1．polyfill.ioを残したサイトで何が起きたのか

polyfill.ioの問題で注意したいのは、ホームページ自体が改ざんされていなくても、不審な画面が出る点です。自社サーバーだけを見ていても、原因が見つからない場合があります。

1-1．身に覚えのない認証画面が表示された

2026年5月下旬以降、国内の企業や団体のサイトで、不審な認証画面が相次いで確認されました。

表示されたのは、ユーザー名とパスワードを求める画面です。サイト側が用意したフォームではなく、ブラウザが表示するBasic認証の画面でした。

原因は、ページ内に残っていたpolyfill.ioへの接続です。サイトを開くと、ブラウザはHTML内の記述に従い、polyfill.ioへ自動で接続します。

その接続先から認証要求が返されたため、閲覧者の画面に入力欄が現れました。

入力した情報は、polyfill.io側へ送られる可能性があります。すべてのサイトで情報漏洩が確認されたわけではありません。ただし、入力情報が収集されていないとも断定できません。

身に覚えのない画面には、何も入力しない対応が必要です。

1-2．2024年に止まった問題が再び表面化した

実はpolyfill.ioは、2024年にも大きな問題となりました。

当時、polyfill.ioを通じて悪意のあるコードが配信され、一部の利用者が詐欺サイトへ誘導される危険が指摘されました。その後、ドメインが停止され、外から接続できない状態になります。

しかし、サイト内の読み込み記述まで自動で消えるわけではありません。使えなくなったコードが、多くのサイトに残りました。

2026年5月にドメインが再び接続できる状態となり、古い記述が動き始めます。その結果、約2年前に対応しなかったサイトで、問題が再燃しました。

今回の件は、古いコードを残す危険を示しています。今は動いていない外部サービスでも、将来まで安全とは限りません。

2．そもそもpolyfill.ioは何のために使われていたのか

polyfill.ioは、最初から危険なサービスだったわけではありません。Web制作の現場では、表示の差を補う便利な仕組みとして広く使われていました。

2-1．古いブラウザの不足機能を補う仕組み

ブラウザには、Google ChromeやSafariなどがあります。種類や世代により、使える機能に差がありました。

新しい技術を使ってサイトを作ると、古いブラウザでは正しく動かない場合があります。その不足を補うコードが、polyfillです。

polyfill.ioは、閲覧者のブラウザを判別し、必要なコードを配信していました。制作側は複雑な調整を減らせるため、多くのサイトに導入されました。

一方、現在の主要ブラウザは対応範囲が広がっています。以前ほどpolyfillを必要としないサイトも増えました。

すでに役目を終えた記述が、そのまま残っているケースも少なくありません。

2-2．外部読み込みは管理を相手に預ける行為

外部サービスを使うと、サイト制作の手間を減らせます。しかし、配信されるファイルを自社で管理できません。

運営会社が変わる。サービスが終了する。ドメインが別の所有者へ渡る。こうした変化が起きれば、同じURLから別の内容が返る恐れがあります。

これは、外部の部品を通じて影響が広がる「サプライチェーン攻撃」の一例です。

URLが自社の正式なドメインでも、読み込む部品まで安全とは限りません。SSLの鍵マークがあっても、外部コードの中身までは保証されない点に注意が必要です。

3．弊社クライアントサイトで行った確認と修正

今回の問題は、有名企業だけの話ではありません。実際に弊社のクライアントサイトでも、polyfill.ioが原因とみられる認証画面を確認しました。

3-1．ログイン機能がないサイトで入力画面が出た

ご相談のきっかけは、サイトを開くと見慣れない認証画面が出るという内容でした。

管理画面へのログインではありません。一般の閲覧ページを開いただけで表示されます。サイトには、閲覧者へID入力を求める機能もありませんでした。

そこで、テーマ内のファイルと読み込み先を確認しました。その結果、ヘッダー周辺のコードにpolyfill.ioへの参照が残っていました。

この記述を削除すると、不審な認証画面は表示されなくなりました。

クライアント側では、サイトの内容を変更していません。それでも、外部の配信元が変わったことで問題が表面化しました。

3-2．削除後はサイト全体の動作確認も必要

外部コードは、サイトの見た目や動きに関係します。そのため、該当行を消して終わりにはできません。

弊社の事例でも、修正後にトップページのスライダーが動かない状態を確認しました。そこで、関連するJavaScriptの読み込みや表示を見直し、正常な状態へ整えています。

