PHP の脆弱性、エックスサーバーなどレンタルサーバー各社の対応状況まとめ

※2026年10月23日時点の情報です。各社のお知らせが更新されたら、この記事も更新します。

2026年10月21日に公表された PHP の重大な脆弱性（CVE-2026-109618／109619、通称 php2shell）を受けて、エックスサーバー・さくらのレンタルサーバ・ロリポップ！など、国内のレンタルサーバー各社が修正の作業をしました。対応の中身は、修正を終えた時刻・古いバージョンの扱い・利用者へのお願いなど、会社ごとにさまざまです。

レンタルサーバーでは、PHP（HPを動かすプログラムの言語）をサーバー会社が管理しています。契約先の対応と自社の PHP のバージョンを把握すると、自分で何をすればよいかを迷わず判断可能です。

本記事では、エックスサーバーをはじめ9社の対応状況・自社のサーバーが対象かを確かめる4つの手順・作業不要でもやっておくことをまとめています。さらに、PHP を上げられない古いHPの選択肢と、管理会社に相談するときに伝えることも紹介します。

PHP の脆弱性へのエックスサーバーなどレンタルサーバー各社の対応【早見表】

PHP の脆弱性に対して、エックスサーバーなど主要なレンタルサーバー各社は、2026年10月22日中に修正の適用を終えたと発表しています。多くの会社は利用者の作業を不要とする一方、古いバージョンの利用者に切り替えを求める会社もあります。

自社の契約先の対応を知ることが、利用者のやることを決める出発点です。ここでは、9社の対応を早見表で比較したうえで、サーバー会社が動いた理由と緊急メンテナンスの意味を解説します。

サーバー会社	修正の完了（各社の発表）	PHP 8.1 以前	表示される番号	利用者の作業
エックスサーバー	8.2〜8.5：10/22 6:45、7.4〜8.1：同12:00、5.6〜7.3：同14:00	5.6 以上は修正済み。5.5 以下は作成・検証中	8.2〜8.5 は修正版の番号。5.6〜8.1 は変わらない	急いで変える必要なし
ConoHa WING	10/22 20:45	提供中の全バージョンに適用	変わらない	不要
お名前.com レンタルサーバー	10/22 20:45	提供中の全バージョンに適用	変わらない	不要
さくらのレンタルサーバ	提供中の PHP に適用済み	提供中のサポート終了版にも適用	お知らせに記載なし	サポート対象の最新版をすすめる
ロリポップ！	10/22	7.4〜8.1 は開発元の修正コード、5.3〜7.3 は自社で作った修正	8.2〜8.5 は修正版を適用	8.2 以降への切り替え・動作確認
heteml	10/22（サイトの表示は11:24ごろ再開）	7.4〜8.1 は開発元の修正コード、5.6〜7.3 は自社の対策	8.2〜8.5 は修正版を適用	8.2 以降への切り替え・動作確認
mixhost	10/22 10:18ごろ	5.2〜8.5 に CloudLinux の修正パッケージ	変わらない	不要（8.2 以上をすすめる）
KAGOYA（レンタルサーバー）	7.4〜8.5 を10/22 24時に完了見込み（10/23 12:30 の更新）	7.4・8.1 も対象	お知らせに記載なし	記載なし
Zenlogic	7.4〜8.5 のサーバーは10/22 8:00 に再開	5.3 は最新版へ上げた。7.4・8.1 は修正を適用	系統によって変わる	PHP のバージョンと動作の確認

※2026年10月23日時点・各社の公式のお知らせより。時刻はすべて日本時間。各社のお知らせを要約したもので、正確な文言は各社のページで確かめてください

早見表のとおり、「作業不要」の会社でも PHP 8.1 以前の修正は応急処置という扱いは共通です。以下では、サーバー会社が動いた理由から順に解説します。

PHP の脆弱性でサーバー会社が修正に動いた理由

レンタルサーバー各社が一斉に動いたのは、PHP の脆弱性がログインなしで外部からプログラムを実行される恐れのあるものだったからです。PHP の開発元は 8.5.12／8.4.27／8.3.36／8.2.35 で修正しましたが、PHP 8.1 以前には通常の修正版を出していません。

