デジタル教科書が止まった5日間──PHPの脆弱性から考える、デジタル教材の継続性とセキュリティ

PHPの公式発表

PHPの開発チームは10月20日、深刻度の高い脆弱性2件（いずれもCVSS v4.0で9.2）に対応するセキュリティリリースを、10月21日14時（協定世界時。日本時間23時）に公開すると事前に告知しました。そして予定どおり、修正版のPHP 8.5.12、8.4.27、8.3.36、8.2.35が公開されています。

2件はいずれも、認証なしに外部から任意のコードを実行されるおそれがある「リモートコード実行」の脆弱性です。

- CVE-2026-109618：メモリ不足のエラー処理の途中で処理が中断され、不正な状態のデータがその後の後片付けで使われてしまう
- CVE-2026-109619：リクエストをまたいで内部の状態が残り、解放済みのメモリが次のリクエストで参照されてしまう

公式アドバイザリによると、影響を受けるのはWebリクエストを処理するすべてのPHP環境です。PHP-FPM、Apache の mod_php、php-cgi などが含まれ、なかでも mod_php はリスクが最も高く、アプリケーションのコードが動く前に認証なしで攻撃が成立することが実証されているとされました。設定変更による緩和策も示されましたが、いずれも「完全な解決策ではない」と明記され、修正版への更新が求められています。

古いバージョンには公式の修正版が出ない

注意したいのは、PHP 8.1以前には PHP プロジェクトからの修正版が提供されないことです。セキュリティチームは7.4・8.0・8.1向けに最小限のソースのバックポートを用意したものの、基本はディストリビューションやサポート事業者への確認か、サポート対象のバージョンへの移行が必要とされました。また、今回修正版が出た PHP 8.2 も2026年12月31日でサポートが終わり、それ以降はセキュリティ修正が提供されません。

国内でも一斉に「予防的な停止」

修正版の公開前後には、脆弱性の情報が予定より早く外部に出回り、攻撃の試行も報告されていました。国内では、官公庁、自治体、大学、県立学校のホームページ、金融機関、ECサイトなどが、修正の適用や安全確認のためにサービスを一時停止しています。セキュリティ情報をまとめているブログ「piyolog」は、PHPへの対応として停止を告知・報道された国内の組織を246数えています。

東京都は10月22日、都や区市町村などへの被害は確認されていないとしたうえで、一部サービスを安全確保のため予防的に停止したと発表しました。10月22日には、IPA（情報処理推進機構）とJPCERT/CCも注意喚起を出しています。

はじめての教材制作も
まずはお気軽に
ご相談ください

制作事例・料金表を無料でチェック

過去の事例や制作フローを
パンフレットで紹介しています

過去の事例や制作フローを
パンフレットで紹介

資料ダウンロード

見積もり・納期を無料で相談

オンラインで打合せをしながら
予算に応じたご提案をいたします

オンラインでの打合せや
予算に応じたご提案なら

無料相談申し込み

10月21日夜、予告なしの停止

報道によると、ある大手教科書発行者は10月21日午後9時ごろ、PHPを使う自社のコンテンツを事前の告知なしで緊急停止し、修正パッチの適用と安全性の検証を始めました。PHPの修正版が公開される日本時間23時より前の判断です。停止の対象には、学習者用デジタル教科書、指導者用デジタル教科書（教材）、教科書内のQRコードから閲覧するQRコンテンツが含まれていました。

段階的な再開

再開は一度にではなく、安全確認が済んだものから順に行われました。10月23日の時点で、学習者用・指導者用のデジタル教科書や、教員向けのWebサービス、問題データベースは通常どおり使える状態に戻っていました。一方で、旧版の教材のうちPHPを使っているQRコンテンツは引き続き遮断され、一部のオンライン教材も作業中とされています。

その後、10月26日に脆弱性への対策と安全性の検証作業がすべて完了したとして、デジタル教科書・教材から問題データベース、CBT関連のサイトまで、全サービスの再開が発表されました。利用者へのお詫びも添えられています。10月22日時点で、今回の脆弱性に関連した不正アクセスや情報漏えいは確認されていないとされています。

