PHPの重大脆弱性 PHP2Shell — 医療機関のWebサイトで何を確認すればよいか

01 / SUMMARY

サマリー

何が起きたのですか？
Webサイトを動かす基盤ソフト「PHP」本体に、ログインなしで遠隔からプログラムを実行されうる重大な欠陥が2件見つかり、10月21日23時に修正版が公開されました。公開前に情報が漏れ、攻撃の試行も観測されています。^[1][12]

関係があるのは誰ですか？
インターネットに公開しているWebサイトやWebサービス（ホームページ、予約、問診、問い合わせフォームなど）のうち、PHPで動いているものです。ブログなどを投稿するためによく使われるWordPressはPHPで動きます。

関係がないのは？
PHPをWebサービスの基盤として使っていないものは関係ありません。院内のレセコン（例えばORCA）などはPHPで動いているものはないと思いますが、電子カルテなどは一部PHPを使っているものがありますので確認が必要です。

やること。自院のWebサイト、PHPを使った院内・院外のシステムを作った会社、運用している会社に「PHPを使っているか、修正版に更新済みか」を確認します。文例は04章にあります。医療機関が自分で更新できる構成はまれです。

対策はPHP本体の更新だけ

WordPressやプラグインを更新しても、この問題は解消しません。PHPを管理するレンタルサーバ会社・制作会社・システム提供元の対応が必要です。WAFなどの防御は補助であって、更新の代わりにはなりません。^[2][6]

02 / WHAT HAPPENED

PHP本体の欠陥なので、アプリが正しくても影響を受ける

PHPは、Webサーバーの中でプログラムを動かすための仕組みです。今回の欠陥は、そのPHP本体が、メモリ不足や異常終了の後始末を誤る問題です。Webサイトのプログラムが適切に書かれていても、下で動くPHPに欠陥があれば影響を受けます。^[3][4]

成功すると、Webサーバーの実行権限で攻撃者のプログラムが動き、サイトの改ざんや、サイトが扱うデータの窃取につながります。メモリ内の秘密情報を読み出す経路も報告されています。ただし、これだけで自動的にOSの管理者権限まで得られる、という意味ではありません。^[3][4][5]

「認証不要」というのは、IDやパスワードを持たない第三者でも、インターネット越しにそのサーバーへ到達できれば命令を実行させられる、という非常にやっかいな性質です。
ただし、「どんなサーバーにも一発で成功する」という意味ではなく、PHPのビルド・設定・動作方式が成立条件に関わります。公式評価でも攻撃の複雑さは「高」です。それでも公開前から攻撃は試みられており、更新を後回しにする根拠にはなりません。^[3][4][12]

修正版の基準

PHP系列	今回の上流修正版
8.2	8.2.35
8.3	8.3.36
8.4	8.4.27
8.5	8.5.12

PHP公式の2026年10月21日リリース。^[2]

研究者はPHP 5.4以降の古い版にも関連する問題が及ぶと報告しています。^[5] PHP 8.1以前は通常サポートが終了していますが、今回は7.4・8.0・8.1向けの最小限の修正も案内されています。レンタルサーバ各社には、さらに古い版へ独自の修正を当てた例もあります（03章の表）。^[2][20]

版番号の見た目だけでは、修正済みか判断できない

配布元が古い版番号のまま、修正だけを取り込むことがあります（バックポート）。「8.4.26」と表示されていても修正済みの場合があり、逆に表示が新しくても確認は必要です。確認するのは版番号ではなく、両CVEの修正を含んでいるかです。^[2]

