レンタルサーバー別PHP脆弱性対応｜確認すること3つ【10月】

2026年10月21日に修正版が出たPHPの重大な脆弱性、通称「PHP2Shell」。レンタルサーバーでWordPressなどを動かしている方から「自分は何かしないといけないのか」という声を多く聞きます。この記事では、国内の主なレンタルサーバー各社の対応状況と、利用者が確認することをまとめました。各社の情報は2026年10月22日15時に各社の公式お知らせで確認した内容です。

結論：共用サーバーならPHP本体の更新は事業者の仕事。利用者が確認するのは3つ

共用のレンタルサーバーでは、PHP本体の更新はサーバー会社が行います。さくらのレンタルサーバとコアサーバーは提供中の全てのPHPバージョンで、XREAは7.4〜8.5で、10月22日の未明〜昼までに修正の適用を終えたと公表しています。エックスサーバーは、PHP 8.2〜8.5は修正済みで、それより古い版は対応中です（10月22日時点）。古い版を使っている場合は、事業者のお知らせで、自分が使っている版に修正が当たったかを確かめてください。どの事業者でも、利用者がサーバーに入ってPHPを入れ直す必要はありません。

そのうえで、利用者が確認することは次の3つです。

1. 自分のサイトが使っているPHPのバージョンを確かめる。8.1以前を選んでいたら、まず事業者のお知らせで、その版に修正が当たっているかを確かめる。当たっていなければ応急処置を頼むか、バックアップを取って試したうえで8.3以上へ切り替える
2. 管理画面が止まっている間は、慌てて別の手段で触らない。再開の案内を待つ
3. 更新や切り替えのあとに、サイトの動作と不審な形跡を点検する

PHPの修正版は 8.5.12・8.4.27・8.3.36・8.2.35 です（PHP公式のセキュリティアドバイザリ）。脆弱性そのものの説明や、自社で管理しているサーバーも含めた全体像はPHP2Shellとは何か・サイト運営者が今やることにまとめています。

レンタルサーバー各社のPHP脆弱性への対応状況（10月22日時点）

各社の公式お知らせ・障害情報をもとに整理しました。状況は時間とともに変わるので、最新は必ず各社のお知らせで確かめてください。「何時点」は各社のお知らせに書かれた更新時刻です。時刻の記載がないものは掲載日と、こちらで確認した時刻を書いています。

表にない事業者や、表の内容から更新があったかどうかは、各社の公式お知らせで確認してください。国内の停止・メンテナンスの全体像は、セキュリティ研究者のpiyolog のまとめが詳しく追っています。自分のサイトがどのサーバー会社を使っているか分からない場合は、ドメインやサーバーの契約先が分からないときの調べ方から始めてください。

表の読み方：「対応不要」と「切り替えを検討」が混ざっている理由

各社の案内が「何もしなくてよい」と「新しい版への切り替えを」に分かれているのは、矛盾ではありません。今回の脆弱性への対処と、古いPHPを使い続けるリスクは別の話だからです。

PHPの開発元は、7.4・8.0・8.1向けに修正済みの版を出していません。出したのは、自分でPHPを組み立てる人向けの最小限の修正パッチだけです。サーバー会社によってはこのパッチを自社で組み込み、古い版にも修正を当てています。XREAが7.4まで対応済みとしているのはこのためです。ただ、8.1以前は開発元のサポートがすでに終わっていて、次に脆弱性が見つかっても修正は出ません。「今回は事業者が直してくれた」と「この先も安全」は同じではない、と考えておくのが安全です。古いPHPのまま動いているサイトの選択肢はPHP 7.4・8.1以前は修正版なし｜PHP2Shellの対処で詳しく整理しています。

共用サーバーの利用者がやること3つ

1. PHPバージョンを確認し、8.1以前なら切り替えを計画する

まず、管理画面で自分のサイトのPHPバージョンを確かめます（手順は次の章で事業者別に紹介します）。WordPressなら、WordPressの管理画面の「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」でも確認できます。

切り替える版は、8.3以上を選ぶのが無難です。8.2は年末でサポートが終わるため、今上げるなら一度で済ませたほうが手間がかかりません。サポート期間はPHP公式のサポート中バージョン一覧で確認できます。

2. 管理画面が止まっている間にやってはいけないこと

エックスサーバー、ロリポップ!、CPI、heteml などは、予防のために管理画面やサービスサイトを一時的に止めました。各社とも、利用者のサイト表示やメールは止めていないと説明しています（ロリポップ!は、必要なら利用者のサイトも予告なく止めることがあるとしています）。管理画面に入れないのは不具合ではないので、再開の案内を待ってください。この間に避けたいのは次のようなことです。

