PHPの重大な脆弱性（CVE-2026-109618/109619）は、自社サイトにも関係しますか？

WordPressなどPHPで動くサイトは対象になり得ます。問題はPHP本体にあるため、WordPressやプラグインが最新でも、土台のPHPが古ければ影響を受けます。PHP 8.1以前にはPHP公式の修正版がなく、サーバー会社の対応状況の確認か、8.2以降への移行が必要です。当社の無料チェックで、PHPのバージョンが外から見えていないかを確認できます。

PHPの更新や対策を代行してもらえますか？

はい。PHPとサーバーの状態確認、修正版・サポート中のバージョンへの更新と動作確認、バージョン表記や管理画面の保護などを承ります。まず無料チェックで現状を確認し、必要な対策とお見積りをご案内します。

緊急PHPの重大な脆弱性（10/21公表）。あなたのサイトは大丈夫？ ↓

元消防士 × AIによる「IT査察点検」

情報漏洩・サイト改ざん。
その原因は、放置された
ホームページの設定かもしれません

ホームページを持っていれば、業種や会社の大きさに関係なく狙われます。工務店・士業・店舗・製造業・クリニック・介護事業所など、すべての中小企業が対象です。ランサムウェア（データを人質に取られる攻撃）の被害の約6割は中小企業（警察庁の集計）。きっかけの多くは、管理画面が誰でも開ける状態や古いソフトの放置です。

ホームページのURLを入れるだけで、PHPの脆弱性への対応状況や、乗っ取り・改ざん・個人情報の漏洩につながる弱点がないかを無料でチェック。
見つかった弱点は「どう直せばいいか」までお伝えします。
令和6年度から医療・介護施設はBCP策定が義務化され、サイバー対策も求められています。

▶ 無料チェック：あなたのホームページは大丈夫？

URLを入れて「無料でチェック」を押すだけ。約10秒で、PHPの脆弱性（バージョンの露出）・管理画面の公開・SSL・古いソフトを、外から見える範囲だけ確認します。登録は不要です。

※ PHPのバージョン・SSL・管理画面の露出など、公開情報のみを確認します。ログイン試行や侵入は行いません（不正アクセス禁止法を遵守）。

消防局 8年

予防課・危険物・立入検査「点検の実務」

上場企業のAI実装支援

大手の現場でシステムを実装

最短2年で年商10億円規模

Web事業の集客設計（広告運用を含む）

放置は事業停止に直結します。管理画面の公開や古いソフトは、サイトの乗っ取り・ランサム被害・患者/顧客情報の流出のきっかけになります。気づいた"今"が、いちばん安く・早く直せるタイミングです。

北関東5県の中小事業者サイト 約23,000件 を実測（2026年8月）── 管理画面の外部露出 31.8%（3社に1社）を確認。累計 1,600社以上 のサイトを診断し、茨城・群馬の医療介護／建設 79社 にセキュリティ点検を実施。

LINEで詳細レポートを受け取る（無料）気になる項目を、そのまま無料で相談する

▼ 業界別に最適化されたページで詳しく見る

🏥 介護事業所向け ── BCP義務化対応 🏥 クリニック・診療所向け ── 立入検査対応 🏪 中小企業向け ── 補助金活用

緊急 ── 2026年10月21日公表／ PHPの重大な脆弱性

PHPの重大な脆弱性、あなたのサイトは大丈夫ですか？

PHPに重大な脆弱性が2件（CVE-2026-109618／109619、深刻度CVSS 9.2）見つかり、IPA・国家サイバー統括室・米CISAが注意喚起を出しています。報告では、ログインなしで外部からサーバー上のプログラムを実行される恐れがあるとされています。WordPressなどPHPで動くサイトが対象になり得て、WordPressやプラグインが最新でも、土台のPHPが古ければ影響を受けます。修正版は PHP 8.2.35／8.3.36／8.4.27／8.5.12。PHP 8.1以前にはPHP公式の修正版がありません。

