今回のPHPの脆弱性を受けて、ウェルコネクトでは、保守管理している各ホームページのPHPバージョンを確認し、ご契約者様へのメール通知と、サーバー会社による修正プログラムの適用確認を行いました。
一方で、以前ホームページを制作し、保守契約なしで納品した介護事業者様からも、確認のお問い合わせをいただいています。中には、自治体からホームページへの影響や対応状況について確認・報告を求められている事業所もあります。
同じように制作したホームページでも、その後の管理状況が分からなければ、現在の安全性をすぐに判断することはできません。今回の対応を通じて、あらためて公開後の保守管理の重要性を感じました。
クラウドソーシングで依頼する、知人に作ってもらう、AIで自作する。ホームページを手軽に持てるようになった今、その後の更新や問題への対応を誰が担うかまで考えているでしょうか。
この記事では、今回のPHP問題の概要とウェルコネクトが実施した対応をお伝えしながら、介護事業所のホームページに必要な管理体制について考えます。
この記事のコンテンツ
今回のPHPの脆弱性とは
PHPは、ホームページの裏側で処理を行うプログラミング言語です。WordPressを動かしたり、問い合わせフォームの送信処理を行ったりするために使われています。ただし、すべてのホームページがPHPを使っているわけではありません。
2026年10月21日、PHPに重大な脆弱性が公表されました。対象はCVE-2026-109618とCVE-2026-109619で、これらの組み合わせはPHP2shellと呼ばれています。悪用された場合、外部の第三者によって任意のコードを実行される可能性があります。
IPAは、対策済みバージョンへの移行を案内しています。今回の2件を修正したバージョンは、PHP 8.2.35、8.3.36、8.4.27、8.5.12です。これは今回の脆弱性に対する修正版であり、今後の問題まで含めて安全性を保証する番号ではありません。利用中の環境に合った、最新の提供情報を確認する必要があります。
また、JPCERT/CCは、修正版の適用とあわせて、侵害の有無の調査も推奨しています。更新が完了したことと、不正アクセスなどの被害がないことを確認したことは、分けて考える必要があります。
今回、ウェルコネクトが実際に行った対応
ウェルコネクトでは、ホームページの公開にレンタルサーバーを利用しています。サーバーの選定では、安全性や管理体制、運用実績などを重視しています。
ただし、サーバーを契約すれば、ホームページの管理をすべて任せられるわけではありません。サーバー会社が担当する修正作業と、制作・保守を担当する側で確認すべきことがあります。今回も、それぞれの役割を踏まえて対応を進めました。
管理している各サイトのPHPバージョンを確認
脆弱性の発表後、まず保守管理している各サイトで、使用しているPHPのバージョンを確認しました。
その結果、確認したすべての管理サイトが、今回の脆弱性への修正対応を受けられるバージョンを利用していることを確認しました。
ここで確認したのは、修正対応が可能な環境であることです。その時点ですでに修正が適用されているかどうかは、別に確認する必要があります。
ご契約者様へメールで状況を通知
ご契約者様には、メールで今回の問題と対応についてお知らせしました。あわせて、サーバー会社の緊急メンテナンスに伴い、ホームページへの接続に一時的な支障が出る可能性についても説明しました。
介護事業所の担当者にとっては、ホームページがつながらなくなった場合、それが不具合なのか、対策のためのメンテナンスなのか分からないと不安が生じます。確認作業だけでなく、状況と想定される影響をお伝えすることも、保守管理の一部と考えています。
サーバー会社の修正対応と、その適用を確認
PHP本体への修正プログラムの適用やバージョンアップは、利用しているサーバー会社が実施しました。ウェルコネクトでは、各社の対応状況を確認し、管理サイトの利用環境に修正が適用されたことを確認しました。
役割をまとめると、次のようになります。
| 担当 | 今回の対応 |
|---|---|
| サーバー会社 | PHP本体への修正プログラムの適用・バージョンアップ |
| ウェルコネクト | 各管理サイトのPHPバージョン確認、修正対応が可能な環境かの確認 |
