PHP脆弱性で学校は何をすべき？情報流出を防ぐ全校対策と委託先への確認項目

2026年10月21日に公表されたPHPの重大な脆弱性「PHP2Shell」を受けて、自治体や学校のホームページが緊急停止するなど、現場に大きな影響が出ています。いま求められているのが、PHP脆弱性 学校対策を「情報担当者だけの仕事」にせず、全校で進めることです。なぜなら、PHPは学校ホームページや入試の出願システム、保護者向けの連絡サービスなど、気づきにくい場所で動いているからです。この記事では、SIerから学校事務に転職した筆者が、まず何が問題なのか、どのようなリスクがあるのか、そして委託先への確認を含めてどう対策すべきかを、2026年11月6日時点の情報で整理します。

PHP脆弱性とは？学校に関わる問題をわかりやすく整理

PHPは、WebサイトやWebサービスを動かすために広く使われているプログラミング言語で、WordPressもPHPで動いています。報道では、PHPを使うWebサイトは全体の約70%に及ぶとされています。今回の「PHP2Shell」（CVE-2026-109618／109619）は、そのPHP本体に見つかった脆弱性で、PHP公式の告知では深刻度が最高クラスの9.2（CVSS v4.0）とされています。また、報道では、認証なしで外部から悪用され、サーバー上で不正な命令を実行される恐れがあると指摘されています。

何が起きたのか：PHP脆弱性の時系列

PHP脆弱性による「情報流出」はすでに起きているのか

筆者が確認できた範囲では、学校や自治体で、このPHP脆弱性が原因の個人情報流出が確認されたという発表は見つかっていません。実際に、長野県は10月30日時点で被害は確認されていないとしています。一方で、日本を含む4つの国と地域で、ネットワーク機器など25台が侵害され、パスワードや秘密鍵が盗まれた事例が報告されています。つまり、「まだ流出は確認されていない」ことと「安全である」ことは、同じ意味ではありません。

なぜ学校でPHP脆弱性が問題になるのか

学校のWebシステムは、委託先が構築・運用していることが多く、事務室や教員が「どこでPHPが動いているのか」を把握していないケースが少なくありません。そのため、自校では使っていないつもりでも、実際には動いているという事態が起こりえます。

学校でPHPが動いている可能性のある場所

見えにくい場所のPHPにも注意が必要

さらに、IPAは、ソフトウェアやネットワーク機器の内部でPHPが使われている場合があるとして、製品の提供元の情報を確認するよう案内しています。また、レンタルサーバー上のサイトは、サーバー会社側の対応状況も確認する必要があります。ただし、すべての製品を自校で調べる必要はなく、委託先や提供元への確認が現実的です。

📷 Photo by Unsplash（商用利用可・無料）

PHP脆弱性で学校に想定される3つのリスク

学校全体で進めるPHP脆弱性対策7ステップ

では、学校は何から始めればよいのでしょうか。ポイントは、特定の担当者に任せきりにせず、役割を決めて、確認結果を記録に残すことです。

ステップ1〜2：まず「体制」と「棚卸し」

ステップ3〜4：委託先と自校運用サイトを確認する

ステップ5〜7：侵害の確認・周知・継続

学校全体の役割分担の例

委託先に確認したいPHP脆弱性の項目チェックリスト

委託先への確認は、PHP脆弱性 学校対策の中心になります。「大丈夫ですか？」という聞き方では「問題ありません」の一言で終わってしまうため、具体的な項目を決めて回答を求めましょう。

システムとバージョンに関する確認項目

侵害・情報管理・体制に関する確認項目

委託先への確認依頼メールの文例

PHP脆弱性対策で、事務職が気をつけたい注意点

最後に、対応を進める中で陥りやすい落とし穴を整理します。事務職は技術の専門家である必要はありませんが、次のポイントを知っておくだけで、委託先とのやり取りの質が上がります。

万が一、情報流出が疑われたときの初動対応

もし不審な動きが見つかったら、慌てずに次の順で動きます。公立学校の場合は、設置者である教育委員会の手順に従ってください。

• 1️⃣被害の拡大を防ぐ（サイトの一時停止、ログの保全）
• 2️⃣管理職に報告し、対応体制を立ち上げる
• 3️⃣委託先に、原因と影響範囲の調査を依頼する
• 4️⃣個人情報保護法に基づく報告・通知の要否を判断する
• 5️⃣保護者・関係者への連絡と、問い合わせ窓口を準備する
• 6️⃣パスワードや鍵を変更し、再発防止策を決める

また、漏えい等が発生し、個人の権利利益を害するおそれがある場合は、個人情報保護委員会への報告と本人への通知が必要です。報告は速報と確報の2段階で、確報は原則30日以内、不正の目的による場合は60日以内とされています。詳しくは必ず公式ページでご確認ください。

まとめ：PHP脆弱性対策は「棚卸し」と「委託先への確認」から

• ✅PHP2Shellは、PHP本体の重大な脆弱性で、学校のホームページや出願システムなども対象になりうる
• ✅筆者が確認できた範囲では、学校での流出確認の発表は見つからないが、「確認されていない」は「安全」ではない
• ✅想定されるリスクは、個人情報の流出、サイトの停止・改ざん、委託先経由の被害と法的責任
• ✅全校で、責任者の決定、棚卸し、委託先への書面確認、侵害の確認、周知、継続の順に進める
• ✅委託先には、バージョン・適用日・確認期間まで具体的に答えてもらう

学校のPHP脆弱性対策、最初の一歩は一覧づくり

結局のところ、脆弱性への対応は、一度で終わるものではありません。しかし、持っているシステムを把握し、委託先に確認し、記録を残すという基本を押さえておけば、学校の被害は大きく減らせます。まずは、自校のシステム一覧をつくるところから始めてみてはいかがでしょうか。

うちの学校は、どのシステムがPHPなのか、まったく分かりません…

それが普通なので、心配いりません。分からないシステムの名前を書き出して、委託先に「PHPを使っていますか？」と聞くところから始めましょう。一覧ができれば、あとは確認項目を順番に聞いていくだけです。

最後まで読んでいただきありがとうございました！