知人の会社のサイトの問い合わせフォームを、「ちょっと見てほしい」と頼まれました。直す箇所はすぐ分かったのに、直したあと誰が見張るのかを決めていないことに気づき、手が止まりました。PHPの副業を業務委託で受けるとき、不安になるのは、不具合の連絡が本業の時間まで追ってくることではないでしょうか。PHPの副業は、直すところより、直したあとの連絡の範囲で決まります。

1. PHPの副業が改修に寄りやすい背景

届出の約7割がウェブサイト

PHPの副業の需要や受けやすさを示す数字は、今回の資料にありません。書き手の見立てでは、副業で受けやすいPHPの仕事は、新しく作る仕事より、いま動いているサイトに手を入れる改修に寄ります。この見立てを考える手がかりとして、情報処理推進機構（IPA）がまとめた脆弱性の届出状況を見てみます。

2026年第2四半期の届出状況によると、届出受付開始からの累計で、ウェブサイトに関する届出は全体の約7割を占めています¹。これは脆弱性の届出の内訳です。仕事の量や案件の数を示す数ではなく、PHPで作られたサイトの数でもありません。

そのため、この数から副業の需要を読み取ることはしません。ウェブサイトは届出の中心にある、という背景だけを受け取り、PHPとの結びつきや改修に寄るかどうかは、書き手の見立てとして扱います。

新規開発と改修と運用の違い

副業の目線でPHPの仕事を分けると、新規開発、改修、運用の3つで、締切の固さと即応の要否が違います。新規開発は納期が先に決まります。改修は、直す範囲を決めれば期限を置けます。運用は、連絡がいつ来るかを決められません。

図の作成：Remogu編集部。副業の目線で整理したもので、統計データではありません

書き手の整理では、副業で並べやすいのは、範囲を決めて直す改修と、日程を決めて受ける定期の見回りです。連絡を受けて動く運用は、連絡の範囲を決めないまま受けると、本業の時間にかかります。では、直近の四半期の届出は、どのような数だったのでしょうか。

2. 2026年4〜6月もウェブサイトの脆弱性は65件届いている

直近の四半期の件数

IPAの届出状況によると、2026年の4月から6月の第2四半期に、ウェブアプリケーション（ウェブサイト）に関する脆弱性の届出は65件ありました¹。

この65件は、ウェブサイト全般の数です。PHPで作られたサイトに限った数ではありません。また、副業の案件の数でもありません。数が示しているのは、脆弱性が見つかって届けられたという事実までです。

四半期の数と累計の割合の読み方

同じ届出状況には、届出受付開始からの累計の割合も載っています。累計では、ウェブサイトに関する届出が全体の約7割を占めています¹。四半期の65件と累計の約7割は、測っている期間が違います。そのため、2つの数を使って新しい割合を作ることはしません。表の2行は、それぞれ別の数として読みます。

項目	数	読み方
2026年第2四半期（4月から6月）のウェブサイトに関する脆弱性の届出	65件	四半期1つ分の件数
届出受付開始からの累計に占めるウェブサイトの届出	約7割	全期間を通した割合

この数は、届出があったという事実を示すだけで、副業の仕事がどれだけあるかは示しません。次は、修正を終えたサイトが、通知からどのくらいで終えたのかです。

3. 修正を終えたサイトの8割強は通知から90日以内

修正を完了した18件の内訳

IPAの届出状況では、修正を完了した18件のうち、ウェブサイト運営者へ通知してから90日以内に修正が完了したものは15件（83%）でした¹。

この割合の母数は、修正を完了した18件です。届出全体ではありません。修正がまだ終わっていない届出は、この83%に入っていません。

また、90日の数え始めは、ウェブサイト運営者への通知の日です。この数は直す期限を定めた資料ではなく、副業で受ける側に与えられる期限でもありません。受ける側の期限は、委託元の事業者との間で決める条件です。

出典：独立行政法人情報処理推進機構「ソフトウェア等の脆弱性関連情報に関する届出状況［2026年第2四半期（4月～6月）］」をもとに作成

副業の仕事の区切りとして見る

修正を終えた18件のうち15件が通知から90日以内だったという数を、修正は日数の見当をつけて受けられる仕事だと見ることもできます。ただしこれは書き手の見立てで、資料が副業に向くと述べているわけではありません。

