【緊急】PHPの重大脆弱性が公表。医療機関のホームページ・予約サイトは何を確認すべきか
公開日：2026年10月23日カテゴリ：医療情報システム安全管理／サイバーセキュリティ
医療機関のホームページ、Web予約、問い合わせフォーム、採用サイト、患者向けポータル。これらを支えるサーバーで広く使われているPHPに、重大な脆弱性が公表されました。
今回の問題は、PHPプロジェクトが「緊急の更新」を求めているものです。攻撃者がログイン情報を持っていなくても、条件によってはサーバー上で不正なプログラムを実行できる可能性があります。
「WordPressは更新しているから大丈夫」とは言い切れません。今回、優先して確認すべきなのは、WordPress本体やプラグインだけでなく、サーバーで稼働しているPHPのバージョンです。
何が起きたのか
2026年10月21日、PHPプロジェクトは、未認証の第三者によるリモートコード実行（RCE）につながる可能性のある、2件の重大な脆弱性を公表しました。
CVE-2026-109618
CVE-2026-109619
いずれも深刻度はCVSS v4.0で9.2と評価されています。影響を受ける可能性があるのは、PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webサイトへのアクセスを処理するPHP環境です。
攻撃が成立した場合、公開Webサイトの改ざんだけでなく、サーバー上の設定情報、問い合わせ内容、予約情報、連携先サービスの認証情報などが危険にさらされるおそれがあります。
医療機関が扱う情報には、氏名や連絡先に加え、受診に関する問い合わせ、予約内容、健康に関する相談など、慎重な管理が求められる情報が含まれます。ホームページは診療システムとは別の環境であっても、患者さんから見れば同じ医療機関のサービスです。Webサイトを起点とした事故は、信頼に直接影響します。
まず確認したい対象
次のいずれかに該当する医療機関は、確認を急いでください。
WordPressでホームページを運用している
Web予約、問い合わせフォーム、採用応募フォームを設置している
自院で契約したレンタルサーバー、VPS、クラウドサーバーを使っている
制作会社・保守会社にホームページ運用を委託している
グループ医院、MS法人、歯科技工所、介護事業所のサイトを含め、複数のWebサイトを運用している
特に、外部からファイルを受け取るフォーム、患者さんが入力する予約・相談フォーム、会員機能を持つサイトは、確認の優先度を高くしてください。
修正版はどれか
PHPの各系統では、次のバージョンが修正版です。
PHP系統 | 修正版 |
PHP 8.2 | 8.2.35以降 |
PHP 8.3 | 8.3.36以降 |
PHP 8.4 | 8.4.27以降 |
PHP 8.5 | 8.5.12以降 |
PHP 8.1以前は、PHPプロジェクトの通常サポートが終了しています。また、PHP 8.2も2026年12月31日にサポート終了予定です。今回の対応を機に、単発の更新で終わらせず、サポート中のPHP系統へ計画的に移行することをおすすめします。
医療機関が今日やること
1. ホームページの管理者・保守会社へ確認する
まずは、次の内容を確認してください。
当院のWebサイトで稼働しているPHPのバージョンと、2026年10月21日に公表されたPHP脆弱性（CVE-2026-109618、CVE-2026-109619）への対応状況を教えてください。未対応の場合は、修正版PHPへの更新予定日、更新による影響、バックアップおよび動作確認の計画を提示してください。
レンタルサーバーをご利用の場合は、サーバー会社の管理画面でPHPのバージョンを確認・切替できることがあります。ただし、サイトのテーマやプラグインとの互換性確認が必要になるため、不安がある場合は制作会社や保守会社へ依頼してください。
2. WordPress本体・テーマ・プラグインも最新化する
今回の根本対応はPHPの更新です。しかし、PHPを更新した後に古いテーマやプラグインがエラーを起こすことがあります。
バックアップを取得した上で、WordPress本体、テーマ、プラグインも更新し、次の機能を確認してください。
トップページ・診療案内などの主要ページ表示
問い合わせフォーム
Web予約への導線・予約フォーム
採用ページ・応募フォーム
医療広告に関わる掲載内容や画像
管理画面へのログインと更新作業
3. 「更新済み」の証跡を残す
医療情報システムの安全管理では、実施した対策を説明できる状態にしておくことも重要です。少なくとも以下を記録してください。
対象サイトとサーバー名
更新前後のPHPバージョン
更新日時と実施担当者
バックアップの取得有無
動作確認の結果
保守会社・サーバー会社との連絡記録
これは、万一のインシデント対応だけでなく、委託先管理や定期的なセキュリティ点検の基礎資料にもなります。
WordPressの更新だけでは不十分な理由
WordPressはPHP上で動作します。WordPress本体・テーマ・プラグインに脆弱性がなくても、土台となるPHPに重大な脆弱性が残っていれば、Webサイト全体のリスクは解消されません。
逆に、PHPだけを更新してWordPressやプラグインを放置することも適切ではありません。医療機関のWebサイトでは、次の3層を一体で管理する視点が必要です。
サーバー・PHPなどの基盤
WordPress本体・テーマ・プラグイン
フォーム、予約、外部連携などの運用設定
「どこを誰が管理しているか」が曖昧な状態は、対応漏れにつながります。まずは自院サイトの管理台帳を作り、サーバー契約先、ドメイン管理者、制作・保守の委託先、更新権限者を整理しましょう。
更新できない場合の考え方
PHP公式は、修正版への更新が唯一の完全な対策であると案内しています。設定変更だけで安全になるわけではありません。
やむを得ず直ちに更新できない場合でも、保守会社やサーバー会社と連携し、不要なファイルアップロード機能の停止、入力サイズの制限、暫定設定の適用など、露出を下げる対応を検討してください。ただし、これらはあくまで更新までの一時措置です。
まとめ：Webサイトも医療機関の情報資産です
ホームページは広報のためだけのものではありません。患者さんとの接点であり、予約・問い合わせ・採用・情報提供を担う重要な情報資産です。
今回のPHP脆弱性は、Webサイトを「更新が必要になったときだけ触るもの」として扱うリスクを改めて示しています。PHP、WordPress、フォーム、委託先管理、バックアップ、更新記録を一つの運用として整備することが、患者さんの信頼と医療機関の事業継続を守ることにつながります。
参考情報
※本記事は2026年10月23日時点で公表されている情報に基づく一般的な解説です。個別のサーバー設定、保守契約、法令上の対応については、サーバー事業者・保守ベンダー・専門家へご確認ください。
コメント