システムのブラックボックス化とは、仕様がコードと一部の担当者にしか残らない状態。原因と属人化の診断方法、AIで仕様を復元して解消する5ステップを解説します。

PHP2Shellとは、PHP本体に見つかった2件の重大な脆弱性（CVE-2026-109618・CVE-2026-109619）の通称です。攻撃者はログイン不要で、Webサーバーへのリクエストだけで任意のコードを遠隔実行できます。 2026年10月21日に修正版が公開されましたが、そのわずか3日後には実際の攻撃が確認されています。PHPでWebサイト・ECサイト・社内システムを運用している企業がすぐに行うべきことは、稼働中のPHPバージョンの確認、パッチ適用（できない場合は隔離）、そして未対策期間の侵害調査の3つです。 本記事では、PHP2Shellの概要と自社での確認方法、そしてHBLABが実際に用いているフレームワーク・バージョン別の対応チェックリストを解説します。 1. PHP2Shellとは？ PHP2Shellが危険なのは、問題が特定のプラグインやアプリケーションではなく、PHPの実行環境そのものにある点です。まずは、PHP2Shellを構成する2つの脆弱性を確認しましょう。 1-1. CVE-2026-109618とCVE-2026-109619 CVE-2026-109618： メモリ不足（OOM）時の処理不備に起因し、リモートコード実行につながる脆弱性。 CVE-2026-109619： リクエスト処理に起因する脆弱性。前のリクエストで残ったグローバル状態が悪用される。 いずれもCVSS v4.0のスコアは9.2（緊急）です。IPA（情報処理推進機構）によると、悪用された場合、遠隔の第三者によって任意のコードを実行されるおそれがあります。

マイグレーションの進め方を、アセスメント・AI移行・テストの3段階で解説。各段階の完了条件、AIと人の役割分担、現新比較による品質の証明方法まで紹介します。

モダナイゼーションベンダーの選び方を、アセスメント力・テスト品質・AI活用など8つの評価基準で解説。システム移行ベンダーの比較に使える評価シート付き。

モダナイゼーションの優先順位と範囲はどう決める？評価軸のスコアリングと依存関係分析で着手順を決め、最初に移行するシステムの選定からWave設計まで解説。

アセスメントレポートは、移行前に「このシステムを、どの方式で、いくら・どの順番で移すか」を決めるための判断材料です。単なる調査結果の一覧ではありません。 📌 この記事の要点 移行（マイグレーション）前のアセスメントレポートは、少なくとも次の10の問いに答えている必要があります。①移行対象の本当の規模、②依存関係、③業務ロジックの所在、④データ品質、⑤難所とその理由、⑥モジュールごとの移行方式、⑦前提つきの工数・費用・期間、⑧リスクと対策、⑨進める順番、⑩移行後の正しさの証明方法です。 どの問いにも「根拠」「数値の前提」「未調査の範囲」が書かれていれば、稟議・ベンダー比較・移行計画にそのまま使えます。逆に、一覧表だけで結論がないレポートは、移行判断には使えません。本記事では、受け取る側の目線で、良いレポートと危ないレポートの見分け方まで整理します。 レガシーシステムのアセスメント全体の流れ（評価7領域・進め方・費用）は、レガシーシステムアセスメントの評価7領域と報告書の中身で解説しています。本記事はその中でも、「アウトプット＝レポート」をどう読み、どう使うかに絞ります。関連テーマはモダナイゼーション記事一覧からもご覧いただけます。 アセスメントレポートとは？「調査結果の一覧」との違い アセスメントレポート（アセスメント報告書）とは、現行システムを調査・評価した結果をまとめ、移行の意思決定に必要な答えを示す報告書です。まず、よく混同される「調査結果の一覧」との違いから整理します。 レポートは「判断材料」— 移行の可否・方式・費用・順番を決める文書 現行システム調査では、ソースコード、DB、バッチ、外部連携などを洗い出します。しかし、洗い出しそのものはゴールではありません。 経営層や情シス部門が本当に知りたいのは、次の4点です。 このシステムは移行できるのか（可否） どの方式で移すのか（方式）