授業でそのまま使えるスライドを公開：銀行もゲームも止まった10月21日（小学校・中学校・高校）

スライド：php-20261021-elementary.pptx（12 枚、ノートに台本）／php-20261021-elementary.pdf ワークシート：worksheet-elementary.pdf（A4、1 枚。直すときは worksheet-elementary.pptx） 出典：Data is CITY（teleport.jp/dataiscity/）、CC BY 4.0

ねらい

• 2026年10月21日に、PHP の「弱いところ（ぜい弱性）」を直すために、銀行・ネットショップ・ゲームなどが、利用者を守るためにサービスを一時止めたことを、自分の言葉で説明できる。
• アップデートは大切。知らせが出たら、どこに出たかで決めず押す前に大人に見せる、など、自分にできることを一つ選べる。

学習指導要領との関わり（候補）

情報モラル指導モデルカリキュラム（「教育の情報化に関する手引」追補版 第2章第4節）の「安全への知恵」「情報セキュリティ」に当たる。小学校の段階の目標は「情報社会の危険から身を守るとともに、不適切な情報に対処できる」。

時間配分

主な問いは 3 つ（スライド2・6・9）。ほかの問いかけは「時間があれば」として台本に残してある。

45 分

計 45 分（1+4+3+3+3+6+4+2+7+4+4+4）。余りがないので、配布や質問で押したら、5 を1分に縮め、8 を飛ばす（台本にも書いた）。

15 分の短縮版（朝の会・学級活動の一部）

計 15 分。

授業の前日に確かめること

• IPA「PHPの脆弱性対策について」が更新されていないか（国内被害の書きぶり）。
• 学校のタブレットの更新を、教育委員会・学校がどう管理しているか（スライド10「学校のタブレットは先生に」の言い方を合わせる）。
• 自校で使っている連絡アプリが止まったかどうか（スライド4で聞かれる）。
• スライド8で総理大臣の名前と投稿を映すので、管理職に一言伝えておく。よい・悪いは言わずに読む。
• 家がネットでお店をしている子への気配り（スライド9）。

よく出る質問と答え（台本にもある）

• 「直したプログラムは夜11時なのに、なぜその前に止めたの？」→ 古いかぎのままだと、開けられてしまうかもしれないから。だから、新しいかぎが届くまで、お店を閉めておいた。
• 「お母さんの銀行のお金は大丈夫？」→ 止めたのはインターネットで手続きをするサービス。守るために止めた。今のところ、日本で被害の知らせはない（IPA）。
• 「もう話がもれていたなら、間に合わなかったの？」→ もれた話を見た悪い人もいたかもしれない。だから PHP をつくっている人たちが新しいかぎを1日早く配って、お店の人たちはなおさら急いで取りかえた。今のところ、日本で被害の知らせはない。
• 「インターネットの7割が止まったの？」→ 7割は「PHP を使っている」割合（使っている言葉が分かるサイトのうち）。止まったのは、そのうちの一部。

たとえと言い方の注意

• 今回は、だれかの「かぎのかけ忘れ」ではなく、PHP というプログラムの「かぎの作り」そのものに弱いところがあった。
• 「かぎがなくても開けられる」は、実際には「ログイン（認証）なしで、外からサーバーの上で勝手にプログラムを動かされるおそれ」（PHP 公式発表）。
• ウェブサイトを見るだけの人が自分で PHP を直す必要はない。仕組みは自分のタブレットのアップデートと同じ、と伝える。
• アップデートは「新しいかぎに取りかえること」。知らせは、設定にも、アプリのストアにも、ゲームを開いたときにも出る。本物もにせものもあり、見た目では見分けにくい。だから、どこに出たかで決めず、押す前におうちの人に見せる。学校のタブレットは触らず先生に言う。
• スライド11の1は「アップデートしない」ではなく「アップデートは大切。押す前におうちの人に見せてからにしよう」（10 と食い違って見えないように）。2 は、子どもは大人のいない所でスマホを触ることが多いので「知らないリンクは開かない。どうしても開く必要がありそうなときは、大人に聞いてから」。
• 話の筋（7枚目）：弱いところが見つかった → PHP をつくっている人たちが直すかぎ（直したプログラム）を用意 → 配る前にぜい弱性の話がもれた → PHP をつくっている人たちが予定より1日早く（21日の夜11時に）配った → お店は古いかぎのままだと危ないので、予防のために閉めて取りかえた。「配る前から攻撃されていた」とは言わない。だれが・何を、を抜かさずに言う（抜けると子どもはそこで考えるのをやめてしまう）。
• 安心の言葉は「今のところ、日本で被害の知らせはない（IPA）」まで。「被害はなかった」「大人が取りかえたから」とは言わない（IPA は理由まで言っていない）。
• パスワードの心がけ（スライド11の3）は、今回のこととは別の、ふだんの心がけとして話す。