「止める」という判断

予告なしの停止は、使う側から見れば不便です。ただ、脆弱性の詳細が出回り、攻撃の試行も報告されていた状況では、修正と確認が終わるまで止めることが、子供の学習データや利用者のアカウントを守るうえで合理的な判断だったといえます。止めずに被害が出れば、影響は数日の不便では済みません。問われるのは、止めることそのものよりも、止まったときに授業や利用者への影響をどこまで小さくできるかです。

文部科学省は教育委員会に注意喚起

文部科学省は、全国の教育委員会、国立大学、関係する独立行政法人に注意喚起を行い、修正プログラムの早期適用などを求めました。10月22日には、省の関連サイトのうち4サイトもメンテナンスのため一時停止しています。

ガイドラインを年度内に改訂へ

10月28日の衆議院文部科学委員会では、教育委員会の委託先が受けた不正アクセスの事案（今回のPHPとは別の事案）が取り上げられました。当初は被害なしとの連絡だったものが、1か月以上たってから、児童生徒の氏名・アカウント・パスワード1万件以上を含むシステムだったと分かった、という内容です。委員からは、教育委員会の人員や専門性には限りがあり、単独での対応は難しいとして、国の支援を求める声が上がりました。

関芳弘文部科学大臣は、教育委員会への注意喚起や情報提供などの支援を強化するとともに、「教育情報セキュリティポリシーに関するガイドライン」を年度内に改訂する方針を示しました。同ガイドラインは令和7年（2025年）3月にクラウド活用の拡大を踏まえて改訂されたばかりで、今回の答弁を受けて、委託先の管理やインシデント時の対応がどう書き込まれるかが注目されます。

今回の件は、教科書会社だけの話ではありません。塾や学校向けの教材アプリ、QRコードで開く解説動画や確認問題、学習管理の仕組みなど、デジタル教材の多くはWebの技術の上で動いています。発注する側・つくる側の双方で、次の点を確認しておくと、次に同じことが起きたときの影響を小さくできます。

1. 使っている技術と、そのサポート期限

教材を配信しているサーバーで、どの言語・フレームワークのどのバージョンが動いているかを把握しておきます。今回のように古いバージョンには修正版が出ないことがあり、PHP 8.2も2026年末でサポートが終わります。制作を委託している場合は、納品物の構成とサポート期限を一覧にしておくと、緊急時に「うちは対象か」をすぐ判断できます。

2. 誰が更新を当てるのか

共用のレンタルサーバーならPHP本体の更新はサーバー事業者が行い、自社や委託先が管理するサーバーなら自分たちで行う必要があります。更新の担当と連絡先、夜間・休日の連絡手段を、契約や運用ルールで決めておくことが大切です。今回は修正版の公開が日本時間の深夜でした。

3. 止めるときの告知と連絡先

今回のデジタル教科書の停止は予告なしでした。緊急時に事前告知は難しくても、停止を知らせる文面と掲載場所、学校や利用者への連絡経路を平時に用意しておけば、現場の混乱は減らせます。再開時の案内（キャッシュの削除やブックマークの再登録など）も同様です。

4. 一部だけ止められる構成

今回、デジタル教科書の再開は段階的で、デジタル教科書が先に戻り、PHPを使う一部のQRコンテンツなどが長く止まりました。言い換えれば、サービスごとに切り離されていれば、安全確認が済んだものから戻せるということです。解説動画や読み物のように、閲覧するだけのコンテンツであれば、PHPなどのプログラムを動かさない静的なページとして配信する方法もあります。動くプログラムが少ないほど、脆弱性の影響を受ける範囲も小さくなります。

5. 古いコンテンツの棚卸し

教科書の改訂や教材の入れ替えのたびに、前の版のQRコンテンツや特設サイトが残りがちです。今回の対応では、使われていない古いサイトの停止・廃止を検討するよう求める大学向けの案内も出ています。誰も更新していないのに公開され続けているページは、それだけで弱点になります。改訂のタイミングで、残すもの・止めるものを決めておきましょう。

6. 紙との組み合わせと、止まったときの代替

10月22日に示されたデジタル教科書の指針の素案は、全学年・全教科で紙とデジタルを組み合わせることを基本としています（デジタル教科書の指針「素案」を読む）。紙で学べる部分があれば、デジタルが止まっても授業は続けられます。デジタル教材を設計するときも、止まったときに授業をどう続けるかを、紙の教材や代替手段と合わせて考えておくと安心です。