たとえば、レンタルサーバーでは1台のサーバーに多くの利用者のサイトが載っています。PHP はサーバー会社が管理しているため、利用者の代わりにサーバー会社が修正を当てる必要がありました。国内でも、IPA と JPCERT/CC が2026年10月22日に注意喚起を出しています（IPA、JPCERT/CC）。

ただし、サポートが終わった PHP 8.1 以前への修正は、各社が開発元の最小限の修正コードや自社で作った修正で手当てしたものです。脆弱性そのものの説明はPHP の重大な脆弱性、中小企業のHPで今やることにまとめています。

緊急メンテナンスで止まったことは被害を意味しない

レンタルサーバー各社の緊急メンテナンスは、攻撃を防ぐための予防の措置です。修正版の公開前後は攻撃が始まりやすく、管理画面などの入口を先に閉じる必要があったためです。

たとえば、エックスサーバーは今回の対応が不正アクセスの発生によるものではないと明記しています。さくらインターネットは、2026年10月23日17時時点で、脆弱性を悪用した不正アクセスや情報漏えいの被害は報告されていないとしています。

ただし、ロリポップ！は脆弱性を狙ったとみられるアクセスの試みを確認したと報告しています（不正アクセスや情報漏えいは確認されていないとのことです）。自社のサイトに異変がないかは、修正のあとに確かめておきましょう。

エックスサーバーの PHP の脆弱性への対応

エックスサーバーは、PHP の脆弱性の公表前から管理画面などを止め、2026年10月22日14時までに PHP 5.6〜8.5 の修正を終えました。利用者が今回の対策のために、PHP のバージョンを急いで変える必要はないと案内しています（エックスサーバー）。

エックスサーバーは利用者が多く、管理画面の停止や再開の状況に関する問い合わせも集中しました。ここでは、停止から再開までの流れ・系統ごとの修正・利用者のやることの3つを解説します。

エックスサーバーの停止から再開までの流れ

エックスサーバーは、10月21日16時に管理画面などを予防的に止め、22日の朝から順に再開しました。修正版が出る前に、攻撃の入口になりうる画面を閉じておくためです。

たとえば、停止から再開までは次の流れで進みました。

日時（2026年10月）	できごと
21日12時まで	脆弱性の発表前に、攻撃のリスクを下げる措置を適用
21日16時	サービスサイト・サーバーパネル・WEBメール・ファイルマネージャなどを一時停止
21日23時ごろ	PHP の修正版と脆弱性の詳細が公開される
22日6時45分	PHP 8.2〜8.5 の対象サーバーすべてに修正を適用
22日9時30分〜	アカウント管理画面や各種機能を順次再開
22日12時	PHP 7.4〜8.1 の修正を適用
22日14時	PHP 5.6〜7.3 の修正を適用
22日20時10分〜	各種サービスサイトを順次再開
23日16時20分時点	各機能が再開（サーバーパネルなどに一部メンテナンス中の機能あり）

※2026年10月23日時点・エックスサーバーのお知らせより

ただし、10月23日13時15分の追記では、再開後に管理画面へアクセスが集中し、表示されない・遅い状況が続いているとしています。管理画面が開かない場合は、時間をおいて試してください。

エックスサーバーの系統ごとの修正と表示されるバージョン

エックスサーバーでは、PHP の系統によって、修正後に表示される番号が変わるかどうかが違います。PHP 8.2〜8.5 は同じ系列の修正版に更新し、PHP 5.6〜8.1 はバージョンを変えずに対策したと説明しているためです。

系統ごとの扱いは、以下のとおりです。

使っている系統	エックスサーバーの対応	表示される番号
PHP 8.2〜8.5	同じ系列の修正版に更新	修正版の番号（8.2.35 など）
PHP 5.6〜8.1	バージョンを変えずに対策	以前と同じ
PHP 5.5 以下	修正の作成・検証を継続中	―