時系列（要約）

2026年8月報告
複数の研究者がPHPへ報告し、修正が最優先に
2024年の外部監査で兆候はあったものの実証されておらず、修正は停滞していたとPHP Foundationは説明しています。^[1]
10月20日夜〜
21日早朝公開前
公開前にCVE番号と実証動画が流出、公開を1日前倒し
PHPは21日23時の公開を事前告知。IPAも同日、事前準備を呼びかけました。^[1][2][8]
10月21日
夕方〜夜国内
国内で予防的なサービス停止
大阪府民共済は19時、さくらインターネットは22時30分、あすけんは22時50分頃、大阪府は23時40分から、それぞれ対象サービスを停止しました。^{[13][15][17][18]}
10月21日
23時10/21 14:00 UTC
修正版を公開
EUの共同声明は22時40分の発行と記録しています。^[2][7]
10月22日公開翌日
国内の注意喚起が出そろい、停止したサービスが再開
IPA・JPCERT/CC・JVNが修正版への更新を求める注意喚起を公開。あすけんは9時25分に再開、大阪府民共済も再開を告知しました。Amazonは、公開前から攻撃の試行があったと公表しました。^{[9][10][11][14][16][12]}

公開前から、攻撃は試みられていた

Amazonは、自社のハニーポットで10月17日時点の攻撃試行を観測し、公開前の21日2時〜8時（UTC）には実証コードに基づく複数主体の試行があったと公表しました。成功したかは不明としつつ、現在は広く悪用されていると評価しています。Cloudflareも、公開前の攻撃通信を観測したと説明しています。^[12][6]

03 / DOES IT APPLY TO YOU

対象は「インターネットに公開しているWebサイト」

今回の攻撃経路は、インターネットから届くリクエストでPHPを動かすWebサーバーが前提です。医療機関が持つシステムを、この前提に当てはまるかどうかで分けます。

システム	判断	理由と確認先
自院のホームページ（WordPressなどのCMS）	対象になりうる	WordPressはPHPで動きます。制作会社・運用会社・レンタルサーバの告知で、PHPの使用と修正版への更新を確認します。
予約・問診・問い合わせフォームなどのWebサービス	提供元に確認	サービスの内部でPHPが使われているかは、利用者側では分かりません。提供元の告知を確認します。IPAも同じ注意を促しています。^[8]
レセコン ORCA WebORCAクラウド・WebORCAオンプレ・WebQKAN・日特クラウド	対象外	ORCAサポートセンターが10月22日、これらのサービスはシステム内部でPHPを使用しておらず本脆弱性の影響はない、医療機関・ベンダーでの特別な対応は不要、と案内しています。^[22]
オンライン資格確認	対象外	閉域網（NGNなど）で運用され、インターネットに公開されたWebサイトではありません。今回の前提に当てはまりません。
電子カルテ、その他の院内システム	提供元に確認	院内ネットワークだけで動くものはインターネットからの攻撃経路には当てはまりませんが、PHPを使っているなら保守ベンダーに確認します。クラウド型やWeb型は提供元の告知で確認します。

表の「対象外」は、今回の2件の脆弱性の攻撃経路に照らした判断です。各システムのセキュリティ全般を保証するものではありません。

レンタルサーバ各社の告知（10月22日時点）

医療機関のホームページは共用レンタルサーバで運用されていることが多く、その場合PHPの更新は利用者（ユーザー）ではなく、事業者側の作業です。契約中のプランが対象かどうかは、各社の告知本文と契約内容で確認してください。以下に、当社で確認できた範囲の要約を示します。

事業者	告知で確認できること（10月22日時点）
さくらインターネット	公開に先立ち21日22時30分から予防的な緊急メンテナンス。レンタルサーバのPHP（同社が提供する旧版を含む）に修正を適用。22日14時時点で、本脆弱性を悪用した被害は報告されていないと説明。^[18]
エックスサーバー	21日16時から自社の公式サイト・管理画面等を一時停止し、22日から順次再開（契約者のWebサイト表示やメールには影響なしと説明）。PHP 8.2〜8.5の修正を対象サーバへ適用、旧版の修正は準備中。不正アクセスの発生に伴うものではないと説明。^[19]
ロリポップ！（GMOペパボ）	8.2以降は公式修正、7.4〜8.1は上流の最小修正、それ以前は同社独自の修正を適用し、22日13時頃に復旧。全バージョンで session.upload_progress を無効化。攻撃の試行は観測したが、不正アクセス・情報漏えいは確認されていないと説明。^[20]
KAGOYA	レンタルサーバープランは同社が更新中（22日中の完了見込み）。マネージド専用・共用・WordPress専用は恒久対策の方針を調整中で、暫定的に公開停止やアクセス制限を案内。^[21]

