ウェブシステムで広く使われるプログラミング言語「PHP」に重大な脆弱性が見つかり、10月21日夜から22日にかけて、教育サービスや大学、官公庁がシステムを一時停止する対応が相次いだ。

　独立行政法人情報処理推進機構（IPA）は22日、「CVE-２０２６-１０９６１８」と「CVE-２０２６-１０９６１９」の２件について注意喚起を公表した。脆弱性を組み合わせた攻撃は「PHP2Shell」と呼ばれ、悪用された場合、遠隔の第三者に任意のコードを実行される可能性がある。PHP８・２から８・５までの各系列で修正版が公開され、IPAは最新版への更新を求めている。

　eラーニングシステムを提供するlearningBOX株式会社（兵庫県たつの市）は、21日20時から全サービスを予防的に停止した。修正プログラムの適用と動作確認を行い、22日９時にサービスを再開した。同社によると、不正アクセスや情報漏えいは確認されておらず、学習履歴や採点済みデータは保持されている。一方、停止中に実施されていた試験は、状況によって再受験が必要になるとしている。

　文部科学省や複数の大学もウェブサイト、LMSなどの一部を停止した。エデュケーショナルネットワークも予防的なメンテナンスを実施した。一方、デジタル・ナレッジは主要製品でPHPを使用しておらず、今回の脆弱性による影響はないと発表した。

　今回の事案は、同じ脆弱性でもシステム構成によって影響が異なることを示した。学習塾にとっても、LMS、申込、決済、保護者連絡などの利用サービスについて、障害時の連絡経路、授業や試験の代替方法、学習データの保存方法を平時から確認しておく必要がある。