PHPの脆弱性が公表された夜、コムネットがしていたこと ― 院長先生に知ってほしい、ホームページ「保守」の中身
院のお休みの日や、施術を終えて帰られたあとの夜。そのあいだも、院のホームページは開いたままです。予約の空きを調べる方、道順を確かめる方、明日行ってみようか迷っている方が、24時間いつでもページを見に来ます。
2026年10月21日の夜、ホームページを動かすしくみ「PHP（ピーエイチピー）」の重大な欠陥（脆弱性）を直す修正版が公開されました。コムネットではその夜、保守をお任せいただいているホームページの点検と対策を、明け方まで続けました。
今回のニュースで「何を確認すればよいか」は、10月22日のコラム「PHPの脆弱性ニュース、接骨院のホームページは関係ある？」にまとめました。このコラムはその「裏側」編です。あの夜に何をしていたのか、なぜ朝まで待たなかったのか。そこから見えてくる、ホームページの「保守」という仕事の中身を、院長先生にお伝えします。
あの夜、何が起きていたのか
まずは流れを振り返ります。今回見つかった欠陥は2件で、条件がそろうと、ログインしていない外部の人が、サーバーの中で勝手にプログラムを動かせてしまうおそれがあるものでした。深刻度はどちらも10点満点中9.2で、最も重い区分に入ります。
| 日付 | 出来事 |
|---|---|
| 10月20日 | PHPの開発チームが「重大な脆弱性2件を直す修正版を21日に出す」と予告 |
| 10月21日（日中） | 情報処理推進機構（IPA）が、修正版をすぐ当てられるよう事前の準備を呼びかけ |
| 10月21日（夜） | 修正版（8.5.12、8.4.27、8.3.36、8.2.35）が公開される |
| 10月22日 | IPAが、修正版の適用を求める注意喚起を公表 |
| 10月23日 | PHPの開発チームが、特殊な設定の場合に起こりうる別の問題（CVE-2026-115560）を告知 |
※PHPの開発チーム、IPA、各報道の公表内容をもとに、コムネットが要点を整理したものです。
なぜ「朝になってから」ではいけなかったのか
ふだんの更新であれば、翌日の営業時間に落ち着いて作業すれば十分です。けれども今回は、事情が二つちがいました。
一つは、修正版が出る前に、欠陥の情報がインターネット上に漏れていたことです。海外のセキュリティ会社の報告によると、本来は決められた日まで伏せておくはずの情報が先に出回り、それを受けてPHPの開発チームは修正版の公開を前倒ししました。
もう一つは、攻撃の動きがとても速かったことです。海外のセキュリティ報道によると、通信の保護サービスを手がけるCloudflare社は、公開から45分で数万件、翌22日の早い時間には数百万件の攻撃の試みを観測したと伝えられています。
こうした攻撃は、人が一つずつ狙うのではなく、自動のプログラムがインターネット中のホームページに次々と送りつけるものです。大きな病院のサイトでも、地域の小さな接骨院のサイトでも、区別はありません。だからこそ、その夜のうちに動くと判断しました。
コムネットがその夜にしていた3つのこと
特別なことをしたわけではありません。地道な確認を、一つずつ積み重ねました。
| したこと | 中身 | なぜ必要か |
|---|---|---|
| ① 保守先サイトの棚卸し | 保守をお任せいただいているホームページが、どのサーバーで、どのバージョンのPHPで動いているかを洗い出す | 「どこに何があるか」が分からないと、守る順番が決められないため |
| ② サーバー会社の対応確認 | レンタルサーバーで動いているサイトは、サーバー会社のお知らせで、今回の件への対応状況を確かめる | PHP本体の更新は、ふつうはサーバー会社の仕事。「誰が直すのか」をはっきりさせるため |
| ③ PHPの更新と緩和策 | コムネットで管理しているサーバーはPHPを修正版に更新し、すぐに更新できないところは、開発チームが案内する設定（緩和策）で守りを固める | 自分たちで直せるところは、自分たちで直すしかないため |
ここで大切なのは、③の「緩和策」の位置づけです。PHPの開発チームは、修正版への更新が唯一の確実な対策だとしています。緩和策は、本当の修理までのあいだの応急処置です。けがでいえば、応急処置をしたら終わりではなく、そのあとの施術と経過の確認が欠かせないのと同じです。
「1回で終わり」ではありませんでした
作業を終えて2日後の10月23日、PHPの開発チームから、もう一つお知らせが出ました。あまり一般的ではない特殊な設定の組み合わせで、プログラムを勝手に動かされるおそれがあるという内容です（CVE-2026-115560）。
開発チームは、実際には起こりにくい構成だとして、緊急ではなく次回の定例の更新で直す方針を示しました。それまでのあいだは、21日の件でも案内されていた設定（アップロードの進み具合を記録する機能を止める設定）を使うよう呼びかけています。すでにこの設定をしていれば、追加の作業は要らないとされています。
セキュリティの話は、ニュースが静かになったあとも続きます。大きな修正のあとには、続報や関連する別の問題が出てくることがよくあります。「ニュースで見たときだけ対応する」のでは、こうした続報を見落としてしまいます。
また、PHPの8.2系統は、2026年12月31日でセキュリティの修正が終わる予定です。今回は修正版が出ましたが、次に同じようなことが起きたときには、8.2のままでは直す手段がなくなります。年内に、新しい系統への切り替えを考えておきたいところです。