各社の告知を10月22日に読んだ範囲の要約です。対応は進行中のため、最新の状態は各社の告知で確認してください。

04 / WHAT TO DO

作った会社・運用している会社に、確認する

STEP 1自院の公開Webを洗い出す

ホームページ、予約、問診、問い合わせフォーム。URLごとに1行。

STEP 2それぞれ誰が運用しているかを書く

制作会社、運用会社、レンタルサーバ、サービス提供元。分からなければ契約書か請求書で。

STEP 3その会社の告知か回答で確認する

PHPを使っているか。使っているなら修正版に更新済みか。

問い合わせの文例

そのまま送れる形にしてあります。CVE番号と修正版の基準を添えると、先方の確認が早く進みます。

当院のWebサイト（URL：　　　　　　）について、PHPの重大脆弱性
（CVE-2026-109618、CVE-2026-109619）への対応状況をお知らせください。

1. このサイトでPHPを使用していますか。
2. 使用している場合、両CVEの修正を含む版（8.2.35／8.3.36／8.4.27／8.5.12、
   または同等の修正を取り込んだ版）へ更新済みですか。更新日時も教えてください。
3. 未更新の場合、更新予定日と、それまでの暫定対策を教えてください。

回答があったときの読み方

「WordPressを最新にしました」は答えになっていません。PHP本体の話です。
「PHP 8.4.26です」のような版番号だけでは判断できません。「両CVEの修正を含む」と明言してもらいます。
「更新しました」の後に、再起動まで済んでいるかを聞きます。ファイルを入れ替えても、古い処理が動き続ける場合があります。^[4]
更新処理や再起動がいつ行われたか？回答と日時を記録に残します。誰に、いつ、何と回答されたかを含めて詳細に記録しておいてください。

更新できない間

更新の見込みが立たないサイトは、一時的にメンテナンス画面へ切り替える、アクセスを制限する、という選択肢があります。EUの共同声明も、KAGOYAの案内も、同じ助言をしています。^[7][21] 不審な改ざんや挙動があれば、ログを保全して運用会社と相談します。

技術担当者向け：設定変更（メモリ上限の解除やアップロード進捗機能の無効化など）だけで「対策完了」にしないでください。公式も、これらは一部の経路しか塞がないと説明しています。Apache＋mod_phpでは認証前に成立する経路が実証され、PHP-FPMでも別の経路が検証されているため、「Nginxだから対象外」とは判断できません。^[3][4]

05 / SERVICE STOPS

企業などのWebサイトが一時停止したのは「攻撃された」からではありません

10月21日の夜から、国内で複数のサービスが止まりました。公式告知を読むと、公開前に露出を減らすために止めた例と、公開に合わせて更新・確認のために止めた例があります。停止の事実だけをもって、攻撃された、情報が漏れた、と早合点しないでください。

主体・開始時刻	対象・目的	告知で確認できること
大阪府民共済 10月21日 19:00〜	新規加入申込、マイページ、各種受付等を一時停止。修正適用と安全確認。	不正アクセス・情報漏えいは確認されていないと明記。22日に、停止した全サービスの再開を告知（時刻の記載なし）。^[13][14]
あすけん 10月21日 22:50頃〜	アプリ、Web、法人向け機能等。修正版公開に合わせた予防的メンテナンス。	不正アクセスや情報漏えいによる停止ではないと説明。22日9時25分に再開し、被害がないことを確認したと告知。^[15][16]
大阪府 10月21日 23:40〜	ページID検索、報道発表資料検索、指定医師検索等の一部機能を停止し、パッチ適用等を実施。	当該事案による不正アクセス・情報漏えいは確認されていないと説明。本資料の確認時点で再開の告知は未確認。^[17]

