PHPの重大な脆弱性「php2shell」について（当社制作サイトへの影響はありません）
2026年10月21日、ホームページを動かす仕組みとして広く使われているプログラム言語「PHP」に重大な脆弱性が公表されました（通称「php2shell」）。ニュースやSNSで目にされ、ご不安に思われた先生もいらっしゃると思いますので、当社から状況をご説明します。
はじめに結論を申し上げますと、当社が制作・管理しているホームページについて、今回の脆弱性による影響はありません。先生の医院側で急いで行っていただく作業もございません。
レンタルサーバー各社も、10月21日以降に緊急メンテナンスを行い、修正版の適用を順次進めています。当社でも、お預かりしているサイトについて、サーバー会社の告知と対応状況を確認しています。
php2shell とはどのような脆弱性か
PHPの開発チームが2026年10月21日に緊急で修正版を公開した、2件の脆弱性（CVE-2026-109618／CVE-2026-109619）の通称です。危険度はCVSS v4.0で9.2（緊急）と評価されています。
問題なのは、ログインなどの認証を必要とせず、外部から送られた1回のアクセスだけで、サーバー上で任意のプログラムを実行されてしまうおそれがあるという点です。悪用された場合、ホームページの改ざん、サーバー内のデータの抜き取り、他サイトへの攻撃の踏み台にされるといった被害につながります。
修正版は PHP 8.5.12／8.4.27／8.3.36／8.2.35 です。PHP 8.1以前のバージョンには、PHP公式からの更新は提供されていません。また、修正版の公開前に脆弱性の情報が流出したことから予定を繰り上げて公開された経緯があり、すでに攻撃の試みも観測されています。
影響を受けるのは「PHPで動いているサイト」です
今回の対象になるのは、PHPのプログラムでページを生成しているホームページやシステムです。歯科医院に関係しそうなものとしては、次のようなケースが該当します。
- WordPress でつくられたホームページ（WordPress自体がPHPで動いています）
- 自院でサーバーを借りて、問診票や予約の仕組みを動かしている
- 院内にサーバーを置いて、ウェブで使う業務システムを動かしている
- お問い合わせフォームが、サイト内のPHPプログラムで動いている
当社以外で制作されたホームページをお持ちの場合は、念のため一度ご確認いただくことをおすすめします。
ご確認いただきたいこと
1. サーバー会社からのお知らせを確認する
10月21日以降、エックスサーバーやさくらのレンタルサーバ、ロリポップ！など、多くのレンタルサーバー会社が緊急メンテナンスや修正版の適用を案内しています。管理画面や公式サイトの告知に、利用者側で行う作業が書かれていないかご確認ください。
2. PHPのバージョンを確認する
サーバーの管理画面でPHPのバージョンを確認し、修正版（8.2.35以降の各系統）が適用されたものになっているかをご確認ください。PHP 8.1以前をお使いの場合は公式の更新が提供されないため、新しいバージョンへの移行をご検討いただく必要があります。
3. サイトに不自然な変化がないか確認する
WordPressをお使いの場合は、管理画面に見覚えのない管理者ユーザーが追加されていないか、ページの表示が崩れていないか、知らないファイルが増えていないかをご確認ください。
ご不安なときはご相談ください
当社で制作・管理していないホームページについても、PHPのバージョンの確認方法や、サーバー会社の対応状況の整理など、状況を一緒に確認するお手伝いができます。「自院のサイトがどちらに当てはまるのか分からない」という段階で構いません。
お電話（025-250-5257／平日9:00〜18:00）またはお問い合わせフォームよりご連絡ください。ご相談は無料です。