การเปิดรับความเสี่ยงด้านความปลอดภัยของโดเมน JP แยกตามผู้ให้บริการโฮสติ้ง ปี 2026 — เว็บไซต์ .jp และเว็บไซต์ภาษาญี่ปุ่นบน gTLD 1,090,213 แห่งโฮสต์อยู่ที่ใด และตั้งค่าไว้อย่างไร
- เราใช้การสังเกตแบบไม่รุกล้ำหนึ่งครั้งกับทุกชื่อในทะเบียนโดเมน .jp ที่มีการมอบหมาย NS แล้ว (1,197,208 ชื่อ ณ วันที่ 2026-10-29) และกับเว็บไซต์ภาษาญี่ปุ่น 131,622 แห่งบน gTLD (.com / .net / .org) ชื่อ 1,090,213 รายการที่เว็บไซต์ตอบสนองถูกจัดกลุ่มในบทความนี้ ตามผู้ให้บริการโฮสติ้งของที่อยู่ IP ที่ส่งการตอบสนองกลับมา นี่คือการตัดมุมมองใหม่จากข้อมูลชุดเดียวกับบทความ H (รายงานระหว่างกาล)
- ผู้ให้บริการโฮสติ้งระบุโดยค้นหาที่อยู่ IP ในตารางเส้นทางสาธารณะ (CAIDA RouteViews) แล้วแปลง AS ต้นทางให้เป็นชื่อบริษัท เว็บไซต์ที่อยู่หลัง CDN (Cloudflare, AWS CloudFront และอื่นๆ) มีสัดส่วน 12.3% (11.0% ของ .jp และ 45.8% ของเว็บไซต์ภาษาญี่ปุ่นบน gTLD) เราไม่ได้อนุมานเซิร์ฟเวอร์ต้นทาง และได้นำเว็บไซต์เหล่านี้ออกจากตัวหารรายผู้ให้บริการ
- จากชื่อที่เหลือ 952,161 รายการ Xserver โฮสต์ 21.7%, Sakura Internet 20.7% และ GMO Internet 18.9% รวมสามรายนี้เป็น 61.3% บทความนี้ระบุชื่อผู้ให้บริการ 38 รายที่มีชื่อที่เข้าถึงได้ตั้งแต่ 1,000 รายการขึ้นไป
- การบังคับใช้ HTTPS เกิน 90% ที่ผู้ให้บริการส่วนใหญ่ แต่ HSTS (ภาพรวม 10.6%), CSP (6.0%) และ TLS 1.3 (73.8%) มีตั้งแต่ไม่กี่เปอร์เซ็นต์ไปจนถึงกว่า 90% ขึ้นอยู่กับผู้ให้บริการ ที่ Xserver ซึ่งใหญ่ที่สุด HSTS อยู่ที่ 2.3% ขณะที่การซ่อนเวอร์ชันอยู่ที่ 99.1% และ TLS 1.3 อยู่ที่ 97.9% รายการที่แพลตฟอร์มเซิร์ฟเวอร์เป็นผู้กำหนดกับรายการที่ลูกค้ามักต้องเพิ่มเองให้ผลต่างกันอย่างชัดเจน
- เว็บไซต์ 11.1% (105,237 แห่ง) เปิดเผยเวอร์ชัน PHP และในจำนวนนี้ 53.5% เป็นเวอร์ชันที่สิ้นสุดการสนับสนุนแล้ว จำนวนการเปิดเผยแตกต่างกันมากตามผู้ให้บริการ โดยเว็บไซต์บน GMO Internet มี 64,164 แห่ง (61.0% ของการเปิดเผยทั้งหมด) ในบรรดาผู้ให้บริการที่มีการเปิดเผย PHP ตั้งแต่ 100 รายการขึ้นไป สัดส่วนที่สิ้นสุดการสนับสนุนมีตั้งแต่ 5.4% ถึง 99.2%
- เว็บไซต์ 8.7% เปิดเผยเวอร์ชันที่อยู่ในช่วงที่ได้รับผลกระทบของ CVE ที่เผยแพร่แล้ว (ค่าขอบบน) ที่อยู่ IP ที่ให้บริการ 85.4% จดทะเบียนในญี่ปุ่น ส่วนที่อยู่ IP ของผู้ให้บริการต่างประเทศอย่าง AWS และ Google มักจดทะเบียนในประเทศแม่ของบริษัท แม้จะใช้งานในศูนย์ข้อมูลในญี่ปุ่นก็ตาม
- ตัวเลขเหล่านี้อธิบาย เว็บไซต์ที่โฮสต์อยู่กับผู้ให้บริการแต่ละราย ไม่ใช่ตัวผู้ให้บริการ แม้บนเชร์โฮสติ้ง เวอร์ชัน PHP และเฮดเดอร์ส่วนใหญ่ก็มักเป็นสิ่งที่ลูกค้าเลือกหรือเพิ่มเอง
บทความนี้เผยแพร่เป็นภาษาอังกฤษที่ sitescouter.net และ nkzw.jp และเป็นภาษาญี่ปุ่นที่ sitescouter.net ด้วย หน้านี้คือฉบับภาษาไทยบน Site Scouter ซึ่งแปลจากฉบับภาษาอังกฤษ
ตำแหน่งของบทความนี้
บทความ H (ภาพรวมการเปิดรับช่องโหว่ของ PHP และอื่นๆ ในโดเมน JP — รายงานระหว่างกาล) แสดงอัตราการใช้มาตรการแยกตาม ผู้ให้บริการ NS ซึ่งเป็นบริษัทที่โฮสต์ DNS ของโดเมน และไม่จำเป็นต้องเป็นที่ที่เว็บไซต์ตั้งอยู่ บทความนี้จัดกลุ่มผลการสังเกตชุดเดียวกันใหม่ตาม เจ้าของที่อยู่ IP ที่ส่งเว็บไซต์ออกมาจริง (ผู้ให้บริการโฮสติ้ง)
