2026年10月21日の夜、PHPの重大な脆弱性に関する修正版が公開され、多くのレンタルサーバーで管理画面やサイトの一時停止が起きました。首相や警視庁までがXで注意を呼びかけ、ニュースにも大きく取り上げられたため、「うちのホームページは大丈夫なのか」と検索してこの記事にたどり着いた方も多いと思います。
結論から言うと、主要なレンタルサーバーを使っていれば、サーバー側で修正は10月24日現在適用済みです。ただし、それで終わりではありません。自分のサイトがどのサーバーで、どのPHPバージョンで動いているのかを把握していない方は、今回をきっかけに必ず確認してください。
この記事では、ホームページの管理状況を4つの立場に分け、それぞれ何を確認し、誰に何を聞けばよいかを整理しました。制作会社や保守会社の対応が適切かどうかを見極めるポイントも書いています。
この記事を書いたスタッフ
SUICH WEBデザイナー
KURIBAYASHI
2021年10月に2人目のWEBデザイナーとして入社。
前職は同様にHP制作会社で、デザイナーながらWEBならではの戦略やSEO対策などに意欲的で、のべ500件ほど、幅広いクライアント様を担当致しました。特に集客特化であるランディングページを得意としています。どの立場の方も、最初に次の4つを把握してください。これが分からないと、この先の判断が何もできません。
PHPのバージョンは、WordPressなら管理画面のツール→サイトヘルス→情報→サーバーの欄に表示されます。レンタルサーバーの管理画面でも、PHP設定やPHPバージョン切替といったメニューで確認できます。
サーバー会社が分からない場合は、毎年届いている更新料の請求書やメール、ドメインを取得したときの書類を探してください。それでも分からなければ、サイトを作った制作会社に聞くしかありません。
POINT
今回に限らず、サーバー会社名・管理画面のログイン情報・PHPバージョンの3つは、ホームページを持つ会社が最低限把握しておくべき情報です。担当者が辞めたら誰も分からない、という状態が一番危険です。
共有サーバーを使っている場合、PHP本体はサーバー会社が管理しています。利用者が自分で修正パッチを当てることはできませんし、その必要もありません。主要各社は10月22日までに対応を完了しています。
注意したいのは、PHP公式が修正版を出したのは8.2以降だけという点です。8.1以前はすでに公式サポートが終了しているため、各社が独自に修正を作って適用しています。そのため、管理画面に表示されるバージョン番号が変わっていなくても、中身は修正済みというケースが大半です。番号だけ見て未対応と判断しないでください。
| サーバー会社 | 対応済みバージョン | 備考 |
|---|---|---|
| エックスサーバー | PHP 5.6〜8.5 | 5.6〜8.1は番号を変えずに修正、8.2〜8.5は修正版に更新。5.5以下は作業中。利用者サイトは停止せず対応 |
| さくら インターネット |
PHP 5.2〜8.3（コントロールパネルで選べる全バージョン） | 利用者の緊急対応は不要と明記 |
| ロリポップ！ | PHP 5.3〜8.5 | 10月22日未明から13時頃まで一部サーバーで利用者サイトを停止。全バージョンでsession.upload_progressを無効化 |
| ConoHa WING | PHP 5.6〜8.5 | 番号を変えずに修正（例：8.5.11のまま） |
| コアサーバー／XREA／バリューサーバー／One | 提供中の全バージョン（5.2または5.3〜8.5） | 番号が変わる場合と変わらない場合があると明記 |
| お名前.com レンタルサーバー | PHP 5.6〜8.5 | 番号を変えずに修正（例：8.5.11のまま）。10月22日に緊急メンテナンス |
| カゴヤ・ジャパン | レンタルサーバープランの7.4系、8.1系〜8.5系 | マネージド専用・共用・WordPress専用プランは10月23日時点で対応方針調整中。暫定策として公開停止を案内 |
| ColorfulBox | PHP 7.4〜8.5 | 10月22日朝までに完了 |
| mixhost | PHP 5.2〜8.5 | 番号を変えずに修正。10月22日10時18分に完了 |
| シン・レンタルサーバー | PHP 5.6〜8.5 | 5.1〜5.5は過半数のサーバーで完了（10月23日時点） |
※2026年10月24日時点で各社の公式お知らせ（※1）を確認した内容です。状況は更新されるため、必ず各社の最新情報をご確認ください。
今回のセキュリティパッチは、PHPのバージョンを上げるのではなく、ご利用中のバージョンのまま修正プログラムだけを取り込む方法で適用しております。
※1 出典：各社公式お知らせ（2026年10月22〜23日）
エックスサーバー：https://www.xserver.ne.jp/news_detail.php?view_id=19734 さくらインターネット：https://help.sakura.ad.jp/notification/n-2700/ ロリポップ！：https://lolipop.jp/info/news/8239/ ConoHa WING：https://www.conoha.jp/wing/news/?btn_id=wing-news–news_wing-news&ap=2015054909 バリュードメイン（コアサーバー・XREA・バリューサーバー・One）：https://www.value-domain.com/information/detail/?no=20261022-1 お名前.com レンタルサーバー：https://www.onamae.com/news/article/11594/ カゴヤ・ジャパン：https://www.kagoya.jp/news/2026102337094/ ColorfulBox：https://www.colorfulbox.jp/info/detail/?id=231 mixhost シン・レンタルサーバー：https://www.shin-server.jp/news/detail.php?view_id=2535
