医院で取り組むPHP脆弱性への対応

今回のPHPの脆弱性とは

PHPとは

PHPは、ホームページの裏側で動いているプログラムです。ホームページの見た目やデザインが窓口だとすると、PHPは、実際に裏で手続きを進めてくれるスタッフの役割を果たしています。

たとえば、次のような処理をPHPが行っています。

• 予約フォームに入力された内容を受け取り、医院にメールで届けます。
• お知らせやブログを追加したときに、ページに反映します。
• 予約の空き状況など、その時々で変わる情報を表示します。

医院のホームページでよく使用されるWordPressも、実はPHPで動いています。

今回発生したPHPの問題によって懸念されているリスク

2026年10月21日、PHPの開発チームが、重大な脆弱性2件の修正版を公開しました。［4］

• 外部からサーバーを乗っ取られるおそれがあります
  悪用されると、攻撃者がサーバー上で自由にプログラムを動かせる状態になります。WordPressの構成でも、攻撃の再現が報告されています。
• 原因は、PHP内部のメモリの管理にあります
  PHPが処理を終えたあとも、メモリ上に古い情報が残ってしまう不具合があります。攻撃者は、細工した通信を続けて送り、この残った情報を悪用します。
• 初期設定のままでも狙われます
  ファイルのアップロード状況を記録する機能など、初期設定で有効になっている機能が入口になります。そのため、多くのサイトが対象になります。
• 古いPHPは広く対象です
  PHP 5系・7系と、修正版より前の8系が対象と考えられています。
• 攻撃は始まりつつあります
  攻撃に使えるとされるコードが、インターネット上に出回り始めています。

未対応により医院で起こりうる具体的なトラブル

ホームページが乗っ取られると、医院の信頼に直結する次のようなことが起きます。

• ホームページが書き換えられる
  見覚えのない広告が表示されたり、別のサイトへ転送されたりします。患者さんが不審に思い、来院前に離れてしまうおそれがあります。
• フォームの情報が漏れる
  予約やWeb問診のフォームに入力された氏名・連絡先・症状などが、外部に持ち出されるおそれがあります。
• 検索結果に警告が出る
  不正なページが作られると、検索結果に警告が表示される可能性があります。その結果、インターネットで検索したときに、ホームページが検索結果に表示されないなどの問題が発生します。

今回の問題は、個々のサイトのセキュリティの問題ではなく、PHPという言語自体にあります。そのため、ホームページの規模に関係なく、PHPを使っている場合は、修正が適用されているかを確認する必要があります。サーバー会社がすでに対応している場合もあるため、まずは管理会社やサーバー会社に確認しましょう。

医院で今回の対応が必要になりやすい対象

医院でPHPが使われている可能性があるのは、主に次の2つです。

• WordPressで作ったサイト
  医院のホームページ、採用サイト、ブログなどです。WordPressで作っている場合は、PHPの修正が適用されているかを確認しましょう。※WordPressには2種類あります。
  ・WordPress.org：エックスサーバーなどのレンタルサーバーに入れて使うものです。医院のホームページで多く使われており、対象になります。
  ・WordPress.com：サーバーごとセットになったサービスです。WixやSTUDIOと同じく、サーバーをサービス会社が管理しているため、医院側でPHPを更新する必要はありません。
• サーバーに直接設置したメールフォーム
  ホームページを管理しているサーバーに、予約や問い合わせ、Web問診などのフォームを直接入れている場合です。

PHPは、医院のホームページやWebシステムで一般的に使用されているため、PHPを使用しているかどうかを確認することが重要です。使用している場合は、修正の適用状況に応じた対応が必要になるため、次の章の対応方法をご参照ください。

PHP脆弱性への対応方法

PHP脆弱性への対策で重要なのは、何が対象かを正しく把握し、どのように直すべきかを見極めたうえで、適切に対処することです。適切に対応しないと、ホームページが表示されなくなるなど、かえって新たなトラブルを招くおそれがあります。ここでは、PHP脆弱性の対策として最低限やるべき手順を、順にご紹介します。