北関東の企業サイトを調べた結果（2026年10月・当社実測）

約44%

WordPress（＝PHP）で動いている
（点検済み約2.1万社）

8.5%

PHPのバージョンが
外から見える（無作為1,200社）

83%

見えたサイトのうち
PHP 8.1以前（公式の修正なし）

約7%

全体のうち、見えた上で
古いと確定したサイト

※ 公開情報（HTTPヘッダー）で確認できた範囲の数字です。バージョンを隠しているサイトの実際のバージョンは分からないため、「見えたサイトの割合」であり、全体の割合ではありません。工務店4県の営業先276社の再点検でも、ほぼ同水準（見えた8.7%・うち8.1以前79%）でした。個別の企業名は公開していません。

あなたのサイトは、どれに当てはまりますか？

状態	やること
PHP 8.2〜8.5で、修正版（8.2.35／8.3.36／8.4.27／8.5.12）に更新済み	対応済み。念のため、バージョン表記が外から見えないようにする
PHP 8.2〜8.5だが、修正版かどうか分からない	サーバーの管理画面で、バージョンを確認して更新する
PHP 8.1以前（7.4・5.6など）	公式の修正版はありません。サーバー会社に対応状況を確認するか、8.2以降へ移行する
バージョンが分からない	上の無料チェックで、外から見える情報を確認する。分からなければ制作会社・サーバー会社へ

PHP対策、まるごとお任せください

「何をすればいいか分からない」「制作会社と連絡が取れない」というご相談も、対応しています。

① PHP・サーバーの状態確認（バージョン・対応状況）
② 修正版・サポート中のバージョンへの更新と、動作確認（WordPress・プラグインの互換チェック含む）
③ バージョン表記の非表示、管理画面の保護などの設定
④ 万一に備えたバックアップと、ログの確認

まず無料でチェックする PHP対策を相談・依頼する自分でやる手順を読む

費用はサイトの構成により異なります。まず無料チェックで現状を確認し、必要な対策とお見積りをご案内します。無理な営業はしません。

ニュースの要点と確認の3ステップを読む →

SECTION 00 ── FIELD SURVEY 2026

北関東約2万3千社を、私たち自身で実測しました

「よそはどうなのか」を推測ではなく数字で示すため、群馬・栃木・茨城・埼玉・千葉北西部の中小事業者の公式サイト約23,000件について、外部から見える範囲のセキュリティ状態を実測しました（2026年8月）。公開URLへの通常アクセス（GET）で確認できる範囲のみを対象とし、ポートスキャンや認証突破など不正アクセスにあたる行為は一切行っていません。

31.8%

管理画面（ログイン画面）が
外部に露出 ── 3社に1社

53.5%

サイト作成ソフトの
旧バージョンが露出

91.5%

通信の盗み見対策(CSP)
が未設定

98.8%

何らかの要改善あり
（問題なしは約1%）

業種	管理画面の露出	ソフトのバージョン露出
工務店・建設	36.3%	59.7%
士業（税理士・行政書士等）	31.1%	52.9%
医療・介護	28.7%	50.0%
製造業	24.1%	47.6%
不動産	22.8%	41.2%

※ 対象：工務店・士業・不動産20,317件／医療・介護1,767件／製造業1,112件（合計約23,200件）。数字は自社実測（2026年8月）。参考：2025年のランサムウェア被害は中小企業が約6割を占め、復旧に1,000万円以上を要した組織が半数超（警察庁調べ）。

見本 ── 点検するとこう出ます

あなたのサイトはどちらですか？

上の無料チェックにドメインを入れると、数秒でこのような結果が出ます。「危険な例」と「満点の例」を並べました。まずは無料で、自社サイトを点検してみてください。

⚠️ 危険な例 44/100

✕ 使用ソフトのバージョン露出 ← WordPress 7.0.2 が外から分かる
✕ 管理画面（ログイン画面）の露出 ← /wp-login.php が誰でも開ける状態
! サーバー情報の露出 ← PHPのバージョンが外から分かる
! HSTS / クリックジャッキング / CSP ← 未設定
+ 常時SSL（HTTPS） ← OK

