歯科医院のホームページは大丈夫？PHP重大脆弱性から考えるWordPressの保守と静的サイトという選択肢

2026年10月21日、Webサイトの動作に広く使われているプログラミング言語「PHP」に、極めて深刻な脆弱性を修正する緊急アップデートが公開されました。

「歯科医院のホームページには関係ない」と思うかもしれません。しかし、医院サイトの制作に広く使われるWordPress（ワードプレス）はPHPで動いています。今回の問題は、ホームページが公開されている限り、医院の大小を問わず確認しておきたいものです。

この記事では、何が起きたのか、どんな被害につながる可能性があるのか、制作会社に何を確認すべきか、そしてWordPressを使い続ける場合と静的サイトへ移行する場合の考え方を整理します。

2026年10月、PHPで何が起きたのか

PHPの開発チームは10月21日、2件の深刻な脆弱性を修正したバージョンを公開しました。識別番号は「CVE-2026-109618」「CVE-2026-109619」で、どちらも深刻度はCVSS v4.0で9.2とされています。

脆弱性の悪用条件が整うと、ログインしていない第三者が、外部からサーバー上で不正なプログラムを実行できる可能性があります。これを「リモートコード実行（RCE）」と呼びます。PHPが扱うメモリ内の情報が漏れる可能性も指摘されています。

重要なのは、これが「WordPressの管理者パスワードが弱い」という話とは別だという点です。WordPressのさらに土台となるPHP側の問題であり、WordPress、Drupal、JoomlaなどPHPを使用するシステムにも影響し得ます。ただし、実際に攻撃が成功するかどうかは、PHPのバージョンや実行方式、設定などで異なります。

公開された修正版

PHP 8.1以前の系列は、PHP本家による通常のセキュリティサポートが終了しています。サーバー事業者が独自の修正を提供する場合もあるため、古いバージョン表記だけで未対策と断定せず、利用しているサーバー会社の対応状況を確認してください。

また、修正版へ更新しただけで、過去に侵入されていなかったことまで証明できるわけではありません。疑わしいアクセスや改ざんの兆候があれば、ログ調査などを依頼しましょう。

歯科医院のホームページにはどんなリスクがある？

医院のホームページは、単なるデジタル看板ではありません。患者さんは診療時間、アクセス、治療内容、採用案内などを確認し、サイトを通じて医院を判断しています。もし攻撃を受ければ、状況に応じて次のような影響が考えられます。

• ホームページの改ざん：診療案内や表示内容が勝手に変更される。
• 偽サイトへの誘導：訪問者を不審なページに飛ばしたり、不正な広告を表示させたりする。
• 問い合わせ情報の流出：サーバー上で扱う氏名、メールアドレス、相談内容などが漏えいするおそれがある。
• サイト停止・信用低下：公式情報にアクセスできなくなったり、感染したサイトとして警告されたりする。
• 復旧コスト：原因調査、ファイル復旧、再構築、関係者への連絡などの負担が生じる。

すべての医院でこうした被害が起きるという意味ではありません。また、公開用ホームページに脆弱性があることと、電子カルテ等の診療システムが侵害されることは同義ではありません。両者が分離されているか、データがどこに保存されているかによって影響範囲は変わります。

ただし、問い合わせフォームに治療相談や病歴などを入力させている場合は特に注意が必要です。医療に関する個人情報は慎重な取扱いが求められ、重大な漏えいが起きた場合には報告・本人通知などが必要になることがあります。

まず医院が確認したい5つのこと

1. 今のサイトはWordPressなのか。制作会社や管理会社に確認する。WordPress以外でもPHPを使うサイトはあります。
2. PHPとWordPressのバージョンは何か。「今回の脆弱性に対して修正済みか」をセットで確認する。
3. テーマとプラグインも更新されているか。PHPだけでなく、管理画面・追加機能の更新も必要です。
4. バックアップはあるか、復旧できるか。ファイルとデータベースのバックアップ、保存先、復元テストの実施状況を確認する。
5. 誰が継続して管理する契約になっているか。脆弱性情報の監視、緊急時の連絡窓口、作業費用まで確かめる。

制作会社にそのまま送れる確認文

いつもお世話になっております。2026年10月21日に公開されたPHPの重大な脆弱性（CVE-2026-109618、CVE-2026-109619）について、当院ホームページへの影響を確認したくご連絡しました。現在利用しているPHP・WordPressのバージョン、今回の脆弱性への対応状況、テーマ・プラグインの更新状況、バックアップと復旧手順、今後の緊急対応窓口についてご教示いただけますでしょうか。よろしくお願いいたします。

「大丈夫です」という返答だけでなく、何を確認し、どのように対応したかを簡単に説明してもらうことをおすすめします。

WordPressは使い続けてはいけないのか？

WordPressには、記事を追加しやすい、情報を自分たちで更新できる、制作会社を選びやすいといった利点があります。ニュースや症例紹介、採用情報などを頻繁に更新する医院にとって、今も有力な選択肢です。