当時の停止判断と、確認できた再開告知を記録しています（10月22日時点）。現在の稼働状況一覧ではありません。

予防的な停止は、EUの共同声明が勧める危険低減策の一つです。自院のサイトで同じ判断をするかは、運用会社と相談して決めるようにしてください。^[7]

06 / LESSONS

「人災」より先に、自分の運用を確認してください

SNSでは「人災」という言葉で、修正判断の停滞や、公開前の情報流出、合意を破った先行公開といった開示手順の混乱が強調されました。PHP Foundation自身も、修正が停滞したのは意思決定と資源不足による構造的な失敗だったと認めています。その側面は確かにあります。^[1]

しかし、Webサイトやサービスを公開している側にとっての教訓は、そこにはありません。

公開したものは、公開した後も、運用中に継続してセキュリティの確認を行う必要がある、ということです。

脆弱性は後から見つかる

今回の欠陥は、長年使われてきたPHPの内部にありました。2024年の監査で兆候が見つかり、2026年に実証されています。作った時点で安全だったことは、今も安全であることを意味しません。^[1]

CMSの更新だけでは足りない

WordPressやプラグインを最新にしていても、その下で動くPHPやOSは別の誰かが更新します。「誰が更新するか」が決まっていないサイトは、今回のような時に宙に浮きます。

告知を受け取る経路を持つ

IPA・JPCERT/CCの注意喚起、レンタルサーバや提供元の告知を、誰が読み、誰が判断するかを決めておきます。今回は公開当日の早朝に事前告知が出ていました。^{[2][8][9][10]}

止める判断を決めておく

更新できない時に、サイトを一時停止する判断を誰がするか。今回、国内の運営者は公開前に止める判断をしています。^[13][15][17]

発見の速度も変わっています。研究者は、脆弱性の発見や攻撃手法の調整にAIを使ったと説明しています。^[5]「理屈では危ないが、実際の攻撃は難しい」という状態が長く続く前提は、もう通用しません。AIが進化し続ける今後、時間の猶予をあてにしたセキュリティ対策はすべて意味がなくなる、ぐらいの認識で臨む必要があります。公開した後の運用に、確認の習慣を組み込むこと。それが、今回の事案から学ぶべきことだと考えます。

07 / OUR STATEMENT

当社の対応と、医療機関の皆さまへのお願い

当社の公開サイトは、PHPを使わない静的なHTMLを配信しており、本件の対象ではありません。また、当社が医療機関に提供しているWebサービスにも、PHPは使用していません。

一方、各医療機関のホームページや予約サイトは、制作会社や運用サービス会社がそれぞれ運用しており、当社がその構成を把握する立場にはありません。自院のWebサイトでPHPが使われているかどうか、使われている場合に修正版へ更新済みかどうかは、Web制作を依頼した会社や、運用サービスを提供している会社にお問い合わせのうえ確認してください。問い合わせの際は、04章の文例のように、修正版の基準と両CVEの番号を添えると、話が早く進みます。

当社保守のお客様は、問い合わせ先が分からない場合や回答の読み方に迷う場合、お問い合わせフォームからご相談ください。保守契約のない医療機関の皆さまからの個別のお問い合わせは受けかねますが、公開できる情報は本資料やお知らせで発信していきますので、そちらを参考にしてください。

SOURCES / PRIMARY REFERENCES

出典と、確認できた範囲

本文は、以下の原資料と公式告知を2026年10月22日から23日に確認して作成しました。発表主体自身の説明は、独立した第三者による事実認定とは区別しています。リンク先が後日更新されると、本資料の記載と差が出る場合があります。

