授業でそのまま使えるスライドを公開：銀行もゲームも止まった10月21日（小学校・中学校・高校）

スライド：php-20261021-elementary.pptx（12 枚、ノートに台本）／php-20261021-elementary.pdf ワークシート：worksheet-elementary.pdf（A4、1 枚。直すときは worksheet-elementary.pptx） 出典：Data is CITY（teleport.jp/dataiscity/）、CC BY 4.0

ねらい

• 2026年10月21日に、PHP の「弱いところ（ぜい弱性）」を直すために、銀行・ネットショップ・ゲームなどが、利用者を守るためにサービスを一時止めたことを、自分の言葉で説明できる。
• アップデートの知らせは、どこに出たかで決めず押す前に大人に見せる、など、自分にできることを一つ選べる。

学習指導要領との関わり（候補）

情報モラル指導モデルカリキュラム（「教育の情報化に関する手引」追補版 第2章第4節）の「安全への知恵」「情報セキュリティ」に当たる。小学校の段階の目標は「情報社会の危険から身を守るとともに、不適切な情報に対処できる」。

時間配分

主な問いは 3 つ（スライド2・6・9）。ほかの問いかけは「時間があれば」として台本に残してある。

45 分

計 45 分（1+4+3+3+3+6+4+2+7+4+4+4）。余りがないので、配布や質問で押したら、5 を1分に縮め、8 を飛ばす（台本にも書いた）。

15 分の短縮版（朝の会・学級活動の一部）

計 15 分。

授業の前日に確かめること

• IPA「PHPの脆弱性対策について」が更新されていないか（国内被害の書きぶり）。
• 学校のタブレットの更新を、教育委員会・学校がどう管理しているか（スライド10「学校のタブレットは先生に」の言い方を合わせる）。
• 自校で使っている連絡アプリが止まったかどうか（スライド4で聞かれる）。
• スライド8で総理大臣の名前と投稿を映すので、管理職に一言伝えておく。よい・悪いは言わずに読む。
• 家がネットでお店をしている子への気配り（スライド9）。

よく出る質問と答え（台本にもある）

• 「直したプログラムは夜11時なのに、なぜその前に止めたの？」→ 古いかぎのままだと、開けられてしまうかもしれないから。だから、新しいかぎが届くまで、お店を閉めておいた。
• 「お母さんの銀行のお金は大丈夫？」→ 止めたのはインターネットで手続きをするサービス。守るために止めた。今のところ、日本で被害の知らせはない（IPA）。
• 「もう話がもれていたなら、間に合わなかったの？」→ もれた話を見た悪い人もいたかもしれない。だから1日早く配って、なおさら急いで取りかえた。今のところ、日本で被害の知らせはない。
• 「インターネットの7割が止まったの？」→ 7割は「PHP を使っている」割合（使っている言葉が分かるサイトのうち）。止まったのは、そのうちの一部。

たとえと言い方の注意

• 今回は、だれかの「かぎのかけ忘れ」ではなく、PHP というプログラムの「かぎの作り」そのものに弱いところがあった。
• 「かぎがなくても開けられる」は、実際には「ログイン（認証）なしで、外からサーバーの上で勝手にプログラムを動かされるおそれ」（PHP 公式発表）。
• ウェブサイトを見るだけの人が自分で PHP を直す必要はない。仕組みは自分のタブレットのアップデートと同じ、と伝える。
• アップデートの知らせは、設定にも、アプリのストアにも、ゲームを開いたときにも出る。本物もにせものもあり、見た目では見分けにくい。だから、どこに出たかで決めず、押す前におうちの人に見せる。学校のタブレットは触らず先生に言う（スライド11の1・2も同じ話）。
• 話の筋（7枚目）：弱いところが見つかった → 直すかぎを用意 → 配る前に話がもれた → 1日早く配った → お店は古いかぎのままだと危ないので、予防のために閉めて取りかえた。「配る前から攻撃されていた」とは言わない。
• 安心の言葉は「今のところ、日本で被害の知らせはない（IPA）」まで。「被害はなかった」「大人が取りかえたから」とは言わない（IPA は理由まで言っていない）。
• パスワードの心がけ（スライド11の3）は、今回のこととは別の、ふだんの心がけとして話す。