要確認 7件。各項目に「直し方」も表示され、そのまま無料相談へ進めます。

✅ 満点の例 100/100

+ 常時SSL（HTTPS）
+ HTTPSの常時強制（HSTS）
+ なりすまし操作対策（クリックジャッキング）
+ コンテンツの読み込み制限（CSP）
+ ソフトのバージョン露出なし ／ 管理画面の露出なし

要確認 0件。外から見える範囲は合格。※当社サイトも実際にこの状態です。

はじめての方へ ── 30秒でわかる

そもそも、何が危ないの？

「うちは小さいから狙われない」「ITは業者任せで大丈夫」── 実は、これが一番危ない考え方です。むずかしい言葉は使いません。情報漏洩が起きる流れを、3つだけ覚えてください。

🚪

① 弱点が放置されている

管理画面が誰でも開ける、ソフトが古いまま ── 攻撃者は、そういうサイトを機械的に探して侵入します。

🔥

② 被害が社内に広がる

一度入られると、サイトの改ざんだけでなく、社内のPCや顧客・患者情報にまで被害が広がります（データを暗号化して身代金を要求する「ランサムウェア」など）。

💰

③ 被害は数千万〜数億円

個人情報が漏れる・業務が止まる。復旧費用とお客様からの信用の損失が一気にのしかかります。

❌ よくある誤解	⭕ 実際は…
「うちは小さいから狙われない」	むしろ逆。2025年、宇都宮の一般クリニックで患者情報最大30万件が流出。情シス担当を置けない小さい施設ほど狙われやすい。
「ホームページは業者任せだから安心」	業者によって保守はバラバラ。更新やセキュリティ対策が契約に含まれず、穴が放置されがち
「ウイルス対策ソフトを入れてるから大丈夫」	ウイルス対策ソフトでは防げない、ホームページの設定ミス・古いソフトを突く侵入が今の主流
「外周点検が異常なしなら、もう安全」	それは「外から見える部分」だけ。社内・院内の点検も必須

SECTION 01 ── RISK REALITY

なぜ今、セキュリティチェックが必要なのか

情報漏洩のニュースが毎月のように流れています。「起きてから」の対応は、コストも時間も桁違いです。医療・介護施設を狙ったサイバー攻撃は増え続け、経営存続を揺るがす事態になっています。

30万件

2025年宇都宮の一般クリニックで
患者情報が流出（最大）

数億円

ランサムウェア被害時の
想定損失（中小施設）

50%

訪問看護ステーションで
管理画面が外から開けた割合

令和6年度

BCP策定の義務化
未対策は「経営リスク」

🏥 栃木県・宇都宮セントラルクリニック（2025年2月）

一般クリニックで患者情報最大30万件が流出か

ランサムウェア攻撃で電子カルテなど院内システムが使用不能に。患者・健診受診者の氏名・生年月日・診療情報などが外部流出した可能性があると公表。「大病院ではない普通のクリニック」がここまで被害を受けた象徴的な事例です。

🏥 大都市圏・個人立の無床診療所（日医総研報告）

小さな診療所も「VPNの穴」から侵入された

情報システム担当を置けない小規模な診療所が、VPN機器の脆弱性を突かれて侵入され、電子カルテだけでなく人事・経理のデータまで暗号化されました。「うちは小さいから大丈夫」が通用しないことを示す事例です。

🏥 大阪急性期・総合医療センター（2022年10月）

「委託業者」経由で侵入され73日間停止

給食委託業者のVPN機器の脆弱性を突かれて侵入。診療システムの全面復旧まで約73日、被害は十数億円規模に。「ITは業者任せ」でも、その業者が侵入口になり得ることを示しています。

被害は「全国」で起きている ── 大病院だけではありません

過去に医療機関が外部からのサイバー攻撃を受けた地域です（誤送信などの人的ミスは除き、攻撃のみを集計）。大阪・徳島・愛知・千葉…と全国に散らばり、町のクリニックから大学病院まで規模を問いません。「地方だから」「小さいから」は通用しません。

