【緊急警告】第１章　医療機関のホームページがサイバー攻撃の入口に？「PHP2Shell」の重大脆弱性が発覚——患者情報と診療を守るために今すぐ確認すべきこと

1 時間前

読了時間: 3分

公開日：2026年10月23日｜医療機関向けサイバーセキュリティ緊急情報

病院・クリニック・歯科医院・調剤薬局の経営者、院長、事務長、ホームページ管理担当者の皆様へ。

2026年10月21日、世界中のWebサイトで広く利用されているプログラミング言語「PHP」に、極めて深刻な2件のセキュリティ上の欠陥があることが公表されました。

この問題は「PHP2Shell（ピーエイチピー・トゥ・シェル）」と呼ばれています。

今回の脆弱性で特に警戒すべきなのは、攻撃者がIDやパスワードを知らなくても、条件がそろえばWebサーバー上で不正なプログラムを実行できてしまう可能性があるという点です。

脆弱性の深刻度を示すCVSS v4.0の評価は9.2。PHP公式は、利用者に対して直ちに修正版へ更新するよう呼びかけています。

医療機関にとって、これは単なるホームページの問題ではありません。

ホームページと予約システム、問い合わせフォーム、患者向けサービス、院内ネットワークの管理が適切に分離されていなければ、被害がほかのシステムへ広がる恐れがあります。

医療機関が真剣に考えなければならないのは、次の3つのリスクです。

ただし、PHPを利用しているだけで患者情報が漏えいするわけではありません。電子カルテなどへの被害も、システムの接続関係やアクセス権限によって異なります。

重要なのは、被害が起きてから対応するのではなく、被害が発生する前に自院のシステムを確認することです。

第1章　PHP2Shellとは何か？なぜ世界中が警戒しているのか

PHPとは、ホームページやWebサービスの裏側でさまざまな処理を行うプログラミング言語です。

例えば、医療機関のホームページに使われることが多いWordPressも、PHPを利用して動作しています。

患者が医療機関のホームページを開いたとき、その裏側ではPHPがページを生成したり、フォームの入力を処理したりしています。

今回の問題は、WordPressの特定のプラグインだけに存在する不具合ではありません。

PHPという基盤そのものに発見された問題です。

そのため、WordPressだけでなく、PHPで動作するさまざまなWebサイトやアプリケーションに影響する可能性があります。

今回公表された脆弱性は次の2件です。

これらの欠陥は、特定のサーバー構成で認証を必要としない遠隔コード実行（RCE）につながることが確認されています。

RCEとは、簡単に言えば、外部にいる攻撃者が、サーバーに本来実行させてはいけない命令を実行させることです。

例えるなら、病院の建物には厳重な鍵がかかっていても、建物を管理する設備そのものに欠陥があり、外部から不正な操作を受ける可能性がある状態です。

特にApacheのmod_php構成では、アプリケーションの処理が始まる前の段階で攻撃が成立するケースが確認されています。一方、すべてのPHP環境で同じ手順の攻撃が成立すると確認されたわけではありません。

PHP公式は、PHP-FPMなどを含むWeb向けPHP環境にも更新を強く推奨しています。