はじめに：PHPの緊急アップデートは、歯科医院にも関係があります

2026年10月20日、PHPの開発チームが重大な脆弱性2件を修正する緊急アップデートを予告しました。深刻度はどちらも最高ランクに近い「CVSS 9.2（Critical）」です。修正版は翌21日に公開されましたが、それより前に詳細が漏れ、実際の攻撃もすでに確認されています。この脆弱性は「php2shell」と呼ばれています。

「PHP」と聞いても、ピンとこない先生がほとんどだと思います。ですが、歯科医院のホームページの多くは、このPHPという仕組みの上で動いています。

この記事では、ITに詳しくない院長先生向けに、次の3点をわかりやすくまとめます。

PHPとは？歯科医院のホームページとの関係

PHP（ピーエイチピー）は、ホームページを動かすためのプログラミング言語です。1995年に公開され、今も世界中のWebサイトで広く使われています。

「動くホームページ」を作る仕組み

ホームページには、大きく分けて2種類あります。

PHPは、この「動的なHP」を裏側で動かすために使われます。患者さんの目には見えませんが、HPの中で常に動いているエンジンのような存在です。

サーバーで動くから、外から狙われやすい

PHPは医院のパソコンではなく、HPを置いているサーバーの上で動いています。そのためPHPに弱点があると、インターネット越しに誰でも攻撃を試せてしまいます。

WordPressで作ったHPはPHPで動いています

歯科医院のホームページでよく使われるWordPress（ワードプレス）も、PHPで動いています。「自分でお知らせを更新できるHP」の多くは、このタイプです。

制作会社任せのHPほど、更新が止まりがち

PHPやWordPressは、安全のために定期的なアップデートが必要です。ところが、制作後の保守契約がない場合、誰も更新しないまま何年も経っているケースが少なくありません。

PHPには公式のサポート期間があります。2026年10月時点でサポートされているのは8.2〜8.5系で、それより古い7.4や8.1などは修正が提供されません。古いバージョンのまま動いているHPは、今回のような脆弱性が見つかっても直せない状態にあります。

今回のPHP脆弱性「php2shell」とはどんなものか

2026年10月21日に修正された2件の脆弱性（CVE-2026-109618、CVE-2026-109619）は、「php2shell」と呼ばれています。ログインしなくても、外部からサーバー上で好きなプログラムを動かせてしまう（リモートコード実行）おそれがある、非常に危険なものです。

どれくらい危険なのか

• 深刻度はCVSS v4.0で9.2。最も重い「Critical」に分類される
• 攻撃者はログイン不要で、細工した通信を送るだけで攻撃できる
• 修正版が出る前に詳細が漏れ、攻撃用のコードも出回り、実際の攻撃も観測されている
• PHP公式は「完全に防げる設定変更はなく、更新が唯一の安全策」としている

2件の脆弱性の違い

仕組みは違いますが、どちらも最終的にサーバーを乗っ取られるおそれがある点は同じです。

影響を受けるバージョンと修正版

PHP 5系のようなかなり古いバージョンにも影響があると報告されています。8.1以前向けには、PHPのチームが例外的に最小限の修正を公開しました。ただし、自分でPHPを組み立てる専門家向けのもので、医院が自分で適用できるものではありません。

レンタルサーバーを使っている場合

多くのレンタルサーバー会社は、自社でPHPの更新や応急処置を進めています。ただし、HPの設定で古いPHPを選んだままだと、修正の対象にならないことがあります。契約中のサーバー会社のお知らせを、一度確認しておきましょう。

古い歯科医院のホームページを放置する4つのリスク

1. ホームページの改ざん

脆弱性を悪用されると、知らないうちにページの内容を書き換えられることがあります。患者さんが医院のHPを開いたら、怪しいサイトに飛ばされる。そんな被害も実際に起きています。

2. 問い合わせ・予約フォームからの情報漏えい

フォームには、患者さんの名前・電話番号・症状などが入力されます。万が一漏えいすれば、医院の責任が問われる可能性があります。医療機関として、特に注意したいポイントです。

3. Googleの検索評価が下がる

改ざんされたサイトは、Googleから「危険なサイト」と警告が表示されることがあります。そうなると検索からの新患はほぼ途絶えます。復旧後も、評価が戻るまで時間がかかります。

4. 医院の信用が下がる

セキュリティの問題がなくても、何年も更新されていないHPは「この医院、大丈夫かな」と患者さんに不安を与えます。HPは、多くの患者さんが来院前に見る「医院の顔」です。

5分でできる！自院のホームページのセルフチェック

当てはまる項目が多いほど、早めの見直しをおすすめします。

• HPを作ってから5年以上、大きな更新をしていない
• 制作会社と保守契約を結んでいない（または内容を把握していない）
• 管理画面にログインすると「更新してください」という表示が出る
• PHPやWordPressのバージョンを誰も把握していない
• アドレスが「https://」ではなく「http://」で始まる
• スマホで見ると文字が小さく、拡大しないと読めない
• 最後のお知らせ更新が1年以上前
• 制作会社と連絡がつかない、または担当者がわからない

PHPのバージョンを確認する方法

WordPressの場合は、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPのバージョンを確認できます。レンタルサーバーの管理画面からも確認できます。わからない場合は、制作会社やサーバー会社に問い合わせてみてください。

今すぐできる対策と、リニューアルを検討すべきケース

まずやること3つ

1. 1.制作会社・サーバー会社に連絡し、PHPのバージョンと今回のアップデートへの対応状況を確認する
2. 2.WordPressを使っている場合は、本体とプラグインを最新版に更新する（更新前にバックアップを取る）
3. 3.使っていないプラグインや、古いお問い合わせフォームを削除・停止する

更新だけでは済まないケース

次のような場合は、部分的な更新よりリニューアルの方が安全で、結果的に費用も抑えられることがあります。

• PHPのバージョンを上げると、HPが表示されなくなる（古いテーマやプラグインが新しいPHPに対応していない）
• 制作会社と連絡がとれず、誰もHPを管理できない
• スマホ対応やデザインの古さなど、セキュリティ以外の課題も抱えている

リニューアルの流れや期間は、リニューアルの進め方で詳しく紹介しています。

よくある質問

Q. 小さな医院のHPでも狙われますか？

はい。攻撃の多くは、特定の医院を狙うのではなく、脆弱性のあるサイトを機械的に探して行われます。医院の規模は関係ありません。

Q. WordPressを使っていなければ安全ですか？

WordPress以外でも、PHPで動いているHPは多くあります。使っている仕組みがわからない場合は、制作会社に確認するのが確実です。

Q. リニューアルすれば、もう安心ですか？

リニューアル直後は最新の状態になりますが、その後も定期的な更新は必要です。依頼先を選ぶときは、公開後の更新や保守をどこまで対応してくれるかを確認しましょう。 （※自社プランの保守範囲をここに一文で入れると、問い合わせにつながりやすくなります）

まとめ：まずは自院のHPの状態を知ることから

今回のPHPの緊急アップデートは、古いHPを見直すよいきっかけです。大切なのは、次の3点です。

• 歯科医院のHPの多くはPHPで動いており、今回のニュースは他人事ではない
• 古いまま放置すると、改ざん・情報漏えい・検索評価の低下につながる
• まずはセルフチェックと、制作会社への確認から始める

「自院のHPが大丈夫かわからない」「制作会社と連絡がつかない」という先生は、Re:worthの無料WEB診断をご利用ください。歯科のWEBに詳しい担当者が、HPの状態を確認し、必要な対策をご案内します。