ワークシート（worksheet-elementary.pdf）

① 10月21日に、何が起きた？　ア〜エから正しいものを一つ選ぶ（書くのは難しいので選ぶ形にした）

• ア 人が集まりすぎて、ゲームやお店のサイトが重くなって止まった（2枚目でよく出る予想）
• イ PHP にぜい弱性が見つかり、守るために、たくさんのサービスを一時止めた（正解）
• ウ 悪い人にこわされて、日本中のインターネットが全部止まった（止まったのは一部。今のところ日本で被害の知らせはない）
• エ 総理大臣の命令で、インターネットのお店が全部閉められた（総理大臣の投稿は「お願い」。止めることは「有効な方法の一つ」と国が知らせた）

② 自分にできることを一つ選ぶ（3つ＋そのほか）／いつ、どうする？

③ 今日の話を聞いて、思ったこと（家で書いてきてもよい）

評価の目安：① はイを選べていればよい。ア〜エを選んだ子には、その選択肢のかっこの中の話で 3〜9 枚目にもどる。② は「いつ」まで書けていればよい。

使った事実と出典（スライドの隅にも記載）

スライド：php-20261021-junior-high.pptx（15 枚、ノートに台本）／php-20261021-junior-high.pdf ワークシート：worksheet-junior-high.pdf（A4、1 枚。手がかりカードは刷らず、スライド10を映す。直すときは .pptx） 出典：Data is CITY（teleport.jp/dataiscity/）、CC BY 4.0

ねらい

• 2026年10月21日の出来事を、「脆弱性 → 修正の公開（＝弱点の公開）→ 予防のための一時停止と更新」のつながりで説明できる。
• 社会のサイバーセキュリティが、研究者・開発者・国の機関・会社の担当者・利用者の連携で守られていることに気付き、自分の行動を一つ決める。

学習指導要領のどこに当たるか

技術・家庭（技術分野）の授業として行う。道徳・学級活動は「関連」にとどめる（この1時間を道徳の時数には数えない）。

ことばの決まり（現場の先生の助言を受けて）

• 「当てる」（パッチを当てる）は使わない。「修正版に更新する」「更新する」で統一する。スライド8にだけ「ニュースなどでは『パッチを当てる』とも言う」と注を付けた。
• 「約7割」は「ウェブサイトの約7割（69.2%）が PHP を使っている」と言い、スライドに「※サーバー側の言語が分かるサイトの中で数えた割合」と小さく残す（W3Techs の条件）。
• 「脆弱性」は 5 の終わりで「今回の問題は、この PHP に脆弱性が見つかったこと」と出し、6 で「脆弱性とは？」と説明する。
• IPA（アイ・ピー・エー／情報処理推進機構。情報セキュリティの注意を呼びかける国の機関）、AWS（Amazon のサーバー貸し出しサービス）、CISA（アメリカ政府のサイバーセキュリティを担当する役所）は、出てきた所で一言添える。
• 「リテラシー」は「情報や技術を正しく理解して使いこなす力」（スライド11）。

情報モラル指導モデルカリキュラム（「教育の情報化に関する手引」追補版 第2章第4節）では、中学校の段階で「情報セキュリティに関する基礎的・基本的な知識」を身に付け、「情報セキュリティの確保のために、対策・対応がとれる」ことが求められている。

