こんにちは、薬剤師のしぐです。
「いつもの研修サイトが開けない」「薬局のサービスがメンテナンスになっている」。そんなとき、背景にあるのが、Webサービスの土台で動くPHPの問題かもしれません。
2026年10月21日、PHPで認証なしのリモートコード実行につながる重大な脆弱性2件を修正するセキュリティ更新が公開されました。薬剤師会や薬局の周辺サービスでも、予防的な停止・メンテナンスの案内が出ています。
今回、薬局で押さえたいのは、利用サービスの影響を確認し、患者情報を守りながら、止まった場合の業務をつなぐことです。
サービスの一時停止だけで、不正アクセスや情報漏えいが発生したとは判断できません。一方、画面がいつもどおり表示されることだけで、安全とも判断できません。
※2026年10月23日時点で確認した情報です。停止範囲・再開状況は各運営元の最新案内を確認してください。
まず押さえたい3つのポイント
| ポイント | 薬局での受け止め方 |
|---|---|
| 問題はPHPというWebサービスの基盤 | ホームページだけでなく、会員サイトや各種フォームも確認する |
| 予防的なサービス停止が起こり得る | 停止を情報漏えいの発表と取り違えず、対象機能と代替方法を確認する |
| 技術的な更新は管理者・保守会社と進める | 薬局側は対応状況、業務への影響、緊急連絡先を把握する |
PHPとは？薬剤師にも関係する理由
PHPは、Webサイトの裏側で処理を動かすためのプログラミング言語です。利用者が入力した内容を受け付けたり、会員向け画面を表示したりする仕組みなどに使われます。
薬剤師が日常業務でPHPを操作する機会は多くありません。それでも、使っているサービスの基盤にPHPが含まれていれば、今回の対応に伴う影響を受ける可能性があります。
点検対象を考えるときは、レセコンや電子薬歴だけで終わらせず、薬局のホームページ、問い合わせフォーム、処方箋画像送信、予約、患者向けアプリ、研修申込サイトまで並べてみると分かりやすくなります。
これらは確認対象の例です。すべての製品がPHPを使っている、あるいは影響を受けているという意味ではありません。
今回の脆弱性は何が重大？
対象は、CVE-2026-109618とCVE-2026-109619です。CVEは、脆弱性を識別するための共通番号です。
今回の問題では、認証を経ずに、外部からサーバー上で任意のコードを実行されるおそれがあります。攻撃が成立した場合には、そのサーバーの権限や構成に応じて、情報への不正アクセス、改ざん、サービス停止などにつながる可能性があります。
「会員ログインが必要だから安心」とは判断できません。 また、PHP本体の問題なので、Webサイトの見た目や掲載内容だけを修正しても対策にはなりません。
修正版はすでに公開されている
PHP公式で公開された修正版は次のとおりです。
| 使用している系列 | 今回の修正版 |
|---|---|
| PHP 8.5系 | 8.5.12 |
| PHP 8.4系 | 8.4.27 |
| PHP 8.3系 | 8.3.36 |
| PHP 8.2系 | 8.2.35 |
修正版またはそれ以降の対策済みリリースへの更新を、管理者・提供事業者と確認します。Linuxディストリビューションなどが独自に修正を取り込んで配布する場合は、表示されるPHPの数字だけで未対応と決めつけず、提供元の対策済みパッケージ情報で判断します。
古いPHPを使っている場合には、個別の修正提供の有無を含め、提供元への確認が必要です。サポートが終了した環境は、今回の対応と合わせて移行計画も相談したいところです。
設定変更やWAFなどで一部の攻撃経路を抑える対策があっても、PHP公式は更新を完全な解決策としています。暫定対策だけで対応完了にしないことが大切です。
薬局・薬剤師会ではどのような影響がある？
実際に、埼玉県病院薬剤師会は10月22日、ホームページの一時的な閉鎖・閲覧制限について案内しています。スギ薬局も、PHPの脆弱性に関連する一部サイトのシステムメンテナンスを案内しています。
これらは、公表された対応の例です。現在も同じ範囲が停止しているとは限らないため、利用直前に公式のお知らせを確認しましょう。
ここで区別したいのは、次の3つです。
| 状況 | 意味 |
|---|---|
| 予防的な停止・メンテナンス | 被害を防ぐため、更新や安全確認の間に利用を制限する対応 |
| 影響の調査中 | PHPの使用状況や、対策・侵害の有無などを確認している段階 |
| 不正アクセス・情報漏えいの公表 | 調査結果や確認済みの事実に基づく、個別の事故の発表 |
「メンテナンス中だから患者情報が漏れた」と説明することは避けます。逆に、他社が影響なしと発表していても、自局の別サービスまで安全と推測することはできません。
サービスごとに「何が止まるか」を確認する
同じ事業者のサービスでも、ホームページ、会員機能、患者向けアプリ、問い合わせフォームで管理環境が異なる場合があります。
公式のお知らせで、対象のサービス名・機能名、利用できない時間、代替窓口、次回の案内予定を確認します。研修なら申込や受講、薬局サービスなら送信や閲覧など、実際の業務に置き換えて考えることがポイントです。
薬局が最初に確認したい5項目
以下は、自局で確認を進めるための実務提案です。
| 確認項目 | 具体的にすること |
|---|---|
| 利用サービス | ホームページ・患者向けサービス・業務システム・研修を一覧にする |
| 公式の対応状況 | 運営元のお知らせと保守窓口で、影響の有無と対応状況を確認する |
| 患者情報の取扱い | 何の情報を送受信・保存するサービスか整理する |
| 停止中の代替手順 | 電話、紙の記録、既存の承認済み手順で継続できる範囲を確認する |
| 担当者と記録 | 確認日、回答者、未確認事項、次回の確認予定を残す |
