2026年10月21日、ホームページを動かす仕組みの一つである「PHP」に、重大な脆弱性が見つかったと公表されました。ホームページの管理を業者に任せている介護施設や事業所では、「うちは大丈夫なの？」と聞かれて、どう答えればよいか困っている管理者の方もいると思います。
筆者も10月22日に、自分が運営しているサイトとサーバーを全部確かめました。この記事では、そのとき実際にやったことを元に、技術の細かい話はせずに、施設の管理者として今日できることを順に整理します。
何が起きているのか
PHP の開発元は、2026年10月21日に、2件の脆弱性（CVE-2026-109618、CVE-2026-109619）を直した修正版を公開しました。開発元の告知では、どちらも、認証なしで外から任意のプログラムを動かされるおそれがあるものとされています。修正版は PHP 8.5.12、8.4.27、8.3.36、8.2.35 です。
国内では、JPCERT コーディネーションセンターが10月22日に注意喚起を出し、修正版を速やかに適用するよう強く勧めています。対象は、8.5.12 より前の 8.5 系、8.4.27 より前の 8.4 系、8.3.36 より前の 8.3 系、8.2.35 より前の 8.2 系です。
筆者のところで、10月22日に確かめたこと
筆者が運営しているものは、大きく分けて2種類あります。一つは、自分で借りて管理しているサーバー。もう一つは、レンタルサーバーの上で動いている WordPress のブログです。この2つは、確かめ方も、その後にやることも違いました。
自分で管理しているサーバーでは、PHP が入っているかどうかを、サーバーの上で確かめました。PHP の版を表示する命令（php -v）を打っても「見つからない」と出て、入っている部品の一覧にも PHP はありませんでした。このサーバーで動いているサイトは、PHP ではない仕組みで作っていたので、今回の脆弱性の対象ではない、と判断できました。
WordPress のブログは、WordPress 自体が PHP で動いているので、対象です。ただ、このブログはレンタルサーバー（ConoHa WING）の上で動いていて、PHP を直すのはサーバーの会社の仕事です。そこで、会社の公式の告知を読みました。告知には、利用者が使っている PHP の版はそのままで、会社の側で修正を順次当てること、利用者が自分で PHP の版を変える必要はないことが書かれていました。予防のために、ファイルマネージャーと Web メールを一時的に止めていて、サイトの表示とメールの送受信は通常どおり、ともありました。なので、このブログは「待つ」と決めました。
もう一つ、ドメインの都合でいま止まっているサイトがあります。外から届かない状態なので、今すぐ危ないわけではありませんが、再開する前に、同じように確かめることにしています。
確かめてみて分かったのは、自分のところが「安全」なのか「待っている」のか「まだ分からない」のかを、サイトごとに言える状態にしておくことが、一番大事だということでした。
介護の現場に、何が関係するのか
PHP は、Web のページを組み立てる仕組みです。施設の管理者が直接さわることはほとんどありませんが、次のようなものの裏側で動いていることがあります。
- 施設や事業所のホームページ（WordPress で作られたものは、PHP で動いています）
- ホームページの中の、見学予約やお問い合わせのフォーム
- 求人のページや、採用の応募フォーム
- Web ブラウザで使う業務のシステム（記録や勤怠など）。PHP で作られているものも、そうでないものもあります
管理者が、これらが PHP で動いているかを自分で調べる必要はありません。知っているのは、作った業者や管理している業者です。
管理者が今日できること
1. 誰が管理しているかを確かめる
最初にするのは、ホームページを作った業者と、いま管理している業者、サーバーを貸している会社を確かめることです。筆者のところでも、自分で管理しているものと、サーバーの会社に任せているものを分けたところから始めました。契約書や毎月の請求書を見ると、名前が分かることが多いです。法人の本部や別の部署が管理しているなら、その担当者に聞くのが一番早い道です。
2. 業者に、修正が済んでいるかを聞く
管理している業者が分かったら、問い合わせます。聞くことは3つで足ります。
- うちのホームページ（フォームを含む）は、PHP で動いていますか
- 動いている場合、今回の修正は、もう入っていますか
- まだの場合、いつごろ入る予定ですか。それまでに、こちらで止めたほうがよいものはありますか
レンタルサーバーの場合は、多くの会社が公式サイトに対応の告知を出しています。筆者のブログがそうだったように、会社が「利用者の操作は不要」と言っているなら、利用者は待つのが正しい対応です。
3. 止めるか、待つかを決める
業者の対応がすぐに済むなら、待つのが基本です。ホームページを止めると、見学や採用の問い合わせも止まってしまいます。ただ、管理している業者が分からない、連絡がつかない、いつ直せるか分からないと言われた、フォームで利用者やご家族の個人情報を受け付けている、といったときは、業者や法人の担当者と相談して、一時的に止めることも考えます。管理者が一人で決めることではありません。
業者に送る文例
施設名と担当者名だけ変えて使ってください。
いつもお世話になっております。〇〇（施設名）の△△です。
10月21日に公表された PHP の脆弱性（CVE-2026-109618、CVE-2026-109619）について、確認のご連絡です。
当施設のホームページ（お問い合わせフォームを含む）が PHP で動いているか、また修正の適用が済んでいるかを教えていただけますでしょうか。
まだの場合は、適用の予定と、それまでに当施設側でしておくべきことがあれば、あわせてお知らせください。
慌てなくていいこと、慌てたほうがいいこと
慌てなくていいのは、自分で PHP を更新しようとすることです。レンタルサーバーや業者が管理しているなら、管理者が操作する場面はほとんどありません。筆者のブログも、やったことは告知を読んで待つと決めたことだけでした。
慌てたほうがいいのは、「誰が管理しているか分からない」と気づいたときです。今回の件で一番困るのは、脆弱性そのものより、聞く先が分からないことです。
ふだんから準備しておくこと
筆者も今回、サイトごとに「安全・待っている・まだ分からない」を書き出しました。施設でも、次の一覧を一枚にまとめておくと、次に同じようなことが起きたときに迷わずにすみます。
- ホームページ：作った業者、管理している業者、サーバーの会社、連絡先
- フォーム：何を受け付けているか（個人情報を含むか）
- Web で使う業務のシステム：提供している会社、問い合わせの窓口
- 法人の中の担当者：誰に相談すればよいか
出典
- PHP 公式サイト（php.net）告知、2026年10月21日：https://www.php.net/
- JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」、2026年10月22日：https://www.jpcert.or.jp/at/2026/at260033.html
- ConoHa WING「【重要】PHPの脆弱性への弊社対応について」：https://www.conoha.jp/wing/news/?ap=2015054903
この記事はAIの補助を受けて作成し、介護現場18年の筆者が内容を確認しています。
コメント