ただしWordPressの運用では、サーバーのPHP、WordPress本体、テーマ、プラグインなど、複数の部品を継続的に保守する必要があります。プラグインを減らすことや自動更新を設定することは役立ちますが、それだけですべての問題が解決するわけではありません。

更新によってデザインや予約リンクが壊れることもあるため、更新前のバックアップと更新後の表示・フォーム確認までを一連の作業として考えましょう。

「制作費」だけでなく「継続管理費」まで考える

ホームページを作るときは、デザインや初期制作費に目が向きがちです。しかし、継続運用する限り保守も必要です。

• ドメインとサーバーの契約・更新
• PHP・WordPress・テーマ・プラグインのアップデート
• バックアップと復旧テスト
• 不正アクセスや障害の監視、緊急対応
• フォーム、予約導線、表示速度などの動作確認
• 担当者変更に備えた権限・契約情報の整理

必要な費用はサイトの機能や保守契約の範囲で大きく変わります。「月額○円なら安全」といった一律の金額はありません。安い管理費でも役割が明確なら合理的ですが、費用が発生していても実際の更新や監視が含まれていなければ十分ではありません。

選択肢はWordPressだけではない。「静的サイト」とは？

静的サイトは、主にHTML・CSS・JavaScriptなどのファイルを表示するWebサイトです。一般的な静的構成では、公開ページを表示するためにWordPressやPHP、データベースを常時動かす必要がありません。

そのため、PHPやWordPress本体・プラグインに由来する攻撃対象を減らせることが大きな利点です。一方、フォーム、予約、アクセス解析、外部ウィジェット、管理アカウントなどを使う場合には、それぞれの安全管理が引き続き必要です。「静的サイトなら絶対安全」ではありません。

医院のサイトは、どちらに向いている？

例えば、診療時間、アクセス、設備、スタッフ紹介、治療方針、数ページの診療案内が中心なら、静的サイトで十分なケースがあります。一方、日常的に大量の記事を投稿したり、会員機能・予約管理などをサイト内部で動かしたりするなら、CMSや別の仕組みを検討する方が合理的です。

AIを使えば、静的サイトへの移行も現実的に

近年はAIによるコード作成支援を使って、HTML・CSSの作成や文面の整理、サイト構成の検討を進めやすくなっています。Claude Codeなどのツールを利用して、既存サイトを参考に静的なページを作り直す方法も選択肢の一つです。

ただし、AIが生成したコードに誤りやセキュリティ上の問題がないとは限りません。公開前にはデザイン・スマートフォン表示・リンク・SEO設定・アクセシビリティ・フォームなどを確認し、必要に応じて専門家にレビューしてもらいましょう。

WordPressから移すときには、既存URLを維持するか301リダイレクトを設定すること、記事や画像の移行、サイトマップ、計測タグ、検索エンジンへの登録状況なども重要です。安全にしたつもりで検索流入が失われないよう、移行計画を立てて進めます。

医院として今後決めておきたい「Webサイト管理のルール」

技術的な判断が難しくても、医院側が次の項目を把握しておくことはできます。

• ドメイン・サーバーの契約名義と更新期限
• 管理会社・連絡先・緊急時の対応時間
• 更新担当者と点検の頻度
• バックアップの保存先と復旧方法
• フォームなどで取得する個人情報と保存場所
• 将来のリニューアル時にサイトデータを引き継げるか

サイトの運用を制作会社に任せることは問題ありません。しかし、「何を任せ、何が契約外なのか」は医院側でも理解しておきたいところです。Webサイトは一度作った設備ではなく、運用し続ける医院の情報資産だからです。

まとめ：歯科医院のホームページも、作って終わりにしない

今回のPHPの脆弱性は、ホームページの見た目が正常でも、裏側の技術が更新されているか確認する必要があることを改めて示しました。

WordPressを使うなら、更新・保守・バックアップに適切な費用をかけて安全に運営する。一方、医院サイトの役割がシンプルなら、AIを活用しながら静的サイトへの移行を検討する。どちらが正解かは、医院の目的と運用体制で変わります。

大切なのは、技術の名前ではなく「必要な機能を、安全に、無理なく維持できる構成」を選ぶことです。

シカストックでは今後も、歯科医院がAIやデジタル技術を活用して、ホームページ・院内資料・業務の仕組みを自分たちの資産として育てていくための情報をお届けします。

参考情報・一次情報

• PHP公式：2026年10月21日の緊急セキュリティアップデート
• CERT-EU：PHPの重大な脆弱性について
• WordPress公式：安全性を高めるためのガイド
• WordPress公式：更新とバックアップについて
• 個人情報保護委員会：医療機関における個人情報の取扱い

※2026年10月23日時点の公開情報をもとに作成。個別サイトの安全性は、使用環境や設定などの調査なしに断定できません。