polyfill.io自体が不要でも、修正作業によって別の箇所へ影響が出る場合があります。

パソコンだけでなく、スマートフォンでも確認が必要です。トップページ、下層ページ、フォームなど、主要な箇所を一通り確認しましょう。

この事例からも、問題のある記述を見つける作業と、削除後の確認はセットだと分かります。

4．自社サイトにpolyfill.ioが残っていないか確認する方法

確認作業は、閲覧者としての確認と、コード上の確認に分けて進めます。見た目に異常がなくても、参照だけが残っている場合があります。

4-1．主要ページを実際に開いて確認する

まずは、自社サイトのページを開きます。

トップページだけでは足りません。会社案内、サービス、採用、問い合わせなども確認します。古い特設ページや、長く更新していないページも対象です。

身に覚えのない認証画面が出た場合は、入力せずに閉じてください。画面を撮影し、表示されたページと時刻を記録します。

制作会社へ相談する際の手がかりになります。

すでにIDやパスワードを入力した場合は、同じ情報を使うサービスも含めて変更が必要です。社内の管理者や制作会社へも早めに共有してください。

4-2．ソースコード内の文字列を探す

ブラウザでページのソースを表示し、次の文字列を検索します。

• polyfill.io
• cdn.polyfill.io
• polyfill.min.js

見つかった場合は、どのファイルから出力されているかを調べます。

WordPressでは、テーマのheader.phpやfunctions.phpだけにあるとは限りません。プラグイン、タグ管理ツール、古い固定ページへ入っている場合もあります。

表示されたHTMLに見つからなくても、ビルド前のファイルや設定内に残るケースがあります。判断が難しい場合は、コードを削除する前に制作会社へ確認しましょう。

4-3．見つけても別のコードへ安易に置き換えない

検索すると、代わりの読み込み先やコードが見つかります。しかし、そのコードが必要とは限りません。

まず確認したいのは、polyfill自体を今も使う理由です。必要性がなければ、別サービスへ移すより削除する方が管理しやすくなります。

インターネット上のコードを、そのまま貼る行為も避けましょう。

配信元が安全か。更新が続いているか。利用条件に問題がないか。確認せずに置き換えると、新たな外部依存が増えます。

5．polyfill.io削除後に見直したいホームページ管理

polyfill.ioだけを消しても、似た問題を完全には防げません。大切なのは、サイトが外部の何を読み込んでいるかを把握することです。

5-1．外部サービスを一覧にする

ホームページでは、さまざまな外部サービスを使います。

種類	主な用途	確認したい点
アクセス解析	閲覧数や流入の計測	今も計測に使っているか
広告タグ	広告効果の計測	終了した広告のタグがないか
Webフォント	外部フォントの表示	配信元が継続しているか
SNS・動画	投稿や動画の埋め込み	不要な読み込みがないか
JavaScript	表示や動きの制御	管理する担当者がいるか

導入日、利用目的、管理者も残しておくと安心です。サービスを終了した際に、削除の判断がしやすくなります。

同じ目的のサービスが重複していないかも確認しましょう。使っていないコードを減らすと、表示速度の改善にもつながります。

5-2．更新していないサイトほど定期点検が必要

ホームページを更新していないから、安全とは限りません。

自社が何も変更しなくても、WordPressやブラウザは更新されます。外部サービスの運営元や、配信内容も変わります。

少なくとも年に一度は、次の項目を確認しましょう。

• 外部スクリプトの読み込み先
• WordPress本体とプラグイン
• 使っていない管理者アカウント
• SSL証明書とドメインの期限
• 古いフォームや特設ページ
• バックアップと復旧方法

保守契約がある場合は、どこまで点検対象なのかも確認します。

WordPressの更新だけを行う契約もあります。外部サービスやテーマ内の古いコードまで確認するのか、事前に保守範囲を確かめておきましょう。

まとめ．polyfill.ioの問題を古いコードの整理につなげよう

polyfill.ioの問題は、過去に便利だった機能が、後から危険な入口へ変わる例です。

不審な認証画面が出ていなくても、コードだけが残っている場合があります。まずは主要ページを開き、ソース内も確認しましょう。

polyfill.ioが見つかった場合は、原則として削除を検討します。ただし、修正後は表示やフォームの動作確認も欠かせません。

また、今回の確認をpolyfill.ioだけで終わらせないことも重要です。外部スクリプトや古いページを整理し、誰が管理するかを決めておきましょう。

弊社では、ホームページのソース確認や、不要な外部読み込みの調査にも対応しています。管理状況が分からない場合は、お気軽にご相談ください。