2026年10月10日

サンプル株式会社 御中

【報告書サンプル】

サンプル株式会社 コーポレートサイト・会員サイト Webセキュリティ診断 報告書

この報告書は説明のためのサンプルです。会社名・URL・指摘の内容・日付は、すべて架空のものです。

このたびは、Webセキュリティ診断をご依頼いただき、ありがとうございます。
本書は、貴社のコーポレートサイトと会員サイトについて実施した診断の結果と、改善の進め方をまとめたものです。
改善の優先順位の検討と、関係の皆様へのご説明に役立てていただけましたら幸いです。

株式会社 リンクス
SecureArc（セキュアアーク）
電話 03-6555-1363

1. 総合評価：2026年9月の診断で見つかった指摘8件の要約

緊急0件

高2件

中3件

低2件

情報1件

経営者の方への要約

  • 緊急の指摘は無い。
  • 高の指摘が2件ある。いずれも会員の個人情報に関わるため、最初に対処すべきである。
  • F-01（WordPress のプラグインの既知の脆弱性）は、プラグインの更新で解消できる。作業は半日程度の見込みである。
  • F-02（他人の注文の内容を閲覧できる）は、プログラムの修正が要る。修正までの間は、該当の画面を一時的に止める応急の対策を推奨する。
  • 中・低の指摘は、次の改修の機会にあわせて対処すれば足りる。

最初に直すべき項目

順指摘重大度推奨の時期
1F-02 注文の履歴の画面で、他人の注文の内容を閲覧できる高1週間以内
2F-01 フォームのプラグインに既知の脆弱性がある高1週間以内
3F-03 管理画面のログインに試行回数の制限が無い中1か月以内

2. 診断の概要：対象・期間・方法・基準

対象コーポレートサイト https://www.example.jp/（WordPress）
会員サイト https://shop.example.jp/（独自開発の Webアプリケーション）
Webサーバー 1台（IP アドレス 192.0.2.10）
期間2026年9月7日（月）〜2026年9月11日（金）　各日 10時〜17時
環境本番環境（事前に貴社の承認を得て実施）
接続元弊社の診断用の固定 IP アドレス 1件
方法ツールによる自動の検査と、診断員の手作業による確認
基準OWASP Top 10:2025／ OWASP Web Security Testing Guide v4.2／ IPA 「安全なウェブサイトの作り方」改訂第7版
重大度CVSS（FIRST）の点数の区分を参考に、貴社の業務への影響を加えて判定した（下表）
重大度CVSS の点数意味
緊急9.0〜10.0外部から認証なしに、情報の取得やサーバーの操作が可能
高7.0〜8.9条件がそろうと、他人の情報の閲覧や改ざんが可能
中4.0〜6.9ほかの弱点と組み合わせると悪用が可能
低0.1〜3.9単独での悪用は難しいが、攻撃の手がかりになる
情報—弱点ではないが、より安全にするための推奨事項

本診断で確認していない事項

  • 対象の外のシステム（メールサーバー・社内のネットワーク）
  • 決済の画面（決済代行会社の管理する画面のため）
  • 診断の期間の後に公開された脆弱性

3. 指摘の一覧：8件の重大度と推奨の時期

番号指摘対象重大度推奨の時期
F-01フォームのプラグインに既知の脆弱性があるコーポレート高1週間以内
F-02注文の履歴の画面で、他人の注文の内容を閲覧できる会員高1週間以内
F-03管理画面のログインに試行回数の制限が無いコーポレート中1か月以内
F-04検索の欄に、入力した文字がそのまま画面に表示される（反射型 XSS）会員中1か月以内
F-05利用者の一覧が外部から取得できるコーポレート中1か月以内
F-06エラーの画面に内部の構成の情報が表示される会員低次の改修
F-07古い暗号化通信の版（TLS 1.0・1.1）が有効のままWebサーバー低次の改修
F-08セキュリティに関わる応答ヘッダーの一部が未設定両方情報ご判断

4. 指摘の詳細：箇所・再現手順・改善策

高　F-01　フォームのプラグインに既知の脆弱性がある

箇所https://www.example.jp/（WordPress のプラグイン「Sample Form」版 2.3.1）
分類OWASP Top 10:2025 A03 Software Supply Chain Failures
内容使用中の版に、認証なしでファイルを送り込める脆弱性が公開されている。開発元は版 2.3.4 で修正済みである。
確認の方法公開されているファイルの版の表記を確認し、公開された脆弱性情報と照合した。攻撃の操作は行っていない。
起こりうること第三者がサーバーにプログラムを置き、サイトの改ざん・情報の窃取に使う。
改善策根本：プラグインを版 2.3.4 以上へ更新する。
再発の防止：プラグインの更新を月1回確認する手順を定める。使っていないプラグインは削除する。

高　F-02　注文の履歴の画面で、他人の注文の内容を閲覧できる

箇所https://shop.example.jp/mypage/order?id=10234
分類OWASP Top 10:2025 A01 Broken Access Control
再現手順1. 診断用のアカウント A でログインし、注文の履歴の画面を開く。
2. URL の id=10234 を、アカウント B の注文番号 id=10235 に書き換える。
3. アカウント B の氏名・住所・注文の内容が表示される。
起こりうること第三者が番号を順に書き換えることで、ほかの会員の個人情報を閲覧できる。
改善策根本：注文の情報を返す前に、注文の持ち主とログイン中の会員が一致するかをサーバー側で確認する。
応急：修正までの間、注文の履歴の画面を一時的に止める。
確認：アクセスの記録で、番号の書き換えによる閲覧の跡が無いかを確認することを推奨する。

中　F-03　管理画面のログインに試行回数の制限が無い

箇所https://www.example.jp/wp-login.php
分類OWASP Top 10:2025 A07 Authentication Failures
再現手順誤ったパスワードで20回続けてログインを試みたが、遮断・待ち時間が発生しなかった。
起こりうることパスワードの総当たりで管理画面に入られる。F-05 と組み合わせると、利用者名を知られたうえで試される。
改善策2段階認証を全利用者に設定する。サーバー会社の機能で試行回数を制限する。管理画面への接続元を制限する。

中　F-04　検索の欄に、入力した文字がそのまま画面に表示される

箇所https://shop.example.jp/search?q=
分類OWASP Top 10:2025 A05 Injection（クロスサイト・スクリプティング）
再現手順検索の語に <b>test</b> を入れると、「test」が太字で表示される。 HTML として解釈されている。
起こりうること細工した URL を会員に開かせ、偽の入力欄を表示する等に悪用される。
改善策画面に出す値を、 HTML の特別な文字を置き換えてから表示する（エスケープ）。

F-05〜F-08 の詳細は、実際の報告書では同じ形式で記載する（本サンプルでは省略）。

5. 改善の計画：応急の対策から再診断までの順序

段階時期の目安内容対象の指摘
1. 応急報告の当日注文の履歴の画面を一時停止するF-02
2. 根本1週間以内プラグインの更新・注文の持ち主の確認の追加F-01・F-02
3. 根本1か月以内2段階認証・試行回数の制限・エスケープ・利用者の一覧の非公開F-03〜F-05
4. 再診断修正の後指摘した項目の修正を確認するF-01〜F-05
5. 次の改修次の改修エラーの画面・TLS の版・応答ヘッダーF-06〜F-08

弊社では、上記の修正の作業と再診断を承ることが可能である。

株式会社 リンクス　SecureArc作成：2026年10月10日

上部へスクロール