บทความ H ไม่ได้แสดงการเปิดรับ CVE แยกตามผู้ให้บริการ NS เนื่องจากการเปิดเผยเวอร์ชันและ CVE เปลี่ยนไปตามการตั้งค่าฝั่งเว็บไซต์ ในบทความนี้ เรากำหนดผู้ให้บริการโฮสติ้งอย่างชัดเจน และแสดงสัดส่วน PHP ที่สิ้นสุดการสนับสนุนและการเปิดรับ CVE (ค่าขอบบน) แยกตามผู้ให้บริการด้วย ตัวเลขเหล่านี้อธิบาย "เว็บไซต์ที่ตอบสนองจากที่อยู่ IP ของผู้ให้บริการรายนั้น" และไม่ใช่การประเมินความปลอดภัยของตัวผู้ให้บริการเอง (§10)
วิธีระบุผู้ให้บริการโฮสติ้ง
การสังเกตเหมือนกับในบทความ H คือ ต่อหนึ่งโดเมนมีการค้นหา DNS หนึ่งครั้ง การเชื่อมต่อ TLS หนึ่งครั้ง และ HTTP GET หนึ่งครั้ง โดยบันทึกเฮดเดอร์การตอบสนองและใบรับรอง นอกจากนี้ worker ยังบันทึกที่อยู่ IPv4 ที่แปลงได้ ณ เวลาสังเกต (99.6% ของชื่อที่แปลง DNS ได้)
- หน่วยนับ: เช่นเดียวกับบทความ H หาก
example.jpตอบสนองจะใช้แถวนั้น หากไม่ตอบสนองแต่www.example.jpตอบสนองจะใช้แถวของ www ผู้ให้บริการโฮสติ้งระบุจากที่อยู่ IP ของแถวนั้น - หมายเลข AS: ค้นหาที่อยู่ IP ด้วยการจับคู่ prefix ที่ยาวที่สุดใน CAIDA RouteViews prefix2as (2026-10-28, AS ต้นทางในตารางเส้นทาง) ตารางเส้นทางเป็นข้อมูลสาธารณะ ไม่มีการเข้าถึงเว็บไซต์ที่สังเกตเพิ่มเติม
- ชื่อบริษัท: จับคู่หมายเลข AS กับชื่อองค์กรด้วย CAIDA AS Organizations (2026-10-01) และรวม AS หลายรายการของบริษัทเดียวกัน (เช่น AS สามรายการของ Sakura Internet) เข้าด้วยกัน การจับคู่ใช้ข้อมูลสาธารณะเท่านั้น (พบ AS ทั้งหมด 1,818 รายการ)
- อยู่หลัง CDN: เว็บไซต์ที่ตรวจพบ CDN หรือ WAF ในเฮดเดอร์การตอบสนอง หรือมี IP อยู่ใน AS ของผู้ให้บริการ CDN (Cloudflare, Fastly, CDN ของ Akamai, Imperva และอื่นๆ) ถูกนับแยกเป็น "อยู่หลัง CDN" และนำออกจากตัวหารรายผู้ให้บริการ เราไม่ได้อนุมานเซิร์ฟเวอร์ต้นทางที่อยู่หลัง CDN
- เกณฑ์การระบุชื่อ: ระบุชื่อผู้ให้บริการที่มีชื่อที่เข้าถึงได้ตั้งแต่ 1,000 รายการขึ้นไป (ไม่รวมที่อยู่หลัง CDN และที่ไม่ทราบ IP) ส่วนที่เหลือรวมเป็น "ผู้ให้บริการอื่นทั้งหมด" สถานะการสนับสนุน PHP และการเปิดรับ CVE แสดงเฉพาะผู้ให้บริการที่มีชื่อเปิดเผยเวอร์ชัน PHP ตั้งแต่ 100 รายการขึ้นไป
- ประเทศที่จดทะเบียน IP: ข้อมูลการจัดสรรของสำนักทะเบียนอินเทอร์เน็ตระดับภูมิภาค (RIR) ทั้งห้าแห่ง (เหมือนรูปที่ 16 ของบทความ H)
บริษัทหนึ่งอาจให้บริการหลายแบรนด์ (เชร์โฮสติ้ง, VPS, คลาวด์) บน AS เดียวกัน ซึ่งไม่สามารถแยกได้ในระดับ AS ดังนั้นชื่อในบทความนี้จึงเป็น บริษัทที่ถือครอง AS ไม่ใช่แบรนด์บริการ ในทางกลับกัน ผู้ให้บริการที่ขายต่อโครงสร้างพื้นฐานของบริษัทอื่นจะถูกนับภายใต้เจ้าของโครงสร้างพื้นฐานนั้น
อยู่หลัง CDN — เว็บไซต์ภาษาญี่ปุ่นบน gTLD เกือบครึ่งอยู่หลัง Cloudflare
ในบรรดาเว็บไซต์ที่ตอบสนอง มี CDN อยู่ด้านหน้าสำหรับ .jp 11.0% (Cloudflare 7.2%, AWS CloudFront 2.9%, Fastly 0.6%) และสำหรับเว็บไซต์ภาษาญี่ปุ่นบน gTLD 45.8% (Cloudflare 44.9%) (รูปที่ 1) เว็บไซต์ภาษาญี่ปุ่นบน gTLD ที่ตอบสนองสามารถระบุผู้ให้บริการโฮสติ้งได้เพียง 53.8%
เนื่องจาก CDN เขียนเฮดเดอร์บางส่วนใหม่ เว็บไซต์ที่อยู่หลัง CDN จึงมี HSTS (41.1%) และ TLS 1.3 (93.2%) สูงกว่าเว็บไซต์อื่นทั้งหมด (HSTS 10.6%, TLS 1.3 73.8%) ตัวเลขรายผู้ให้บริการด้านล่างมีแถวของ CDN ไว้เพื่ออ้างอิง แต่ไม่ทราบผู้ให้บริการต้นทาง
