2026年7月から8月にかけて、ホームページの作成・管理システムとして広く使われている「WordPress（ワードプレス）」本体に、重大なセキュリティ上の欠陥（脆弱性）が相次いで見つかり、修正版が立て続けに公開されています。7月には日本のIPA（独立行政法人情報処理推進機構）も注意喚起を出しており、実際に悪用した攻撃も確認されている状況です。

医療機関のホームページの多くはWordPressで作られています。「うちのサイトは大丈夫だろうか」と不安に感じている院長先生・ご担当者様に向けて、いま何が起きているのか、そして何を確認すべきかを、できるだけ分かりやすくまとめました。

そもそも「脆弱性」とは？

脆弱性（ぜいじゃくせい）とは、ソフトウェアに含まれるセキュリティ上の弱点のことです。住まいに例えるなら「鍵の構造に欠陥が見つかり、特殊な方法で外から開けられてしまう状態」に近いイメージです。

欠陥が見つかること自体は、実は珍しいことではありません。重要なのは、欠陥が見つかったあと、修正版（新しい鍵）にきちんと交換するかどうかです。交換せずに放置された家から順に、狙われていきます。

2026年7月〜8月、WordPressに何が起きているのか

この2ヶ月弱の間に起きたことを時系列で整理します。

ポイントは、1ヶ月足らずの間に3回もセキュリティ修正版が出ているという異例のペースです。しかも7月のwp2shellについては、公表からわずか数時間で攻撃の手口を再現するコードが出回り、翌日には本格的な攻撃が始まりました。「そのうち対応しよう」では間に合わない時代になっています。

医療機関のホームページが狙われると、何が起きるのか

「うちは小さなクリニックだから狙われない」と思われるかもしれませんが、こうした攻撃の多くは機械的・無差別に行われます。攻撃者は「古いWordPressを使っているサイト」を自動で探し出して攻撃するため、規模や知名度は関係ありません。

万が一ホームページが乗っ取られると、次のような被害が起こり得ます。

• サイトの改ざん：診療案内が書き換えられたり、不適切な内容やまったく無関係なページが表示されたりする
• 患者さんへの二次被害：偽サイトへの誘導や、ウイルスをばらまく仕掛けを埋め込まれる
• フォーム経由の情報流出：問い合わせフォームや予約フォームに入力された情報が抜き取られる恐れ
• 信頼の失墜と復旧の負担：「あそこのクリニックのサイトは危ない」という風評につながるほか、復旧作業や患者さんへの説明対応に多大な時間を取られる

医療機関のホームページは、患者さんが最初に触れる「医院の顔」です。だからこそ、被害が信頼に直結してしまいます。

今すぐ確認していただきたい3つのこと

1. WordPressのバージョンを確認する

WordPressの管理画面（ダッシュボード）にログインすると、現在のバージョンが確認できます。2026年8月20日時点の最新版は7.1です（6.9系をお使いの場合は6.9.6、6.8系は6.8.7が修正済みバージョンです）。

今回は例外的に、かなり古いバージョンの系統にまで修正が提供されています。「古いから更新できない」と諦める前に、まずは現状の確認をおすすめします。

2. 自動更新が「本当に」効いているか確認する

7月の深刻な脆弱性の際には、WordPress側が強制的な自動更新を実施しました。ただしIPAも指摘しているとおり、サーバーの環境や設定によっては自動更新が無効だったり、更新に失敗していたりするケースがあります。「自動更新だから大丈夫なはず」と思い込まず、管理画面で実際のバージョンを目で確認することが大切です。

あわせて、プラグイン（拡張機能）やテーマ（デザインテンプレート）の更新状況も確認しましょう。実は、WordPressの脆弱性の大半は本体ではなくプラグインやテーマで見つかっています。

3. 「誰が」ホームページを守っているのか確認する

意外と多いのが、「ホームページを作った会社と今は連絡が取れない」「保守契約を結んでいるのか分からない」「管理画面のログイン情報が手元にない」というケースです。

次のいずれかに当てはまる場合は、放置状態になっている可能性が高く、注意が必要です。

• 制作会社との保守契約がない、または契約内容が分からない
• ここ1年以上、ホームページを更新した記憶がない
• 制作会社に更新を依頼しても対応してもらえない、連絡がつかない
• WordPressの管理画面に誰もログインできない

「WordPressは危ないからやめるべき」ではありません

ここまで読むと「WordPress自体が危険なのでは」と感じるかもしれませんが、そうではありません。

WordPressは世界で最も使われているホームページシステムだからこそ、世界中の研究者やセキュリティ企業の目が向けられ、問題が見つかれば速やかに修正が届く仕組みが機能しています。今回のwp2shellでも、公表前から開発チーム・セキュリティ企業・サーバー事業者が連携して防御を準備し、修正版の公開と同時に一斉に保護が行き渡るよう動いていました。

本当に危険なのは、WordPressそのものではなく、更新されないまま放置されたWordPressです。修正版という「新しい鍵」が届いているのに、交換せずに古い鍵のままにしておくこと——それが最大のリスクです。

WordPressの脆弱性対応でお困りの医療機関様へ

「バージョンの確認方法が分からない」「更新したいが、サイトが壊れないか不安」「制作会社と連絡がつかず、誰に相談すればいいのか分からない」——そんなお悩みをお持ちの医療機関のご担当者様は、ぜひ遠慮なく私たちITreatにご相談ください。

弊社は医療機関専門のホームページ制作・運用会社として、これまで多数の医院・クリニックのサイトを支援してまいりました。現在の状況の確認から、安全なバージョンアップ、その後の継続的な保守まで、一貫してサポートいたします。

他社で制作されたホームページも、お引き受けできます

弊社では、サイトの移管受け入れサービスを行っています。他社様で制作されたホームページであっても、弊社がそのままお引き取りし、セキュリティ対策と日々の保守・更新を実施することが可能です。

• 「作ってもらった会社が廃業してしまった」
• 「今の制作会社が更新に対応してくれない」
• 「デザインは気に入っているので、作り直さずに中身だけ安全にしたい」

こうしたケースでも、サイトを一から作り直す必要はありません。まずは現状を拝見し、必要な対応をご提案いたしますので、お気軽にお問い合わせください。

まとめ

• 2026年7月〜8月、WordPress本体に深刻な脆弱性が相次いで公表され、修正版が3回リリースされている
• 公表から悪用までの時間は数時間〜1日と極めて短く、「即時の更新」が何よりの防御になる
• まずは「バージョン確認」「自動更新の確認」「保守体制の確認」の3点を
• 危険なのはWordPressではなく、放置されたWordPress
• ご不安な点があれば、他社制作のサイトも含めて、ITreatまでお気軽にご相談ください