「今夜、対応してください」と言われて、医院は動けたでしょうか
21日10時前、内閣総理大臣がXに「大至急のお願いです」と投稿しました。
内容は、ホームページの裏側で動いているプログラムの話です。医科の医院も、歯科の医院も、ホームページを持っていれば関係があります。
ただ、そう言われて、先生はすぐに動けたでしょうか。自院のホームページを、いまどこの会社が見ているか。すぐに出てきたでしょうか。
この記事で分かること
21日、何が起きて、その呼びかけが誰に向けられたものだったのか
自院が対象かどうかを確かめる方法と、対象ではなかった場合にすること
手元のスマホで、いま見直しておけること
後半のスマホの話は、ホームページを持っていない医院にも関係があります。
昨夜、総理大臣が「今夜対応してください」と言いました
まず、事実から書きます。
2026年10月21日、PHPというプログラムに重大な弱点が2件見つかり、修正版が公開されました。PHPは、ホームページや予約システムの裏側で動いているプログラムです。
弱点には、CVE-2026-109618とCVE-2026-109619という管理番号が付いています。2件をまとめて「PHP2shell」と呼ばれています。
深刻度は、CVSSという世界共通の評価基準で、10点満点中9.2とされています。悪用されると、ログインしていない第三者が、そのサーバーの中で勝手にプログラムを動かせてしまうおそれがあります。
PHPの開発チームは、修正版の案内にこう書いています。
There are no complete mitigations, updating is the only safe choice.
完全な回避策はなく、更新することだけが安全な選択である、という意味です。
同じ日の夜、首相がXに投稿しました。報道によれば、こう書かれていました。
皆様に、今夜に対応して頂きたい大至急のお願いです
修正プログラムを「可及的速やかに適用できるよう準備をお願いします」と呼びかけています。
すぐに適用できない場合は、ウェブサイトなどを一時的に停止させることも有効だと付け加えていました。
首相自身も、翌22日に追加の投稿をしています。自分の公式サイトも、いったんアクセスできない状態にしたと明かしました。その後、対応を終えて元に戻したそうです。
ここは、あとでもう一度触れます。止めるという判断も、選択肢に入っているということです。
この呼びかけは、誰に向けられたものだったのでしょうか
ここが、今回いちばん大事なところだと思っています。
この呼びかけの相手は、ホームページやシステムを運営している側です。
医院でいえば、医院のホームページ、Web予約のシステム、Web問診票のシステムなどが当たります。そして実際に修正の作業をするのは、ふだんそれを保守している会社です。
一方で、スマホを使っているだけの人に、設定を変えるよう求めたものではありません。
これは念のために書いています。同じ時期に、「スマホのここをオフにしないと不正に決済される」といった内容の動画が広がっていました。
そうした内容と今回の件は、別の話です。今回の呼びかけで、iPhoneやAndroidの設定をオフにする必要があるとは示されていません。
ただし、両方に共通する注意が1つあります。
本物の警告が出たあとには、それに便乗した偽物が来ることがあります。大きなニュースに便乗したフィッシング詐欺は、これまでにも確認されています。
「すぐ更新してください」というメールが届いても、そのメールのリンクからは進まないでください。いつも使っている管理画面や、保守会社の連絡先から確認するほうが安全です。
自院が対象かどうかは、2つ確かめれば分かります
では、先生の医院は対象でしょうか。
確かめることは2つです。
1つ目。自院に、ホームページやWebのシステムがあるか。
医院のホームページ、Web予約、Web問診票、スタッフ募集の採用ページ。このどれかがあれば、対象の可能性があります。
2つ目。それを、いまどこの会社が管理しているか。
ここで止まる医院が多いのではないかと思います。作った会社と、いま保守している会社が違うこともあります。契約書や請求書を探さないと分からないこともあります。
なお、「うちのサイトは古いし、たいしたことは載せていないから」と考える先生がいるかもしれません。
半分はその通りです。患者さんの情報を載せていないサイトなら、情報が漏れる心配はその分少なくなります。
ただ、今回の弱点は、載っている情報の量の話ではありません。サーバーの中で勝手にプログラムを動かされるおそれがある、という話です。
そうなると、サイトの中身を書き換えられたり、ほかへの攻撃の足場に使われたりすることがあります。載せている情報が少なくても、それは起こり得ます。
対象となるPHPの版は、IPA（情報処理推進機構）の注意喚起に書かれています。
PHP 8.2.35 より前の 8.2 系
PHP 8.3.36 より前の 8.3 系
PHP 8.4.27 より前の 8.4 系
PHP 8.5.12 より前の 8.5 系
この番号は、先生が調べるためのものではありません。保守会社に渡すためのものです。
対象だったとき、院長がするのは作業ではなく確認です
ここは、はっきり書きます。
ふだんホームページを業者に任せているなら、サーバーの更新作業を、先生がする必要はありません。 慣れない場所を触ると、サイトが表示されなくなることもあります。作業は保守会社の仕事です。
先生がするのは、確認することです。聞くことは5つあります。
当院のホームページやシステムで、PHPを使っていますか
