終了時の移管を、管理台帳と仕様書に明記する。
4. 公開・監査の共通基準：共通WAF・CDNまたは同等の防御措置について適用基準を定め、更新作業の実施と、監査・公開再開の承認を区別する。
5. 終了後のドメイン管理：事業終了時から旧ドメインの保持・移管・廃止までを管理し、更新費用とリスクを予算上も明確にする。
6. 継続的なスマートシュリンク：アクセス実績、提供機能、管理費、依存関係に基づき、必要な独立システムは残し、重複する広報サイトは段階的に再利用・統合する。

県には、緊急時に459件を調査して状況を集約できた実績がある。その能力を、平常時の新設判断、契約管理、監査、廃止管理へつなげることが次の課題となる。

結論――459件ものWebサイト等は必要ない

県民が必要とするのは、行政情報に確実に到達できること、必要な手続きができること、そして公共サービスが安全に継続することである。

兵庫県に459件ものWebサイト等は必要ない。行政サービスの数と、それを提供するWebサイトや独立した技術環境の数は同じである必要がない。事業ごとにWebサイトを新設し、独自ドメインや管理契約を増やし続ける運用は見直すべきである。

まず、2026年10月23日に公表された停止一覧101掲載項目について、県公式サイトや共通基盤への集約を検討する。個別のWebサイトを維持しなくても提供できる情報発信や申込機能は統合し、独立した運用が不可欠なものだけを残す。101項目には関連機関や外部サービスも含まれるため、それぞれの管理主体と権限を確認したうえで判断する。

次に、今回の影響調査対象459件すべてを洗い出し、利用目的、必要性、利用実績、管理主体、委託契約、維持費用、廃止後のドメイン管理までを確認する。既存の公共サービスを維持することを前提に、集約・継続・廃止を判断し、行政全体として管理対象を削減する。

兵庫県は、独立したWebサイトや独自ドメインの制作を積極的に勧める方針を持つ。しかし、その結果として技術環境、管理権限、委託契約が分散すれば、緊急時の一元的な管理は難しくなる。制作時だけでなく、委託終了後の費用と信用管理までを行政全体の責任として扱う必要がある。

Webサイトを増やすことが行政DXではない。不要なWebサイトを減らし、必要な公共サービスを、少ない管理負担で安全かつ長期に提供できる仕組みへ転換することこそ行政DXである。

今回のPHP脆弱性への緊急対応は、兵庫県が459件のWebサイト等を把握する契機となった。停止したサイトを元どおり再開するだけで終わらせず、101掲載項目の集約から着手し、459件全体の棚卸しと統廃合へ進めるべきである。行政Web資産のスマートシュリンクは、今回の緊急対応を一過性のものにしないための具体的な改革である。

調査方法と一次情報の公開条件

• 県の停止一覧（2026年10月23日16時時点）の101掲載項目を原表記に基づき整理した。掲載項目は独立したサイト・ドメイン・サーバー・契約の件数ではない。
• WHOISは2026年10月24日までに提供された照会記録であり、調査時点の公開情報である。取得成功84項目、失敗・情報なし6項目、未照会11項目である。照会失敗はドメイン失効・不正の証拠ではない。
• 登録名義は提供されたJPRS等のWHOIS原文で確認できた4件のみを表に転記し、それ以外は「未収録」とした。外部サービスの共通ドメインを県の所有資産とは扱わない。
• WHOISのNSは権威DNSを示す。レジストラ、ホスティング、WAF/CDNの存在、契約関係、Webサーバーの脆弱性を自動的に証明しない。
• 登録有効期限は、その後の更新予定、契約終了、悪用の有無を意味しない。
• 当該一覧に掲載された法人・団体が不適切な管理を行ったと主張するものではない。
• 照合表CSVを別添として公開する。WHOISの原照会記録は今回の添付資料に含まれていないため、本稿では原文アーカイブの公開済みとは記載しない。更新時は取得日時・修正履歴を記録する。

主な一次資料・関連資料

1. 兵庫県：PHPの脆弱性に関する兵庫県の対応（2026年10月23日）
2. 兵庫県広報ガイドライン：独自ドメインとサーバー
3. 兵庫県：ひょうごTECHイノベーションプロジェクト運営業務仕様書
4. 兵庫県：学生とミモザ企業のマッチング促進事業仕様書
5. 兵庫県：県公式ホームページ全面リニューアル（2026年10月21日）
6. JPRS：ドメイン名の廃止に関する注意
7. 徳島県：廃止したドメインの第三者再取得（2026年9月2日）
8. 愛知県：廃止したドメイン名の第三者による取得（2026年10月22日）
9. フィッシング対策協議会：フィッシング対策ガイドライン 2026年度版
10. 関連記事：スマートシュリンク、情報漏えい時の経営判断