ワークシート（worksheet-elementary.pdf）

• ① 10月21日に、何が起きた？（短く）　ヒント：「弱いところ」「直す」「止めた」のうち二つを使う
• ② 自分にできることを一つ選ぶ（3つ＋そのほか）／いつ、どうする？
• ③ 今日の話を聞いて、思ったこと（家で書いてきてもよい）

評価の目安：① にヒントの言葉が二つ入っていればよい。② は「いつ」まで書けていればよい。

使った事実と出典（スライドの隅にも記載）

スライド：php-20261021-junior-high.pptx（15 枚、ノートに台本）／php-20261021-junior-high.pdf ワークシート：worksheet-junior-high.pdf（A4、1 枚。手がかりカードは刷らず、スライド10を映す。直すときは .pptx） 出典：Data is CITY（teleport.jp/dataiscity/）、CC BY 4.0

ねらい

• 2026年10月21日の出来事を、「脆弱性 → 修正の公開（＝弱点の公開）→ 予防のための一時停止と更新」のつながりで説明できる。
• 社会のサイバーセキュリティが、研究者・開発者・国の機関・会社の担当者・利用者の連携で守られていることに気付き、自分の行動を一つ決める。

学習指導要領のどこに当たるか

技術・家庭（技術分野）の授業として行う。道徳・学級活動は「関連」にとどめる（この1時間を道徳の時数には数えない）。

情報モラル指導モデルカリキュラム（「教育の情報化に関する手引」追補版 第2章第4節）では、中学校の段階で「情報セキュリティに関する基礎的・基本的な知識」を身に付け、「情報セキュリティの確保のために、対策・対応がとれる」ことが求められている。

時間配分

50 分（出欠・配布の 2 分を含む）

生徒が口を開くのは、2（30秒）、7（近くの人と30秒、必ずやる）、9（話し合い）、14（書く）。

計 50 分（2+1+3+3+1+3+3+4+2+2+9+2+2+1+4+8）。

45 分版

スライド4（−1分）と9（−2分）を飛ばし、話し合いを 9 分→7 分（発表を2班）にする。計 45 分。首相の呼びかけはスライド3の時系列で触れる。

15 分の短縮版

計 15 分。話し合いは省く。

話し合いの進め方（スライド10・11）

• 手がかりカードは刷らない。スライド10を画面に映すだけで使う。答え（止めると困ること・止めないと起こりうること）は見せない。
• 手がかりカード：A PHP が動くのは注文と会員のページ／B 修正版は23時、当てるのに約1時間／C 夜9〜11時はいちばん注文が多い／D 会員10万人の名前・住所・注文の記録／E 国家サイバー統括室と首相が「今夜」と呼びかけ（実際の出来事）／F 23時に当てたあと、動作の確認に約30分。A〜D・F は話し合いのための設定。
• 個人2分でカードを読んでワークシート②に書く。
• 発表は3班まで。ほかの班は、ワークシート②を回収して次の時間に紹介する。
• 板書例：左に「止めると困ること」、右に「止めないと起こりうること」、下に「判断に必要な情報（どこで PHP が動く？ 外から届く？ 誰が決める？）」。
• まとめ（スライド11）：正解は一つではない。どちらを選ぶかは会社の事情による。結論は言わない。事実として、国家サイバー統括室は、すぐ当てるのが難しい場合は一時停止も「リスクを低減させるための有効策の一つと考えられます」と案内し、実際に止めた会社も多く報道された。判断に要る情報を、ふだんから持っておくことも守りの一部。

授業の前日に確かめること

• IPA のページで「国内被害の事例を把握していない」（10月27日時点）が変わっていないか。
• スライド4のサービス名は口頭で補う前提。1〜2個でよい。
• スライド9で首相の名前と投稿を映すので、管理職に一言伝えておく。政治的な評価はしない。
• 学校の端末の更新の管理（教育情報セキュリティポリシーに関するガイドラインでは、OS・ブラウザを含むソフトウェアの更新を一元管理することが望ましいとされる）。