受ける仕事ごとに、いつまでに何を直すかを言葉にしておく必要があります。次は、直したあとの見回りを、区切れる仕事として考えます。

4. 公開後の見回りという区切れる仕事

府省のサイトでも続く更新の確認

デジタル庁のウェブサイトガイドライン（2025年9月30日）は、府省に対し、運用開始後もライブラリ・プラグイン等の脆弱性対応状況を定期的にモニタリングし、必要な改修を行うことを求めています²。

同じガイドラインは、JavaScriptタグ等で外部ウェブサービスを経由してフレームワーク等を導入する場合に、定期的に脆弱性や更新状況等を確認し、適切な対応を行うよう求めています²。この定めはその導入方法の場合に限ったもので、PHPのライブラリ全般に当てはめることはしません。

このガイドラインの対象は、府省のウェブサイトです。民間のサイトに同じ義務があるとは、資料に書かれていません。ここで取り上げるのは、公的なサイトでも、公開後の更新の確認を続ける前提で作られているという点です。

仕事の形ごとの相性

書き手の見立てでは、更新状況の定期的な確認は、確認の日を先に決めて受けられる仕事です。確認の結果、直す箇所が見つかったときは、その修正を範囲を決めた改修として別に受ける形にできます。一方、障害のように急に起こる連絡は、日程を決められません。見回りと障害対応を同じ契約に入れると、日程を決めて受けたはずの仕事が、即応が要る仕事に変わります。表では、仕事の形ごとに、期限の読みやすさ、即応の要否、副業との相性を並べました。

仕事の形	期限の読みやすさ	即応の要否	副業との相性
新規開発	納期が先に決まる	公開前は不要	納期を本業の予定に合わせられれば組めます
範囲を決めた改修	修正の範囲で決める	修正のあいだだけ	組みやすい形です
公開後の見回り	確認の日を決める	確認の日と報告のとき	日程を決めれば組めます
障害への対応	起こる日を決められない	連絡のたびに必要	時間帯と範囲の合意が前提です

では、副業として契約を結ぶとき、発注側から何を聞かれるのでしょうか。

5. 副業の業務委託で聞かれる、人を雇っているかの確認

発注側から確認が入る場面

公正取引委員会のフリーランス・事業者間取引適正化等法のQ&Aは、発注事業者から人を雇って事業をしているかどうかの確認があった場合には、受注する側も適切に回答することが望まれると述べています³。書き手の見立てでは、本業を持つ人が副業を業務委託で受けるときも、この確認を受ける場面はありえます。

ただし、資料が述べているのは、確認があったときに適切に答えることが望まれる、というところまでです。副業の契約が同法の対象になるかどうかは、この資料だけでは言えません。そのため、ここでは対象かどうかの判定には踏み込みません。

本業と分けて答える

聞かれているのは、副業の事業についての事実です。本業の事情ではありません。たとえば人を雇っているかと聞かれたら、副業の事業の実際のとおりに答えます。答えに迷う項目は、契約を結ぶ前に委託元の事業者へ質問します。

確認は契約の前の段階で委託元の事業者から届き、受ける側が事実のとおりに答える流れです。図では、本業を持つ人から委託元の事業者までの関係を並べています。

図の作成：Remogu編集部。公正取引委員会のQ&Aの記載をもとに整理したもので、統計データではありません

次は、直す箇所を見つけるときに、入力の確かめがどう関わるかです。

6. 入力の確かめは、登録の多い分類の1つ

CWE-20の445件が示す範囲

IPAのJVN iPediaの登録状況によると、2026年第2四半期に登録された脆弱性対策情報をCWEで分類すると、CWE-20（不適切な入力確認）が445件ありました⁴。

この445件は、JVN iPediaに登録された製品の脆弱性全体の分類です。ウェブサイトのフォームに限った数ではなく、PHPに限った数でもありません。したがって、フォームの不具合の件数としては読みません。受け取るのは、入力の確認が登録の多い分類の1つとして挙がっている、という背景までです。

確かめる箇所と見る点

冒頭の問い合わせフォームのように、利用者が値を入れる場所は、入力の確かめを見る入口になります。副業で改修の範囲を決める前に、確かめる箇所と見る点を分けておくと、直す範囲を委託元の事業者へ伝えやすくなります。表の4行は、フォーム、検索欄、会員登録の入力画面、ファイルの受け取りについて、見る点を並べた書き手の整理です。