PHP Foundation：Today's PHP Security Release, and How We're Strengthening PHP Security2026-10-21付。修正停滞の経緯、公開前の流出、前倒しについてのPHP側の公式説明。
PHP公式：2026年ニュースアーカイブ（事前告知・修正版リリース）10月20日付事前告知と21日付更新告知。対象構成、修正版、暫定策、旧版向け案内。
PHP公式GHSA：RCE via OOM corruption（CVE-2026-109618）技術的原因、mod_php等の条件、実行権限、CVSS、緩和策の限界。
PHP公式GHSA：RCE via stale global state（CVE-2026-109619）解放済みメモリへの参照、FPM経路、メモリ読み出し、再起動の必要性。
Wiz Research：PHP2Shell2026-10-21付。古い版への影響、メモリ漏えい、AIによる研究支援。
Cloudflare：Cloudflare deploys protections against php2shell vulnerability2026-10-21付。公開前の攻撃通信の観測、WAFは更新の代わりにならないとの説明。
ENISAほか：Joint statement on critical PHP vulnerabilities2026-10-21付。更新発行を13:40 UTCと記録。公開システムの優先対処と隔離の助言。
IPA：事前準備のお願い — PHPのセキュリティリリース公開予定について2026-10-21付。日本時間の予定と、製品内部のPHP利用は利用者には分からない場合があるとの注意。
IPA：PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）2026-10-22付。修正版と、8.1以前はサポート終了で修正版が提供されないことの案内。
JPCERT/CC：PHPにおける複数の脆弱性に関する注意喚起（JPCERT-AT-2026-0033）2026-10-22付。更新のみが対策であること、侵害調査の観点。
JVN：JVNVU#99905564 PHPにおける複数の任意のコードが実行可能な脆弱性2026-10-22付。対象バージョンと概要。
AWS Security Blog：Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot2026-10-21付（日本では22日に流通）。10月17日時点の攻撃試行、公開前の複数主体の試行、成功は不明との評価。
大阪府民共済：緊急メンテナンスのお知らせ10月21日19時からの対象サービス停止と、被害未確認の説明。
大阪府民共済：サービスの再開について2026-10-22付。修正適用の完了と、停止していたサービスの再開。
株式会社asken：PHPの脆弱性対応に伴う『あすけん』緊急メンテナンスのお知らせ10月21日22時50分頃からの予防停止。
株式会社asken：【復旧】緊急メンテナンス終了・サービス再開のお知らせ2026-10-22付。9時25分に再開、被害がないことを確認。
大阪府：緊急メンテナンスのお知らせ（検索機能の一部停止）10月21日23時40分からの一部機能停止と、安全確認・修正適用の説明。
さくらインターネット：【重要】PHPの脆弱性に関する当社の対応状況について2026-10-22付。
エックスサーバー：予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ2026-10-22付。
ロリポップ！：PHPの脆弱性への対応に伴うメンテナンス完了と経緯のご報告2026-10-22付。
KAGOYA：PHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）に関する当社サービスへの影響について2026-10-22付。
ORCAサポートセンター：「PHPに関する脆弱性」に対する各サービスへの影響と対応状況のご案内2026-10-22 12:26、ベンダー向けメールでの案内（公開URLなし）。WebORCAクラウド・WebORCAオンプレ・WebQKAN・日特クラウドはシステム内部でPHPを使用しておらず影響なし、医療機関・ベンダーでの特別な対応は不要との説明。当社が受信した原文で確認。

確認できていないこと

大阪府の対象機能の再開（本資料の確認時点で告知なし）。
KAGOYAのレンタルサーバープランの更新完了。
公開前に観測された攻撃試行が、実環境で成功したかどうか。

本資料は、SNSで広まった論評をきっかけに調査を始め、原資料で照合した解説資料です。初版（10月22日）は論評の検証を含む構成でしたが、10月23日に、医療機関とWeb担当者が判断するための資料として目的を絞り、全面的に書き直しました。作成には生成AIを調査・下書き・出典照合に使用し、公開前の内容確認は当社が行いました。攻撃の再現や第三者システムへの検証は実施していません。