よく出る質問と答え

• 「公開しなければいいのでは？」→ スライド7で近くの人と30秒で考え、スライド8で答え合わせ。公開しないと、世界中でサーバーを動かしている守る側が直せない。だから「公開して、すぐ当てる」。
• 「じゃあ、公開前から攻撃されてたの？」→ AWS のおとりのサーバーで「試み」が見つかった、ということ。どの会社が攻撃されたかは分かっていない。だから多くの会社は予防のために止めて、23時の修正を待った（スライド8）。
• 「伏せておくのは隠ぺい？」→ 隠すためではなく、準備ができた所からみんなが同時に直せるようにするため。今回はその前に漏れた。
• 「動画を誤って公開したのは誰？」→ 脆弱性を報告した側の会社（The PHP Foundation の説明）。スライド12で「報告する」側として出てくる。報告がなければ直せなかったが、同じ側のミスで手順が崩れかけた。人の仕事にはミスがある。だから、漏れても動けるように、ふだんの準備と連携が要る。
• 「パスワードで防げたの？」→ 防げない。今回の弱点は「ログインなしで」攻撃できるもの。パスワードの心がけは別の攻撃への備え（スライド14）。

ワークシート（worksheet-junior-high.pdf）

• ① 10月21日に何が起きたか（「脆弱性」「修正」「一時停止」を使って 2〜3 文で）
• ② 話し合い：止める・止めない・条件つき／いちばん重く見た手がかりカード（画面の A〜F）と理由（スライド10で書く）
• ③ 自分にできること（いつ・何をする？）

評価の目安：① で「修正の公開が弱点の公開でもある」ことと「予防のために止めた」ことの因果が書けている。② でカードを根拠に理由が書けている。③ が「いつ」を含む具体的な行動になっている。

使った事実と出典（スライドの隅にも記載）

スライド：php-20261021-high.pptx（本編 13 枚＋付録 2 枚、ノートに台本）／php-20261021-high.pdf ワークシート：worksheet-high.pdf（A4、1 枚。直すときは .pptx） 出典：Data is CITY（teleport.jp/dataiscity/）、CC BY 4.0

ねらい（評価の観点ごと）

• 知識・技能：脆弱性・修正の公開・攻撃の関係を、時系列と根拠（一次情報）をもって説明できる。
• 思考・判断・表現：サービスを止めるかどうかの判断を、情報セキュリティの観点と、判断に必要な情報（識別・統治）から考察できる。
• 主体的に学習に取り組む態度：運営者と利用者それぞれの役割を踏まえ、情報社会の一員としての自分の行動を決めようとしている。

学習指導要領のどこに当たるか

（本文は高等学校学習指導要領〈平成30年告示〉第2章第10節 情報 第2款 第1 情報Ⅰ から写した。） 「公共」の情報化と社会、「総合的な探究の時間」の課題設定（例：自分の学校・部活のサイトはどこで動いているかを、管理する人に聞いて調べる）にも広げられる。

時間配分

50 分（出欠・配布の 2 分を含む）

生徒が口を開くのは、2（予想を書く）、5（近くの人と30秒、必ずやる）、7、9、10（話し合い）、13（書く）。

計 50 分（2+1+3+2+3+5+4+3+3+4+9+3+4+3+1）。机の移動で押したら、スライド7を省く。

45 分版

スライド3（−2分）と7（−3分）を飛ばす。計 45 分（予備 1 分を残す）。KEV と IPA の話はスライド6の台本で一言触れる。

15 分の短縮版

計 15 分。

付録（本編に入れない）

• 付録 A（14）：侵入された後、組織の中に広がる速さ（平均29分・最速27秒、2025年の eCrime）。修正を当てる速さとは別の量。「なぜ時間で測るの？」と聞かれたとき用。
• 付録 B（15）：NICTER のダークネット観測、2016年→2025年（9年）で約4.9倍。2025年の約55%は調査目的のスキャンで、すべてが攻撃ではない。

