医院・お店のホームページも他人事ではない PHP の脆弱性と WordPress の不正アクセス対策
公開日: 2026 年 10 月 23 日
医院やお店のホームページを、制作会社に作ってもらったあと、そのままにしていませんか。
ホームページの多くは「WordPress（ワードプレス）」というソフトと、「PHP（ピーエイチピー）」というプログラミング言語で動いています。どちらも古い版のまま放っておくと、ホームページの改ざんや不正アクセスの入り口になってしまいます。
この記事では、なぜ古いままだと危ないのか、実際にどんな被害が起きているのか、そして専門の知識がなくても今日から確かめられることを紹介します。
WordPress と PHP とは
- WordPress
ホームページを作ったり、お知らせを更新したりするためのソフトです。世界中の Web サイトの 約 4 割（39.6%）が WordPress で作られています。 - PHP
Web サイトを動かすために広く使われているプログラミング言語です。サーバー側の言語が分かる Web サイトのうち、約 7 割（69.3%）が PHP を使っています。実は WordPress も PHP で作られています。
（どちらも W3Techs の 2026 年 10 月時点の統計）
つまり、医院やお店のホームページも、WordPress と PHP で動いている可能性が高いということです。
古いまま放っておくと、なぜ危ないのか
PHP には「サポートの期限」がある
PHP には版ごとに、セキュリティの修正が受けられる期限があります。期限が過ぎた版は、新しく弱点（脆弱性）が見つかっても、もう直してもらえません。
| PHP の版 | セキュリティの修正が受けられる期限 |
|---|---|
| 8.1 以前 | すでに終了（8.1 は 2025 年 12 月 31 日まで） |
| 8.2 | 2026 年 12 月 31 日 |
| 8.3 | 2027 年 12 月 31 日 |
| 8.4 | 2028 年 12 月 31 日 |
| 8.5 | 2029 年 12 月 31 日 |
（PHP の公式サイトより。2026 年 10 月時点）
WordPress.org の統計では、WordPress で作られたサイトの 約 3 割が、すでにサポートの終わった PHP（8.1 以前）で動いています。さらに、8.2 も 2026 年末で期限を迎えるため、年が明けると 約 6 割 のサイトが、サポートの終わった PHP で動いている計算になります。
脆弱性の多くは「プラグイン」に見つかる
WordPress には、お問い合わせフォームや予約の受付などの機能を後から足せる「プラグイン」という仕組みがあります。便利な一方で、脆弱性の多くはこのプラグインに見つかっています。
セキュリティ企業の Patchstack によると、2025 年に WordPress で見つかった新しい脆弱性は 11,334 件。そのうち 91% がプラグイン、9% がテーマ（デザインのひな形）で、WordPress 本体はごくわずかでした。
また、よく狙われた脆弱性では、公表されてから最初に悪用されるまでの時間が、中央値で 5 時間 だったと報告されています。弱点が知られると、攻撃はすぐに始まるということです。
狙われるのは、大きなサイトだけではない
「うちのような小さな医院のホームページなんて、誰も狙わない」と思うかもしれません。
しかし、古い版のまま残っているホームページは、規模に関係なく狙われます。次に挙げるように、病院やカフェのホームページも実際に被害に遭っています。
実際に起きた被害
公表されている被害から、いくつか紹介します。
- 2018 年・徳島県鳴門病院
不正アクセスを受け、ホームページの管理画面に不正な投稿をされました。サーバーを初期化して作り直しています。 - 2021 年・国立成育医療研究センター
サイトに不正なファイルを置かれ、「激安」で検索すると、センターのドメインのページが多数出てくるようになりました。WordPress の ID とパスワードが推測しやすかったことが原因とされています。 - 2024 年・ホリーズカフェ（株式会社ホリーズ）
公式サイトが改ざんされました。サーバーの管理会社が古い版の WordPress を使っていて、脆弱性を悪用されたと公表されています。
（いずれも ScanNetSecurity の報道より）
ホームページが改ざんされると、見た人を偽のサイトへ誘導されたり、関係のない広告のページを作られたりします。患者さんやお客さんに迷惑がかかるだけでなく、医院やお店の信用にも関わります。
今日から確かめられること
難しい作業は、制作会社やサーバーの管理会社に任せて構いません。まずは、次のことを確かめてみましょう。
1. 誰がホームページを管理しているか
ホームページを作ったあと、WordPress やプラグインの更新を誰がしているか を確かめましょう。制作会社との保守契約に更新が含まれているか、含まれていないなら誰がするのかを、はっきりさせておくことが大切です。
先ほどのホリーズカフェの例のように、管理を任せていた会社のところで古い版が使われていた、ということもあります。
2. WordPress と PHP を新しい版に保つ
WordPress の管理画面にログインすると、更新があるものには通知が出ます。本体・プラグイン・テーマのすべて を最新の版にしましょう。使っていないプラグインやテーマは、止めておくだけでなく 削除する のがおすすめです。
PHP の版は、レンタルサーバーの管理画面で確かめたり、切り替えたりできることが多いです。8.1 以前なら、新しい版への切り替えを検討しましょう。
ただし、古いテーマやプラグインは、新しい版で動かなくなることがあります。更新の前にはバックアップを取り、不安があれば制作会社に相談してから 進めると安心です。
3. 管理画面のパスワードを見直す
管理画面の ID とパスワードが推測しやすいと、それだけで乗っ取られることがあります。
- パスワードは、長く、ほかで使っていないものにする
- 辞めたスタッフや、もう使っていない制作会社のアカウントは削除する
- できれば、スマホでの確認を組み合わせる「二段階認証」を設定する
より詳しく確かめたい方は、IPA（情報処理推進機構）の「安全なウェブサイトの運用管理に向けての 20 ヶ条」も参考になります。
待ち時間を、もっと自由に。順番待ちクラウド
システムは作って終わりではありません。 順番待ちクラウドでは、セキュリティの対策や、機能の追加・ソフトの更新などの作業を、すべてサービス側で行っています。 ホームページのように、自分たちで更新を気にかける必要がないので安心です。
また、順番待ちクラウドはホームページとは別に動くサービスなので、WordPress にプラグインを入れる必要もありません。管理画面に出る表示ページの URL と QR コードを使うだけで始められます。
まとめ
医院やお店のホームページも、WordPress や PHP が古いままだと、改ざんや不正アクセスの入り口になります。PHP にはサポートの期限があり、WordPress の脆弱性の多くはプラグインに見つかっています。
まずは、誰がホームページを管理しているかを確かめ、WordPress・プラグイン・PHP を新しい版に保つことから始めましょう。分からないことは、制作会社に遠慮なく聞いてみてください。
順番待ちクラウドを、無料のデモで試す
登録は不要です。管理画面と、待っている方が見る表示ページを、そのまま試せます。