PHP重大脆弱性「php2shell」、病院の医療システムにも影響 復旧と安全確認進む
掲載日：
病院の医療システムとサイバーセキュリティーのイメージ（生成AIで作成）
プログラミング言語「PHP」に、外部から不正にプログラムを実行される恐れのある重大な脆弱性「php2shell」が見つかり、医療機関のシステムにも影響が広がっている。安全対策のために一部のサービスを停止する動きがある一方、修正や確認を終えて再開したシステムもある。電子カルテを含む院内システムに問題がないと確認した病院もあり、各施設やサービス提供事業者が影響範囲と対応状況を公表している。
今回の脆弱性は、「CVE-2026-109618」と「CVE-2026-109619」の2件。悪用されると、外部から認証なしでサーバー上のプログラムを実行される恐れがある。開発元が公表した共通脆弱性評価システム「CVSS v4.0」のスコアは、いずれも10点満点中9.2と、深刻度が高い。
PHPは、ホームページやウェブアプリケーションなどの開発に使われるプログラミング言語。開発元は10月21日、修正版の「8.2.35」「8.3.36」「8.4.27」「8.5.12」を公開し、速やかな更新を呼びかけた。サポートが終了した古いバージョンを使用している場合は、提供元の対策情報の確認や、サポート対象バージョンへの移行が必要となる。
医療分野では、地域医療情報連携システムの一部機能に影響が出ている。
三重県地域医療連携連絡協議会（三重・津市）が設置する三重医療安心ネットワークは22日、医療情報連携システム「ID-Link」で使用する「DICOMViewer」機能を、修正版の適用が完了するまで順次停止するとの提供元の案内を公表した。医用画像の閲覧・操作ができなくなる一方、診療情報などのデータ閲覧・取得・登録といった基本機能は継続して利用できるとしている。
済生会宇都宮病院（栃木・宇都宮市）は22日、健診センターのウェブ問診とウェブ予約システムの一時停止を発表した。停止中は電話で予約を受け付け、ウェブ問診を入力できない受診者には、健診当日に紙の問診票を用意する。復旧時期は未定としている。
済生会熊本病院（熊本市）は22日、ホームページへの対策を実施し、通常どおり利用できると発表した。一方、外部事業者が提供する一部のウェブ問診サービスは、自宅から利用できないとしている。同院はホームページと電子カルテなどの診療システムを切り離して運用しており、発表時点で不正アクセスや個人情報漏えいなどの被害は確認されていないとしている。
寿泉堂綜合病院（福島・郡山市）は22日、ホームページの問い合わせ、見舞いメール、臨床研修医の病院見学申し込みのフォームを一時停止したと発表した。同院では、安全性を確認した上で、順次再開するとしている。
対策を終え、利用を再開した病院もある。
兵庫医科大学病院（兵庫・西宮市）は22日、PHPの脆弱性への対応でウェブ問診システムを一時停止したが、同日午後4時に復旧した。東海中央病院（岐阜・各務原市）も、緊急メンテナンスで停止した医療機関専用のウェブ診療予約システムと人間ドック・健診予約システムを、22日に全面再開した。
一方、恵寿総合病院（石川・七尾市）は22日、電子カルテをはじめとする院内システムとホームページへの影響を調査し、いずれも問題がないことを確認したと発表した。春日井市民病院（愛知・春日井市）も同日、同院のホームページで今回の脆弱性の影響を受ける環境やバージョンを使用していないと公表した。
医療機関向けサービスでも、事業者が対応を進めている。
日本医師会ORCA管理機構（東京・文京区）は22日、レセプトコンピューターソフト「WebORCAクラウド版」「WebORCAオンプレ」、介護・訪問看護の請求業務支援ソフト「WebQKAN」、クラウド型健診システム「日特クラウド」の4サービスでPHPを使用しておらず、今回の脆弱性の影響はないと発表した。利用する医療機関やシステムベンダーによる特別な対応も不要としている。
オプティム（東京・港区）も同日、病院向け生成AI（人工知能）サービス「OPTiM AI ホスピタル」には影響がないと公表した。
医療関連団体では、日本医師会（東京・文京区）が22日付の通知で、同日午後2時現在、「日医雑誌on-line」や「MAMIS」の周辺サイト、「AIホスピタル推進センター」など、一部のウェブコンテンツを確認・改修のため停止していると発表した。
一方、PHPを使用していないホームページの主要部分や文書管理システム、MAMIS本体は通常どおり稼働しているとした。また、都道府県医師会を通じ、医師会や医療機関にPHPの利用確認と更新などの対応も求めた。
徳島県医師会（徳島・徳島市）も22日、徳島県サイバーセキュリティ協議会事務局からの依頼を受け、会員向けに注意喚起を掲載した。PHPを使用するウェブサイトや関連データベースの把握、修正プログラムの適用などを呼びかけている。
病院関連団体でも対応に動いている。
全日本病院協会（東京・千代田区）は23日、会員病院に対し、ホームページの制作・保守管理業者などにPHPの使用状況と修正版の適用状況を確認するよう要請した。
今回の問題は電子カルテそのものの脆弱性を指すものではないとする一方、ホームページだけの問題と一律に判断せず、予約・問い合わせ機能や院内の関連システムも確認するよう求めた。すぐに対策できない場合は、代替の受診案内を確保した上で、該当する機能やページの一時停止を検討することも促した。
一方、日本精神科病院協会（東京・港区）は22日、同協会で修正版の適用を完了したと発表した。発表時点で、今回の脆弱性に起因する不正アクセスや個人情報の漏えいは確認されていないとしている。
情報処理推進機構（IPA）は22日、PHPはウェブサイトだけでなく、さまざまなソフトウエア製品にも使われているとして、開発者やサービス提供元が公表する情報を確認し、修正版への更新などを進めるよう求めた。
JPCERTコーディネーションセンター（JPCERT／CC）も、対策の適用に加え、不正アクセスなどの侵害を受けていないかの調査を要請している。また、不審なプログラムの実行や外部通信、ファイルの作成などを確認し、継続的に監視することを呼びかけている。