閲覧するだけの教材と違い、ログインや学習履歴、テストの結果を扱う教材は、侵害されたときの影響が大きくなります。衆議院で取り上げられた事案のように、委託先のシステムから児童生徒のアカウント情報が流出するおそれもあります。文部科学省は「教育データの利活用に係る留意事項」で、委託する個人情報を最小限にすること、不要になったデータを消去すること、書面で確認すること、委託先を適切に監督することなどを示しています。そもそも持たなくてよいデータは持たない設計が、最も確実な対策です。

PHPの修正版の公開後も、セッションのアップロード進捗機能に関する追加の注意喚起（10月23日）や、Windows版の依存ライブラリを更新したビルド（10月26日）が出ています。米国のCISA（サイバーセキュリティ・インフラストラクチャ安全保障庁）は、2件の脆弱性を実際に悪用が確認された脆弱性の一覧（KEV）に加えました。修正版を当てた後も、続報の確認とログの点検は必要です。

文部科学省のガイドライン改訂は年度内、つまり2027年3月までの予定です。2030年度にデジタルを含む教科書が始まれば、教科書そのものがWebの技術の上で動くことになります。今回の5日間は、その前に止まることを前提にした設計と運用を考えるきっかけになりました。

どのPHPのバージョンが対象ですか？

公式アドバイザリによると、Webリクエストを処理するすべてのPHP環境が対象で、修正版は8.5.12、8.4.27、8.3.36、8.2.35です。8.1以前にはPHPプロジェクトからの修正版は提供されず、サポート事業者のバックポートを使うか、サポート対象のバージョンへ移行する必要があります。

停止したデジタル教科書で情報漏えいはありましたか？

報道によると、10月22日時点で、今回の脆弱性に関連した不正アクセスや情報漏えいは確認されていないとされています。サービスは10月26日にすべて再開しました。

自社の教材サイトが対象かどうか、どう確かめればよいですか？

まず、教材を配信しているサーバーでPHPが動いているか、動いているならバージョンはいくつかを確認します。レンタルサーバーであれば事業者の告知を、制作を委託していれば委託先への確認を行ってください。修正版の適用後も、不審なアクセスがなかったかログを確認しておくと安心です。

閲覧するだけのQRコンテンツでも対策が必要ですか？

PHPなどのプログラムで動いているページであれば対象になり得ます。プログラムを動かさない静的なページとして配信している場合は、今回の脆弱性の影響は受けません。教材の性格に合わせて、配信の仕組みを選ぶことが大切です。

教育情報セキュリティポリシーのガイドラインはいつ改訂されますか？

文部科学大臣は10月28日の衆議院文部科学委員会で、年度内（2027年3月まで）に改訂する方針を示しました。具体的な改訂内容はまだ示されていません。

PHPの脆弱性は、修正版の公開前から情報が出回り、国内でも数百の組織が予防的にサービスを止める事態になりました。デジタル教科書も例外ではなく、学習者用・指導者用のデジタル教科書やQRコンテンツが数日にわたって使えなくなりました。止める判断は子供のデータを守るうえで必要でしたが、止まったときの影響をどこまで小さくできるかは、平時の設計と運用で決まります。

使っている技術とサポート期限を把握し、更新の担当と告知の手順を決め、サービスを切り離し、古いコンテンツを片づけ、紙との組み合わせで授業を止めない。2030年度のデジタル教科書の本格導入に向けて、教材を「つくる」だけでなく「動かし続ける」視点が欠かせなくなっています。

エデュコンは、デジタル教材制作でQRコンテンツや演習アプリを、学校向けシステム開発で学習管理などの仕組みを、企画から運用まで一貫して承っています。デジタル教材の構成や運用の見直しについて、お気軽にご相談ください。

はじめての教材制作も
まずはお気軽に
ご相談ください

制作事例・料金表を無料でチェック

過去の事例や制作フローを
パンフレットで紹介しています

過去の事例や制作フローを
パンフレットで紹介

資料ダウンロード

見積もり・納期を無料で相談

オンラインで打合せをしながら
予算に応じたご提案をいたします

オンラインでの打合せや
予算に応じたご提案なら

無料相談申し込み