※2026年10月23日時点・エックスサーバーのお知らせより

上の表のとおり、PHP 8.1 以前を使っている場合は、番号が以前と同じでも修正は当たっています。一方、PHP 5.5 以下は対応時期が示されていないため、早めに新しい系統へ移る判断が必要です。

エックスサーバーの利用者がやること

エックスサーバーの利用者は、今回の脆弱性のために急いで PHP を切り替える必要はありません。サイトの表示やメールの送受信には影響がなく、サーバーは動き続けていたとしています。

たとえば、利用者が確かめておきたいことは以下のとおりです。

• 使っている PHP の系統（8.1 以前か、8.2 か、8.3 以降か）
• エックスサーバーからの追加の案内のメール
• PHP 5.5 以下を使っていないか

ただし、エックスサーバーは、利用状況によっては追加の対策を頼む場合があるとしています。PHP を上げる手順はエックスサーバーで PHP を上げる手順と注意点で解説しています。なお、シン・レンタルサーバーや XServerビジネスなど同じグループの別サービスは、各サービスのお知らせを確かめてください。

ほかのレンタルサーバー各社の PHP の脆弱性への対応

エックスサーバー以外のレンタルサーバーも、2026年10月22日中に修正を適用しました。ただし、表示される番号や利用者へのお願いは会社ごとに違います。

契約先のお知らせを読む前に、各社の方針の違いを知っておくと読み違えを防げます。ここでは、7社の要点を会社ごとに解説します。

ConoHa WING・お名前.com レンタルサーバー

ConoHa WING とお名前.com レンタルサーバーは、利用中のバージョンのまま、提供中のすべての PHP に修正を当てました。バージョンを上げずに、修正のプログラムだけを組み込む方式です。

たとえば、修正後も「8.5.11」「8.2.34」のように以前と同じ番号が表示されます。WordPress の「サイトヘルス」で修正版の番号（8.5.12 など）が出なくても、修正は全バージョンに適用済みと案内しています（ConoHa WING、お名前.com）。

ただし、利用者の作業は不要とされていても、PHP 8.1 以前のサポートが終わっていることに変わりはありません。お名前.com の対象プランは、ベーシック・RSプラン・AIホームページパックです。

さくらのレンタルサーバ

さくらのレンタルサーバは、提供中の PHP に修正を適用し、提供しているサポート終了版にも修正を当てました。修正版の公開前の10月21日22時30分から、予防の緊急メンテナンスをしています（さくらインターネット）。

たとえば、さくらインターネットのお知らせでは、サービスごとに次のように説明しています。

サービス	対応
さくらのレンタルサーバ	提供中の PHP とサポート終了版に修正を適用。サポート対象の最新版の利用をすすめる
さくらの VPS	サービスの仕組みに PHP を使っておらず影響なし。VPS の中の PHP は利用者が更新
さくらのクラウド	必要な対応は完了（一部機能は停止中）

※2026年10月23日17時30分時点・さくらインターネットのお知らせより

ただし、サポート終了版は今後も新しい脆弱性が見つかる可能性があるとして、さくらインターネットは最新版への切り替えをすすめています。

ロリポップ！・heteml

ロリポップ！と heteml は、修正を当てたうえで、利用者に PHP 8.2 以降への切り替えと動作確認をお願いしています。PHP 8.1 以下への今回の対策は応急的なもので、今後の脆弱性には対応できない可能性があるためです（ロリポップ！）。

たとえば、ロリポップ！が利用者にお願いしていることは、以下のとおりです。

1. PHP 8.2 以降への切り替え（ユーザー専用ページの［サーバーの管理・設定］→［PHP設定］からドメインごとに変更）
2. WordPress 本体・プラグイン・テーマが最新か、長く更新が止まったものがないかの確認
3. サイトの表示・問い合わせフォーム・ファイルのアップロードの動作確認