指導の注意

• 首相の投稿は事実として扱い、政治的な評価はしない。首相の名前と投稿を映すので、管理職に一言伝えておく。
• 時刻は日本時間で示す（出典の UTC：修正版公開 14:00 UTC＝23:00 JST、漏えい 10月20日 15:00 UTC ごろ＝21日 0時ごろ、最初の PoC 21日 02:00 UTC ごろ＝11時ごろ）。
• PoC の時期は出典で見方が割れる（スライド6にも表示）。AWS は「公開の約12時間前から複数の PoC」、The PHP Foundation は「公開時点で、機能する攻撃コードは把握していなかった」。誰が、どこから観測したかで読み分ける。
• 26日は CISA の KEV カタログに載った日。悪用が始まった日ではない（攻撃の試みは公開前の17日から見られていた）。
• 前倒しの理由は番号などの漏れ（The PHP Foundation）。AWS が17日に見た攻撃の試みは、前倒しの理由には挙げられていない。
• 急いだ理由は両方：公開前の漏れ（→前倒し）と、公開した後に差分から攻撃が来ること（首相・NCO の「23時の修正をすぐ当てる準備を」）。どちらが先・大きいとは出典に書いていない。
• スライド3：各社が言っているのは「予防的な措置」まで。攻撃される前だったかどうかは分からない。止めた時刻は会社ごとに違う（BASE は予告より早めて15時50分から。夜8時ごろから多くが続いた）。
• NCO の案内の言葉は原文どおり「…一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます」。
• スライド8の「AI で1時間足らず」は、Firefox の JavaScript エンジンと Windows のカーネルを対象に、特定の試作のモデルで行った研究室の条件の研究。PHP の話ではない。
• NIST CSF 2.0 の 6 つの機能は成果の分類で、同時に回すもの。統治はほかの 5 つを貫く中心。順番の正解を決めない。
• 怖がらせて終わらない。数字の続く枚は付録に回し、最後は自分の行動で閉じる。
• 攻撃コードや漏れた情報を「探してみる」課題は出さない。自校のサイトを外から試すこともしない。

よく出る質問と答え

• 「mod_php とは？」→ Apache というウェブサーバーの中に PHP を組み込んで動かす方式。PHP 公式は、mod_php の環境では、アプリのコードが動く前の段階で、認証なしのリクエストから攻撃が届くことを示し、リスクが最も高いとした。ほかの環境についてはそこまで言っていない。
• 「なぜメモリ不足から乗っ取りになるの？」→ 処理の途中で止まると、メモリが中途半端な状態で残る。一般に、壊れたメモリを攻撃者が自分のデータで埋められると、プログラムの流れを乗っ取って好きなコードを動かせる。109619 は、前のリクエストで解放されたメモリを指す状態が残る「解放後使用」（The PHP Foundation）。
• 「うちの学校のサイトは大丈夫？」→ どこで動いているか（教育委員会のサーバー、委託先、レンタルサーバー）による。答えるのは管理する側。情報担当の先生や教育委員会に聞く。
• 「パスワードで防げたの？」→ 防げない。今回の弱点は認証なしで攻撃できるもの。パスワードの心がけは別の攻撃への備え（スライド12で「ふだん」と表示）。

授業の前日に確かめること

• IPA のページの更新（国内被害の書きぶり、KEV の記述）。事実はまだ動いている（例：約束の日時より前に修正入りのイメージを出した会社〈Chainguard〉があった、と The PHP Foundation は書いている）。
• ワークシートの印刷（A4、1 人 1 枚）。

ワークシート（worksheet-high.pdf）

• ① 授業のはじめの予想：なぜ首相まで「今夜」と言ったのか（一言）　← スライド2
• ② 話し合い：止める・止めない・条件つき、理由／判断に必要な情報 2 つ・利用者に何をいつ伝えるか　← スライド10
• ③ 自分がとる行動を一つ（いつ・何を・どう確かめる）　← スライド13
• ④ 10月21日に何が起きたか（200字、「脆弱性」「修正の公開」「一時停止」を使う。宿題でよい）

評価の目安：知識・技能は ④ で「番号の漏れ → 1日前倒し」と「修正の公開＝弱点の公開（公開後すぐ攻撃が来る）→ 今夜すぐ当てる・止める」の二つの因果が、取り違えずに書けているか（17日の攻撃の試みを前倒しの理由にしていないか）。思考・判断・表現は ② で「識別（どこで動いているか）」「統治（誰が決めるか）」に当たる情報が挙がっているか。主体的に学習に取り組む態度は ③ が「いつ」「どう確かめる」まで具体的か。

使った事実と出典（スライドの隅にも記載）