安藤 竜志｜現場に出る法人代表

株式会社HAIKEI代表(22歳)。重度訪問介護の現場に入りながら、介護事業のバックオフィスと経営を支えています。現場に入れる仲間を探しています。進路や働き方に迷う人の壁打ちも。DMどうぞ。

[安藤 竜志｜現場に出る法人代表 @ryuji_haikei]

はじめまして、株式会社HAIKEIの安藤です。22歳で法人3期目です。
介護特化のBPOや事業再生に取り組みつつ、今も現場に入っています。
進路・キャリア・独立・働き方に迷っている人（学生さんも）の話も聞いています。
気軽にDMください。

[よっしー社長（脱力系） @yossy39744]

10/20（火）フィールドワーク（街歩きワークショップ）

車椅子リードユーザーという役割で様々な業界の大手企業の社員さんたちと日本橋エリアでのフィールドワークをしました。

日本橋エリアはほとんど歩いたことがないので、とても新鮮だった。

[安藤 竜志｜現場に出る法人代表 @ryuji_haikei]

RT @yossy39744: 10/20（火）フィールドワーク（街歩きワークショップ） 車椅子リードユーザーという役割で様々な業界の大手企業の社員さんたちと日本橋エリアでのフィールドワークをしました。

三越でお買い物というミッションがあり、三越に入ったところの写真です…

[よっしー社長（脱力系） @yossy39744]

映画「最強のふたり」のような関係は、どうしたら作れるのか。

障害当事者連盟「Normalinnovation」が、1年4か月かけて遊びながら語り合います。

毎月最終日曜、東京都内で開催。

第1回は11/29(日)13:00～15:00【場所未定】
※障害のある方限定

「お酒を飲みながら好きなこと、自分の事を語ろう」

申込▶Xで個別メッセージお願いします。

※団体について
障害当事者連盟「Normalinnovation」は、障害者や支援の価値観を再定義するために、新しい考え方・関係性・仕組みをつくり、社会に提案する団体です。

#最強のふたり

[安藤 竜志｜現場に出る法人代表 @ryuji_haikei]

自社のHPをWordPressで作って、検索結果で社名を読み違えられていることに気づいた。
原因はSEO以前に、読みや会社情報を、検索エンジンにちゃんと伝えていなかったこと。
CMSを何にするかより、作ったあとに整える作業のほうが大事でした。

[taichi endoh @endoh_taichi]

今夜23時、PHPに「緊急」の修正が出ます。23時前の今、分かっていることだけを、ITが苦手な人向けに書きます

コドモンが全停止、BASEやさくらのレンタルサーバが緊急メンテ。「PHPの脆弱性」という言葉がトレンドに出ています。

でも「PHPって何？」「自分に関係あるの？」という人がほとんどだと思うので、そこから書きます。

臨床工学技士 × AIエンジニアの僕が、一次情報（PHP公式・CERT-EU）で確認できたことだけを整理します。

※2026年10月21日20時時点。修正版の中身は23時に公開されるので、それまでは「公式が言っていること」と「それ以外」を分けて読んでください。

━━━━━━━━━━

■ そもそもPHPって何？

Webサイトには「表」と「裏」があります。

表＝あなたが見ている画面（文字、画像、ボタン）
裏＝ボタンを押したときに動く仕組み（ログイン、検索、予約、注文）

この「裏」を動かしている言語のひとつがPHPです。

どれくらい使われているかというと、
・WordPress（世界のサイトの4割以上を作っているソフト）はPHPで動いている
・病院やクリニックのホームページの多くはWordPress
・Web問診、予約フォーム、採用サイト、ECサイト（EC-CUBE）、会員サイト
・Wikipedia、Facebookの元の仕組みもPHP

つまりPHPは「世界中のWebサイトの、裏側の共通部品」です。

たとえるなら、建物の「配管」。見えないけど、ほぼ全部の建物に入っていて、そこに欠陥が見つかると、全部の建物が対象になる。

━━━━━━━━━━

■ 今回、何が見つかったのか

PHP公式が10月20日に告知した内容は、これだけです。

・2件の脆弱性（ソフトの設計上の穴）を修正するセキュリティリリースを、日本時間10月21日23時に公開する
・2件とも、深刻度は「CVSS 9.2」
・影響するバージョン、修正版の番号、原因は、23時の公開と同時に発表する
・全員、公開され次第すぐ更新できるよう準備しておいてほしい