確かめる箇所	見る点
問い合わせフォーム	入力された値を、受け取る側で確かめてから使っているか
検索欄・絞り込みの入力	値の形や長さを、受け取る側で確かめているか
会員登録などの入力画面	入力の確認が、画面の上だけでなく受け取る側でも行われているか
ファイルの受け取り	ファイルの種類や大きさを確かめているか

表の項目は書き手の整理で、IPAの分類が各項目を定めているわけではありません。確かめる箇所を先に挙げておけば、直す範囲も言葉にしやすくなります。では、その範囲と連絡の範囲は、受ける前にどう決めておけばよいのでしょうか。

7. 受ける前に決めておく連絡の範囲

決める4つの順番

公的なサイトでも、公開後の更新の確認は続く前提で作られています²。ただし資料は、副業での受け方までは決めてくれません。直したあとの連絡をどこまで受けるかは、受ける前に委託元の事業者と決める条件です。

書き手の整理では、決める順番は4つです。まず修正の範囲、次に連絡の時間帯、その次に公開後の見回り、最後に契約です。修正の範囲が先になるのは、何を直したかが決まらないと、直したあとの連絡がどこまで及ぶかも決まらないためです。

図の作成：Remogu編集部。副業を受ける前の確認を整理したもので、統計データではありません

連絡の時間帯と見回りの日

連絡の時間帯は、たとえば平日の決めた時間帯、のように、委託元の事業者へ先に伝えておく項目です。時間帯の外に届いた連絡は次の時間帯に対応する、と書面に残しておけます。

公開後の見回りは、確認の日を決めて受ける形にできます。確認で見つかった修正は、範囲を決めた改修として別に受けます。見回りと障害対応は同じ契約に入れず、線を引いておく考え方です。

冒頭の場面に戻る

冒頭の知人のサイトに戻ります。問い合わせフォームの直す箇所は、すぐ分かりました。手が止まったのは、直したあと誰が見張るのかを決めていなかったからです。修正の範囲と連絡の時間帯と見回りの日を先に言葉にしていれば、引き受けるか断るかを選べます。

Remogu（株式会社LASSIC運営）は、リモートワーク案件特化のエンジニアマッチングで、案件の90%以上がフルリモート可能です。まず登録して、自分の経験に合うPHP案件の条件を確かめてみてください。条件のなかに、連絡の範囲を話し合える案件があるかどうかを見ていけます。

PHPの副業は、直すところより、直したあとの連絡の範囲で決まります。受ける前にその範囲を言葉にすることが、副業の最初の一歩です。

8. よくある質問

Laravelの経験だけでも副業の案件は受けられますか

今回の資料には、フレームワークごとの案件の数や条件は載っていません。そのため、受けられるかどうかは断定できません。書き手の見立てでは、改修の範囲を決めて受ける形なら、経験のある範囲に絞って委託元の事業者と相談できます。

障害対応を頼まれたら断ったほうがよいですか

断るかどうかは、範囲と時間帯の合意で決まります。連絡を受けられる時間帯と、対応する範囲を委託元の事業者と先に決められるなら、受ける選択もあります。決められないまま受けると、本業の時間にかかる恐れがあります。

公開後の見回りはどれくらいの間隔で受けますか

デジタル庁のウェブサイトガイドラインが府省に求めているのは、ライブラリ・プラグイン等の脆弱性対応状況を定期的にモニタリングし、必要な改修を行うところまでです²。間隔の数字は、資料に書かれていません。間隔は、委託元の事業者と話し合って決めます。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 独立行政法人情報処理推進機構「ソフトウェア等の脆弱性関連情報に関する届出状況[2026年第2四半期（4月～6月）]」（2026年・2026年10月確認）
＊2 デジタル庁「ウェブサイトガイドライン」（2025年9月30日・2026年10月確認）
＊3 公正取引委員会「フリーランス・事業者間取引適正化等法 Q&A」（2026年・2026年10月確認）
＊4 独立行政法人情報処理推進機構「脆弱性対策情報データベースJVN iPediaの登録状況 [2026年第2四半期（4月〜6月）]」（2026年・2026年10月確認）