ただし、両社はすべてのバージョンで session.upload_progress（ファイルのアップロードの進み具合を伝える機能）を無効にしています。heteml も、修正が終わるまで一部のサーバーで利用者のサイトの表示を止め、11時24分ごろに再開したと報告しています（heteml）。

mixhost

mixhost は、PHP 5.2〜8.5 に CloudLinux の修正パッケージを当て、10月22日10時18分ごろに全サーバーへの適用を終えました。番号は変わらず、WordPress のサイトヘルスなどの表示（例：8.4.26）も修正後のままです（mixhost）。

たとえば、利用者の作業は不要で、すぐにバージョンを変える必要もないとしています。一方、PHP 8.2 未満を使っている場合は、サポート期間内の 8.2 以上への移行をすすめています。

ただし、mixhost はバージョンを上げたことによるプログラムの不具合はサポートの対象外としています。切り替えの前に、自社でバックアップと動作確認の準備をしておく必要があります。

KAGOYA・Zenlogic

KAGOYA と Zenlogic は、サービスや PHP の系統によって扱いが分かれます。修正の方法がサーバーの種類ごとに違うためです。

たとえば、KAGOYA はレンタルサーバーの PHP 7.4〜8.5 について10月22日24時の完了を見込むとしています。一方、マネージド専用サーバー・共用サーバー・WordPress 専用サーバーは恒久的な対応の方針が未確定で、暫定策としてサイトの公開停止やアクセス制限を案内しています（2026年10月23日12時30分の更新時点・KAGOYA）。

ただし、Zenlogic では PHP 5.3 を使うサーバーが最新版へ上げられ、5.3 には戻せないとしています。PHP を使うページで表示崩れや動作エラーが出る可能性があるため、コントロールパネルの「WEB」→「PHP設定」でバージョンを確かめるよう求めています（Zenlogic）。

自社のサーバーが PHP の脆弱性の対象か確かめる方法【4STEP】

自社のサーバーが PHP の脆弱性の対象かは、4つの手順で確かめられます。同じサーバー会社でも、契約の種類や PHP の系統によってやることが変わるためです。

確認には、サーバー会社からの請求書やメール、WordPress の管理画面のログイン情報があると早く進みます。ここでは、契約・お知らせ・バージョン・判定の4STEPを順に解説します。

【STEP1】サーバー会社と契約の種類を確かめる

最初に、HPがどのサーバー会社の、どの種類の契約に載っているかを確かめます。レンタルサーバーと VPS・クラウドでは、PHP を直す人が違うからです。

契約の種類ごとの担当を、以下の表で比較します。

契約の種類	PHP を修正するのは	やること
レンタルサーバー（共用）	サーバー会社	お知らせを読む
VPS・クラウド	利用者（自社または委託先）	修正版へ更新する
制作会社のサーバー	制作会社	対応状況を問い合わせる

契約先が分からない場合は、請求書や制作会社との契約書を探します。手がかりがなければ、サーバー・ドメインの契約者を調べる方法（whois）を参考にしてください。

【STEP2】契約先のお知らせを読む

契約先が分かったら、サーバー会社の公式のお知らせを読みます。「作業不要」か「切り替えのお願い」かは、お知らせにしか書かれていないためです。

たとえば、上の早見表にある9社は、いずれも公式サイトのお知らせで経緯と利用者へのお願いを公開しています。早見表にない会社でも、「PHP」「脆弱性」「緊急メンテナンス」の言葉でお知らせを探せます。

ただし、お知らせは何度も更新されています。読んだ日時を控えておくと、あとで変更点を確かめやすくなります。

【STEP3】PHP のバージョンを確かめる

PHP のバージョンは、WordPress の管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で確かめられます（2026年10月時点）。サーバー会社の管理画面でも、ドメインごとの PHP のバージョンを確認できます。

たとえば、番号を変えない方式の会社では、番号は「どの系統（8.1、8.2 など）を使っているか」を知るために使います。修正の有無は、番号ではなくお知らせで判断します。

ただし、同じサーバーに複数のドメインを載せている場合は、ドメインごとに PHP のバージョンが違うことがあります。手順は自社HPの PHP バージョンを確認する方法で解説しています。