使っている場合、版はいくつですか。今回の対象に当たりますか
修正版（8.2.35／8.3.36／8.4.27／8.5.12）の適用は、いつ終わりますか
すぐに適用できない場合、一時的に止めるという選択はありますか
当院のサイトで、いつもと違うことは起きていませんか
「業者さんに任せてあるから」という先生もいると思います。それは、半分は正しいと思います。保守の契約に入っていれば、それは業者の仕事です。
ただ、任せていることと、今回対応されたかどうかを確認できることは別です。確認しようとしたときに連絡先が出てくるかどうかで、動ける速さは変わります。
そして、もう1つ。PHP 8.1以前の版には、今回の修正プログラムが提供されません。
IPAの注意喚起にも、8.1以前はサポートが終了しており、修正は提供されないと書かれています。該当する場合は、サポートのある版へ移るか、対策済みの製品・サービスへ移ることがすすめられています。
つまり、「更新すれば終わり」にならない医院があります。古いままのホームページを使っている場合は、ここで判断が要ります。
もし保守の契約が切れていて、連絡先も分からない場合は、どうするか。首相が自分のサイトでやったように、いったん止めるという判断もあります。
止めれば、患者さんは一時的にホームページを見られなくなります。それでも、放置するよりはよい場合があります。どちらを選ぶかは、先生が決めることです。
対象ではなかったとき、することは1つだけです
ここも、はっきり書いておきます。
ホームページを持っていない医院や、PHPを使っていない医院は、今回することはほとんどありません。
それでも、1つだけやっておくことがあります。
偽の「緊急更新」メールやSMSに注意することです。
大きなニュースのあとには、それに便乗した連絡が来ることがあります。「至急更新してください」「アカウントが危険です」といった文面で、偽のページへ誘導するものです。
心当たりのないメールやSMSのリンクからは進まない。まずは、ここを決めておくだけでも違います。
すでに身に覚えのない請求があるなら、順番が違います
もし、カードの明細に身に覚えのない請求が出ているなら、話は別です。
このときは、何かの設定を見直す前に、先にすることがあります。
カード会社に連絡して、利用を止める
消費者ホットライン「188」に相談する
設定を見直すのは、そのあとで構いません。設定を変えても、すでに起きている請求は止まらないからです。
順番を間違えると、時間だけが過ぎます。
ここからは、手元のスマホの話です
ここまでは、医院のホームページの話でした。ここからは、先生自身とスタッフの手元の話です。
今回のPHPの件とは、別の話です。ただ、理屈は同じだと思っています。自分が何を持っていて、どう設定されているかを知らないままだと、何か言われたときに動けません。
手元の端末でそれを確かめられるのが、保存済みのWi-Fiです。
総務省は、公衆Wi-Fiの利用者向けの資料で、こう書いています。
自宅や職場のWi-Fiなど日常的に利用するSSID以外は自動接続する設定を無効化しましょう
SSIDとは、Wi-Fiの接続先に付いている名前のことです。
同じ資料には、よく知っている名前のWi-Fiでも、偽物が置かれていることがあるとも書かれています。だから、ふだん使うもの以外は自動でつながらないようにしておく、という話です。
ここで大事なのは、全部をオフにしないことです。対象だけを選びます。
iPhoneの場合
設定からWi-Fiを開き、右上の「編集」を押します。「既知のネットワーク」に、これまでつないだ接続先が並んでいます。
この中から、知らないもの、もう使わないものを選び、右側のⓘを押して「自動接続」をオフにします。
オフにしても、名前とパスワードは残ります。使いたいときは、手で選んでつなげます。
自宅・職場・学校・契約している通信会社のWi-Fiは、名前だけで判断して消さないでください。 消すと、つなぎ直しが必要になります。
Androidの場合
設定から「ネットワークとインターネット」、「インターネット」と進み、保存済みのネットワークを開きます。
使わないものを選んで削除します。機種によって項目の名前と場所が違うので、見つからない場合は「保存済みネットワーク」で探してみてください。
仕事用・学校用・通信会社のネットワークは、管理している先に確認してから変更します。
似た名前の設定が並んでいます。まとめてオフにしないでください
ここが、いちばん間違えやすいところだと思います。
「Wi-Fiをオフにする」と言っても、押す場所によって意味が変わります。
Wi-Fi本体は、通信そのものを止める設定です。オフにすると、モバイル通信に切り替わります。
「Wi-Fiを自動的にONにする」は、補助の機能です。Wi-Fiをオフにしたあと、保存済みの接続先の近くで、自動的にオンへ戻します。
「Wi-Fiスキャン」は、周りのWi-Fiを手がかりに位置を測る機能です。オフにすると、地図などの精度に影響することがあります。
そして、保存済みの接続先ごとの「自動接続」は、この3つとはさらに別の設定です。
見直したいのは、いちばん最後のものです。手前の3つまで一緒にオフにすると、地図の位置がずれたり、必要なときにつながらなくなったりします。
「オフにしたのに、またつながっている」が起きる理由
もう1つ、よくある行き違いがあります。
iPhoneのコントロールセンターにあるWi-Fiボタンは、接続を一時的に解除するだけです。
場所を移動したり、翌朝5時になったり、再起動したりすると、自動接続が再開することがあります。
