「ホームページが見られない」その朝、起きていたこと

こんにちは。新潟市中央区万代のインフォメーション株式会社です。

10月22日（木）の朝、「医院のホームページが開かない」「画面に英語のエラーが出ている」と驚かれた方もいらっしゃると思います。表示されていたのは「502 Bad Gateway」などのエラー画面でした。ご心配をおかけしました。

先にお伝えすると、当社でお預かりしているホームページの多くが、同じ日の昼前に表示が再開しています。そしてサーバー会社の発表では、今回の件による不正アクセスや情報漏えいは、現時点で確認されていません。

ホームページが止まったのは、壊れたからではなく、守るために閉めたからです。その理由を、順番にご説明します。

PHPって何？ホームページの「厨房」です

ホームページを、ひとつのお店にたとえてみます。

• お店が入っている建物 → サーバー（ホームページのデータを置いておく場所）
• お店の厨房 → PHP（注文が来るたびにページを作るしくみ）
• 厨房のレシピと、お店の運営のしくみ → WordPress（ワードプレス）

患者さんがスマホでホームページを開くたびに、裏側では厨房（PHP）が動いて、「診療時間」「お知らせ」「医師紹介」といったページをその場で組み立て、お皿に盛って出しています。院内で「お知らせ」を書き換えられるのも、この厨房があるおかげです。

PHPは世界中で使われている、ごく一般的なしくみです。WordPressで作られたホームページは、すべてPHPで動いています。つまりPHPは、どこか1社の製品ではなく、世界中のホームページが共通して使っている「厨房の設備」のようなものです。

世界中の厨房で、同じ「鍵の欠陥」が見つかった

10月21日、PHPの開発チームが緊急の修正版を公開しました。見つかったのは、深刻な欠陥（専門用語で「脆弱性（ぜいじゃくせい）」）が2件。深刻度は10段階で9.2という、最上位クラスの評価です。

厨房のたとえで言うと、鍵を持っていない人が、外から厨房に入り込んで、好きな料理を作らせることができてしまうという欠陥でした。ホームページの書き換えや、サーバーに置いてあるデータの持ち出しにつながるおそれがあります。

さらに今回は、修正版が出る前から欠陥の情報が外に漏れていて、実際にこの欠陥を狙った攻撃も確認されていました。対象はPHPのほぼすべてのバージョン。世界中のサーバー会社が、一斉に緊急対応に追われることになりました。

TIMELINEサーバー側で起きていたこと

さくらインターネット、エックスサーバー、ロリポップ！、へテムルなど、国内の主なレンタルサーバー会社も、同じ時期にそれぞれ緊急のメンテナンスを行っています。

なぜ、うちのホームページまで止まったのか

「うちは新しいPHPを使っていたのに」「うちはWordPressじゃないのに」と思われた方もいるかもしれません。

サーバー各社は今回、お店を1軒ずつ確認する時間をかけるより、建物（サーバー）ごとシャッターを下ろすという判断をしました。そのため、新しいPHPのホームページも、PHPを使っていないホームページも、同じサーバーにあれば一緒に止まっています。

鍵の交換が終わるまで、建物ごと閉めておく。テナントにとっては不便ですが、どのお店に泥棒が入るか分からない状況では、筋の通った判断だったと私たちは考えています。実際弊社が使用している大元のサーバー会社は、開発元の修正が出ていない古いバージョンのPHPにも、自社で修正を作って当てたうえで再開しています。

患者さんの情報は、大丈夫だったのか

先生方がいちばん気になるのは、ここだと思います。

まず発表では、欠陥を狙ったとみられるアクセスはあったものの、今回のそれによる不正アクセスや情報漏えいは現時点で確認されていません。

そして、クリニックのホームページには、多くの場合、電子カルテや診療の記録は入っていません。電子カルテやレセコンは、ホームページとは別のしくみで動いています。ホームページにあるのは、診療時間やお知らせなど、もともと公開している情報が中心です。

ただし、Web予約、Web問診、お問い合わせの受付など、ホームページから患者さんの情報を受け取るしくみを使っている場合は、その情報がどこに保存されているかによって話が変わります。どんなしくみが入っているか分からない場合は、一緒に確認しますので、お電話ください。

当社がいま、行っていること

当社で制作・保守をお預かりしているホームページについては、次の確認と対応を順に進めています。お客様に作業していただくことは、基本的にありません。

• ホームページが正しく表示されているか、ページごとの確認
• PHPのバージョンの確認と、開発元のサポートが続いている新しいバージョン（8.2以降）への切り替え
• WordPress本体・プラグイン・テーマが最新か、更新の止まったものが入っていないかの確認
• お知らせの更新や画像のアップロードなど、院内で行う日常の操作に問題がないかの確認

PHPのバージョンを上げると、古いテーマやプラグインが動かなくなることがあります。そのため、いきなり切り替えるのではなく、表示と動きを確かめながら進めます。ここはボタンひとつで終わる作業ではありません。保守をお任せいただいている意味が、一番出るところだと思っています。

また起きるの？これからのホームページの守り方

正直にお伝えすると、こうした欠陥はこれからも見つかります。PHPに限らず、パソコンもスマホも、ソフトウェアである以上「欠陥が見つかって、直す」の繰り返しです。大事なのは、見つかったときに、すぐ直せる状態にしておくことです。

01古いままにしない

開発元のサポートが終わった古いPHP（今回でいえば8.1以前）は、次に欠陥が見つかっても、公式の修正が出ない可能性があります。今回ヘテムルが古いバージョンまで守ってくれたのは、あくまで緊急時の特別対応です。次も同じように守ってもらえるとは限りません。

02「誰が見ているか」をはっきりさせる

作った会社と連絡が取れない。担当者が辞めてしまった。WordPressの管理画面に、もう何年も誰もログインしていない。こうしたホームページは、更新が止まったまま動き続けています。今回のようなときに、すぐ動ける管理者がいるかどうかで、安全性は大きく変わります。

03そもそも「厨房」が必要かを考える

実は、すべてのホームページにPHPが必要なわけではありません。内容がほとんど変わらないページなら、厨房を持たない作り（HTMLだけで組む作り）にすることで、今回のような欠陥の影響を受けにくくできます。お知らせの更新頻度や、院内でどこまで更新したいかによって向き不向きがあるので、リニューアルのタイミングなどでご相談いただければ、正直にお答えします。

今回の件で、よくいただくご質問

ホームページは、「作って終わり」ではなくなりました

診療時間を見る。道順を調べる。休診日を確かめる。患者さんにとって、クリニックのホームページは「受付の前の受付」です。それが数時間見られないだけでも、電話が増えたり、来院をためらう方が出たりします。

だからこそホームページにも、建物の点検や医療機器の保守と同じように、見守る人が必要だと私たちは考えています。当社は平成16年の創業から22年、新潟でクリニック・介護施設・事務所の電話、ネットワーク、OA機器、そしてホームページをお預かりしてきました。押し売りはしません。「いまのままで大丈夫です」なら、そうお伝えします。