院長先生に知ってほしい、ホームページ「保守」の中身
保守の成果は、目に見えにくいものです。うまくいけば、院長先生から見た翌朝は「いつもと同じ朝」です。ホームページはふつうに表示され、WEB予約も問い合わせのフォームもいつもどおり動いている。何も起きていないように見えます。でもそれは、何も起きないように、夜のうちに誰かが確かめていたからです。
接骨院の運営に置きかえると、分かりやすいかもしれません。施術に使う機器の点検や、院内の衛生管理は、ふだん患者さんの目にふれることはありません。それでも、きちんと続けているから、毎日安心して施術を受けていただけます。ホームページの保守も、患者さんの「入口」を、見えないところで整えておく仕事です。
逆に、次のような状態のホームページは、いざというときに動き出すまでに時間がかかります。
- どこのサーバーで動いているのか、院の中で誰も分からない
- サーバーやWordPressのログイン情報が見つからない
- 作った制作会社と連絡がつかない、または保守の契約が切れている
- PHPやWordPressを何年も更新していない
どれか一つでも当てはまる院は、今回のニュースを「点検のきっかけ」にしていただければと思います。
保守をお願いするときに確かめておきたいこと
ホームページの保守を制作会社などにお願いしている院、これからお願いしようと考えている院のために、確かめておきたい点を表にまとめました（コムネットによる提案です）。
| 確かめること | 聞き方の例 |
|---|---|
| 緊急時に連絡がつくか | 「今回のような重大な脆弱性が出たとき、誰が、いつまでに確認してくれますか」 |
| 保守の範囲 | 「PHPのバージョン管理や、WordPress・プラグインの更新は保守に含まれますか」 |
| 情報の保管 | 「サーバーの契約先やログイン情報を、院でも控えておけますか」 |
| 終わった後の報告 | 「対応したら、何をしたかを教えてもらえますか」 |
| フォームで預かる情報 | 「WEB予約や問い合わせで、必要以上の情報を預かっていませんか」 |
とくに最後のフォームの点は、症状やけがの内容をお預かりすることがある接骨院ならではの大切なポイントです。くわしくは10月22日のコラムでご説明しています。ホームページを持つことの意味そのものについては、「接骨院がホームページを持つ意味」もあわせてご覧ください。
コムネットにできること
コムネットは、柔道整復師向けのレセプトソフト「レセジョ～ズ」の開発・販売とあわせて、接骨院・整骨院のホームページの制作と保守を手がけています。
保守をお任せいただいているホームページについては、今回のような重大な脆弱性が報じられたときに、サーバーとPHPのバージョンの確認、サーバー会社の対応状況の確認、PHPの更新や緩和策など、必要な対応を行います。PHPの新しい系統への切り替えも、切り替えの前後でページやWEB予約・フォームの動作を確かめながら進めます。
「他社で作ったホームページだけれど、誰が管理しているのか分からない」「保守の契約がどうなっているか不安」という院長先生も、まずは現状の確認からお気軽にご相談ください。
※このコラムは2026年10月25日時点の公開情報をもとにしています。脆弱性の状況やサーバー各社の対応は、今後も更新される可能性があります。最新の情報は各公式サイトでご確認ください。
出典
- 情報処理推進機構（IPA）「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
- 情報処理推進機構（IPA）「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」（2026年10月22日）https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html
- The PHP Group「News Archive – 2026」https://www.php.net/archive/2026.php
- The PHP Group「Supported Versions」https://www.php.net/supported-versions.php
- 技術評論社 gihyo.jp「PHP、重大な脆弱性2件を修正 ――認証なしのリモートコード実行に対処」https://gihyo.jp/article/2026/10/php-critical-security-release
- Huntress「Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities」（2026年10月20日）https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities
- The Hacker News「PHP Warns of Another Unpatched RCE Risk Two Days After Emergency PHP2Shell Patches」（2026年10月23日）https://thehackernews.com/2026/10/urgent-php-warns-of-another-unpatched.html