PHPに深刻な脆弱性、訪問看護ステーションのHPは大丈夫か。厚労省や大手もサイトを止めた10月21日の夜と、管理者が確かめたいこと

10月21日の夜、日本のインターネットの一部が自ら灯りを落とした。ネットショップのBASE、保育施設向けのコドモン、DMM.comやniconico、人気ゲームの数々が、相次いでサービスを止めた。厚生労働省のサイトも止まった組織の一つとして数えられている（piyolog、10月21日）。

原因はPHPだ。ウェブサイトを動かすプログラム言語の一つで、PHPを開発するチームが20日に「深刻な脆弱性を2件修正する」と予告していた。修正版の公開は日本時間21日の夜。公開されたあとに攻撃が始まるのを恐れて、多くの組織が先回りして扉を閉めたのである。高市首相もXで、修正をすぐに当てられないならサイトの一時停止も有効な対策になりうると呼びかけた。

訪問看護ステーションには関係のない話だと思うかもしれない。そうではない。ウェブサイトのおよそ7割はPHPで動いている。ステーションのホームページだけが例外ということはない。

何が起きたのか

PHPの開発チームが21日に公開したのはPHP 8.5.12、8.4.27、8.3.36、8.2.35の4つの修正版である。直した脆弱性は2件（CVE-2026-109618とCVE-2026-109619）で、深刻度はどちらも10点満点の9.2。認証なしで外からサーバー上のプログラムを動かされるおそれがある、という最も重い部類の欠陥だ。

開発チームの告知は短い。「完全な回避策はない。更新することが唯一の安全な選択だ」。設定を変えて攻撃の一部の経路をふさぐ方法も示されたが、それで安全になるわけではないと念を押している。

もう一つ見落とせないのはPHP 8.1より古い版には公式の修正版が出ないことだ。古い版のまま放置されたサイトは、今回の穴を抱えたまま動き続けることになる。8.2も2026年12月31日でサポートが終わる。

IPA（情報処理推進機構）は21日の時点で、この2件を悪用した攻撃はまだ確認していないとしていた。ただ修正の中身が公開されれば、それを手がかりに攻撃の方法を組み立てる者が出てくる。止まる側の判断が早かったのは、そのためだ。

調査会社のW3Techsによれば、使われている言語が分かっているウェブサイトのうち、PHPで動いているものは69.3%にのぼる。

ステーションのホームページは「作ったきり」になっていないか

ホームページを作るときによく使われるWordPressは、PHPで動いている。制作会社に頼んでWordPressでホームページを作ったステーションなら、今回の脆弱性と無関係ではいられない。

しかもWordPressではひと月前にも本体の深刻な脆弱性（CVE-2026-87902）が見つかったばかりだ。9月22日に修正版が出ると、その日のうちに悪用の試みが観測された。ひと月のうちに、本体と、その土台の言語の両方で穴が開いたことになる。

ここで考えたいのはステーションのホームページが誰の手で、どの頻度で更新されているかだ。

開業のときに制作会社に作ってもらい、その後はお知らせを年に数回書き足すだけ。そんなホームページは珍しくないだろう。制作は一度きりの仕事だが、ソフトウェアの更新は終わりがない。保守の契約を結んでいなければ、PHPの版がいくつなのかを誰も知らないまま、サイトが何年も動き続けることになる。

ホームページが乗っ取られると何が起きるか。訪問看護の名前で詐欺サイトに誘導される。問い合わせのフォームや採用の応募フォームに書き込まれた個人情報が抜き取られる。ケアマネジャーや病院の連携室が、改ざんされたページを目にするかもしれない。信用で成り立つ仕事にとって、どれも小さな傷では済まない。

病院のシステムが止まれば、訪問看護も止まる

ホームページは入り口にすぎない。もっと深刻なのは日々の看護を支えるシステムが止まることだ。

4月21日の深夜、市立奈良病院がサイバー攻撃を受けた。電子カルテの一部のサーバーが止まり、患者の記録が見られなくなった。病院は救急の受け入れを止め、外来も原則として制限した。

訪問看護は病院や診療所とつながって初めて成り立つ。主治医の指示書が届かない。退院する利用者の情報が来ない。連携先のシステムが止まったとき、その影響はステーションにも及ぶ。ステーション自身の記録システムも同じだ。HokanPressでは先日、訪問看護向けの記録システムを提供するアットリンクが不正アクセスを受けた件を取り上げた。

厚労省の「医療情報システムの安全管理に関するガイドライン」（第6.0版）は対象とする「医療機関等」に、病院や薬局と並べて訪問看護ステーションを明記している。小さな事業所だから対象外、という扱いにはなっていない。

どの技術にも穴は開く

PHPだから危ない、という話ではない。2025年12月には、Next.jsなどで使われるReact Server Componentsにも、深刻度の最も高い脆弱性（React2Shell、CVE-2025-55182）が見つかっている。どの言語にも、どの部品にも、穴は開く。

PHP自体、30年にわたって使われてきた実績のある技術である。実績のある技術は、穴が見つかったときに修正が早く出て、情報も集まりやすい。それでも今回のような穴は見つかる。

差がつくのはそのあとだ。自分たちが何を使っているかを把握しているか。修正が出たらすぐに当てられるか。使っている部品が多いほど、見張って更新しなければならないものも増える。プラグインを入れたまま使っていないWordPressのサイトは、その典型だろう。

ステーションの管理者に求められるのはプログラムを書くことではない。自分のホームページと記録システムが何で動き、誰が更新しているのかを知っておくことだ。

管理者がいま確かめたいこと

今回の件を機に、次のことを確かめておきたい。

• ホームページを作った制作会社か保守会社に、PHPの版が8.2以上か、21日の修正版が当たっているかを問い合わせる
• レンタルサーバーを自分で契約しているなら、サーバー会社の告知を見る。エックスサーバーなどは、サーバー側で修正を順次当てると告知している
• WordPressを使っているなら、9月の修正版以降に更新されているかを確かめる
• 問い合わせのフォームで、利用者の病状など、集める必要のない情報まで書かせていないかを見直す
• ホームページの管理画面と、記録システムのパスワードを使い回していないかを確かめる
• 記録システムの提供会社に、今回の脆弱性の影響の有無を問い合わせる

PHPの版を聞かれて、すぐに答えられる制作会社なら心配は少ない。答えに詰まるようなら、それ自体が一つの答えになる。

ホームページは開業したあとも毎日誰かに見られている。利用者の家族、ケアマネジャー、求人を探す看護師。そして、穴を探して回る誰か。

---

※本稿は、PHP開発チームの告知（2026年10月20日・21日）、IPAの注意喚起（10月21日）、各社の報道をもとにまとめた。サービスを止めた組織の一覧はpiyologの集計（10月21日時点）による。厚生労働省を含む一部の組織は、告知でPHPを名指ししていない。