セキュリティ・弱点
PHPの脆弱性（2026年10月）、クリニックのホームページは何をすればいい？
「PHPに深刻な弱点が見つかったらしい」「うちのホームページは大丈夫なのか」。ニュースを見て、そう気になった院長や事務長の方も多いのではないでしょうか。ただ、PHPという言葉自体がなじみのないもので、何をどこまで心配すればよいのか分かりにくいはずです。この記事では、今回の出来事をかみくだいてお伝えしたうえで、自院のホームページが対象かどうかの確かめ方と、制作会社への頼み方を順番にご説明します。慌てて作り直す必要はほとんどの場合ありません。落ち着いて一つずつ確認していきましょう。
2026年10月に何が起きたのか
2026年10月20日、PHPの開発チームが、深刻な脆弱性（ぜいじゃくせい＝プログラムの弱点）2件の修正を予告しました。深刻度は10段階で9.2と、かなり高い評価です。中身は、外部からサーバーを操られるおそれがある種類の弱点とされています。
翌10月21日には、IPA（情報処理推進機構）の注意喚起（2026年10月21日）が出され、国内で50を超える企業・団体が、念のためサイトやサービスを一時停止する動きも見られました。原文は IPAの注意喚起のページ で確認できます。
PHPとは、ホームページを動かすための「土台」のような仕組みです。家にたとえると、WordPress（ワードプレス）などのホームページ作成の仕組みが「家具や内装」だとすれば、PHPは「家の基礎や玄関の鍵」にあたります。その鍵の作りそのものに欠陥が見つかった、というのが今回の出来事です。
ここが大事なポイント
弱点があるのはWordPressやプラグイン（追加機能）ではなく、PHP本体です。そのため「WordPressは更新しているから大丈夫」とは言い切れません。WordPressを新しくしていても、PHPが古いままなら対象になり得ます。
クリニックのホームページが対象になるのはどんな時か
PHPはとても広く使われている仕組みで、WordPressで作られたホームページの多くはPHPの上で動いています。開業時に制作会社に作ってもらったホームページが、WordPressで作られているケースはよく伺うお話です。
一方で、すべてのホームページが対象というわけではありません。次の表で、おおまかな目安を確かめてみてください。
| ホームページの作り | 今回の影響 | 確認すること |
|---|---|---|
| WordPressで作られている | 影響を受ける可能性がある | PHPのバージョンを確認する |
| WordPress以外でもPHPを使っている（独自の予約フォームなど） | 影響を受ける可能性がある | 制作会社にPHPを使っているか聞く |
| PHPを使わない作り（文字と画像だけの静的なページなど） | 今回の弱点の直接の対象ではない | 念のため制作会社に作りを聞く |
| ホームページ作成サービスの上で作っている | サービス側が管理している | サービスからのお知らせを確認する |
対象になり得るかどうかを分けるのは、PHPを使っているかどうかと、そのPHPのバージョン（版の番号）です。修正版として公開されるのは、PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 です。これより前の版を使っている場合は、修正版への更新が必要になります。
PHP 8.1以前を使っている場合
PHP 8.1以前はすでにサポート（開発チームによる修理の提供）が終わっており、公式の修正版は出ません。スマホでいえば、古すぎてもう更新が届かない機種のような状態です。この場合は、サポートが続いている版（8.2以降）へ上げることを検討します。詳しくは「PHPのサポート終了とは？」でご説明しています。
自院のホームページを確かめる手順
まずは現状を知ることから始めましょう。ITに詳しくなくても進められるよう、手順を順番に並べました。途中で分からなくなったら、そこで止めて制作会社に聞いていただいて大丈夫です。
- 外から見える範囲を自動で確かめるHPドクターの 無料の自動診断 に、ホームページのアドレスを入れるだけで、今回の弱点に当てはまりそうか、サイトの中身が古いままになっていないかを約10秒でお調べします。誰でも見られる範囲の情報だけを使うため、サイトに負荷をかけることはありません。
- PHPの実際のバージョンを確かめる外からは分からないことも多いため、サーバーの管理画面かWordPressの管理画面で確認します。具体的な画面の見方は「ホームページのPHPのバージョンを確認する方法」で写真なしでも分かるように解説しています。
- 修正版と見比べる確認した番号が、8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 以降かどうかを見比べます。8.1以前であれば、サポートが終わっている版です。
- 誰が更新するのかを確かめる多くのレンタルサーバーでは、PHPのバージョンは契約者が管理画面で選ぶ仕組みです。つまり、サーバー会社が自動で上げてくれるとは限りません。サーバーの契約者が医院なのか制作会社なのかを確認しておくと、話が早く進みます。
あなたのクリニックのホームページは大丈夫？