STEP 01PHPのバージョンを確認する

まず、自院のホームページやフォームがPHPを使っているかを確認します。確認の方法は、次の3つです。

1. 管理会社に問い合わせる
2. URLを見て、自分で確認する
3. サーバーの管理画面で確認する

1. 管理会社に問い合わせる

ホームページや予約システムを外部に任せている場合は、問い合わせて確認するのが確実です。その際は、次の3点について確認するようにしましょう。

• PHPを使っているか
• 使用しているPHPのバージョン
• 修正版への更新の予定日

2. URLを見て、自分で確認する

ご自身のパソコンなどから、ホームページのURLを見てPHPを使っているかを確認できます。

URLからの確認方法

ページやフォームを開き、アドレスバーをクリックしてURLを全文表示します。URLの末尾が「.php」になっていれば、PHPを使用しています。
例：https://〇〇.jp/contact.php

ページのソースからの確認方法

Google Chromeの「ページのソースを表示」機能を使うと、ページのコードから確認できます。

1. Google Chromeで、自院のホームページを開きます。
2. ページ上で右クリックし、「ページのソースを表示」を選びます。コードが表示された新しいタブが開きます。
3. Ctrl＋F（Macはcommand＋F）を押し、画面右上に出る検索欄に「.php」と入力します。
4. 「.php」が見つかればPHPを使用しています。

注意点

ただし、URLやコードに「.php」がない場合でも、部分的にPHPで動いていることがあります。判断が難しい場合は、ChatGPTやClaudeなどに、次のように確認してもらうこともできます。

AIによる確認も参考情報として扱い、最終的には管理画面や管理会社で確認してください。

3. サーバーの管理画面で確認する

エックスサーバーなどのレンタルサーバーでWordPress.orgを使っている場合は、サーバーの管理画面からも確認できます。ここでは、エックスサーバーを例にご紹介します。

1. サーバーパネルにログインします。
2. 「PHP Ver.切替」を開きます。

3. 「現在のバージョン」の欄で、ドメインごとのPHPのバージョンを確認します。

参照：エックスサーバーマニュアル「PHP Ver.切替」

STEP 02対応が必要なバージョンか判断する

確認したバージョンをもとに、対応が必要かを判断します。使っているPHPの系列ごとに、次の基準で確認します。［4］

• PHP 8.5を使っている場合
  8.5.12より前のバージョンは、対応が必要です。
• PHP 8.4を使っている場合
  8.4.27より前のバージョンは、対応が必要です。
• PHP 8.3を使っている場合
  8.3.36より前のバージョンは、対応が必要です。
• PHP 8.2を使っている場合
  8.2.35より前のバージョンは、対応が必要です。
• PHP 8.1以前を使っている場合
  原則として、サポートされている新しいバージョンへの切り替えを進めます。ただし、提供会社が旧バージョンに修正を適用している場合もあるため、管理会社やサーバー会社に対応状況を確認してください。

STEP 03適切なバージョンへ修正する

PHPの現在のバージョンが確認できたら、管理しているケースに応じて、適切なバージョンへの修正を進めます。

1. 制作会社に任せている場合
2. 自院で管理している場合

1. 制作会社に任せている場合

• 制作会社に連絡し、適切なバージョンへ修正してもらうよう依頼します。
• 修正が完了したら報告をもらい、確認します。

2. 自院で管理している場合

エックスサーバーなどでWordPress.orgを使っている場合

サーバーの管理画面からPHPのバージョンをアップデートして、更新できます。ここでは、利用者の多いエックスサーバーを例にご紹介します。

1. サイトのバックアップを取ります。
2. サーバーパネルにログインし、「PHP Ver.切替」を開きます。

3. 変更したいドメインの右側にある、ペンのアイコンを押します。
4. 現在のバージョンを確認し、「変更後のバージョン」で修正済みのバージョンを選びます。
5. 「設定する」を押します。

