セキュリティ / ニュース

自院のホームページを動かしている「PHP」に、深刻な脆弱性。10月22日、IPAとJPCERT/CCがそろって注意喚起を出しました。

掲載 2026.10.23情報確認 2026.10.23出来事・発表 2026.10.22

10月22日、IPAとJPCERT/CCが同じ日に、PHPという土台ソフトの脆弱性（CVE-2026-109618、CVE-2026-109619）について注意喚起を公開しました。悪用されると、ホームページを置いているサーバー上で勝手にプログラムを動かされるおそれがあります。院内のパソコンの話ではありません。診療案内や休診情報を載せている自院のサイト、Web予約、問診フォームといった「外に置いてあるもの」の話です。院内で作業することはありませんが、連絡する先が1つあります。

PHPとは、ホームページの「土台」です

ホームページの話をするとき、ふだん名前が出るのは「WordPress」や「Movable Type」といった、記事を書き換えるためのソフトです。PHPは、そのさらに下で動いている土台にあたります。土台ですから、ふだん院内で名前を見ることはまずありません。しかし、国内のホームページや予約システムの多くがこの土台の上で動いており、土台側に欠陥があれば、上に載っているソフトを最新にしていても影響を受けます。今回公表されたのは、まさにその土台側の欠陥です。PHPの開発元が出した案内の見出しは「Critical remote code execution vulnerabilities, update now」、つまり「重大な、遠隔から任意のプログラムを実行されうる脆弱性。すぐ更新を」という内容でした。

公表されたのは10月21日から22日です

時系列を分けておきます。PHPの開発元がアドバイザリを公表したのが2026年10月21日。これを受けて、IPAが10月22日に「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」を、JPCERT/CCが同じ10月22日に注意喚起を公開しました。対象は、PHP 8.5.12より前の8.5系、8.4.27より前の8.4系、8.3.36より前の8.3系、8.2.35より前の8.2系です。修正済みの版は8.5.12、8.4.27、8.3.36、8.2.35。PHP 8.1以前は提供が終了しており、この修正は提供されません。IPAのページには、調査に関わった事業者の見解として、PHP 5.4以降が少なくとも一方の影響を受けるという記載もありました。古いまま動いているサイトほど、確認の優先度が高いということになります。

院内で操作することはありません。連絡する先が1つあります

更新作業をするのは、サイトを置いているサーバーの管理者です。自院で管理していることはまずなく、ホームページ制作会社か、レンタルサーバー会社か、予約システムの提供元のいずれかになります。受付のパソコンで何かを入れ直す必要はありませんし、院内ネットワークの設定を触る話でもありません。連絡するときの文面は、短くて構いません。「10月22日にIPAとJPCERT/CCから出たPHPの脆弱性（CVE-2026-109618、CVE-2026-109619）について、当院のサイトが対象かどうか、対応済みかどうかを教えてください」。これで十分に伝わります。レンタルサーバーの場合は、事業者側がまとめて更新してすでに完了していることも多く、その場合は「対応済み」という返事がもらえます。

異常があったかどうかは、ログで見てもらいます

JPCERT/CCの注意喚起には、侵害の有無を調べるための着眼点も書かれています。異常に長い、あるいは異常な形式のセッション用Cookieが設定されていないか。不審なファイル送信のリクエストと、その前後にメモリ上限のエラーや500番のエラーが出ていないか。PHPの処理プロセスが予期せず落ちたり、頻繁に再起動したりしていないか。いずれもサーバー側のログを見る話なので、確認するのは管理している事業者です。あわせて、こうした痕跡が見つからなくても攻撃を受けていないとは言い切れない、とも書かれています。ですから、自院としてやるべきことは「対象かどうか」「対応済みか」「ログに異常はなかったか」の3点を聞いて、返事を記録に残しておくことまでです。サイトの管理がどこの会社なのか分からない、連絡先が分からないという場合は、アイジェイネットでも整理のお手伝いができます。

出典・確認元

情報は確認日時点の内容です。最新の対象製品・手順・条件はリンク先でご確認ください。

編集方針・訂正について

環境によって必要な対応は異なります。
自分の環境について相談する ↗

← 一覧に戻る