※情報確認日：2026年10月26日。脆弱性情報は更新されるため、対応時には開発元・サービス提供元の最新情報をご確認ください。本文の質問例とチェック表は、Alplanによる実務上の提案です。
「PHPの脆弱性が公表された」というニュースを見て、自院のホームページも関係するのか気になった院長・事務長の方もいるのではないでしょうか。
ホームページの管理画面が開く、予約ボタンが押せる。それだけでは、今回の問題への対応が済んでいるかは分かりません。一方、PHPを利用しているという理由だけで、自院が被害を受けたと判断することもできません。
必要なのは、制作会社やサーバー管理会社に、自院への影響と対応状況を具体的に確認することです。本記事では、今回の注意喚起を入口に、クリニック側が聞いておきたい五つの質問を整理します。
1．何が公表されたのか
IPAとJPCERT/CCは、2026年10月22日にPHPの複数の脆弱性に関する注意喚起を公表しています。対象はCVE-2026-109618、CVE-2026-109619で、悪用されると外部の第三者にプログラムを実行される可能性があるとされています。[1][2]
PHPはウェブサイトなどで使われるプログラム言語です。院長がコードを読む必要はありませんが、ホームページの管理システムや関連サービスが使っているかは、提供元へ確認できます。
また、PHP公式は10月23日に追加の案内を掲載しています。[3] そのため、10月21日公表分への更新を終えたという回答があっても、確認した注意喚起の範囲と、その後の追加情報への対応を確かめたいところです。
本記事では修正版番号だけを使って安全性を判定する方法は取りません。提供元によって修正の配布方法が異なる場合があり、利用環境の確認も必要です。実際の判断は、制作会社・サーバー会社・サービス提供元の案内と照合して進めましょう。
2．質問① 自院のどこでPHPを使っていますか？
最初の質問は、「ホームページと関連サービスのうち、PHPを使っているものと、その管理者を教えてください」です。
医院が一つのホームページとして見ていても、診療案内、予約、問い合わせ、採用応募などが、それぞれ別の仕組みで動いている場合があります。予約ボタンから外部のサービスへ移動する構成もあります。
確認対象を「トップページ」だけに限定せず、患者さんや応募者が利用する機能を整理しましょう。
| 確認対象 | 聞いておきたいこと |
|---|---|
| ホームページ本体 | PHPの利用有無と管理会社 |
| 問い合わせフォーム | 処理する仕組みと情報の保存先 |
| 予約サービス | 自院側とサービス会社側の管理範囲 |
| 採用応募フォーム | 管理者と応募情報の保管方法 |
| 過去の特設ページ | 現在も公開され、動作しているか |
すべてが同じ脆弱性の影響を受けるという意味ではありません。対象外であれば、対象外と判断した根拠を確認します。外部サービスについても、自院のホームページ制作会社がすべて調べられるとは限らないため、確認先を分けます。
古いキャンペーンページや使わなくなったフォームも、一覧に入れると確認漏れを防ぎやすくなります。廃止する場合は、リンクや保存データへの影響を確認してから進めましょう。
3．質問② 今回の注意喚起の影響を、何を基に判断しましたか？
次に、「今回の脆弱性について、自院の環境への影響を調べた結果と根拠を教えてください」と聞きます。
「サーバー会社に任せています」「WordPressは最新です」という回答だけでは、PHP自体への対応状況まで分からない場合があります。サイトの管理システムと、それを動かす環境を区別して確認することが大切です。
打ち合わせやメールでは、次の項目をそろえると状況を整理できます。
- 確認した製品・サービス・サーバー環境
- 参照した開発元や提供元の案内
- 影響あり・なし・調査中の判断
- 判断した日と担当者
- 追加の確認が必要な範囲
技術的な説明をすべて院長が検証する必要はありません。判断の根拠となる提供元の案内や、作業記録の有無を確かめましょう。
「調査中」という回答であれば、次の報告予定時刻と、調査中に必要な対応を確認します。担当者の返事を待つだけにならないよう、医院側の窓口も決めておくと進めやすくなります。
4．質問③ 対応はどこまで完了し、追加案内も確認していますか？
対応状況は、「対応済み」という一言だけでなく、実施した内容と確認範囲を聞きます。更新した対象、作業日時、作業後の確認結果を報告してもらいましょう。
PHP公式の10月23日の追加案内では、特定の設定や処理の組み合わせに関する情報が示されています。[3] 医院側がその設定を自己判断で変更するのではなく、管理会社に追加情報を提示して、自院での確認要否を聞く方法が適しています。
対応がまだ終わっていない場合には、次の事項を相談します。
| 状況 | 確認すること |
|---|---|
| 作業予定がある | 実施予定、影響する機能、医院側の確認担当 |
| すぐ更新できない | 理由、提供元が示す暫定対応、次の判断時点 |
| 他社の回答待ち | 問い合わせ先、回答予定、調整する担当者 |
| サービス停止が必要 | 停止範囲、患者案内、再開条件 |
更新に伴う互換性の確認は必要ですが、それを理由に期限を決めず保留することは避けたいところです。管理会社と、確認・作業・報告の予定を具体化します。