เว็บไซต์โฮสต์อยู่ที่ใด — สามบริษัทครองราว 60%
เมื่อไม่รวมชื่อที่อยู่หลัง CDN และที่ไม่ทราบ IP จะเหลือ 952,161 ชื่อ ได้แก่ .jp 931,651 รายการ และเว็บไซต์ภาษาญี่ปุ่นบน gTLD 20,510 แห่ง (รูปที่ 2) Xserver มี 206,817 (21.7%), Sakura Internet 197,363 (20.7%), GMO Internet 179,804 (18.9%) และ AWS 71,025 (7.5%) ผู้ให้บริการ 38 รายที่ระบุชื่อครอง 95.6% ส่วนผู้ให้บริการอื่นทั้งหมดรวมกันมี 41,445 ชื่อ (4.4%, 1635 AS)
หากดูเฉพาะเว็บไซต์ภาษาญี่ปุ่นบน gTLD จาก 20,510 ชื่อที่ไม่อยู่หลัง CDN นั้น AWS โฮสต์ 19.3%, Namecheap 7.3% และ Xserver 5.5% ขณะที่ผู้ให้บริการอื่นทั้งหมดครอง 42.6%
อัตราการใช้มาตรการด้านความปลอดภัย
อัตราการใช้คิดเป็นสัดส่วนของชื่อที่เข้าถึงได้ แยกตามผู้ให้บริการ (รูปที่ 3, ตารางที่ 1) เส้นประคือค่าภาพรวมที่ไม่รวมเว็บไซต์ที่อยู่หลัง CDN
ตารางที่ 1 มาตรการด้านความปลอดภัยแยกตามผู้ให้บริการโฮสติ้ง (% ของชื่อที่เข้าถึงได้ ไม่รวมที่อยู่หลัง CDN)
| ผู้ให้บริการโฮสติ้ง | เข้าถึงได้ | สัดส่วน | จำนวน IP | บังคับใช้ HTTPS | HSTS | CSP | TLS 1.3 | ซ่อนเวอร์ชัน |
|---|---|---|---|---|---|---|---|---|
| ทั้งหมด (ไม่รวมที่อยู่หลัง CDN) | 952,161 | 100.0% | 171,198 | 94.3% | 10.6% | 6.0% | 73.8% | 83.1% |
| Xserver | 206,817 | 21.7% | 11,802 | 99.4% | 2.3% | 1.5% | 97.9% | 99.1% |
| Sakura Internet | 197,363 | 20.7% | 23,664 | 98.6% | 6.0% | 1.4% | 90.7% | 87.2% |
| GMO Internet | 179,804 | 18.9% | 4,602 | 92.3% | 5.3% | 3.6% | 83.3% | 63.5% |
| AWS (Amazon) | 71,025 | 7.5% | 16,190 | 95.4% | 42.3% | 8.6% | 46.8% | 69.8% |
| NTT DOCOMO BUSINESS (OCN) | 38,392 | 4.0% | 27,651 | 98.1% | 2.3% | 4.5% | 3.8% | 75.5% |
| IDC Frontier | 29,903 | 3.1% | 10,565 | 98.4% | 5.6% | 0.8% | 64.4% | 90.4% |
| GMO GlobalSign Holdings | 29,280 | 3.1% | 2,494 | 98.8% | 11.1% | 0.7% | 32.1% | 96.3% |
| NTTPC | 22,805 | 2.4% | 18,352 | 49.5% | 2.1% | 0.7% | 14.4% | 88.5% |
| 19,126 | 2.0% | 1,773 | 99.4% | 8.1% | 76.3% | 93.5% | 93.9% | |
| DigiRock | 16,042 | 1.7% | 414 | 99.6% | 82.7% | 1.3% | 98.8% | 94.5% |
| CPI (KDDI) | 15,155 | 1.6% | 10,418 | 99.2% | 24.0% | 1.9% | 43.3% | 91.0% |
| Future Spirits | 11,213 | 1.2% | 367 | 96.9% | 8.6% | 67.9% | 43.8% | 87.1% |
| KAGOYA JAPAN | 10,692 | 1.1% | 3,820 | 98.4% | 4.9% | 2.1% | 30.1% | 91.4% |
| Pacific Software Publishing | 9,542 | 1.0% | 58 | 99.7% | 0.1% | 0.1% | 97.8% | 100.0% |
| Otsuka Corporation | 7,734 | 0.8% | 7,711 | 48.7% | 4.9% | 99.5% | 0.1% | 99.8% |
| Canon IT Solutions | 3,817 | 0.4% | 16 | 17.0% | 98.7% | 0.1% | 17.1% | 99.9% |
| IIJ | 3,601 | 0.4% | 1,453 | 93.7% | 19.2% | 5.2% | 42.5% | 79.3% |
| KDDI | 3,452 | 0.4% | 936 | 92.6% | 11.8% | 1.3% | 69.7% | 75.8% |
| IBM Cloud | 3,229 | 0.3% | 72 | 98.8% | 15.7% | 0.0% | 0.6% | 99.0% |
| UCOM | 3,154 | 0.3% | 689 | 94.7% | 11.6% | 1.3% | 28.6% | 44.5% |
| Microsoft (Azure) | 2,957 | 0.3% | 1,332 | 94.9% | 38.1% | 9.6% | 70.1% | 38.1% |
| ASJ | 2,314 | 0.2% | 1,249 | 66.3% | 1.2% | 0.1% | 0.0% | 85.0% |