CVSSというのは、脆弱性の深刻さを0〜10で採点する国際的な物差しです。9.0以上が最高ランクの「緊急」。今回は2件とも9.2。

EUの緊急対応チーム（CERT-EU）は、外部情報をもとに、
・「ログインしなくても、外からサーバーの中で好きな命令を実行できる」タイプの穴（RCE）の恐れ
・「PHP 5以降、すべてのバージョンに影響する可能性」
と注意喚起しています。ただし、これはPHP本家がまだ確認していない情報です。

RCEをたとえると、「窓から入れる」どころか「家の鍵をもらって住み着ける」レベルの穴です。

━━━━━━━━━━

■ なぜ修正前なのに、こんなに騒ぎになっているのか

普通、脆弱性は「修正版が出るまで黙っておく」のがルールです。今回はそれが崩れました。

10月20日、技術者の掲示板に「PHPに重大な穴が出るらしい」という噂が投稿される（投稿者自身が「証拠はない」と明記）
→ セキュリティ企業が「本物」と確認。本来の公開日は22日だったが、PHPチームが21日に前倒し
→ 研究者が、WordPressなどのテスト環境で「攻撃が成功する動画」をXに投稿

つまり、「穴の場所を知っている人が、世界に複数いる」ことが確定した。でも修正はまだ出ていない。

この状況で、コドモン（保育園の連絡アプリ）やpictSQUAREは「修正が出るまで、サービスごと止める」という判断をしました。普通はやらない、かなり思い切った対応です。

たとえるなら、「この型の金庫、ある手順で開くらしい」と噂が広まり、実際に開けている動画まで出た。メーカーは「今夜、対策部品を配る」と言っている。金庫屋さんの中には「部品が来るまで店を閉める」ところが出てきた。

なお「攻撃に使えるプログラムが公開されたか」は、情報源によって食い違っています。「公開されていない」という企業と、「出回っているとの報告がある」という企業がある。実際の攻撃は、20時時点で確認されていません。

━━━━━━━━━━

■ 一番の問題は「古いPHP」

PHPには「サポート終了（EOL）」のバージョンがあります。8.1以前は、もう修正版が作られていない。

「PHP 5以降すべてに影響」が本当なら、PHP 7で動いている古いサイトには、公式の修正が来ない可能性が高い。

そして、制作会社に作ってもらって何年も触っていない病院のホームページは、PHP 7で動いていることが珍しくない。サイトは普通に表示されるので、誰も気づかない。

たとえるなら、「この型の金庫すべてに欠陥がある」と分かったが、メーカーは「10年前のモデルの部品はもう作っていない」。古い金庫を使っている人は、買い替えるか、倉庫の奥にしまうしかない。

━━━━━━━━━━

■ 23時に何が起きるのか

23時にPHP公式が発表するのは、
・影響を受けるバージョンの一覧
・修正版の番号
・（おそらく）脆弱性の概要

ここから始まるのが「競争」です。

修正版が出ると、「修正前」と「修正後」の差分を見れば、穴の場所が分かる。攻撃する側はそこから攻撃プログラムを作り、守る側はその前に更新を終わらせる。

だから「23時に出たら、すぐ当てる」が大事。「明日の朝でいいか」は、今回は危ない。

━━━━━━━━━━

■ 「15分間の極限攻防」について

この投稿を見た人も多いと思います。

「23時に修正が出た瞬間から、攻撃側との競争が始まる」という構図は、その通りです。修正前と修正後の差分を見れば穴の場所が分かるので、攻撃側はそこから攻撃プログラムを作り、守る側はその前に更新を終わらせる。

ただ「15分」という数字は、僕が一次情報（PHP公式・CERT-EU・セキュリティ各社の分析）を探した範囲では、出所を見つけられませんでした。過去の事例で「公開から数時間で攻撃が観測された」ケースは実際にありますが、今回が何分かは誰にも分からない。

だから結論は同じで、「すぐ当てる」。「15分」が正しいかどうかに関係なく、「明日の朝でいいか」は今回は危ない、ということです。

「Webの約8割」は、サーバー側の言語が分かっているサイトのうちPHPが7〜8割（W3Techs調べ）という統計で、感覚としては合っています。ただし、その大半は「WordPressを使っているだけ」「レンタルサーバーを借りているだけ」の人で、自分で更新作業をする人は一部です。

