| 病院＆クリニック専門ネット集患サポートセンター %

医療サイト関連情報 / ガイドライン・参考情報の確認日：2026年10月25日

医療機関のホームページでも多くのサイトで使われているPHPについて、2026年10月20日に緊急度の高い脆弱性が公表されました。「レンタルサーバーなら何もしなくてよい？」「患者情報を保存していないWordPressサイトも対応が必要？」と不安に感じている方もいるのではないでしょうか。

要約
PHPの緊急脆弱性への対応では、まず利用中のサーバーに修正が適用済みか、誰が管理しているかを確認します。個人情報を保存していないWordPressサイトも、PHPの修正状況の確認は必要です。PHP 7.4・8.0・8.1向けにも修正ソースは公開されましたが、通常の修正版リリースとは異なります。バックアップは復旧への備えであり、脆弱性の修正の代わりにはなりません。

この記事では、病院・クリニックのサイト担当者が確認すべきポイントと、今取るべき行動を分かりやすく解説します。

PHPの緊急脆弱性で何が問題になった？

PHPは、WordPressなどのウェブサイトを動かすサーバー側のプログラム言語です。2026年10月20日、PHPに関する重大な脆弱性が公表され、修正版が公開されました。PHP開発チームは、修正版への更新を強く推奨しています。

今回の問題はWordPressのプラグインだけの問題ではありません。WordPress本体やプラグインを更新しても、サーバー上のPHPに修正が適用されたことにはなりません。

PHP開発チームは、PHP 8.2.35、8.3.36、8.4.27、8.5.12を修正版として公開しています。ただし、古いPHPを利用している場合や、サーバー会社が個別に修正を適用している場合は、表示されるバージョン番号だけでは判断できないことがあります。利用中の環境に修正が適用済みか、サーバー会社や保守会社の公式案内で確認してください。

PHP 7.4・8.0・8.1を利用している場合

PHP開発チームは、本来はサポートの終了しているPHP 7.4・8.0・8.1向けに対しても事態の大きさを考慮して、今回の脆弱性に対する最小限の修正を含むソースコードを公開しました。ただし、これらは8.2以降のような通常の修正版リリースではありません。PHP 8.1以前はPHPプロジェクトの通常サポート対象外であり、修正済みの実行環境が自動的に提供されるとは限りません。

一方、サーバー会社やLinuxディストリビューションなどが、独自に修正を取り込んだパッケージを提供している場合があります。そのため、PHPのバージョン番号だけで「脆弱性が残っている」「修正済み」と判断せず、利用中のサービスで今回の修正が適用されているか、提供元に確認してください。

PHP 7.4・8.0・8.1を利用中の場合ホームページを設置しているサーバー会社に今回の修正の適用状況を確認し、未対応であれば、修正済みサーバーへの引っ越しやPHPのバージョンアップについて運用担当に相談しましょう。PHPのバージョンアップは、WordPressのテーマやプラグインに影響する場合が多いため、事前に保守担当者と確認してください。

PHP開発チームは10月23日、特定の設定とアプリケーションの組み合わせに関する追加の注意情報も公開しました。すべてのサイトで一律に設定変更が必要という意味ではありません。自己判断で設定を変更せず、サーバー会社や保守担当者に確認しましょう。

病院サイトで確認したいチェックポイント

まずは、ホームページの管理者や制作・保守会社と、次の項目を確認してください。

ホームページがどのサーバーで運用されているか
PHPの更新を誰が担当しているか（病院、制作会社、保守会社、サーバー会社など）
今回の修正が、契約中のサービスや利用環境に適用済みか
問い合わせ・予約フォームや、同じサーバー上の別サイトがあるか
WordPress本体、テーマ、プラグインが保守されているか
サイトのファイルとデータベースのバックアップがあり、復元方法も確認できているか

特に、VPSや専用サーバーなどを利用し、PHPの更新を病院や委託先が管理している場合は、対応の担当者と実施状況を確認しましょう。

レンタルサーバー利用者が取るべき対応

レンタルサーバー会社がPHPを管理している場合、利用者側で修正版への更新が済んでいることもあります。ただし、対応状況や利用者側で必要な作業は、サービスやプランによって異なります。