| Automattic (WordPress.com) | 1,854 | 0.2% | 154 | 87.0% | 78.4% | 1.7% | 99.5% | 99.9% |
| CLARA Online | 1,745 | 0.2% | 253 | 99.4% | 2.2% | 0.4% | 85.7% | 94.4% |
| Wix | 1,676 | 0.2% | 7 | 95.2% | 6.0% | 0.2% | 97.2% | 95.3% |
| ARTERIA Networks | 1,675 | 0.2% | 385 | 89.6% | 37.9% | 1.1% | 47.7% | 75.2% |
| NTT America | 1,588 | 0.2% | 16 | 3.9% | 1.2% | 0.2% | 1.8% | 2.3% |
| Namecheap | 1,565 | 0.2% | 931 | 55.9% | 1.2% | 0.2% | 44.9% | 90.4% |
| Akamai (Linode) | 1,474 | 0.2% | 361 | 92.3% | 16.6% | 2.7% | 38.6% | 74.6% |
| OPTAGE | 1,450 | 0.2% | 437 | 91.4% | 5.4% | 1.0% | 46.7% | 71.3% |
| Trellian (บริการพาร์กโดเมน) | 1,449 | 0.2% | 51 | 98.8% | 0.0% | 0.0% | 97.0% | 100.0% |
| Mirai Communication Network | 1,418 | 0.1% | 201 | 96.9% | 11.7% | 2.5% | 70.5% | 71.9% |
| SoftBank | 1,392 | 0.1% | 837 | 93.0% | 14.0% | 3.8% | 34.1% | 57.3% |
| Oracle Cloud | 1,316 | 0.1% | 634 | 95.6% | 20.3% | 11.2% | 76.3% | 65.8% |
| Squarespace | 1,241 | 0.1% | 8 | 98.7% | 83.2% | 9.1% | 99.1% | 99.6% |
| Bear Cloud Solutions | 1,176 | 0.1% | 3 | 99.8% | 0.1% | 93.5% | 99.4% | 6.2% |
| Hostinger | 1,167 | 0.1% | 726 | 99.3% | 10.0% | 71.9% | 98.5% | 46.2% |
| Sedo (บริการพาร์กโดเมน) | 1,113 | 0.1% | 8 | 99.4% | 8.4% | 0.0% | 99.0% | 1.2% |
| ผู้ให้บริการอื่นทั้งหมด | 41,445 | 4.4% | 20,558 | 83.2% | 15.3% | 6.0% | 54.5% | 71.2% |
| (อ้างอิง) บริษัทในกลุ่ม GMO รวมกัน | 209,084 | 22.0% | 7,096 | 93.2% | 6.1% | 3.2% | 76.2% | 68.1% |
| (อ้างอิง) อยู่หลัง CDN | 133,633 | 12.3% | 45,393 | 98.4% | 41.1% | 17.0% | 93.2% | 88.3% |
- การบังคับใช้ HTTPS อยู่ที่ 94.3% ในภาพรวม และเกิน 90% ที่ผู้ให้บริการส่วนใหญ่ ค่าที่ต่ำกว่า ได้แก่ NTTPC 49.5%, Otsuka Corporation 48.7%, Canon IT Solutions 17.0% และ NTT America 3.9%
- HSTS อยู่ที่ 10.6% ในภาพรวม สูงที่ Canon IT Solutions (98.7%), Squarespace (83.2%), DigiRock (82.7%) และ Automattic (WordPress.com) (78.4%) และต่ำที่ Xserver (2.3%), NTT DOCOMO BUSINESS (OCN) (2.3%) และ Sakura Internet (6.0%) ดูเหมือนว่าความแตกต่างเกิดจากการที่บริการเพิ่มให้โดยค่าเริ่มต้นหรือปล่อยให้ลูกค้าตั้งค่าเอง
- CSP อยู่ที่ 6.0% ในภาพรวม นอกจาก Otsuka Corporation (99.5%), Google (76.3%) และ Future Spirits (67.9%) แล้ว ผู้ให้บริการแทบทุกรายอยู่ในระดับหลักหน่วย
- TLS 1.3 มีการเจรจาใช้ 73.8% ในภาพรวม สูงที่ Xserver (97.9%), DigiRock (98.8%) และ Sakura Internet (90.7%) ต่ำที่ NTT DOCOMO BUSINESS (OCN) (3.8%), NTTPC (14.4%) และ ASJ (0.0%) เวอร์ชัน TLS กำหนดโดยซอฟต์แวร์เซิร์ฟเวอร์ ซึ่งลูกค้าบนเชร์โฮสติ้งโดยทั่วไปเปลี่ยนเองไม่ได้
- การซ่อนเวอร์ชัน อยู่ที่ 83.1% ในภาพรวม โดย Xserver อยู่ที่ 99.1% เทียบกับ GMO Internet 63.5%, UCOM 44.5% และ Microsoft (Azure) 38.1%
"จำนวน IP" คือจำนวนที่อยู่ IP ที่ไม่ซ้ำกันซึ่งใช้โดยชื่อที่ตอบสนองจากผู้ให้บริการรายนั้น ในกรณีที่ชื่อหลายพันรายการใช้ IP ร่วมกันเพียงไม่กี่ตัว (บริการพาร์กโดเมนหรือบริการส่งต่อ, เครื่องมือสร้างเว็บไซต์) ค่าที่ได้สะท้อนการตั้งค่าของบริการเดียว มากกว่าของแต่ละเว็บไซต์