━━━━━━━━━━

■ あなたは何をすればいいか

【自分でサーバーやWordPressを管理している人】
・PHPで動いているサイトを全部洗い出す（テスト環境、昔のキャンペーンサイト、忘れていたものも）
・各サイトのPHPバージョンを確認する（レンタルサーバーなら管理画面に書いてある）
・バックアップを取る
・23時以降、https://t.co/n8XD4hw1nmの公式発表だけを見て更新する。SNSに流れる「修正版は〇〇」という番号は無視
・更新したら、動作確認して、時刻を記録する

【レンタルサーバーやWix、note、Shopifyなどを「使っているだけ」の人】
事業者が更新します。自分でやることは、事業者のお知らせを確認するだけ。
ただし、レンタルサーバーの管理画面で自分でPHPバージョンを選んでいる場合は、切り替えは自分でやる必要があることが多い。

【すべての人】
「PHPの緊急アップデートはこちら」というメールやSMSのリンクを踏まない。騒ぎに便乗したフィッシングの入口です。

━━━━━━━━━━

■ 病院・クリニックの人へ

病院のホームページ、採用サイト、Web問診、予約フォーム。多くはWordPress＝PHPです。

今夜のうちに、制作会社・管理会社に3つだけ聞いてください。
①「うちのサイトのPHPのバージョンはいくつですか」
②「今回の修正を当てるのは御社ですか、うちですか。いつですか」
③「終わったら連絡をもらえますか」

これだけで「放置されていた」が「把握している」に変わります。

Web問診を使っている病院は特に、「サイトの先に患者情報がある」構造です。

━━━━━━━━━━

■ 臨床工学技士として

医療機器には「回収・改修情報」があります。メーカーから「この機種に欠陥があります、対策部品を配ります」と来て、院内の該当機器を洗い出し、対応し、記録する。

今夜のPHPの修正は、構造がまったく同じです。
通知を読む → 該当するものを洗い出す → 対策を当てる → 古すぎて部品がないものを判断する → 記録する

医療機器の回収対応を日常的にやっている臨床工学技士は、この筋肉をすでに持っています。対象が機器からサーバーに変わっただけ。

まず、できるところから。

23時の公式発表が出たら、影響バージョンと修正版の番号を追記します。詳しい版（用語の早見表・出典URLつき）はnoteに書きました。

━━━━━━━━━━

出典：PHP公式サイト（10月20日告知）／CERT-EU注意喚起／ITmedia NEWS（10月21日）／GIGAZINE（10月21日）／セキュリティ対策Lab（コドモン全停止、10月21日）／pictSQUARE公式X（10月21日）／watchTowr・Cyber Kendra・SecureLayer7（各社の分析）

※本記事は筆者の整理と個人的見解です。脆弱性の技術的な仕組みや攻撃手順には触れていません。影響バージョン・修正版の番号は、23時以降の公式発表で必ず確認してください。

[安藤 竜志｜現場に出る法人代表 @ryuji_haikei]

@pelta_hy 自分も重度訪問介護の現場に入っていますが、同じ感覚です。
体を使う「大変」はあっても、目の前の人の役に立っている実感があるので、ストレスとは別物でした。
「大変」と「ストレス」は、分けて考えると見えやすいです。

[安藤 竜志｜現場に出る法人代表 @ryuji_haikei]

@teihen5353 重度訪問介護の現場に入っていて思うのは、資格よりも、1人の生活にどう向き合えるかが活きるということです。
そこまで学んできた人は、現場に入ると強いです。選べる側だと思います。

[安藤 竜志｜現場に出る法人代表 @ryuji_haikei]

「介護って大変でしょ?」とよく言われる。
でも、現場に入ってから「大変」と思ったことはあまりない。
大変なのは、現場を知らないまま、想像で決めてしまうことのほうだと思う。

[安藤 竜志｜現場に出る法人代表 @ryuji_haikei]

東京にいる間、「安く・早く・健康的に・たんぱく質を取る」食事を考えてたら、これに落ち着いた。

マックのハンバーガーセット
(サイドメニュー→えだまめコーン、ドリンク→ミルク)
¥500 / 481kcal / たんぱく質25g

経営も現場も体が資本。
食べる物を厳選すればマックも悪くないと思った。

[安藤 竜志｜現場に出る法人代表 @ryuji_haikei]