【STEP4】系統で判断する

確かめた系統を判定表に当てはめると、次にやることが決まります。系統ごとにサポートの期限が違うためです。

使っている系統	判断
8.3・8.4・8.5	契約先が対応済みなら、当面の作業はなし
8.2	今回は対応済みでも、2026年12月31日でサポート終了。年内に 8.3 以降へ
8.1 以前	今回の修正は応急処置。早めに 8.3 以降への切り替えを計画
5.5 以下（エックスサーバー）	修正の作成・検証中。新しい系統への移行を急ぐ

※2026年10月23日時点・PHP 公式サイト、各社のお知らせより

判定表で「切り替え」に当てはまった場合は、次の章の作業に進みましょう。

「作業不要」のレンタルサーバーでもやっておくこと

「作業不要」とは、今回の脆弱性について当面の手当てが済んだという意味です。HPがずっと安全という意味ではありません。

PHP は毎月のように修正版が出ており、系統ごとにサポートの期限もあります。ここでは、作業不要のサーバーでもやっておくことを4つ紹介します。

やること	対象
8.3 以降への切り替えを計画する	PHP 8.2 以前
切り替えの前後に表示とフォームを確かめる	切り替える場合
WordPress 本体・プラグイン・テーマを最新にする	WordPress のHP
サーバー会社からの連絡を受け取れるようにする	すべて

PHP 8.2 以前なら 8.3 以降への切り替えを計画する

PHP 8.2 以前のHPは、8.3 以降への切り替えを計画することが重要です。PHP 8.2 は2026年12月31日で、8.1 以前はすでにサポートが終わっているからです。

たとえば、8.2 へ切り替えても、年明けにはまた修正が出ないバージョンになります。8.3 以降を選ぶと、次の期限（2027年12月31日）まで1年の余裕ができます。

ただし、年末はサーバー会社や制作会社への依頼が集中しやすくなります。期限と移行の手順はPHP 8.2 のサポートは12月31日で終了。中小企業のHPでやることで解説しています。

切り替えの前後に表示とフォームを確かめる

PHP を切り替える前にバックアップを取り、切り替えたら表示とフォームを確かめます。古いテーマやプラグインは新しい PHP で動かず、表示が崩れたりフォームが送れなくなったりすることがあるためです。

たとえば、確かめる項目は以下のとおりです。

• トップページと主なページの表示
• 問い合わせフォームの送信と、届いたメール
• 画像やファイルのアップロード
• WordPress の管理画面へのログイン

サーバー会社別の手順はレンタルサーバー別の PHP バージョンの確認・変更方法にまとめています。崩れたときはPHP を上げたらサイトが崩れた。原因と戻し方を参照してください。

WordPress 本体・プラグイン・テーマを最新にする

WordPress のHPは、本体・プラグイン・テーマも最新にしておくことが重要です。PHP を直しても、WordPress 側が古ければ別の入口が残るからです。

たとえば、2026年7月には WordPress 本体の脆弱性「wp2shell」も公表されています。使っていないプラグインやテーマは削除し、長く更新が止まったものは入れ替えを検討します。

ただし、wp2shell は PHP の脆弱性とは直し方が違います。確認の手順はWordPress 本体の脆弱性「wp2shell」とはを見てください。

サーバー会社からの連絡を受け取れるようにする

サーバー会社からのメールを受け取れる状態にしておくことも重要です。エックスサーバーのように、利用状況によって追加の対策を頼む会社があるからです。

たとえば、契約時のメールアドレスが退職者のものだったり、迷惑メールに振り分けられたりすると、重要な案内を見落とします。サーバー会社の会員ページで、登録のメールアドレスを今の担当者のものにしておきます。

ただし、サーバー会社を名乗る偽のメールにも注意が必要です。メールのリンクからではなく、公式サイトから会員ページに入って確かめてください。

PHP を上げられないHPの選択肢

PHP を上げると動かなくなる古いHPは、PHP を上げる以外の選択肢も検討します。古い PHP のまま公開を続けると、応急処置の修正が切れたあとに脆弱性が残り続けるためです。