เวอร์ชัน PHP และสถานะการสนับสนุน
สัดส่วนเว็บไซต์ที่เปิดเผยเวอร์ชัน PHP (ผ่าน X-Powered-By และช่องทางคล้ายกัน) และสัดส่วนที่สิ้นสุดการสนับสนุนในกลุ่มนี้ (8.1 และเก่ากว่า ณ วันที่สังเกต) (รูปที่ 4, ตารางที่ 2)
ตารางที่ 2 การเปิดเผยเวอร์ชัน PHP และสถานะการสนับสนุน แยกตามผู้ให้บริการโฮสติ้ง (ผู้ให้บริการที่มีการเปิดเผย PHP ตั้งแต่ 100 รายการขึ้นไป)
| ผู้ให้บริการโฮสติ้ง | เข้าถึงได้ | เปิดเผยเวอร์ชัน PHP | อัตราการเปิดเผย | ในนั้นสิ้นสุดการสนับสนุน | ในนั้นเฉพาะแพตช์ความปลอดภัย (8.2) | ในนั้นยังไม่แก้ CVE ร้ายแรงปี 2026 |
|---|---|---|---|---|---|---|
| ทั้งหมด (ไม่รวมที่อยู่หลัง CDN) | 952,161 | 105,237 | 11.1% | 53.5% | 4.8% | 49.7% |
| Xserver | 206,817 | 284 | 0.1% | 28.5% | 11.3% | 30.3% |
| Sakura Internet | 197,363 | 17,804 | 9.0% | 86.3% | 1.9% | 81.2% |
| GMO Internet | 179,804 | 64,164 | 35.7% | 47.9% | 4.9% | 45.7% |
| AWS (Amazon) | 71,025 | 3,028 | 4.3% | 61.6% | 16.6% | 58.9% |
| NTT DOCOMO BUSINESS (OCN) | 38,392 | 8,072 | 21.0% | 5.4% | 0.5% | 5.1% |
| IDC Frontier | 29,903 | 2,020 | 6.8% | 83.4% | 8.1% | 31.5% |
| GMO GlobalSign Holdings | 29,280 | 537 | 1.8% | 62.4% | 4.7% | 56.4% |
| NTTPC | 22,805 | 680 | 3.0% | 49.3% | 3.7% | 42.9% |
| 19,126 | 167 | 0.9% | 44.3% | 13.2% | 46.7% | |
| DigiRock | 16,042 | 329 | 2.1% | 92.4% | 0.9% | 88.8% |
| CPI (KDDI) | 15,155 | 1,337 | 8.8% | 95.5% | 0.7% | 74.9% |
| KAGOYA JAPAN | 10,692 | 311 | 2.9% | 61.4% | 5.8% | 55.9% |
| IIJ | 3,601 | 255 | 7.1% | 70.6% | 5.1% | 70.6% |
| KDDI | 3,452 | 281 | 8.1% | 46.6% | 15.7% | 34.9% |
| UCOM | 3,154 | 298 | 9.4% | 63.8% | 17.1% | 51.0% |
| Microsoft (Azure) | 2,957 | 203 | 6.9% | 26.6% | 12.8% | 27.6% |
| ASJ | 2,314 | 253 | 10.9% | 99.2% | 0.4% | 98.0% |
| ARTERIA Networks | 1,675 | 111 | 6.6% | 75.7% | 13.5% | 72.1% |
| Akamai (Linode) | 1,474 | 127 | 8.6% | 66.1% | 10.2% | 57.5% |
| Mirai Communication Network | 1,418 | 325 | 22.9% | 37.5% | 4.3% | 37.2% |
| SoftBank | 1,392 | 214 | 15.4% | 58.9% | 21.0% | 48.6% |
| Oracle Cloud | 1,316 | 154 | 11.7% | 42.9% | 3.9% | 42.9% |
| Hostinger | 1,167 | 600 | 51.4% | 15.5% | 26.8% | 42.8% |
| ผู้ให้บริการอื่นทั้งหมด | 41,445 | 3,402 | 8.2% | 61.1% | 9.2% | 57.5% |
| (อ้างอิง) บริษัทในกลุ่ม GMO รวมกัน | 209,084 | 64,701 | 30.9% | 48.0% | 4.9% | 45.7% |
- จากเว็บไซต์ 105,237 แห่งที่เปิดเผยเวอร์ชัน PHP มี 64,164 แห่งอยู่บน GMO Internet (อัตราการเปิดเผย 35.7%) ความแตกต่างของอัตราการเปิดเผยดูเหมือนจะสะท้อนว่าการตั้งค่าเซิร์ฟเวอร์ใส่เวอร์ชันลงใน
X-Powered-Byหรือไม่ อัตราการเปิดเผยของ Xserver อยู่ที่ 0.1% แทบไม่มีเว็บไซต์ใดที่นั่นเปิดเผยเวอร์ชัน - สัดส่วนที่สิ้นสุดการสนับสนุนมีตั้งแต่ 5.4% ที่ NTT DOCOMO BUSINESS (OCN) ไปจนถึง 99.2% ที่ ASJ โดย CPI (KDDI) อยู่ที่ 95.5%, DigiRock 92.4% และ Sakura Internet 86.3% บนเชร์โฮสติ้ง ลูกค้ามักเลือกเวอร์ชัน PHP เองในแผงควบคุม หากเว็บไซต์จำนวนมากยังคงใช้ตัวเลือกเก่า สัดส่วนนี้จะสูงแม้ผู้ให้บริการจะมีเวอร์ชันปัจจุบันให้เลือกก็ตาม