本当に止めたいときは、設定アプリのWi-Fiからスイッチをオフにします。
なお、Appleは通常の利用では、Wi-Fiはなるべくオンにしておくことをすすめています。切るのは、必要なときだけで足ります。
動けなかったのは、知識がなかったからではありません
ここまで書いてきて、本当に言いたかったのは、ここです。
昨夜、「今夜対応してください」と言われて、すぐに動けなかった医院もあったと思います。その理由は、PHPを知らなかったからではないと思うのです。
自院のホームページを、いまどこの会社が管理しているのかが、すぐに出てこなかったからです。
これは、知識の問題ではありません。平常時に、自分の持ち物を把握していたかどうかの問題です。
今回は、総理大臣が呼びかけました。だから気づきました。
ただ、次も誰かが呼びかけてくれるとは限りません。 IPAのような専門の機関は、ふだんから注意喚起を出しています。今回のように広く知られることのほうが、むしろ例外だと思います。
だとすると、いま確かめておく価値があるのは、この弱点そのものよりも、もっと手前のことかもしれません。
自院のホームページは、どこの会社が作って、いまどこが保守しているか
その連絡先は、すぐに取り出せる場所にあるか
Web予約や問診票は、ホームページと同じ会社か、別の会社か
保守の契約は、いまも続いているか
緊急のときに連絡が来る宛先は、どのメールアドレスになっているか
全部でなくて構いません。今日のうちに1つでも分かれば、次のときに動ける範囲が変わります。
今日の点検リスト
最後に、確認できたものに印を付けられる形にしておきます。
自院にホームページやWebのシステムがあるかを確認した
ある場合、いまどこの会社が保守しているかを確認した
保守会社に、今回の対象かどうかと、対応の予定を聞いた
PHP 8.1以前を使っていないかを聞いた
偽の「緊急更新」メールやSMSには、リンクから進まないと決めた
身に覚えのない請求がある場合は、先にカード会社と188へ連絡した
手元のスマホで、知らない保存済みWi-Fiを確認した
自宅・職場など、ふだん使う接続先は残した
「Wi-Fiを自動的にON」「Wi-Fiスキャン」は別の設定だと分けて判断した
ここまで読んでいただいて、「うちは何もしなくてよさそうだ」と思われたなら、それが今回の正しい答えです。
【出典】
- PHP公式サイト「PHP 8.5.12 Released!」ほか各リリース告知（2026年10月21日）
https://www.php.net/
- 情報処理推進機構（IPA）「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)」（2026年10月22日）
https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html
- 情報処理推進機構（IPA）「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）
https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
- 総務省「公衆Wi-Fi利用者向け 公衆Wi-Fiの安全な利用に向けて 簡易マニュアル」（令和7年2月版）
https://www.soumu.go.jp/main_content/000989921.pdf
- 消費者庁「消費者への注意喚起」（クレジットカードの不正利用に関する注意喚起を掲載）
https://www.caa.go.jp/policies/policy/consumer_policy/caution/
IPA「情報セキュリティ10大脅威 2020
【訂正（2026年10月26日）】
※首相のXへの投稿内容は、毎日新聞・日本経済新聞・TBS NEWS DIG・ITmedia NEWS各社の報道によります。投稿の原文そのものは確認していません。
この記事で、確認できなかったこと
書く前に原典を確認しましたが、次の点は確かめきれませんでした。そのため、本文では断定していません。
- 首相のXへの投稿の原文（報道による引用のみを使い、「報道によれば」と明示した）
- 今回の弱点が実際に悪用されているかどうか（IPAの注意喚起に記載がないため、書いていない）
- 「対象ホストの約73.5%が修正版の提供されない版で動いている」という推計（出所が解説記事のみのため、使っていない）
- 動画の具体的な発言内容（字幕を確認できていないため、個別の動画やチャンネルには触れていない）
- PHP 5系・7系・8.0・8.1への影響範囲（IPAはWiz社の調査として「PHP 5.4以降が少なくともいずれかの影響を受ける」と紹介しているが、情報源により記述が異なるため、本文では8.1以前はサポート終了で修正が出ないことのみを書いた）
- iPhoneとAndroidの操作画面（実機では確認していない。Apple・Googleの公開情報に沿って書いているが、機種とOSの版によって表示が異なるため、本文にもその旨を書いた）
- 「Wi-Fiはなるべくオンにしておくことがすすめられている」というAppleの案内（Appleの公開情報を参照した資料に依拠しており、Appleの原文は開いていない）
flat Inc.／歯科医院のITとデジタル化の伴走支援をしています。
この記事について分からないことや、もう少し詳しく知りたいことがあれば、LINEからお声がけください。
これまでに書いた記事もまとめています。よろしければ、参考にしてください。