医療機関が外部からのサイバー攻撃を受けた都道府県を件数で色分けした日本地図。大阪が最多5件、徳島・愛知・千葉が各3件など全国14都道府県

27件

医療機関への外部攻撃

14都道府県

全国に拡大

凡例（色の濃さ＝被害件数）

5件 ── 大阪

3件 ── 徳島・愛知・千葉

2件 ── 奈良・石川

1件 ── 岡山・神奈川・栃木・静岡・岐阜・東京・福島・秋田

※ 国内外86件の被害事例から医療分野（27件）を抽出。海外1件（米 Change Healthcare）等は地図外。出典は厚生労働省報告書・各院公表・報道。医療機関名は二次被害防止のため伏せています。

攻撃者はどこから入ってくるのか ── 実際の「侵入口」ワースト

国内外86件の被害を分析すると、攻撃者が使う「入口」はほぼパターンが決まっていました。むずかしい言葉を抜きにすると、こうです。

🔑23件

ID・パスワード破り

単純・使い回しのパスワードが突破口

🤝14件

取引先・委託先から

業者経由で巻き込まれる

🎣6件

偽の警告でだます

電話させ遠隔操作させる

🚪5件

古いVPN・機器の穴

更新されず放置された機器

🌐5件

サイトの穴・改ざん

古いソフト・公開された管理画面

入られた後の結末がランサムウェア（全データ暗号化）＝86件中25件。
外周点検（Lv.1〜2）は、外から見える弱点（🚪古いVPN・🌐サイトの穴・公開された管理画面）を、攻撃者より先に見つけて直すためのものです。VPNは件数こそ少なくても、半田病院・大阪のように被害は最大級です。

⚠ これは「病院だけ」の話ではありません。
EC・ホテル・製造・学習塾・銀行…顧客名簿を持つ会社はすべて標的です。実際、KADOKAWA・アスクル・公文（最大約75万人分）のような大手でさえ防げていません。「うちは小さいから関係ない」が、いちばん危険な思い込みです。

消防の世界では「火災は起きてからでは遅い」という鉄則があります。だからこそ私たちは年に1度、定期的な査察点検を行い、「もし火が出たら延焼する恐れのある箇所」を未然に除去します。

ITも同じです。弱点（脆弱性）を直しておく費用は数万円ですが、侵入されてからの被害回復費用は数千万〜数億円規模になります。点検は「コスト」ではなく「安全対策」です。

SECTION 02 ── INSPECTION LEVELS

消防点検から応用した5段階のセキュリティチェック

消防署の「予防」での経験をもとに構築した、独自の点検スキームです。「外側から順番に、リスクを判断しながら調査する」という消防点検の論理をそのままITに適用しています。ほとんどの施設はレベル1〜2の無料・低コスト点検だけでも、重大なリスクを発見できます。

レベル	診断内容	消防での例え	リスク	費用感
Lv.1 外周目視	公開情報の収集（SSL証明書、管理画面の露出、HTTPヘッダーなど）	建物の外観点検（ゴミの放置、扉の破損など）	ゼロ	無料
Lv.2 軽検査	入口の戸締まり確認（ポートスキャン）・使用ソフトウェアの特定・旧バージョン検出	外部の安全性確認、ドアを叩いて回る、鍵の型番確認	極低	数万円〜
Lv.3 精密診断	非破壊的な脆弱性スキャン・セキュリティの弱い部分がないか評価・厚労省ガイドライン照合	鍵穴を覗き、内部の欠陥を特定	低	数十万円〜
Lv.4 疑似検査	疑似的に侵入を試し、突破できる弱点がないか確認（認証突破の試行）	建物内部の安全性の確認	中〜高	要相談
Lv.5 破壊検査	負荷テスト・ストレス下での状況確認	大切なデータや資産等が失わないように保管されているか？	確実	要相談