- เว็บไซต์ที่เปิดเผยเวอร์ชัน PHP 49.7% เปิดเผยเวอร์ชันที่อยู่ในช่วงที่ได้รับผลกระทบของช่องโหว่ PHP ร้ายแรงปี 2026 (CVE-2026-109618 / 109619)
การเปิดรับ CVE (ค่าขอบบน)
สัดส่วนเว็บไซต์ที่สตริงเวอร์ชันในเฮดเดอร์ Server, X-Powered-By หรือ CMS อยู่ในช่วงที่ได้รับผลกระทบของ CVE ที่เผยแพร่แล้วสำหรับ PHP, Apache, nginx, WordPress และอื่นๆ (NVD, ดึงข้อมูลเมื่อ 2026-10-29) (รูปที่ 5, ตารางที่ 3) กฎการจับคู่เหมือนกับในบทความ H เนื่องจากมองไม่เห็นการ back-port ของดิสทริบิวชัน ค่านี้จึงเป็น ค่าขอบบน ไม่มีการทดสอบการโจมตีจริง
ตารางที่ 3 การเปิดรับ CVE แยกตามผู้ให้บริการโฮสติ้ง (ค่าขอบบน, % ของชื่อที่เข้าถึงได้; ผู้ให้บริการที่มีการเปิดเผย PHP ตั้งแต่ 100 รายการขึ้นไป)
| ผู้ให้บริการโฮสติ้ง | อยู่ในช่วงของ CVE ที่ทราบ | ระดับ RCE (ไม่รวมเฉพาะ Windows) | ความรุนแรงระดับ CRITICAL |
|---|---|---|---|
| ทั้งหมด (ไม่รวมที่อยู่หลัง CDN) | 8.7% | 1.7% | 7.8% |
| Xserver | 0.5% | 0.3% | 0.3% |
| Sakura Internet | 11.4% | 2.3% | 10.7% |
| GMO Internet | 18.0% | 3.2% | 17.8% |
| AWS (Amazon) | 11.2% | 1.0% | 7.3% |
| NTT DOCOMO BUSINESS (OCN) | 2.9% | 0.6% | 2.6% |
| IDC Frontier | 7.4% | 5.0% | 7.1% |
| GMO GlobalSign Holdings | 2.4% | 0.9% | 2.3% |
| NTTPC | 9.5% | 1.1% | 5.5% |
| 2.5% | 0.2% | 1.4% | |
| DigiRock | 2.1% | 0.2% | 2.0% |
| CPI (KDDI) | 8.6% | 6.5% | 8.6% |
| KAGOYA JAPAN | 6.0% | 1.3% | 5.1% |
| IIJ | 10.2% | 1.6% | 9.3% |
| KDDI | 14.4% | 2.1% | 12.4% |
| UCOM | 47.0% | 3.7% | 16.0% |
| Microsoft (Azure) | 7.5% | 0.6% | 5.5% |
| ASJ | 15.0% | 0.3% | 15.0% |
| ARTERIA Networks | 20.5% | 3.8% | 18.6% |
| Akamai (Linode) | 11.5% | 1.5% | 10.2% |
| Mirai Communication Network | 9.5% | 2.0% | 9.5% |
| SoftBank | 24.7% | 5.7% | 23.1% |
| Oracle Cloud | 10.8% | 0.9% | 8.4% |
| Hostinger | 24.0% | 0.3% | 22.7% |
| ผู้ให้บริการอื่นทั้งหมด | 14.1% | 2.8% | 11.4% |
| (อ้างอิง) บริษัทในกลุ่ม GMO รวมกัน | 15.8% | 2.8% | 15.6% |
ภาพรวม: 8.7% UCOM (47.0%), SoftBank (24.7%), Hostinger (24.0%), ARTERIA Networks (20.5%) และ GMO Internet (18.0%) สูงกว่าค่าภาพรวม ขณะที่ Xserver (0.5%), DigiRock (2.1%) และ GMO GlobalSign Holdings (2.4%) อยู่ในระดับต่ำ เว็บไซต์ที่ไม่เปิดเผยเวอร์ชันไม่สามารถนำมาจับคู่ได้ ผู้ให้บริการที่มีอัตราการซ่อนเวอร์ชันสูงจึงได้ค่าต่ำกว่า ค่านี้แสดงว่ามีการเปิดเผยเวอร์ชันเก่าอยู่ ไม่ได้หมายความว่าการโจมตีจะสำเร็จ
ประเทศที่จดทะเบียนที่อยู่ IP
เมื่อไม่รวมเว็บไซต์ที่อยู่หลัง CDN ที่อยู่ IP ที่ให้บริการ 85.4% จดทะเบียนในญี่ปุ่น (86.9% สำหรับ .jp เพียงอย่างเดียว) ผู้ให้บริการภายในประเทศจดทะเบียนในญี่ปุ่นเกือบ 100% ขณะที่ AWS (จดทะเบียนในสหรัฐอเมริกา 98.5%), Google, Microsoft (Azure) และ Oracle Cloud จดทะเบียนในสหรัฐอเมริกาและประเทศอื่น (รูปที่ 6)
ประเทศที่จดทะเบียนมาจากข้อมูลการจัดสรรของ RIR และอาจต่างจากสถานที่ตั้งจริงของเซิร์ฟเวอร์ ผู้ให้บริการคลาวด์ต่างประเทศมักจดทะเบียนที่อยู่ที่ใช้ในศูนย์ข้อมูลในญี่ปุ่น (ภูมิภาคโตเกียวและโอซากา) ไว้ในประเทศแม่ของตน ดังนั้น "จดทะเบียนในสหรัฐอเมริกา" จึงไม่ได้หมายความว่า "ตั้งอยู่ในสหรัฐอเมริกา"