「業者さんが対応しているはず」で止めず、回答を短く記録しておくと、職員への共有や引き継ぎに役立ちます。
保守会社への確認は、この聞き方で
問い合わせるときは、次の内容をまとめると確認が進みやすくなります。
当薬局で利用しているサービスについて、PHPの脆弱性CVE-2026-109618／CVE-2026-109619の影響を確認したく、ご連絡しました。対象機能、対策済みかどうかと対応日時、必要な再起動等の実施状況、不審なアクセス・侵害の有無の調査状況、薬局側で必要な作業、停止時の代替方法をご教示ください。確認中の項目は、次回の回答予定もお知らせください。
PHPの更新作業を薬剤師が一から覚えることよりも、誰が対応し、どこまで確認できたかを把握することが、薬局側の初動になります。
電子お薬手帳や送信機能が使えない場合に備える
患者さんが「アプリが開かない」「送信できない」と来局した場合は、まず利用サービスと症状を確認します。そのうえで、当該サービスの障害情報・停止案内を確認しましょう。原因を今回のPHP問題と即断しないことも大切です。
業務上必要な情報は、利用可能な自局の記録、紙のお薬手帳、お薬の現物、薬剤情報提供文書、本人・家族への聞き取りなどを組み合わせて確認します。情報が不足し、安全性を判断できない場合は、処方元や調剤した薬局への確認につなげます。
残薬、最近の変更、休薬の指示、副作用歴など、患者さんの記憶だけでは曖昧になりやすい部分を整理して聞くことも薬剤師の役割です。
代替手段として、私物のメールや個人のSNSへ処方箋画像を送ってもらう運用を急に作ると、別の情報管理上の問題を生みます。既存の承認済み連絡手段を使い、必要な情報と確認結果を記録します。
患者さんへの説明例は、次のような形です。
一部のサービスで、安全確認や更新のためのメンテナンスが案内されています。お使いのサービスの状況を確認します。お薬については、手元の情報や必要に応じた医療機関への確認を組み合わせて、安全に確認していきます。
WordPressでホームページを運営している場合
薬局や薬剤師会、自分のブログでWordPressを使っている場合も確認対象です。
今回の問題で必要なのは、サーバー側のPHPの対応確認です。WordPress本体、テーマ、プラグインを最新にしただけで、このPHPの脆弱性への対応まで済んだとは判断できません。
WordPressの管理画面では、「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPのバージョンを確認できます。レンタルサーバーの管理画面や、ホスティング会社のお知らせも確認します。
ただし、バージョン表示だけでは、提供元独自の修正が適用されているか判断できない場合があります。まずは、サーバー会社が今回の2件について、どの環境を対策済みとしているか確認するのが確実です。
PHPの系列を大きく変更する場合は、テーマやプラグインとの互換性も関係します。緊急性を踏まえて保守会社と更新・動作確認を調整し、すぐに対応できない環境は公開制限や一時停止も含めて相談します。
しぐの実務視点：止まった先の服薬支援まで考える
薬局のセキュリティ対策は、パソコンが動くかどうかだけの話ではありません。
患者さんの併用薬が見られない。処方箋の事前送信が届かない。電話で確認しようとしても、担当者や連絡先が分からない。そうした小さな停止が重なると、受付から服薬指導までの流れに影響します。
大学病院前の薬局のように、処方変更や休薬、副作用の確認が多い現場では、「前回と同じはず」で進められない場面もあります。停止しても、必要な確認をどこから補うかを決めておくことが、患者さんの安全につながります。
受付と調剤室が分かれている薬局なら、サービス停止の情報、代替受付の方法、確認待ちの患者さんを両方で共有できるようにしておきたいところです。
便利な仕組みを導入するときには、使えるときの効率と、使えないときの対応を一緒に考える。今回のニュースは、その備えを見直す機会になります。
まとめ
PHPの重大な脆弱性に対して、修正版はすでに公開されています。薬局では、利用サービスの公式案内と委託先の回答を確認し、未確認の項目には担当者と確認予定を付けましょう。
サービスの停止を見つけたときには、対象機能と代替方法を確認し、患者さんに必要な情報を安全に補います。情報を守る対応と、薬物治療を支える対応を、現場の手順につなげていくことが大切です。
FAQ
Q1．PHPを使っていると、情報漏えいが起きたということですか？
いいえ。脆弱性が存在すること、攻撃を受けたこと、情報漏えいが発生したことは、それぞれ別です。個別のサービスの調査結果や公式発表を確認します。
Q2．ホームページにログイン機能がなければ安心ですか？
ログイン機能の有無だけでは判断できません。今回の脆弱性は認証なしのコード実行につながるおそれがあるため、PHPを動かしているサーバー側の対応確認が必要です。
Q3．すべての電子薬歴やレセコンが影響を受けますか？
一律にはいえません。PHPの使用状況や修正状況は製品・構成によって異なります。製品名だけで推測せず、提供元に確認します。
Q4．ウイルス対策ソフトやWAFがあれば十分ですか？
それだけで対応完了とは判断できません。今回の脆弱性に対する修正の適用を確認し、暫定対策の範囲や残るリスクは管理者・提供元と共有します。
Q5．サービスが再開したら、薬局は何を確認しますか？
必要な機能が使えるかに加え、停止中に送ったデータや申込の扱い、未処理・重複の有無を、運営元の案内に沿って確認します。再開の案内と確認日時も残しておきましょう。
Q6．電子お薬手帳が開けなければ、薬の確認はできませんか？
紙の記録、現物、自局の利用可能な記録、本人への聞き取り、必要に応じた他施設への照会を組み合わせます。不足情報を推測で埋めず、安全性を確認できる方法を選びます。
コメント