IPA も今回の注意喚起で、保守の体制を確保できない場合は、保守できる製品への移行・機能の縮小・公開の終了も含めて検討するよう呼びかけています。ここでは、PHP を上げられないHPの選択肢を4つ比較します。

選択肢	向いているHP	注意点
一時的に公開を止める	修正の見通しが立たず、すぐには移せないHP	止めている間は集客や問い合わせが止まる
静的なページに作り替えて PHP を外す	更新の少ない会社案内のHP	フォームなど PHP を使う機能は別の仕組みが要る
新しい環境へ移す（移管）	デザインや中身は残したいHP	移す前に PHP の対応範囲を確かめる
作り直す（リニューアル）	古すぎて移せないHP	費用と期間がかかる

どの選択肢がよいかは、HPの使い方と更新の頻度で変わります。静的なページへの作り替えはWordPress をやめるという選択肢（静的サイトのメリット）、移管か作り直しかの判断は移管で済む？ 作り直す？ HPの判断のしかたで解説しています。

レンタルサーバーの PHP の脆弱性でやらないこと

レンタルサーバーの PHP の脆弱性では、慌てて動くことで、かえって表示崩れや見落としを招くことがあります。サーバー会社が修正を当てた範囲と、利用者が確かめる範囲を分けて考えることが重要です。

誤解の多くは、表示される番号だけで判断することから生まれます。ここでは、やらないことを4つと、その理由を表で比較します。

やらないこと	理由
番号が古いままだと慌てて問い合わせる	番号を変えない方式の会社が多い。まずお知らせを読む
番号が新しいから安全と決めつける	WordPress やプラグインが古ければ、別の入口が残る
本番のHPでいきなり PHP を切り替える	古いサイトほど表示が崩れやすい。バックアップと確認の準備をしてから
異変があってもログやファイルを消す	侵入が疑われるとき、ログは原因を調べる手がかりになる

サーバー会社から「改ざんの疑い」と連絡が来た場合は、別の対応が必要です。サーバー会社から「改ざんの疑い」と連絡が来たときにやることを見てください。

PHP の脆弱性で管理会社・専門家に相談するときに伝えること

PHP の脆弱性を管理会社や専門家に相談するときは、HPの状況を先にまとめて伝えると早く進みます。サーバー会社・PHP の系統・管理者が分かれば、相談先が対応の要否をすぐに判断できるためです。

相談の前にまとめておく情報は、以下のとおりです。

1. HPのアドレスと、契約しているサーバー会社・契約の種類
2. 使っている PHP のバージョン（分かれば WordPress のバージョンも）
3. 契約先のお知らせで「作業不要」か「切り替えのお願い」か
4. HPを作った会社・いま管理している人
5. 問い合わせフォームやネットショップなど、止まると困る機能

制作会社のサーバーや、早見表にない会社を使っている場合は、管理している会社に「CVE-2026-109618・CVE-2026-109619 の対応は済んでいますか。PHP のバージョンはいくつですか」と問い合わせてください。古すぎて今のサーバーで動かし続けられないHPは、安全な環境へのお引っ越しも選択肢になります（HPのお引っ越し（移管）の流れと費用）。

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。

まとめ

• エックスサーバー・ConoHa WING・お名前.com・さくら・ロリポップ！・heteml・mixhost は、2026年10月22日中に PHP の修正の適用を終えたと発表している
• 表示される番号は会社と系統で違う。エックスサーバーは 8.2〜8.5 が修正版の番号になり、ConoHa WING・お名前.com・mixhost は番号が変わらない
• ConoHa WING・お名前.com・mixhost は作業不要、ロリポップ！と heteml は PHP 8.2 以降への切り替えと動作確認をお願いしている
• PHP 8.1 以前の修正は応急処置で、PHP 8.2 も2026年12月31日でサポートが終わる。8.3 以降への切り替えを年内に計画する

まずは契約先のお知らせと自社の PHP の系統を確かめ、自力で難しい場合は専門家の無料診断を活用しましょう。