また、ニュースを見て院内からサーバー設定を変更したり、関係のないサイトまで一律に止めたりすることは控えましょう。対策は利用環境に応じて異なります。必要な判断と作業は、管理者・提供元の情報に基づいて進めます。
5．質問④ 対策の適用に加え、侵害の有無も調べましたか？
修正を適用することと、それまでに不正な操作を受けていないか調べることは別です。JPCERT/CCは、影響を受ける製品の利用者に対し、対策の適用と侵害有無の調査を求めています。[2]
制作会社には、「更新作業とは別に、侵害の有無について何を確認し、どこまで分かっていますか」と聞きましょう。調査対象や記録の状況によって、確認できることには違いがあります。
「異常が見つからなかった」という回答も、何を調べた結果なのかを確認します。画面を見ただけなのか、サーバーの記録なども調べたのかでは、確認範囲が異なります。調査が難しい場合は、その理由と専門会社へ相談する必要性を確認します。
不審な状態がある場合は、事前に決めた窓口へ連絡し、証拠となる記録を不用意に消さない対応が必要です。医院側だけで初期化やデータ削除を進めず、担当者の指示に沿ってください。
患者さん向けの説明でも、調査前に「情報漏えいはありません」と断定しないようにします。個人情報への影響が疑われる場合は、事実確認と併せて専門家へ相談し、必要な報告・通知等を検討する体制につなぎます。
6．質問⑤ 更新後、予約・問い合わせまで動作確認しましたか？
セキュリティ対応後の確認は、トップページが表示されるだけで終了しないようにしましょう。医院にとって重要なのは、患者さんが必要な情報にたどり着き、予約や相談を行える状態です。
確認には、架空の情報を使ったテストを用意します。実在の患者さんの病歴や連絡先を、動作確認のために入力する必要はありません。外部予約サービスを使う場合は、提供元とテスト方法を調整し、実際の予約枠を不用意に押さえないようにします。
| 確認項目 | 見るポイント |
|---|---|
| 診療案内 | スマートフォンで文字・画像・リンクが表示されるか |
| 予約導線 | 正しい予約先へ移動し、必要な画面が開くか |
| 問い合わせ | 送信結果と医院側への到着を確認できるか |
| 自動返信 | テストした連絡先へ案内が届くか |
| 採用応募 | 応募情報が正しい担当先へ届くか |
| 管理画面 | 必要な担当者が通常業務を行えるか |
テスト送信が実際の業務と混ざらないよう、関係するスタッフへ実施日時と件名を共有します。作業後には、誰がどの機能を確認したかを記録しましょう。
異常が見つかった場合は、患者さんが使う代替の連絡先と、修正する担当者を決めます。受付スタッフにも案内を共有し、「HPを見てください」と案内した先が利用できない状態を避けます。
7．制作会社への確認依頼は、この五つから
問い合わせをまとめるなら、次の内容を使えます。自院の契約に合わせて調整してください。
- 当院のHPと関連サービスで、PHPを使う箇所と管理者を教えてください。
- 今回の脆弱性の影響有無と、判断の根拠を教えてください。
- 対応内容・完了日時と、追加案内への確認状況を教えてください。
- 侵害の有無について調査した範囲と結果を教えてください。
- 更新後に確認した機能と、残っている課題を教えてください。
回答は、対応済み、対応予定、調査中に分けて記録すると整理しやすくなります。未完了の項目には、担当者と次の報告予定を付けましょう。
前回の記事では、院長が確認したいサイバー対策と委託範囲を整理しています。今回の対応を機会に、普段の保守契約で何を確認してもらえるかも見直すと、次の注意喚起への備えになります。
まとめ：HPが動くかと、対策が済んだかを分けて確認
今回のPHPの注意喚起に対しては、自院の利用環境、対策の実施状況、侵害有無の調査、更新後の機能確認を分けて整理することが大切です。
まずは制作会社やサーバー管理会社へ、五つの質問を送るところから始めましょう。院長が技術作業を抱え込む必要はありません。確認先と回答期限を明確にし、患者さんが使う予約・問い合わせの動作まで確かめることが、HPを継続して運用するための具体的な行動になります。
クリニックのHP運用・情報発信のご相談
Alplanでは、クリニックのホームページ運用や情報発信に関するご相談を承っています。HPの導線や担当者の役割分担、外部事業者との確認項目の整理は、下記フォームからお問い合わせください。技術的な脆弱性調査、侵害調査、復旧作業は、サーバー管理会社・専門機関と連携して進める必要があります。
代表・幸城裕樹の登壇動画（YouTube／メディカルトリビューン）
参考資料
[1] IPA「PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell）」（2026年10月22日公開）
https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html
[2] JPCERT/CC「PHPにおける複数の脆弱性に関する注意喚起」（2026年10月22日公開・更新）
https://www.jpcert.or.jp/at/2026/at260033.html
[3] The PHP Group「News Archive – 2026」（10月21日のセキュリティ案内、10月23日の追加案内）
https://www.php.net/archive/2026.php
※本記事は特定のクリニックやAlplanのサイトの安全性、対応完了、被害の有無を確認・保証するものではありません。