POINT
各社とも8.1以前への対応は応急処置だと明言しています。次に脆弱性が見つかったとき、同じように独自修正が出る保証はありません。今回を機に、8.2以上、できれば8.3以上への切り替えを計画してください。なお8.2も2026年末で公式サポートが終了します。
ここまでは共有レンタルサーバーの話です。VPS（さくらのVPS、ConoHa VPS、シンVPS、AWSなど）やクラウドサーバーで、OSやPHPを自分で入れている場合は、サーバー会社はPHPを修正してくれません。シン・レンタルサーバーのお知らせでも、シンVPSは利用者自身でアップデートするよう明記されています。
該当する方は、PHP 8.2.35以降の修正版への更新、またはOSのパッケージ管理経由でのセキュリティアップデートが必要です（※2）。自分で入れたか分からない、誰が管理しているか分からないという場合は、次の立場別の確認に進んでください。
VPSではお客様ご自身でOSやPHPなどのソフトウェアを管理していただく必要があるため、弊社によるPHPの修正パッチの適用は行っておりません。
ホームページの管理状況は、おおよそ次の4パターンに分かれます。ご自身に近いものを読んでください。
制作会社に納品してもらって以降、特に何もしていない状態です。経験上、最も多いパターンであり、最も情報が散逸しやすいパターンでもあります。
ログイン情報がなければ、当時の制作会社に連絡してサーバー契約の所在を確認してください。連絡がつかない場合は、ドメインの登録情報や請求書からサーバー会社を特定し、契約者としての本人確認を経て管理権限を取り戻す手続きになります。
サーバーが制作会社名義のまま残っているケースは珍しくありません。その制作会社との関係が切れていると、更新や支払いが止まってサイトごと消える、セキュリティ対応の責任が誰にもない、という状態になります。今回の件を機に、名義と権限を整理しておくことを強くお勧めします。
保守会社がいる場合、技術的な対応は任せられます。ただし、保守契約の範囲は会社によってまったく違います。コンテンツ更新だけの契約、WordPressの更新までの契約、サーバーやPHPまで面倒を見る契約。この違いを把握していない方が非常に多いです。
問い合わせ例
2026年10月に公開されたPHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）について、以下を教えてください。
1. 当社サイトで使用中のPHPバージョン
2. サーバー側での修正適用の有無と、確認した日時
3. PHP 8.1以前を使用している場合、今後のバージョンアップの方針と時期
4. 今回の件が保守契約の範囲に含まれるかどうか
保守の範囲が「コンテンツ更新のみ」であれば、サーバーの話はパターン①と同じ扱いになります。契約範囲を広げるのか、別途対応を依頼するのかを決めてください。
社内の誰かが昔作った、あるいは以前の担当者が立ち上げたまま、今は誰も触っていない状態です。4パターンの中で最もリスクが高いです。
理由は単純で、PHPだけでなく、WordPress本体、テーマ、プラグインのすべてが古いまま放置されている可能性が高いからです。今回のPHPの件はサーバー会社が守ってくれましたが、プラグインの脆弱性はサーバー会社の管轄外です。
まず、社内で管理の担当者を1人決めてください。技術が分かる必要はありません。サーバー会社のお知らせを月に1回見る、WordPressの更新通知を見たら対応を依頼する。それだけでも放置とは雲泥の差です。
そのうえで、PHPが8.1以前であれば切り替えを検討し、自社で判断がつかなければ外部にスポットで点検を頼んでください。何もしない、が最悪の選択です。
対応の主体が社内にあるので、判断も作業も早いはずです。ここでは確認の抜けがないかをチェックしてください。
社内ルールとして、四半期に1回のバージョン確認と、サーバー会社のセキュリティ情報を誰が追うかを決めておくと、次の騒動のときに慌てません。
今回の件で、ホームページを頼んでいる会社から連絡があったでしょうか。あったなら、その内容はどうだったでしょうか。
他社を批判するつもりはありません。ただ、制作会社として13年この業界にいる立場から、安心できる対応とはどういうものかを基準として示しておきます。
サーバー会社が対応しているので大丈夫、という回答自体は間違いではありません。ただ、それだけで終わる会社は、おそらく普段からお客様のサイトの状態を把握していません。バージョンを即答できるかどうかは、その会社がサイトを見ているかどうかの、分かりやすい指標です。
POINT
今すぐ乗り換えを考える必要はありません。ただ、次に同じことが起きたときに誰が動くのかは、今のうちにはっきりさせておいてください。それが保守契約の本来の意味です。
保守管理と一口に言っても、中身はさまざまです。今回のような緊急時に機能する保守には、最低限次の要素が必要だと私たちは考えています。
これらは、ホームページが問題なく動いているときには何の成果も見えません。だから削られやすい。しかし今回のような日に、やっているかどうかの差がはっきり出ます。
サイトが止まらなかった、改ざんもされなかった。今回はそれで済んだ方が大半だと思います。ただ、それはサーバー会社が夜通しで対応してくれた結果であって、自社の管理体制が機能した結果とは限りません。
自分のサイトが何で動いていて、誰が守っているのか。それを言える状態にしておくことが、今回の騒動から持ち帰るべき一番のことだと思います。
「うちのサイト、誰が管理しているのか分からない」「制作会社と連絡が取れなくなっている」「保守契約の範囲を見直したい」。そういったご相談は、新規制作でなくても構いません。現状のサイトを拝見したうえで、何から手をつけるべきかを一緒に整理します。
株式会社スイッチは埼玉県越谷市を拠点に、WEB制作・SEO対策・保守管理・ブランディングなど、企業の課題に合わせた提案を行っています。ホームページを作って終わりではなく、その先の運用まで一緒に考えます。お気軽にお問い合わせください。
この記事は役に立ちましたか？
ご回答ありがとうございました。