時間配分

50 分（出欠・配布の 2 分を含む）

生徒が口を開くのは、2（30秒）、7（近くの人と30秒、必ずやる）、9（話し合い）、14（書く）。

計 50 分（2+1+3+3+1+3+3+4+2+2+9+2+2+1+4+8）。

45 分版

スライド4（−1分）と9（−2分）を飛ばし、話し合いを 9 分→7 分（発表を2班）にする。計 45 分。首相の呼びかけはスライド3の時系列で触れる。

15 分の短縮版

計 15 分。話し合いは省く。

話し合いの進め方（スライド10・11）

• 手がかりカードは刷らない。スライド10を画面に映すだけで使う。答え（止めると困ること・止めないと起こりうること）は見せない。
• 手がかりカード：A PHP が動くのは注文と会員のページ／B 修正版は23時、更新に約1時間かかる／C 夜9〜11時はいちばん注文が多い／D 会員10万人の名前・住所・注文の記録／E 国家サイバー統括室と首相が「今夜」と呼びかけ（実際の出来事）／F 23時に更新したあと、動作の確認に約30分。A〜D・F は話し合いのための設定。
• はじめに「あなたはネットショップの責任者です。今の状況を 6 枚のカードにしました。今夜お店を止めますか？止めませんか？」と読み上げる（スライド10の 1 行目）。
• 個人2分でカードを読んでワークシート②に書く。
• 発表は3班まで。ほかの班は、ワークシート②を回収して次の時間に紹介する。
• 板書例：左に「止めると困ること」、右に「止めないと起こりうること」、下に「判断に必要な情報（自分のサイトのどこで PHP が動く？ 外から届く？ 誰が決める？）」。
• まとめでは、お店を開いていても自分のサイトが PHP で動いていると知らない人もいること、知らなければその夜に判断できないことを言い、「ふだんから知っておくこと＝リテラシー」につなぐ。
• まとめ（スライド11）：正解は一つではない。どちらを選ぶかは会社の事情による。結論は言わない。事実として、国家サイバー統括室は、すぐ更新するのが難しい場合は一時停止も「リスクを低減させるための有効策の一つと考えられます」と案内し、実際に止めた会社も多く報道された。判断に要る情報を、ふだんから知っておくこと（リテラシー）も守りの一部。

授業の前日に確かめること

• IPA のページで「国内被害の事例を把握していない」（10月27日時点）が変わっていないか。
• スライド4のサービス名は口頭で補う前提。1〜2個でよい。
• スライド9で首相の名前と投稿を映すので、管理職に一言伝えておく。政治的な評価はしない。
• 学校の端末の更新の管理（教育情報セキュリティポリシーに関するガイドラインでは、OS・ブラウザを含むソフトウェアの更新を一元管理することが望ましいとされる）。

よく出る質問と答え

• 「公開しなければいいのでは？」→ スライド7で近くの人と30秒で考え、スライド8で答え合わせ。公開しないと、世界中でサーバーを動かしている守る側が直せない。だから「公開して、すぐ更新する」。
• 「じゃあ、公開前から攻撃されてたの？」→ AWS のおとりのサーバーで「試み」が見つかった、ということ。どの会社が攻撃されたかは分かっていない。だから多くの会社は予防のために止めて、23時の修正を待った（スライド8）。
• 「伏せておくのは隠ぺい？」→ 隠すためではなく、準備ができた所からみんなが同時に直せるようにするため。今回はその前に漏れた。
• 「動画を誤って公開したのは誰？」→ 脆弱性を報告した側の会社（The PHP Foundation の説明）。スライド12で「報告する」側として出てくる。報告がなければ直せなかったが、同じ側のミスで手順が崩れかけた。人の仕事にはミスがある。だから、漏れても動けるように、ふだんの準備と連携が要る。
• 「パスワードで防げたの？」→ 防げない。今回の弱点は「ログインなしで」攻撃できるもの。パスワードの心がけは別の攻撃への備え（スライド14）。

ワークシート（worksheet-junior-high.pdf）

① 10月21日に何が起きた？　ア〜エから一つ選ぶ（スライド15と同じ）。書けたら「なぜ、その夜のうちに急いだ？」を一言で

• ア 大規模なサイバー攻撃やアクセスの集中で、多くのサイトが壊れて止まった
• イ PHP に脆弱性が見つかり、多くの会社が予防のため一時停止して、修正版に更新した（正解）
• ウ PHP に脆弱性が見つかり、利用者が自分のスマホで PHP を更新することになった
• エ 首相の命令で、PHP を使うサイトはすべて止めなければならなくなった
• ア はスライド2でよく出る予想、ウ は「直すのはサーバーの側」（5）の取り違え、エ は「お願い」と「命令」（4・9）の取り違え。どれを選んだかで、どこをもう一度話すかが分かる

• ② 話し合い：止める・止めない・条件つき／いちばん重く見た手がかりカード（画面の A〜F）と理由（スライド10で書く）
• ③ 自分にできること（いつ・何をする？）