| ウェルコネクト | ご契約者様へのメール通知、緊急メンテナンスによる接続への影響説明 |
| ウェルコネクト | サーバー会社の対応状況と、修正の適用確認 |
サーバー会社が修正を行う場合でも、どのサイトがどの環境を使い、その対応が適用されたかを把握する担当者は必要です。今回、ウェルコネクトが担ったのは、管理サイトの状況を確認し、サーバー会社の対応を確認しながら、ご契約者様へ状況をお伝えする役割でした。
日頃のバージョンアップ対応も、更新維持費に含めています
今回、管理サイトで修正対応を受けられる環境を確認できたことには、日頃からのシステム管理という背景があります。
ウェルコネクトでは、PHPなどの大きなバージョンアップへの対応も、更新維持費に含めています。掲載内容を書き換えるだけでなく、ホームページを動かす環境の変化にも対応していくためです。
古いプログラムは、新しいPHPでは動かなくなる場合があります。しかし、そのまま古いPHPを使い続ければ、サポートが終了し、新たな脆弱性への修正を受けられなくなるおそれがあります。
こうした問題を緊急時にまとめて解決するのではなく、継続して確認し、必要な更新に対応する。普段は目に見えにくい作業ですが、今回のような事態への備えになります。
制作を担当していても、現在の安全性は確認が必要です
以前制作した事業者様からご相談をいただいたとき、制作当時の構成や設定が分かれば、調査の手掛かりになります。
しかし、保守契約がなく、納品後の更新や設定変更を継続して把握していない場合、制作時の情報だけで現在の安全性を保証することはできません。
サーバー会社がPHPを更新している場合もあれば、利用者自身で切り替える必要がある場合もあります。WordPressやプラグインが古いまま残っていたり、フォームが別のサーバーで動いていたりすることも考えられます。
そのため、まず現在の利用環境を確認し、サーバー会社などの対応状況と照らし合わせる必要があります。必要に応じて、更新作業や動作確認、追加の調査も行います。
ホームページが普段どおり表示されていることだけでは、裏側のシステムまで適切に管理されているかは判断できないのです。
手軽に作れる時代だからこそ、公開後の担当者を決める
クラウドソーシング、知人への依頼、AIによる自作。それぞれに利点があり、予算や目的に合った方法でホームページを持つことは、介護事業所にとっても前向きな選択です。
確認したいのは、制作方法よりも、その先の運用です。
制作を依頼した費用に、公開後の更新や障害対応まで含まれているとは限りません。AIで制作できても、利用しているサーバーやプログラムの管理担当者まで自動的に決まるわけではありません。
| 公開時に決めておきたいこと | 確認する内容 |
|---|---|
| システムの管理 | 誰が脆弱性情報や更新の必要性を確認するか |
| 更新作業 | 誰が更新し、表示やフォームの動作を確認するか |
| バックアップ | 何を、どこに保存し、誰が復元するか |
| 緊急時の連絡 | 不具合や不正アクセスが疑われたとき、誰に相談するか |
| 契約・アカウント | サーバーやドメインの契約情報を誰が管理するか |
自分たちで管理できる体制があれば、必ずしも外部への保守委託が必要とは限りません。ただ、担当者も作業内容も決まらないまま、数年間運用を続ける状態は避けたいところです。
介護事業所では、専門的な確認に使える時間が限られている
介護事業所の管理者や事務担当者は、日々のサービス提供、職員の調整、請求、採用、行政への提出書類など、多くの業務を抱えています。
その中で、PHPのバージョンやサーバー会社の告知を調べ、自分のホームページへの影響を判断することは、負担の大きい仕事です。
自治体から確認を求められた場合も、単に大丈夫そうだと回答することはできません。何を確認し、どの対策が完了し、何が未確認なのかを把握する必要があります。
今回いただいたご相談でも、ホームページを作る段階では表面化しなかった、公開後の管理の課題が見えてきました。
すべての専門知識を事業所内で身につける必要はありません。必要なときに確認を依頼できる相手と、普段から管理を続ける仕組みを持つことが大切です。
PHPの問題で、事業所が確認したい対応の流れ
ここからは、今回ウェルコネクトが実施した対応とは分けて、事業所が管理担当者と確認しておきたい一般的な手順を紹介します。
