レンタルサーバー各社のPHP脆弱性（php2shell）への対応状況まとめ

この記事の見方

PHP本体の重大な脆弱性2件（CVE-2026-109618 / CVE-2026-109619、通称「php2shell」）を直した修正版、PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35が2026年10月21日に公開されました［php.net］。8.1以前は、PHPプロジェクトからの更新がありません（詳しくは解説記事）。

この記事では、国内の主なレンタルサーバー会社の公式サイトに出ている告知だけをまとめました。最初に確認したのは2026年10月21日 21:10〜21:20ごろで、修正版の公開を受けて22:52〜22:56ごろ（日本時間）に各社のページを開き直し、表と各社の中身を更新しました。日時は各社のページに書かれている通りに載せています。報道やSNSの情報は含めていません。各社の状況は刻々と変わるため、最新の内容は各社のページで確かめてください。

各社の対応状況（一覧）

各社の告知の中身

KAGOYA

告知の題名は「PHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）に関する当社サービスへの影響について」です。CVE番号まで書いているのは、確認した中ではKAGOYAだけでした。

• レンタルサーバープランでPHP 8.2〜8.5系を使っている場合は、修正版を確認したうえで順次アップデートする予定。
• マネージド専用サーバープラン、共用サーバープラン、WordPress専用サーバープランと、上記以外のPHPバージョンは、引き続き対応方針を調整中。公開内容を確認したうえで、同じページで案内するとしています。
• 最初の告知では、対象プランとして、レンタルサーバー、マネージド専用サーバー、共用サーバー（S12、S11、S、3G、旧共用サーバー）、WordPress専用サーバーを挙げていました。
• ページにある更新日時は「2026年10月21日 18時20分」で、22時50分台の確認では、修正版の公開を受けた続報はまだありません。利用者に求める操作は書かれていません。

同じ日に「サポートセンターへのお問い合わせ状況について」も出ています。脆弱性への対応状況などの問い合わせが増えて電話がつながりにくく、メールの回答も遅れているとのことです。この告知の中でKAGOYAは、現時点で利用者に重大なセキュリティインシデントや情報漏えいは確認していないとしています。さらに「メール問合せ窓口の対応遅延について」では、21日19時からメール対応システムの緊急メンテナンスを行っていて、緊急サポートを含むメールの問い合わせは回答に時間がかかる可能性があるとしています。メンテナンスは22日早朝に終わる見込みです。

ロリポップ！

題名は「【重要】PHPの脆弱性への予防措置に伴うメンテナンス実施のお知らせ」です。告知の中で、PHPのセキュリティリリースが2026年10月21日 23時00分（日本時間）に公開予定であることに触れています。

• 掲載した時点から、サービスサイト、ユーザー専用ページ、おさいぽ！の自動更新、MCP・APIを順次停止。
• ロリポップFTPと旧ロリポップWEBメーラーは、すでに緊急メンテナンス中。
• 安全な運用に支障があると判断した場合は、利用者のサイトを守るため、予告なくサイトを停止（制限）することがある。

22時50分台の確認では、この告知のページも含め、ロリポップ！の公式サイトを開くと「緊急メンテナンス中」の画面が表示されました。画面には、ロリポップ！AIホームページ、ロリポップ！デプロイナウ、ロリポップ！AIエージェントクラウドで使えなくなっている機能も載っています。公開中のサイトやWebアプリの表示、稼働中のAIエージェントは、引き続き利用できるとしています。

サイトを公開したままにしておけるかは、ロリポップの判断しだいということになります。サイトが表示されなくなったときは、まずこの画面の案内を確かめてください。

エックスサーバー・シン・レンタルサーバー

エックスサーバーの公式サイトは、確認時点（22時50分台も同じ）でアクセスするとエラー（503）になり、「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」が表示されました。シン・レンタルサーバーの公式サイトでも、同じエックスサーバー株式会社名義の告知が表示されました。

• 理由は「弊社システムで使用しているソフトウェアについて、セキュリティ上の問題（脆弱性）の詳細と修正版が本日公表される予定」と書かれています。PHPという言葉はありません。
• 停止しているのは、サービスサイト、アカウント管理画面、サーバーパネル、WEBメール、ファイルマネージャ、API／MCP、申し込みや支払いの手続き、お問い合わせフォームなど。
• 利用者のサーバーには影響がなく、Webサイトの表示とメールソフトでの送受信は通常どおり。利用者のサーバーも稼働を続けながら安全対策を進めているとしています。
• 再開の見込みは「10月21日（水）深夜～10月22日（木）未明」。不正アクセスが起きたための対応ではない、とも明記されています。
• よくある質問では、利用者のサーバーにも修正版の公開前の緩和策を含む安全対策を順次適用していて、修正版の公開後は、提供している各PHPバージョンに公式の修正版や独自の修正を順次適用する予定としています。最終更新は21日 21:15のままです。

サーバーパネルに入れないため、停止中は利用者が自分でPHPのバージョンを切り替えることができません。再開したら、すぐに確認できるよう準備しておくのが現実的です。

さくらのレンタルサーバ

「さくらのレンタルサーバ・さくらのVPS緊急メンテナンス実施のお知らせ」が出ています。レンタルサーバ（さくらのメールボックスを含む）、マネージドサーバ、リセール向けサービスは10月21日(水) 13:00〜10月22日(木) 8:00頃、VPSとVPS for Windows Serverは10月21日(水) 15:00〜10月22日(木) 18:00頃です。理由は書かれておらず、PHPへの言及もありません。接続できないときは時間をおいて試すよう案内しています。