最初から「経営者」の立場に行こうとしない。
まず体を使ってでも会社に利益を出して、そこから経営や独自事業に挑戦する。
現場と経営、天と地を行き来する人が、会社を立て直せると思っています。

[安藤 竜志｜現場に出る法人代表 @ryuji_haikei]

続けられる人は、気合より、決め方が違うと思う。

ジムに行くかどうかを、その日の気分で決めない。曜日で決める。

仕事も同じで、毎日迷わない形にしておくと、続く。

[安藤 竜志｜現場に出る法人代表 @ryuji_haikei]

【役員候補募集】

重度訪問介護の現場(週30時間以上)と事務。東京西部。

経験不問、養成研修は無料。

報酬は、現場に入れる時間に応じて月30〜50万円。

契約の形は、面談でお話しします。

話を聞いてみたい方は、DMください。

[安藤 竜志｜現場に出る法人代表 @ryuji_haikei]

事務所に届く書類は、スキャンして、労務に共有するだけに見える。

でも、実際に時間を取られるのは、その前後だと思う。
「この書類、誰宛だっけ」「前はどこに置いたっけ」「確認待ちです」

全部、聞く・探す・待つ時間。置き場所と担当を決めるだけで、止まる時間は減ると思う。

[安藤 竜志｜現場に出る法人代表 @ryuji_haikei]

人手が足りないとき、「誰かいませんか」と聞くより、探している条件を具体的に言う方が、人は動きやすい。

×「誰か、ヘルパーできる人いませんか」
○「日曜の朝8時から夕方まで、1人の利用者さんに入れる人を探しています」
条件が具体的だと、思い浮かべる人が変わると思う。

[安藤 竜志｜現場に出る法人代表 @ryuji_haikei]

@kangaeru_ceo 「発明より観察」、本当にそう思います。
最初から華やかな経営者の位置に立つより、まず体を動かして収益を作り、経営と現場を生き来して会社の土台をつくる必要があると思う。
そこから独自の事業に進むのがいい。
自分は現場と経営を行き来する中で、事業の種が見えてきました。

[安藤 竜志｜現場に出る法人代表 @ryuji_haikei]

@yuruazabu 「やりたいと思われないこと」が壁になる、というのは介護でも感じます。
「きつい・汚い」と思われがちで、働き手が集まりにくい。自分も現場に入っていますが、入ってみると想像とは違いました。
担う側から見ると、一番の課題は採用で、イメージと中身の差をどう伝えるかが鍵だと思っています。

[ゆる麻布 @yuruazabu]

大成功した経営者にたくさん会ってきたが、筋トレをしてない人には会ったことがない。見た目はやってなさそうな人でも、隠れてちゃんとやってる。そう言うワイは、もともと大の運動嫌いなんだわ。ジムを契約しては三日坊主、という人の気持ちはよく分かる。そんなワイでも続いたやり方がある。

まず、家から歩いて行けるか、通勤の途中にあるジムを選ぶ。

行くのが面倒というだけで、人は簡単にやめるからな。

次に、通い放題の定額ジムじゃなくて、パーソナルジムにする。

そして、終わったら必ず次の予約を入れてから帰る。

運動が嫌いな人間は、行かなきゃいけない状況を先に作るしかないのよ。

トレーナーは、実績より相性で選んだ方が続く。

筋トレをすると集中力が上がって、メンタルも安定する。

終わった後は、どれだけ凹んでても頭がスッキリしてる。

今のワイにとって、筋トレは仕事だ。

筋トレと食事と睡眠、この3つは何があっても削らない。

意志の強さじゃなくて、やめられない仕組みで続けてるのよ。

[やすの🇲🇾世界旅 @yasunodesuyo]

これってお客さんとかアライアンスの時の関わり方でも一緒。
提案・相談だよね。

[まさ🦁｜15業態35店舗→再挑戦｜23歳起業 @masaceoreal]

@shima_ibgroup 単純作業を手放すのは大賛成です。ただ店をやってきて分かったのは、作業は手放しても「現場を見ること」まで手放したらあかんということ。僕はそこまで手放して、店を崩しました。

[安藤 竜志｜現場に出る法人代表 @ryuji_haikei]

@masaceoreal @shima_ibgroup 「作業は手放しても、現場を見ることは手放さない」という整理に、とても共感します。
自分も経営と現場を行き来していますが、現場に入っているからこそ、事務や仕組みの何に困っているかが見えて、それが事業の種になることが多いです。