評価の目安：① でイを選べている（ア・ウ・エを選んだ生徒には、その取り違えの所を次の時間に短く返す）。一言が書けていれば「修正の公開が弱点の公開でもある（公開されると攻撃する人にも弱点が分かる）」ことに触れているか。② でカードを根拠に理由が書けている。③ が「いつ」を含む具体的な行動になっている。

使った事実と出典（スライドの隅にも記載）

スライド：php-20261021-high.pptx（本編 13 枚＋付録 2 枚、ノートに台本）／php-20261021-high.pdf ワークシート：worksheet-high.pdf（A4、1 枚。直すときは .pptx） 出典：Data is CITY（teleport.jp/dataiscity/）、CC BY 4.0

題の「あと1時間」は、首相の X 投稿（21時55分ごろ）から、PHP の脆弱性 2 件を直す修正版の公開（23時）までのこと。

ことばの決まり（現場の先生の助言を受けて）

高校1年生が知らない言葉は、出てきた枚で読み方と一言の説明を添える。

• クライアント＝見る側の端末のブラウザ（サイトを見るアプリ）（スライド4）
• AWS（エー・ダブリュー・エス）＝Amazon のサーバー貸し出しサービス。今回の報告はその調査チーム／PoC（ピー・オー・シー）＝悪用できることを確かめるための、お試しのプログラム（6）
• 米 CISA（シーサ）＝アメリカ政府の、サイバーセキュリティを担当する役所／IPA（アイ・ピー・エー）＝情報処理推進機構／NCO＝国家サイバー統括室（7）
• 差分（さぶん）＝直す前と後で、変わった部分。「修正の公開は弱点の公開でもある」の理由なので、①コードは公開されていて誰でも比べられる ②差分＝どこを直したか＝どこが弱かったか ③攻撃する側も読む → 公開したらすぐ更新、の 3 段で話す（8）
• NIST CSF 2.0（ニスト・シー・エス・エフ）＝アメリカの標準化機関 NIST がまとめた、サイバーセキュリティ対策の考え方。統治・識別・防御・検知・対応・復旧の 6 つ（9。訳語は IPA の訳。「識別」を「特定」と訳す資料もある）
• 「約7割」は「ウェブサイトの約7割が PHP を使う」と言い、スライドに「※サーバー側の言語が分かるサイトの中で数えた割合（W3Techs）」と小さく残す。
• 「当てる」（パッチを当てる）は使わず、「更新する」「適用する」で統一する。

ねらい（評価の観点ごと）

• 知識・技能：脆弱性・修正の公開・攻撃の関係を、時系列と根拠（一次情報）をもって説明できる。
• 思考・判断・表現：サービスを止めるかどうかの判断を、情報セキュリティの観点と、判断に必要な情報（識別・統治）から考察できる。
• 主体的に学習に取り組む態度：運営者と利用者それぞれの役割を踏まえ、情報社会の一員としての自分の行動を決めようとしている。

学習指導要領のどこに当たるか

（本文は高等学校学習指導要領〈平成30年告示〉第2章第10節 情報 第2款 第1 情報Ⅰ から写した。） 「公共」の情報化と社会、「総合的な探究の時間」の課題設定（例：自分の学校・部活のサイトはどこで動いているかを、管理する人に聞いて調べる）にも広げられる。

時間配分

50 分（出欠・配布の 2 分を含む）

生徒が口を開くのは、2（予想を書く）、5（近くの人と30秒、必ずやる）、7、9、10（話し合い）、13（書く）。

計 50 分（2+1+3+2+3+5+4+3+3+4+9+3+4+3+1）。机の移動で押したら、スライド7を省く。

45 分版

スライド3（−2分）と7（−3分）を飛ばす。計 45 分（予備 1 分を残す）。KEV と IPA の話はスライド6の台本で一言触れる。

15 分の短縮版

計 15 分。

付録（本編に入れない）

• 付録 A（14）：侵入された後、組織の中に広がる速さ（平均29分・最速27秒、2025年の eCrime）。修正を適用する速さとは別の量。「なぜ時間で測るの？」と聞かれたとき用。
• 付録 B（15）：NICTER のダークネット観測、2016年→2025年（9年）で約4.9倍。2025年の約55%は調査目的のスキャンで、すべてが攻撃ではない。