ผู้ให้บริการ NS เทียบกับผู้ให้บริการโฮสติ้ง
สำหรับผู้ให้บริการ NS แต่ละรายในบทความ H (10 อันดับแรก) แสดงผู้ให้บริการโฮสติ้งที่ IP ของตนส่งเว็บไซต์ออกมา (รูปที่ 7, เฉพาะ .jp)
- ชื่อที่ใช้ NS ของ Xserver 92.3%, ของ Sakura Internet 93.3% และของ CPI (KDDI) 93.4% ถูกส่งออกจาก IP ของบริษัทเดียวกันด้วย กล่าวคือ DNS และเว็บอยู่กับผู้ให้บริการรายเดียว
- ชื่อที่ใช้ NS ของ GMO Pepabo 78.1% ถูกส่งออกจาก IP ใน AS ของ GMO Internet ในระดับ AS ไม่สามารถแยกบริษัทที่ถือครอง AS ออกจากบริษัทที่ให้บริการบนโครงสร้างพื้นฐานนั้นได้ (§2)
- ชื่อที่ใช้ NS ของ GMO (VALUE-DOMAIN) แบ่งไปอยู่ที่ DigiRock (40.9%), GMO Internet (29.2%) และ Sakura Internet (10.6%) ชื่อที่ใช้ NS ของ GMO (DNSv) กระจายไปที่ Sakura Internet (22.9%), AWS (12.3%), อยู่หลัง CDN (14.5%) และอื่นๆ กล่าวคือ DNS โฮสต์ไว้ที่หนึ่ง และเว็บไซต์อยู่อีกที่หนึ่ง
- ชื่อที่ใช้ NS ของ AWS Route 53: AWS 37.4%, อยู่หลัง CDN 33.1%, IDC Frontier 10.9% ชื่อที่ใช้ NS ของ Cloudflare: อยู่หลัง CDN 85.6%
- ชื่อที่ใช้ NS ของ customer.ne.jp: NTT DOCOMO BUSINESS (OCN) 79.3%, NTTPC 13.5%
ผลนี้ให้ขนาดเชิงตัวเลขแก่ข้อความในบทความ H ที่ว่าผู้ให้บริการ NS ไม่ใช่ผู้ให้บริการโฮสติ้ง สำหรับบริษัทเชร์โฮสติ้ง ค่ารายผู้ให้บริการ NS และรายผู้ให้บริการโฮสติ้งใกล้เคียงกัน แต่สำหรับผู้ให้บริการเฉพาะ DNS และผู้ให้บริการ CDN ค่าทั้งสองต่างกันมาก
การอ่านตัวเลข — นี่ไม่ใช่การประเมินผู้ให้บริการ
- ใครเป็นผู้กำหนดการตั้งค่า: บนเชร์โฮสติ้ง เวอร์ชัน PHP อาจเป็นค่าเริ่มต้นของผู้ให้บริการหรือลูกค้าเลือกเองในแผงควบคุม ส่วน HSTS และ CSP ส่วนใหญ่ลูกค้าเป็นผู้เพิ่มเองใน
.htaccessหรือในแอปพลิเคชัน บน VPS และคลาวด์ ลูกค้าดูแลทุกอย่างตั้งแต่ระบบปฏิบัติการไปจนถึงแอปพลิเคชัน ทุกค่าอธิบาย "เว็บไซต์ที่โฮสต์อยู่กับผู้ให้บริการรายนั้น" และไม่ได้วัดคุณภาพด้านความปลอดภัยของตัวผู้ให้บริการโดยตรง - รูปแบบธุรกิจต่างกัน: เชร์โฮสติ้ง, VPS และคลาวด์, เครื่องมือสร้างเว็บไซต์ และบริการพาร์กโดเมนหรือบริการส่งต่อ ปรากฏอยู่ในตารางเดียวกัน ผู้ให้บริการที่มีรูปแบบบริการต่างกันไม่สามารถนำมาจัดอันดับเทียบกันได้อย่างง่ายๆ
- AS อยู่ในระดับบริษัท: ไม่สามารถแยกแบรนด์ต่างๆ ของบริษัทเดียวกันได้ และบริการที่สร้างบนโครงสร้างพื้นฐานที่เช่ามาจะถูกนับภายใต้เจ้าของโครงสร้างพื้นฐาน
- ไม่ทราบว่ามีอะไรอยู่หลัง CDN: เว็บไซต์ที่อยู่หลัง CDN ถูกนำออกจากตัวหาร ดังนั้นสำหรับผู้ให้บริการที่ลูกค้าใช้ CDN อย่างแพร่หลาย ค่าที่ได้จึงครอบคลุมเฉพาะเว็บไซต์ที่ไม่ได้ใช้ CDN
การเปิดเผยผลประโยชน์ทับซ้อน: ผู้เขียนดำเนินธุรกิจโดเมน (ผู้รับจดทะเบียนที่ได้รับการรับรองจาก JPRS) ผ่าน SkyClear Co., Ltd. และเคยดำรงตำแหน่งผู้บริหารลำดับที่สองของบริษัทลูกในเครือ GMO Group ผู้ให้บริการในบทความนี้มีบริษัทในกลุ่ม GMO รวมอยู่ด้วย (GMO Internet, GMO GlobalSign Holdings และอื่นๆ) ทุกค่าคำนวณสำหรับผู้ให้บริการทุกรายด้วยวิธีเดียวกันและเกณฑ์เดียวกัน และชื่อบริษัทอ้างอิงจากข้อมูลสาธารณะ (ตารางเส้นทางและชื่อองค์กรของ AS)
ข้อจำกัดและข้อควรระวัง