SECTION 03 ── LATERAL MOVEMENT

被害が広がる仕組み ── サイトは社内システムと繋がっている

「ホームページは専門業者に任せているから、カルテシステムとは別なので安心」
── この思い込みが、施設全体の「全焼」を招く最大のリスクです。

1棟の建物の中を火が伝って広がる延焼のメカニズム。①ホームページの弱点から侵入し、②管理PC・サーバーを踏み台に、③電子カルテ・介護記録まで燃え広がる

※ 侵入のきっかけになるのは、管理画面URL（/wp-admin など）の公開・古いVPN装置・古いCMS（サイト作成ソフト）の弱点などです。きっかけは小さくても、サイト管理PCが院内Wi-Fiに繋がっていれば、そこを踏み台に電子カルテ・介護記録まで到達し、すべてを暗号化（ランサムウェア）して身代金を要求されます。

消防の世界では、「小さな火種」が建物全体に広がる「延焼」が最も危険とされています。 ITの世界でも同様です。最初の弱点は小さくても、中に入られれば歯止めが効かなくなります。

だからこそ「外周目視点検（Lv.1）」から始めることが重要なのです。 外から見える弱点を先に直すだけで、多くのリスクを未然に防げます。

SECTION 04 ── 外と中は別物

「外」がOKでも、「中」は別。
両方の点検が必要です

ホームページ（外）の点検と、院内・社内ネットワーク（中）の点検は、まったくの別物です。玄関の鍵を確認しても、家の中の金庫が無防備なら意味がありません。「外がOK ＝安全」ではないことを、わかりやすく整理しました。

クリニックの断面イラスト。外から見るとOKに見えるが、中ではキャビネットがこじ開けられ、カルテ・個人情報が盗まれている

この絵の意味： 外（ホームページ）は、外から見ると「安全そう」に見えます。ところが一度弱点を突かれて中に入られると、カルテや個人情報が入った棚はこじ開けられ、根こそぎ盗まれます。
外周点検が「異常なし」でも、それは外側が無事なだけ。中まで点検して初めて、この絵のような被害につながる弱点がないか（盗まれやすい状態でないか）を確かめられます。

	🌐 外（ホームページ・入口）	🏥 中（院内ネット・PC・カルテ）
たとえると	建物の玄関・外壁・看板（誰でも見える部分）	部屋・金庫・カルテ保管室
点検レベル	Lv.1 Lv.2 外周点検（無料〜）	Lv.3〜Lv.5 内部診断
わかること	管理画面が公開されていないか／ソフトが古いままでないか	侵入されても被害が広がらないか／カルテが守られているか
外がOKでも…	玄関が無事なだけ	中は未チェック。必ず点検が必要

⚠ よくある勘違い：「無料点検で異常なしだったから、もう安心」

外周点検で「異常なし」でも、それは玄関が無事なだけです。玄関が無事でも、窓やガレージから入られることがあるのと同じです。本当に守るべき「中（電子カルテ・利用者情報）」が安全かどうかは、中の点検をして初めてわかります。外と中、両方そろって初めて「安全」です。

FAQ ── よくある質問

はじめての方からのご質問

ホームページのセキュリティ診断は本当に無料ですか？

はい。Lv.1の外周点検（SSL・管理画面の露出・CMSの状態など、公開情報の範囲での確認）は完全無料です。費用が発生するのは、詳細な点検や改善のご依頼をいただく段階からで、無料点検後の営業の押し売りはしません。

小さな会社・クリニックでも狙われますか？

はい、規模は関係ありません。攻撃の多くは自動化されており、「管理画面が開いている」「CMSが古い」サイトを機械的に探して侵入を試みます。警察庁の集計でも、ランサムウェア被害の約6割は中小企業とされています。

点検することで、サイトに負荷や影響はありますか？

ありません。誰でも閲覧できる公開情報の範囲だけを確認し、ログイン試行や侵入行為は一切行いません（不正アクセス禁止法を遵守）。

どんな点がわかりますか？

SSL（https）の状態、WordPress等の管理画面が外から開けるか、CMSのバージョンが露出していないか、セキュリティヘッダーの設定などを確認し、優先度順にお伝えします。

制作会社に任せているのですが、依頼できますか？

はい。制作会社の変更は不要で、現状の確認と、制作会社へ伝えるべき修正点の整理から対応できます。

情報漏洩・サイト改ざん。
その原因は、放置された
ホームページの設定かもしれません