PHPに重大な脆弱性、介護事業所のホームページも確認を　制作会社・サーバ会社に「版」と「対応済みか」を聞くだけで十分です

■ 何があったか

10月21日、ホームページを動かすプログラム言語「PHP」に、重大な脆弱性が2件あることが公表され、修正版が公開されました。

・認証なしで、外部から勝手にプログラムを実行されるおそれがある
・深刻度は最も高い区分（CVSS 9.2）
・修正版は PHP 8.5.12・8.4.27・8.3.36・8.2.35。これより前の版はすべて対象

WordPress をはじめ、PHP で動くホームページやシステムが広く影響を受けます。
国内では、対応のために一時的にサイトを止める企業や自治体も出ました。

■ 介護事業所に関係があるのか

あります。介護スクエアに掲載している事業所のうち、約7割（20万4,601事業所のうち13万9,987事業所）が公式サイトのURLを公表しています。
その多くは、制作会社に作ってもらったホームページや、レンタルサーバ上の WordPress です。

ホームページが乗っ取られると、次のようなことが起きえます。

・サイトの中身を書き換えられ、利用者や家族を偽のページへ誘導される
・お問い合わせフォームに入力された情報を抜き取られる
・同じサーバに置いている別のデータまで見られる

■ 事業所がやること

自分でサーバを触る必要はありません。次の2点を、ホームページを管理している相手に確かめてください。

1. ホームページを動かしている PHP の版はいくつか
2. 今回の脆弱性への対応（修正版への更新）は済んでいるか

確認先は、ホームページの制作会社・保守会社、またはレンタルサーバの会社です。
大手のレンタルサーバ会社の多くは、自社のページで対応状況を公表しています。

★ PHP 7系・8.0・8.1 で動いている場合は要注意です。
これらは公式のサポートが終わっていて、通常の修正版が出ません。
サポートされている版（8.2 以降）への移行が必要になり、古いホームページだと作り直しになることもあります。

■ あわせて見直したいこと

厚生労働省は今年、介護事業所向けに「介護事業所における情報安全管理の手引き」（令和8年4月）と解説書（令和8年3月）を公表しています。
介護情報基盤の運用に向けて作られたもので、電子機器を使うときの情報漏えい対策をチェックリストの形でまとめています。

・職員向け：端末を許可なく外に持ち出さない、自分専用のIDでログインする、不審なメールの添付ファイルを開かない など
・管理者・システム担当者向け：全端末のOSとソフトを最新に保つ、職員の研修と事故対応の訓練を行う など

今回のPHPの件は「ソフトを最新に保つ」の典型例です。
手引きは厚生労働省の「介護情報基盤について」のページから無料で入手できます。

■ 介護スクエアの整理

介護の事業所が直接狙われる理由は、利用者の個人情報と、止まると困る業務を持っているからです。
ランサムウェアの被害では、医療・介護は復旧にいちばん時間がかかる業界の一つだという集計もあります。

ホームページは「作ったら終わり」になりやすい部分です。
今回の件をきっかけに、

・誰がホームページを管理しているか（連絡先がすぐ分かるか）
・保守の契約に、ソフトの更新が含まれているか

の2点を確かめておくと、次に同じことが起きたときに慌てずに済みます。

なお、介護スクエア自体は 10月22日に修正版（PHP 8.4.27）へ更新済みです。