アドレスを入れるだけで、ニュースになった弱点に当てはまりそうか・鍵マークは大丈夫かなどを約10秒で自動診断します。
制作会社にどう頼めばよいか
確認ができたら、ホームページを作った制作会社や、保守をお願いしている会社に連絡します。難しい言葉を使う必要はありません。次のような内容を伝えれば、相手には十分伝わります。
- 2026年10月に公表されたPHPの脆弱性（IPAの注意喚起・2026年10月21日）について、当院のホームページが対象か確認してほしい
- PHPのバージョンが修正版（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）以降になっているか教えてほしい
- 更新が必要な場合、作業の日程と、表示が崩れないかの確認方法を教えてほしい
- 更新の前にバックアップ（控え）を取ってもらえるか確認したい
PHPを上げると、古いプラグインやデザインの部品が動かなくなることがまれにあります。そのため、いきなり上げるのではなく、控えを取る → 試しに上げる → 表示や予約フォームを確かめるという順番で進めるのが一般的です。レンタルサーバーでの切り替えの注意点は「レンタルサーバーでPHPのバージョンを変える前に確認すること」にまとめています。
作り直しが必要とは限りません
「この機会にホームページを作り直しましょう」と提案されることもあるかもしれません。ただ、多くの場合はPHPの更新と、それに合わせた部品の調整で対応できます。作り直すかどうかは、更新で直せるかを確かめてから判断しても遅くはありません。
制作会社と連絡がつかない・返事が遅い時は
開業から年数がたち、制作会社の担当者が変わっていたり、連絡先が分からなくなっていたりするのもよく伺うお話です。その場合でも、次のことは医院側で進められます。
- サーバーの契約書や請求書を探し、どのレンタルサーバーを使っているかを確かめる
- サーバーの管理画面に入るための情報（ログインの情報）が医院の手元にあるか確かめる
- ホームページのアドレス（ドメイン）の名義が誰になっているかを確かめる
- 自動診断の結果を保存し、相談先に見せられるようにしておく
名義や契約の確認方法は、別の記事「ホームページを作った制作会社と連絡が取れない時の対処法」でも詳しくご紹介しています。
今回を機に、ホームページの「かかりつけ」を考える
PHPやWordPressは、スマホのOSと同じで、これからも定期的に更新が出てきます。今回のような大きな知らせは数年に一度でも、小さな更新はもっと頻繁にあります。そのたびに院長が自分で調べるのは、診療の合間には大きな負担です。
HPドクターは、クリニックのホームページの「かかりつけ医」のような保守サービスです。月額10,000円〜30,000円（税別）・初期費用0円で、担当者が更新の確認や対応をお引き受けします。緊急時は24時間受付です。今の制作会社との契約はそのままでもご利用いただけます。
まずは、今のホームページの状態を専門家が無料で確認する「セカンドオピニオン」をご利用ください。今の制作会社にそのまま渡せる形で、「誰が、何を直せばよいか」をお伝えします。お申し込みは 無料セカンドオピニオンの申込み からどうぞ。
ホームページにも、セカンドオピニオンを
今の制作会社との契約はそのままで、専門家が無料で詳しく確認し、「誰が何を直せばよいか」を制作会社にそのまま渡せる形でお送りします。
無料でセカンドオピニオンを受けるよくあるご質問
WordPressを更新していれば、今回のPHPの脆弱性は心配ないですか？
いいえ、それだけでは十分とは言えません。今回の弱点はWordPressではなくPHP本体にあるため、WordPressを新しくしていても、PHPのバージョンが古ければ対象になり得ます。PHPのバージョンもあわせて確認してください。
ホームページを一時的に止めたほうがよいですか？
一律に止める必要があるとは限りません。まずは自院のホームページがPHPを使っているか、バージョンが修正版以降かを確かめ、制作会社と相談のうえ判断してください。判断に迷う場合は、専門家に状況を見てもらうと安心です。
PHPのバージョンは誰が上げるのですか？
多くのレンタルサーバーでは、契約者が管理画面でPHPのバージョンを選ぶ仕組みです。サーバーの契約者が医院であれば医院側、制作会社が契約・管理していれば制作会社が作業するのが一般的です。まずは契約者を確かめましょう。
PHPを上げるとホームページが壊れることはありますか？
古いプラグインやデザインの部品が新しいPHPに対応しておらず、表示が崩れることがまれにあります。そのため、バックアップを取ってから上げ、表示や予約フォームを確認する順番で進めるのが一般的です。
自動診断で「問題なし」と出れば安心ですか？
自動診断は外から見える範囲だけの簡易的な確認です。サーバーの中の設定（PHPの実際のバージョンなど）は管理画面で確かめる必要があります。気になる点があれば、無料のセカンドオピニオンで詳しくお調べします。
この記事は、クリニックのホームページの保守を担当する株式会社Canvi「HPドクター」編集部がまとめました。運営会社は、医療法人・医療系企業の営業・採用・教育を支援する「MedLead」も提供しています。
