PHPの脆弱性はクリニックも対象　WordPressの更新では直らない

2026年10月21日、クリニックのHPを動かすプログラム言語「PHP」の開発元が、深刻な脆弱性2件を直した新しい版を公開しました。IDやパスワードがなくても、外部からサーバー上でプログラムを動かされてしまう弱点です。

WordPressで作ったHPもPHPで動いているので対象です。ただし直すのはWordPressではなく、WordPressを動かしているPHPです。院長がするのは、HPを置いているサーバーの管理者を確かめて、その相手に対応状況を聞くことです。

WordPressで作ったクリニックのHPも、PHPの脆弱性の対象になる

WordPressはPHPで書かれたソフトです。それ以外のHPは、公開ページを見てもPHPを使っているかは分からないので、制作会社に聞いてください。

WordPressなら管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」でバージョンが分かります。ただし一部のレンタルサーバーはバージョン番号を変えずに修正だけを当てており、修正済みでも前の番号が出ることがあります。番号だけで判断せず、サーバーの管理者に聞くのが確実です。

PHPの脆弱性を直すのはサーバーの管理者。WordPressの更新では直らない

WordPressの開発元も、今回の件でWordPressの更新は必要なく、予定もないとしています。7月に見つかったWordPress本体の脆弱性はWordPressの更新で直りましたが、今回は直す担当が違います。

複数のレンタルサーバー事業者が、10月22日に修正の適用を告知しています。ただし一部の事業者は、プランによって恒久的な対応が決まっておらず、利用者に公開停止やアクセス制限の検討を求めています。レンタルサーバーでも直っているとは限りません。

業者には「10月21日公表のPHPの脆弱性」と伝えれば通じる

制作会社やレンタルサーバー事業者には、「2026年10月21日に公表されたPHPの脆弱性（通称 PHP2Shell、CVE-2026-109618／CVE-2026-109619）への対応は済んでいますか」と聞けば通じます。

あわせて、攻撃を受けた痕跡を調べたかも聞いてください。JPCERT/CCは、修正とあわせて攻撃を受けていないかの調査を勧めています。

修正も痕跡の調査も済んでいるという返事なら、院長側の確認はそこまでです。

放置すると、クリニックのHPを書き換えられるおそれがある

修正前のPHPのままでは、この弱点を突かれてプログラムを動かされる可能性があります。そうなれば、サーバー上のファイルを読み取られたり、HPを書き換えられたりするおそれがあります。予約・問診フォームの送信内容をサーバーに保存している場合は、漏えい時の報告義務にも関わります。

AWS（Amazonのクラウド事業）は、修正版の公開前の10月17日から、攻撃の観測用に置いた自社のサーバーで攻撃の試みを見つけたと公表しました。成功したかどうかは分からないとしています。一方、PHPの開発を支えるPHP Foundationは、修正版の公開時点で、実際に動く攻撃コードは確認していなかったとしています。攻撃を試みる動きはすでにあるので、業者への確認は早めにしてください。

PHP 8.1以前のまま更新されていないHPは、続けるかを決める段階

制作後に誰も更新していないHPなら、保守する業者を探して更新するか作り直すか、公開をやめるかを院長が決めることになります。IPAも、更新を続ける体制の見通しが立たなければ公開の終了も検討するよう、経営層に呼びかけています。

古い版に修正を当てたと告知したレンタルサーバーでも、新しい版への移行を勧めている例があります。

8.2系も、開発元によるセキュリティ修正は2026年12月31日で終わります。今回の修正が済んでいても、次の更新の段取りを業者と決めておいてください。

HP制作・Web制作の会社一覧をみる →

まとめ

• WordPressで作ったHPも対象。直すのはWordPressではなくPHP
• PHPを更新するのはサーバーを管理している会社。番号だけでは修正済みか判断できないことがある
• 業者には「10月21日公表のPHPの脆弱性（PHP2Shell）への対応は済んだか」と聞く
• 8.1以前で保守する人がいないHPは、業者を探して更新するか、作り直すか、公開をやめるか決める

セキュリティ・バックアップの会社一覧をみる →

• PHP「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日）
• PHP「Supported Versions」
• IPA 情報処理推進機構「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)」（2026年10月22日）
• JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」（2026年10月22日）
• WordPress.org「Critical PHP Security Release」（2026年10月21日）
• AWS「Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot」（2026年10月21日）
• The PHP Foundation「Today's PHP Security Release, and How We're Strengthening PHP Security」（2026年10月21日）
• レンタルサーバー事業者の告知：さくらインターネット「【重要】PHPの脆弱性に関する当社の対応状況について」／ConoHa WING「【重要】PHPの脆弱性への弊社対応完了のお知らせ（終報）」／KAGOYA「PHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）に関する当社サービスへの影響について」（いずれも2026年10月22日）