ConoHa WING・お名前.comレンタルサーバー

どちらも「【緊急】」と付いたサーバーメンテナンスを告知しています。時間はどちらも10月21日(水) 19時00分〜10月22日(木) 10時00分で、作業内容は「システムの保守作業」です。終了時間は前後する可能性があるとしています。PHPへの言及はありません。お名前.comの対象は、レンタルサーバー（ベーシック・RSプラン・AIホームページパック）と共用サーバーSD、ホームページエディターの利用者です。

カラフルボックス

サーバーステータスのページに「【メンテナンス】サーバーシステムおよびセキュリティメンテナンスのお知らせ(予定)」が出ています。10月22日 00:00以降に全サーバーで順次システムアップデートを行い、各サーバーで10分程度、Webサイトの表示やメールの送受信が瞬断する場合があるとのことです。PHPへの言及はありません。

mixhost

21:10〜21:20ごろの確認では関連しそうな告知が見つかりませんでしたが、その後「マイページ緊急メンテナンスのお知らせ」（10月21日付け）が出ました。予防的なセキュリティ強化とシステムの安全対策のため、22:10からマイページ（ログイン、契約内容の変更、手続き、問い合わせ）を止めていて、終わる時刻は未定です。不正アクセスなどが起きたための対応ではなく、利用者のサーバーには影響がない（Webサイトの表示やメールの送受信は通常どおり）としています。PHPへの言及はありません。

障害・メンテナンス情報のページには、このほか、21日の3:00 PM〜7:00 PMに一部サーバー（ikサーバー）で緊急メンテナンスを行い、6:00 PMに完了したとあります。目的は「サーバー安定化」と書かれています。

共用サーバーの利用者が自分でやること

共用のレンタルサーバーでは、PHP本体の更新はサーバー会社が行います。ただし、どのバージョンのPHPを使うかは、多くの場合、利用者が管理画面で選んでいます。サポートが終わった古いバージョンを選んだままだと、サーバー会社が修正版を入れても、そのサイトには届かないおそれがあります。

1. 管理画面でPHPのバージョンを確かめる：サーバーパネルやコントロールパネルの「PHPバージョン設定」などで見られます。WordPressなら「ツール」→「サイトヘルス」→「情報」→「サーバー」にも表示されます。
2. 8.1以前なら切り替える：PHP 8.1以前はサポートが終わっていて、セキュリティの修正が出ません［php.net］。8.2も2026年12月31日でセキュリティサポートが終わるので［php.net］、切り替えるなら8.4か8.5がおすすめです。古いテーマやプラグインが動かなくなることがあるため、先にバックアップを取り、切り替えた直後に表示を確かめます。
3. サーバー会社の「適用した」という告知を確かめる：8.2〜8.5を使っている場合は、サーバー会社が修正版を入れるのを待つことになります。海外のセキュリティ企業Patchstackも、マネージドホスティングの利用者は、いつ修正版を適用するかをホスティング会社に聞くよう勧めています。
4. サイトの表示とフォームを確かめる：PHPの切り替えやサーバー会社のメンテナンスのあとに、トップページ、問い合わせフォーム、管理画面へのログインを確かめます。

古いサーバーでは新しいPHPを選べないこともあります。その場合は、新しいサーバーへの引っ越しが必要です。手順は「WordPressのサーバー移行（引っ越し）手順」にまとめています。

よくある質問

サーバー会社がメンテナンスをしていれば、何もしなくていいですか？

PHP本体の更新はサーバー会社に任せられますが、管理画面で選んでいるPHPのバージョンは利用者の側で確かめてください。8.1以前を選んでいる場合は、切り替えが必要です。

告知にPHPと書いていない会社は、対応していないのですか？

そうとは限りません。理由を書かずにメンテナンスを告知している会社もあります。気になる場合は、各社の告知の続報を確かめてください。

WordPressやプラグインを最新にすれば大丈夫ですか？

今回はPHP本体の問題なので、WordPressやプラグインの更新だけでは防げません。サーバーのPHPが修正版になっているかが大事です。

参考にした情報

• php.net（PHP公式のセキュリティアドバイザリ） / サポート中のバージョン
• KAGOYA「PHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）に関する当社サービスへの影響について」 / サポートセンターへのお問い合わせ状況について / メール問合せ窓口の対応遅延について
• ロリポップ！「【重要】PHPの脆弱性への予防措置に伴うメンテナンス実施のお知らせ」（22時50分台の確認では緊急メンテナンス中の画面を表示）
• エックスサーバー（停止中は告知ページを表示） / シン・レンタルサーバー
• さくらインターネット「さくらのレンタルサーバ・さくらのVPS緊急メンテナンス実施のお知らせ」
• ConoHa WING「【緊急メンテナンス】[ConoHa] サーバーメンテナンス」
• カラフルボックス サーバーステータス
• お名前.com「【緊急】[お名前.comレンタルサーバー] サーバーメンテナンス」
• mixhost「マイページ緊急メンテナンスのお知らせ」 / お知らせ一覧 / 障害・メンテナンス情報
• Patchstack（二次情報）