こんにちは、ゼノクリース合同会社の齋藤です。このコラム記事では、最新の Web セキュリティに関する内容を紹介し、企業のサイトを守るための考え方と実践方法をご紹介します。
この記事の著者
ゼノクリース合同会社 代表（Web）
斎藤 智樹
X:@TomokiSaito0920
スタンディングテックのWEB開発コース主任講師を務める。
今回は、OWASP Top 10:2025 で新たに追加された「A10:2025 – Mishandling of Exceptional Conditions」を取り上げます。
日本語では「例外条件の取り扱いミス」「例外処理の失敗」といった意味合いです。OWASP はこのカテゴリを、不適切なエラーハンドリング、論理エラー、fail open や異常条件に起因する問題を扱う新カテゴリとして説明しています。
例外処理は「エラー画面を出す処理」ではない
例外処理というと、開発者の方は try-catch のような実装を思い浮かべるかもしれません。Web セキュリティの観点では、単にエラー画面を出す処理ではありません。重要なのは、想定外の状況が起きたときに、システムの動作が安全な状態に倒れるかどうかです。
たとえば、本番環境でデータベースエラーが発生したとき、SQL 文、テーブル名、ファイルパス、スタックトレースなどがそのまま表示されていないでしょうか。OWASP も、データベースエラーの不適切な取り扱いによって、攻撃者が次の SQL インジェクション攻撃のための偵察情報を得るシナリオを示しています。
攻撃者がエラー画面を見て、次の攻撃手法を考えるということです。
このような状態を防ぐために、ユーザーには分かりやすく、しかし内部構造は漏らさないメッセージを出し、運用者には原因調査に必要なログを残すことが重要です。
また、決済、予約、会員登録、資料請求、問い合わせフォームなど、複数の処理が連続する機能では、途中で失敗したときの扱いが大切です。データベース更新は成功したのにメール送信だけ失敗した、権限付与だけ進んでしまった、ファイルだけ残った、といった状態は、データ不整合や不正利用の原因になります。
例えば「データベースのトランザクションが失敗した場合は、ロールバックして元に戻す必要がある」というのは、データベースの学習をするときに出てくる典型的なパターンです。
OWASP は、取引の途中でエラーが起きた場合は全体をロールバックし、安全側に倒す、つまり fail closed にすることの重要性も説明しています。
Web 担当者が確認したい 5 つのポイント
Web 担当者として確認したいポイントは 5 つあります。
- エラーメッセージに内部情報が出ていないか
- 途中で失敗した処理が安全に戻るか
- 権限エラー時に裏側の処理が進まないか
- フォーム送信、検索、ログイン、ファイルアップロード、API 連携などにレート制限、容量制限、タイムアウトが設定されているか
- 同じエラーの急増や、特定 URL への異常なアクセスに気づける監視・アラートがあるか
生成 AI で作った機能こそ、異常系のレビューを
最近は、生成 AI を使って管理画面、API、業務ツール、WordPress プラグインを作る機会も増えています。AI を使うことで開発速度は上がりますが、生成されるコードは、まず「正常に動くこと」に寄ってしまいがちです。これは私としては、エンジニアでない方が作った場合はさらにそうであると考えています。エンジニアは「エッジケースや異常系もテストすべき」という考え方を身に付けていることが多いためです。
どの失敗時にロールバックすべきか、どのエラーをユーザーに見せてよいか、どの操作は権限不足なら必ず止めるべきかは、人間が業務要件と運用リスクを見ながらレビューする必要があります。
まとめ
例外処理の失敗は、開発コードだけで完結する問題ではありません。CMS、プラグイン、サーバー、WAF、ログ、監視、バックアップ、障害対応まで含めて、異常が起きたときに安全に止まり、気づき、復旧できる状態を作る必要があります。
Web セキュリティでは、脆弱性の有無や最新版へのアップデートに目が向きがちです。しかし、実際の運用では「うまくいかなかったときに、どのように振る舞うか」が非常に重要です。正常系だけでなく、異常系まで確認できているか。エラーが起きたとき、安全な状態に倒れるようになっているか。これきっかけに、自社サイトの例外処理と監視体制を見直してみてください。
GMOプライム・ストラテジーでは、こうした継続的なセキュリティ対応と運用を支援するサービスを提供しています。ぜひご活用いただき、運用の見直しのきっかけにしてみてください。
- KUSANAGI マネージドサービス（WordPress の保守、高速化、セキュリティ対策、監視、障害対応まで一貫して支援するフルマネージドサービス）
- KUSANAGI Security Edition byGMO（OS・ミドルウェアの自動アップデート、マルウェア対策、監査、アクセス制御など、継続的な CMS セキュリティ運用の仕組みを提供）
- WordPress 簡易脆弱性診断サービス（WordPress 本体、プラグイン、テーマのバージョンを解析し、脆弱性の有無を確認）
最新コラム、最新ニュース、おすすめセミナー等を毎月配信する公式メルマガ
「月刊KUSANAGI」の配信購読はこちら。
企業でWordPressを利用している方にも、制作されている方にもおすすめ！
WordPressやWebの情報がぎっしり詰まった情報を定期的にお届けします。
【この記事の著者】
ゼノクリース合同会社 代表（Web）
齋藤智樹
在学中から高校や予備校、IT 企業に携わり、講師とソフトウェアエンジニアとして活動。
大学卒業後 (2020年4月〜) はフリーランスエンジニアとして活動を始め、以下のような幅広い業務を行う。2021年3月に、業務を拡大させるためにゼノクリース合同会社を設立。スタディングテックの WEB 開発コース主任講師も務める。