指導の注意

• 首相の投稿は事実として扱い、政治的な評価はしない。首相の名前と投稿を映すので、管理職に一言伝えておく。
• 時刻は日本時間で示す（出典の UTC：修正版公開 14:00 UTC＝23:00 JST、漏えい 10月20日 15:00 UTC ごろ＝21日 0時ごろ、最初の PoC 21日 02:00 UTC ごろ＝11時ごろ）。
• PoC の時期は出典で見方が割れる（スライド6にも表示）。AWS は「公開の約12時間前から複数の PoC」、The PHP Foundation は「公開時点で、機能する攻撃コードは把握していなかった」。誰が、どこから観測したかで読み分ける。
• 26日は CISA の KEV カタログに載った日。悪用が始まった日ではない（攻撃の試みは公開前の17日から見られていた）。
• 前倒しの理由は番号などの漏れ（The PHP Foundation）。AWS が17日に見た攻撃の試みは、前倒しの理由には挙げられていない。
• 急いだ理由は両方：公開前の漏れ（→前倒し）と、公開した後に差分から攻撃が来ること（首相・NCO の「23時の修正をすぐ適用できる準備を」）。どちらが先・大きいとは出典に書いていない。
• スライド3：各社が言っているのは「予防的な措置」まで。攻撃される前だったかどうかは分からない。止めた時刻は会社ごとに違う（BASE は予告より早めて15時50分から。夜8時ごろから多くが続いた）。
• NCO の案内の言葉は原文どおり「…一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます」。
• スライド8の「AI で1時間足らず」は、Firefox の JavaScript エンジンと Windows のカーネルを対象に、特定の試作のモデルで行った研究室の条件の研究。PHP の話ではない。
• NIST CSF 2.0 の 6 つの機能は成果の分類で、同時に回すもの。統治はほかの 5 つを貫く中心。順番の正解を決めない。
• 怖がらせて終わらない。数字の続く枚は付録に回し、最後は自分の行動で閉じる。
• 攻撃コードや漏れた情報を「探してみる」課題は出さない。自校のサイトを外から試すこともしない。

よく出る質問と答え

• 「mod_php とは？」→ Apache というウェブサーバーの中に PHP を組み込んで動かす方式。PHP 公式は、mod_php の環境では、アプリのコードが動く前の段階で、認証なしのリクエストから攻撃が届くことを示し、リスクが最も高いとした。ほかの環境についてはそこまで言っていない。
• 「なぜメモリ不足から乗っ取りになるの？」→ 処理の途中で止まると、メモリが中途半端な状態で残る。一般に、壊れたメモリを攻撃者が自分のデータで埋められると、プログラムの流れを乗っ取って好きなコードを動かせる。109619 は、前のリクエストで解放されたメモリを指す状態が残る「解放後使用」（The PHP Foundation）。
• 「うちの学校のサイトは大丈夫？」→ どこで動いているか（教育委員会のサーバー、委託先、レンタルサーバー）による。答えるのは管理する側。情報担当の先生や教育委員会に聞く。
• 「パスワードで防げたの？」→ 防げない。今回の弱点は認証なしで攻撃できるもの。パスワードの心がけは別の攻撃への備え（スライド12で「ふだん」と表示）。

授業の前日に確かめること

• IPA のページの更新（国内被害の書きぶり、KEV の記述）。事実はまだ動いている（例：約束の日時より前に修正入りのイメージを出した会社〈Chainguard〉があった、と The PHP Foundation は書いている）。
• ワークシートの印刷（A4、1 人 1 枚）。

ワークシート（worksheet-high.pdf）

• ① 授業のはじめの予想：なぜ首相まで「今夜」と言ったのか（一言）　← スライド2
• ② 話し合い：お店のサイトを今夜止める・止めない・条件つき、理由／判断に必要な情報 2 つ・利用者に何をいつ伝えるか　← スライド10
• ③ 自分がとる行動を一つ（いつ・何を・どう確かめる）　← スライド13
• ④ 10月21日に何が起きたか（200字、「脆弱性」「修正の公開」「一時停止」を使う。宿題でよい）

評価の目安：知識・技能は ④ で「番号の漏れ → 1日前倒し」と「修正の公開＝弱点の公開（公開後すぐ攻撃が来る）→ 今夜すぐ更新する・止める」の二つの因果が、取り違えずに書けているか（17日の攻撃の試みを前倒しの理由にしていないか）。思考・判断・表現は ② で「識別（どこで動いているか）」「統治（誰が決めるか）」に当たる情報が挙がっているか。主体的に学習に取り組む態度は ③ が「いつ」「どう確かめる」まで具体的か。

使った事実と出典（スライドの隅にも記載）