• 慌ててサーバーを移転する。移転先でもPHPの版の確認は必要です。移転作業中にメールが届かない時間が出ることもあります（サーバー移転でメールが止まる理由と防ぎ方）
• FTPで php.ini や .user.ini を書き換えて対策したつもりになる。PHP公式が挙げる暫定策の一部（session.upload_progress の無効化など）は、php.ini やサーバー側の設定でしか効かず、.user.ini では効きません。共用サーバーでは事業者の作業に任せるのが基本です
• WordPressのメンテナンスモードで守れると考える。WordPressが動く前に、PHPが届いたデータを処理してしまうため、アプリ側のメンテナンスモードでは防げません（Sansecの調査）
• サーバー会社を名乗るメールのリンクから、ログイン情報を入れる。大きな騒ぎに便乗した偽のお知らせメールはよくあります。お知らせは、ブックマークした公式サイトから見に行くのが安全です

どうしても今すぐ守りを固めたい場合は、Cloudflare が無料プランを含む全プランに、今回の攻撃向けのWAF（Webアプリケーションファイアウォール）のルールを配布しています。ただしWAFは補助の守りで、PHPの更新の代わりにはなりません。導入にはDNSの切り替えも必要なので、仕組みが分からないまま急いで行うのはおすすめしません。カゴヤのように、事業者がサイトの公開停止やアクセス制限を案内している場合は、その案内に従ってください。

3. 更新・切り替えのあとに点検する

サーバー会社の修正が済んだあと、またはPHPの版を切り替えたあとは、次の順で確かめます。

1. トップページと主なページが表示されるか
2. 問い合わせフォームを自分宛てに送り、届くか
3. WordPressの管理画面にログインでき、投稿や更新ができるか
4. 管理画面に見覚えのない管理者ユーザーや、知らないプラグインが増えていないか
5. サーバーのエラーログに、急にエラーが増えていないか

今回の脆弱性は、修正版が出る前の10月21日夕方に、Cloudflare が早期の攻撃を確認したと公表しています（piyolog のまとめ）。とくにネットショップや会員サイトのように、お金や個人情報を扱うサイトでは、攻撃の痕跡の確認とパスワード・APIキーの入れ替えまで行うと安心です。具体的な手順はPHP2Shellの更新後にやること：攻撃痕跡の確認と鍵の入れ替えにまとめています。

事業者別：PHPバージョンの確かめ方と切り替え方

各社の公式マニュアルに書かれた手順を、文章で紹介します。画面の名前は変わることがあるので、見当たらないときは各社のマニュアルを確認してください。どの事業者でも、切り替えの前にサイトのバックアップを取っておくことをおすすめします。

エックスサーバーのPHPバージョン確認・切り替え

1. サーバーパネルにログインし、「PHP Ver.切替」を開く
2. 対象ドメインの右側にある編集（ペンのアイコン）を押すと、現在のバージョンが表示される
3. 変更後のバージョンを選び、「設定する」を押す

エックスサーバーのマニュアルは新・旧のサーバーパネルごとに用意されています。10月22日15時時点では公式サイトが停止中のため、マニュアルが見られない場合は再開を待ってください（エックスサーバー マニュアル「PHP Ver.切替」）。

さくらのレンタルサーバのPHPバージョン確認・切り替え

1. サーバーコントロールパネルに、初期ドメインまたは追加したドメインとパスワードでログインする（メールアドレスでログインすると、メールの設定しか表示されません）
2. 「スクリプト設定」から「言語バージョン設定」を開く
3. 「PHPのバージョン」で使う版を選び、「保存する」を押す
4. 現在のバージョンが選んだ版に変わっていれば完了

不具合が出たら、古いバージョンを選び直せば元に戻せると案内されています。ionCube Loader を使う一部のCMSは、版の変更で動かなくなることがあるので注意が必要です（さくらのサポート情報「PHPのバージョンを変更したい」）。

ロリポップ!のPHPバージョン確認・切り替え

1. ユーザー専用ページにログインする（10月22日15時時点では停止中。再開後に行う）
2. 「サーバーの管理・設定」の「PHP設定」を開く
3. ドメインごとの現在のPHPバージョンを確認する
4. 変更するドメインのバージョンを選び、「変更」を押す。反映まで5〜10分ほどかかる

PHP 7.1未満から上げた場合は元の版に戻せません。切り替え後に「データベース接続確立エラー」が出る場合は、データベースのパスワード形式の変更が必要になることがあります（ロリポップ! マニュアル「PHP設定」）。

ConoHa WINGのPHPバージョン確認・切り替え

1. コントロールパネルにログインし、上部メニューの「WING」を押す
2. 左メニューの「サイト管理」から「サイト設定」を開き、上のタブで「応用設定」を選ぶ
3. 「PHP設定」を開くと、「PHPバージョン」欄に現在の版が表示される
4. 右側の鉛筆アイコン（編集）を押し、使う版を選んで「保存」を押す