6. 「現在のバージョン」が、選んだバージョンに変わっていることを確認します。

7. ホームページとフォームが正しく動くかを確認します。問題が起きた場合は、管理会社やサーバー会社に相談します。未修正のバージョンには戻さず、必要に応じてサイトを一時停止して対応します。

参照：エックスサーバーマニュアル「PHP Ver.切替」

ほかのサーバー会社でも、管理画面の「PHPバージョン設定」などのメニューから、同じように切り替えられます。

コードで直接作成している場合

サーバーのPHPを修正済みのバージョンに更新し、ホームページやフォームが正しく動くかを確認します。

STEP 04被害がないかを確認する

STEP 03までで、PHPの脆弱性をついた攻撃を防ぐための方法をご紹介しました。しかし、更新前に侵入されていた場合、更新しただけでは不十分です。そこで、被害がないか、以下の確認をすることをおすすめします。

1. 不正アクセス・改ざんの有無を確認する
2. 情報漏えいの有無を確認する

1. 不正アクセス・改ざんの有無を確認する

以下の点について確認し、不正アクセスや改ざんなどを受けていないかを確認する必要があります。［5］

• 覚えのない管理者アカウントがないか
  WordPressの管理画面で「ユーザー」→「ユーザー一覧」を開き、権限グループが「管理者」になっている人に、覚えのないアカウントがないかを確認します。

• 覚えのないプラグインがないか
  管理画面で「プラグイン」→「インストール済みプラグイン」を開き、入れた覚えのないものが増えていないかを確認します。

  Google設定 | 無効化

• 不審な広告やファイル、見覚えのないページがないか
  パソコンやスマートフォンからホームページを開き、各ページに不審な広告やファイルなどがないかを確認します。また、Googleで「site:自院のドメイン」と検索し、作った覚えのないページが出ないかを確認します。
• Googleから警告が来ていないか
  Google Search Consoleを使っている場合は、「セキュリティの問題」に通知がないかを確認します。

2. 情報漏えいの有無を確認する

情報漏えいは、ホームページを見るだけでは確認できません。サーバーのログ（アクセスの記録）を確認して、情報漏えいが起きていないかを確認する必要があります。［6］確認は、次の方法で取り組んでください。

1. 管理会社に依頼する
2. 自分たちでサーバー内を確認する

1. 管理会社に依頼する

管理会社に、次の2点を確認してもらいます。

• アクセスの記録に異常がないか
  サーバーのアクセスログに、不審な通信やエラーの急増がないかを確認してもらいます。
• 覚えのないファイルがないか
  サーバー内に、設置した覚えのないファイルが置かれていないかを確認してもらいます。

2. 自分たちでサーバー内を確認する

サーバーの管理画面などから、アクセスログやサーバー内のファイルを確認する方法もあります。ログの見方がわからない場合は、ChatGPTやClaudeなどのAIに確認してもらう方法もあります。

不審なものが見つかった場合は、管理者パスワードを変更し、すぐに管理会社に相談しましょう。

情報漏えいが発生した、または疑われる場合は、内容に応じて個人情報保護委員会への報告や患者さんへの通知が必要になります。警察への相談も含め、管理会社などと速やかに対応を確認しましょう。［7］

まとめ

今回のPHPの脆弱性は、ホームページや予約フォームを持つ多くの医院に関係します。すでに攻撃が始まりつつあり、対処が遅れるほど、不正アクセスや情報流出などの被害にあうリスクは高まります。そのため、早急にセキュリティ対策を進める必要があります。

また、ホームページやシステムの脆弱性は、今後もくり返し見つかります。そのためには、日頃からセキュリティ対策をしておくことが大切です。

「セキュリティ対策を強化したい」「どのように進めていいかわからない」という場合は、ぜひ一度mitokiにご相談ください。