- ข้อจำกัดด้านประชากรและการสังเกตเหมือนกับในบทความ H (ทะเบียนครอบคลุม 63.0% ของจำนวนการจดทะเบียนของ JPRS, ความสามารถในการเข้าถึงจากจุดสังเกต, นับการตอบสนอง 403 เป็นเข้าถึงได้, ค่าขอบบนที่อิงตามเวอร์ชัน)
- ผู้ให้บริการโฮสติ้งคือ AS ต้นทางในตารางเส้นทาง ไม่ได้สะท้อนพื้นที่ที่อยู่ที่ให้เช่า และช่องว่างระหว่างวันที่ของตารางเส้นทาง (2026-10-28) กับวันที่สังเกต (2026-10-29) IP ที่ไม่มีในตารางเส้นทางและชื่อที่ไม่สามารถบันทึก IP ได้ถูกตัดออกเป็น "ไม่ทราบ IP" (0.4%)
- ที่อยู่ IP เป็นผลจากการแปลงชื่อเพียงครั้งเดียว ณ เวลาสังเกต ชื่อที่มีหลายที่อยู่ถูกนับเพียงครั้งเดียว
- การตรวจจับ CDN อิงตามเฮดเดอร์การตอบสนองและ AS ไม่สามารถตรวจจับ CDN ที่ไม่ระบุตัวตน และผู้ให้บริการที่ส่งเนื้อหาผ่านเครือข่ายของตนเองได้
- ไม่ได้แจ้งผู้ให้บริการล่วงหน้า ตัวเลขเหล่านี้อธิบายข้อเท็จจริงที่สังเกตได้
- บทความนี้ไม่ได้ระบุชื่อเว็บไซต์หรือชื่อโดเมนรายใด
ตรวจสอบสิ่งที่เซิร์ฟเวอร์ของคุณเปิดเผย ทั้ง TLS, HSTS, เฮดเดอร์ และเวอร์ชัน ด้วยวิธีที่ไม่รุกล้ำแบบเดียวกับการสำรวจนี้ ไม่ต้องลงทะเบียน
ใช้งาน: ตรวจสอบข้อมูลเซิร์ฟเวอร์คำถามที่พบบ่อย
นี่คือการจัดอันดับผู้ให้บริการหรือไม่?
ไม่ใช่ ผู้ให้บริการที่มีรูปแบบต่างกัน (เชร์โฮสติ้ง, VPS และคลาวด์, เครื่องมือสร้างเว็บไซต์) ปรากฏเคียงข้างกัน และเวอร์ชัน PHP และเฮดเดอร์ส่วนใหญ่ลูกค้าเป็นผู้กำหนด ตัวเลขเหล่านี้อธิบาย "เว็บไซต์ที่ตอบสนองจากที่อยู่ IP ของผู้ให้บริการรายนั้น"
ระบุผู้ให้บริการโฮสติ้งอย่างไร?
ค้นหาที่อยู่ IP ที่ส่งเว็บไซต์ออกมาในตารางเส้นทางสาธารณะ (CAIDA RouteViews) เพื่อหา AS แล้วแปลงชื่อองค์กรของ AS (CAIDA AS Organizations) ให้เป็นชื่อบริษัท ชื่อดังกล่าวเป็นของบริษัทที่ถือครอง AS ไม่ใช่แบรนด์บริการ
จัดการเว็บไซต์ที่ใช้ CDN อย่างไร?
เมื่อมี CDN อย่าง Cloudflare อยู่ด้านหน้า IP จะเป็นของ CDN และไม่ทราบเซิร์ฟเวอร์จริง (ต้นทาง) เราไม่ได้อนุมานต้นทาง เว็บไซต์เหล่านี้ถูกนับแยกเป็น "อยู่หลัง CDN" และนำออกจากตัวหารรายผู้ให้บริการ
ต่างจากค่ารายผู้ให้บริการ NS ในบทความ H อย่างไร?
ผู้ให้บริการ NS คือที่ที่โฮสต์ DNS ส่วนผู้ให้บริการโฮสติ้งคือเจ้าของ IP ที่ส่งเว็บไซต์ออกมา ทั้งสองมักเป็นคนละบริษัท ความสัมพันธ์ระหว่างกันแสดงไว้ใน §9
ฉันตรวจสอบเว็บไซต์ของตัวเองด้วยวิธีเดียวกันได้หรือไม่?
ได้ ป้อน URL ในการตรวจสอบข้อมูลเซิร์ฟเวอร์ของ Site Scouter เพื่อดู TLS, HSTS, เฮดเดอร์ และการเปิดเผยเวอร์ชัน ด้วยวิธีที่ไม่รุกล้ำแบบเดียวกับการสำรวจนี้
สามารถขอให้ยกเว้นเว็บไซต์ของฉันจากการสังเกตได้หรือไม่?
โปรดติดต่อเราผ่านแบบฟอร์มติดต่อของ Site Scouter เว็บไซต์ของคุณจะถูกยกเว้นจากการสังเกตครั้งต่อๆ ไป
แหล่งอ้างอิง
ตรวจสอบล่าสุด: 2026-10-30 ข้อกำหนดและนโยบายอาจเปลี่ยนแปลงได้ โปรดตรวจสอบแหล่งข้อมูลต้นทางก่อนดำเนินการ
- CAIDA: RouteViews Prefix-to-AS mappings
- CAIDA: AS Organizations
- APNIC: Delegated statistics (RIR allocation records)
- PHP: Supported Versions (php.net)
- NVD - National Vulnerability Database (NIST)
- Interim report: Security Exposure Across the .jp Domain Space (Site Scouter)
Yuki Nakazawa (บล็อกส่วนตัว nkzw.jp)
ติดต่อ: เว็บไซต์ทางการ ／ YouTube ／ Instagram ／ LinkedIn ／ X ／ Telegram