初期状態ではサーバー全体の設定が使われ、ドメインごとに変えることもできます。ドメインごとに変えると .htaccess に「AddHandler」で始まる記述が自動で入るので、消さないようにしてください（ConoHa WINGサポート「PHPの設定をする」）。なお、ConoHa WINGは今回の件では利用者の版の変更は不要としています。

そのほかの事業者

カゴヤ、heteml、CPI、XREA、コアサーバー、お名前.com レンタルサーバーも、管理画面にPHPのバージョンを選ぶ項目があります。手順は各社の公式マニュアルで確認してください。管理画面が止まっている事業者では、再開後の作業になります。

VPS・クラウドはPHPの更新を自分で行う

さくらのVPS、ConoHa VPS、AWS（Amazon Lightsail・EC2）など、自分でOSから管理するサーバーでは、PHPの更新は利用者の仕事です。事業者が代わりに更新してくれることはありません。制作会社や保守会社に管理を任せている場合は、更新済みかを問い合わせてください。

OSに付属するPHPを使っているなら、OSの配布元が出す修正済みパッケージに更新します。主な配布元の状況は次のとおりです。

ここで一つ注意があります。Ubuntu などの配布元は、PHPの版番号を変えずに修正だけを取り込みます。たとえば Ubuntu 24.04 の修正済みパッケージは「8.3.6-0ubuntu0.24.04.13」で、PHPの版番号だけを見ると 8.3.36 より古く見えます。「php -v の数字が修正版より小さいから未対応」とは限らないので、OSのパッケージの版で判断してください。更新したあとは、PHP-FPM や Apache を再起動しないと古いプログラムが動いたままになります。

Lightsail の WordPress のように、アプリが入った状態で提供されるイメージは、PHPの入り方がOS標準と違うことがあります。その場合は、イメージの提供元の案内に沿って更新してください。

切り替えでサイトが壊れたときの戻し方

PHPの版を上げると、古いテーマやプラグイン、独自に作ったプログラムが動かなくなることがあります。実務でよく見るのは、画面が真っ白になる、問い合わせフォームが送れない、管理画面にエラーが出る、といった症状です。慌てずに次の順で対処します。

1. 元の版に戻す。切り替えたときと同じ画面で、元の版を選び直します。さくらやConoHa WINGは選び直しで戻せると案内しています。ただし、ロリポップ!の7.1未満やZenlogicの5.3のように、戻せない場合もあります
2. 戻した版が修正済みか確かめる。戻すのは原因を調べるための一時的な措置です。表の各社のお知らせで、戻した版にも修正が当たっているかを確認します
3. 原因を探す。WordPressなら、テーマ・プラグイン・WordPress本体を最新にしてから、もう一度切り替えてみます。直らない場合は、サーバーのエラーログに出ているファイル名から、原因のプラグインやテーマを絞り込みます
4. 新しい版で動くように直す。更新が止まったプラグインは代わりを探し、独自のプログラムは制作会社に修正を頼みます

WordPressは、致命的なエラーが起きると管理者のメールアドレスに「リカバリーモード」のリンクを送ります。管理画面に入れなくなったときは、そのメールも確認してください。

記事の途中で恐縮ですが、私たちはホームページの制作と、古いサイトを今の環境で動くように直すお手伝いもしております。「PHPを切り替えたら表示が崩れた」「自分で触るのは不安」という段階からご相談いただけますので、よろしければあわせてご覧いただけたら嬉しいです。

まとめ：まずは管理画面でPHPのバージョンを見るところから

共用のレンタルサーバーなら、PHP2Shellへの対処の大部分はサーバー会社が進めています。2026年10月22日15時時点で、さくら・XREA・コアサーバーは修正の適用を終えたと公表しています。エックスサーバーはPHP 8.2〜8.5が修正済みで、それより古い版は対応中です。ほかの事業者も順次対応しています。古い版を使っている場合は、事業者のお知らせで、自分が使っている版に修正が当たったかを確かめてください。

• 今日：使っているサーバー会社のお知らせを読み、管理画面が再開したらPHPの版を確かめる。8.1以前なら、その版に修正が当たっているかもお知らせで確かめる
• 今週：8.1以前なら、バックアップを取ってから8.3以上への切り替えを試す。切り替え後は表示・フォーム・ログインを点検する
• 年内：8.2のサイトも、12月31日のサポート終了までに8.3以上へ

VPSやクラウドで自分でサーバーを管理している場合は、事業者任せにはできません。今日のうちにOSのパッケージを更新し、PHPを再起動してください。