1．通知の内容と管理窓口を確認する
自治体から依頼が届いている場合は、対象となるホームページやシステム、報告項目、提出期限を確認しましょう。今回のご相談事例が、すべての介護事業所に一律の報告義務があることを意味するわけではありません。
あわせて、サーバーの契約先と、ホームページの管理担当者を確認します。制作会社とサーバー会社が異なる場合もあります。
2．PHPの利用状況と提供元の対応を確認する
WordPressやフォームなど、PHPを使っている部分と、その実行先を確認します。見た目がシンプルなホームページでも、フォームだけPHPを利用している場合があります。
サーバー会社などが公表している対応情報を確認し、自分の契約環境にも対策が適用されているかを確かめます。提供元が独自に修正を適用している場合もあるため、表示されるバージョン番号だけで結論を出さず、提供元の説明とあわせて判断します。[2]
3．必要な更新と動作確認を行う
更新が必要な場合は、バックアップや互換性の確認を行い、更新後にページ表示、管理画面、フォーム送信などを確認します。
特に長期間更新していないシステムでは、PHPだけを切り替えると、古いプログラムが動かなくなる可能性があります。一方で、動かなくなるかもしれないからと、脆弱な状態を放置することも避ける必要があります。
すぐに更新できない場合は、提供元や専門家と相談し、暫定対策、アクセス制限、一時停止などの必要性を判断します。IPAも、更新が難しい場合の対応を案内しています。[1]
4．確認内容と対応状況を記録する
確認した日、確認先、適用した対策、動作確認の結果、未確認の事項を残しておきます。
報告が必要な場合は、自治体の様式や指示に合わせ、確認できた範囲を正確に記載します。修正プログラムを適用したという事実から、被害がない、すべて安全であるとまで広げて説明しないことが大切です。
保守契約は、どこまで対応する契約かが重要です
ホームページの保守というと、お知らせや写真を更新するサービスを思い浮かべる方もいるかもしれません。
しかし、掲載内容の更新と、PHPやWordPressなどのシステム管理は、作業の内容が異なります。保守契約という名称だけで、必要な対応がすべて含まれているとは限りません。
契約時には、次の範囲を具体的に確認しましょう。
- PHP、WordPress、プラグインなど、管理する対象
- 更新の頻度と、重大な脆弱性が公表された際の対応
- バックアップと復元作業の範囲
- 障害や不正アクセスが疑われた際の初動と、専門調査の扱い
- 対応結果の報告方法と、追加費用が発生する作業
保守契約があっても、あらゆる攻撃や障害を防げるわけではありません。大切なのは、変化するリスクに対して、誰が情報を確認し、判断し、対応するかを明確にしておくことです。
今回ウェルコネクトが行った、各サイトの確認、ご契約者様への連絡、サーバー会社の修正適用確認も、公開後の管理が続いているからこそ進められる作業です。毎月の保守費用を検討するときは、目に見える修正の回数とあわせて、こうした管理を誰が担うかも考えていただきたいと思います。
ホームページを作った後のことまで、考えていますか？
ホームページは、利用者やご家族、ケアマネジャー、求職者と介護事業所をつなぐ窓口です。公開した後も、情報を届け、問い合わせを受け付ける役割が続きます。
制作の選択肢が増えた今だからこそ、完成時の費用や見た目とあわせて、その後の管理にも目を向けていただきたいと思います。
今回のPHP問題で、管理担当者が分からなかった、更新状況を確認できなかったという場合は、運用体制を見直すタイミングです。
ウェルコネクトでは、介護事業所のホームページについて、現在の管理状況や今後の保守に関するご相談を承っています。以前ウェルコネクトで制作したホームページについても、保守契約がない場合は、まず現在の状況を確認したうえで、必要な対応と費用をご案内します。
数年前に制作してから更新していない、誰に相談すればよいか分からない。そんな方もぜひ気軽にご相談ください。
編集：
介護福祉ウェブ制作ウェルコネクト
編集部（主任介護支援専門員）
ケアマネジャーや地域包括支援センターなど相談業務に携わった経験や多職種連携スキルをもとに、介護福祉専門のウェブ制作ウェルコネクトを設立。情報発信と介護事業者に特化したウェブ制作サービスとAIを活用した業務改善提案を行う。