サーバー会社の公式サイトで、今回の脆弱性に関する案内を確認する
契約中のサービス・プランが対応済みか、利用者側の作業が必要かを確認する
分からない場合は、サーバー会社またはホームページの保守担当者に問い合わせる
対応後、ホームページの表示や問い合わせフォームなどが正常に動くか確認する

サーバー会社が対応済みと案内している場合、慌てて自分でPHPのバージョンを切り替える必要はありません。古いテーマやプラグインとの互換性によって表示や機能に影響が出ることもあるため、切り替えは保守担当者と相談して行いましょう。

個人情報を保存していないWordPressサイトも対応が必要？

はい。患者情報などをサイト内に保存していなくても、PHPの修正状況は確認してください。個人情報を保存しているかどうかだけで、PHPの脆弱性への対応が不要になるわけではありません。

脆弱性を悪用された場合、ホームページの改ざんや不正なページへの誘導、サーバー内のファイルや情報への不正アクセスなどにつながる可能性があります。また、問い合わせ内容がメールで届く、アクセスログや外部サービスに情報が残るなど、運営者が気づきにくいデータの流れがある場合もあります。

「患者情報を保存していないから何もしなくてよい」と判断せず、まずはサーバー会社または保守担当者に修正の適用状況を確認しましょう。

バックアップだけで十分？

バックアップだけでは十分ではありません。PHPの修正適用とバックアップでは、目的が異なります。

対応	目的
PHPの修正適用	脆弱性への対策
WordPressやプラグインの更新	CMSや追加機能の安全性・互換性の維持
バックアップ	障害や改ざんが起きた場合の復旧への備え

バックアップは、サイトを復旧するために重要です。サイトのファイルだけでなく、記事や設定が保存されているデータベースも対象に含まれているか、復元方法を確認しておきましょう。ただし、バックアップは脆弱性を修正するものではありません。

よくある質問

Q. レンタルサーバーなら、何もしなくてよいですか？

A. サーバー会社が対応済みの場合もありますが、利用中のプランや環境によって異なります。公式案内で対応状況と利用者側の作業を確認してください。

Q. WordPressやプラグインを更新すれば対策できますか？

A. 今回の問題はPHP本体に関するものです。WordPressやプラグインの更新だけで、サーバーのPHPに修正が適用されたことにはなりません。

Q. 患者情報を保存していないサイトなら、対応しなくてよいですか？

A. いいえ。個人情報の有無にかかわらず、PHPの修正状況を確認してください。サイトの改ざんやサーバー内の情報への不正アクセスなど、影響は個人情報の有無だけでは判断できません。

Q. PHP 7.4・8.0・8.1を使っています。修正版に更新できますか？

A. PHP開発チームは、これらのブランチ向けに最小限のソースコード修正を公開しましたが、通常の修正版リリースとは異なります。サーバー会社やディストリビューションが修正を適用している場合もあるため、まず提供元に適用状況を確認してください。未対応の場合は、修正済み環境への切り替えやサポート中のPHPへの移行について相談しましょう。

Q. 不審なページやファイルを見つけた場合はどうすればよいですか？

A. 不審なファイルを自己判断で削除したり、バックアップをすぐに上書きしたりせず、サーバー会社やホームページの保守担当者に連絡してください。状況を確認し、必要に応じて専門家に相談しましょう。

まとめ：病院サイトでまず行うこと

PHPの緊急脆弱性について、病院・クリニックのホームページ担当者がまず行うことは次の3つです。

サーバー会社の公式案内を確認する
PHPの修正状況と対応担当者を確認する
バックアップの対象と復元方法を確認する

PHP 7.4・8.0・8.1向けにも修正ソースは公開されましたが、通常の修正版リリースとは異なります。利用中のサーバーで修正が適用済みか、提供元に確認してください。

個人情報を保存していないWordPressサイトでも、PHPの修正状況を確認しましょう。バックアップは大切な復旧手段ですが、脆弱性の修正とは別の対策です。対応状況が分からない場合は、サーバー会社やホームページの保守担当者に問い合わせてください。

参考情報

情報確認日：2026年10月25日。PHPやサーバー各社の対応状況は更新されるため、最新情報は各提供元の公式案内をご確認ください。