- 22日の3時前後に、GMOペパボのロリポップ！・ヘテムル・ムームーサーバー・WPホスティングは、PHPの修正版を適用し終えるまでの間、利用者のサイトを一時的に停止すると公式Xで知らせました。ロリポップ！とヘテムルは「一部サーバー」が対象です。
- エックスサーバーが止めているのは公式サイトや管理画面で、利用者のサイトの表示には影響がないとしています。
- サイトが表示されないときは、まずサーバー会社の公式サイトと公式Xを確かめます。WordPressの再インストール、DNSの変更、サーバーの引っ越しは、停止中にはしないでください。
- 再開したら、管理画面でPHPのバージョンを確かめ、8.1以前なら切り替えます。そのうえで、サイトが乗っ取られていないかを確かめます。
- 【10/22 10:20追記】エックスサーバーは9:30に、シンクラウドを除いてアカウント管理画面と各種機能の提供を再開しました。公式サイトは22日中に再開予定です。
いまサイトを止めているサーバー会社
PHP本体の重大な脆弱性（通称「php2shell」）を直した修正版が、2026年10月21日に公開されました［php.net］。脆弱性の中身は「php2shellとは」で解説しています。共用のレンタルサーバーでは、サーバー会社が自社のサーバーに修正版を順に入れているところです。
この作業の間、利用者のサイトを止めると告知している会社があります。22日8時ごろに各社の公式Xと公式サイトを開いて確かめた内容は、次のとおりです（時刻は日本時間）。
| サービス | 告知の内容 | 告知の時刻 |
|---|---|---|
| ムームーサーバー・WPホスティング | 修正版の適用が終わるまで、両サービスで運営されているサイトを一時的に停止。「ご自身のサイトが表示されない場合は、本対応の対象」と明記 | 10月22日 2:54（ムームードメイン公式X） |
| ロリポップ！ | 修正版の適用が終わるまで、一部サーバーで運営されているサイトを一時的に停止 | 10月22日 3:05（ロリポップ！公式X） |
| ヘテムル | 修正版の適用が終わるまで、一部サーバーのサイトを一時停止 | 10月22日 3:09（ヘテムル公式X） |
| エックスサーバー | 公式サイト・サーバーパネル・WEBメールなどを止めている。利用者のサーバーへの影響はなく、Webサイトの表示とメールソフトでの送受信は通常どおり。6:45時点で、PHP 8.2〜8.5は対象の全サーバーに修正パッチを適用済み。古いバージョンは順次適用中 | 停止は10月21日 16:00から。最終更新 22日 6:45（公式サイト） |
GMOペパボの3つの告知はいずれも、修正版の適用が終わるまでの間にも攻撃を受けるおそれがあるため、サイトとデータを守ることを優先したとしています。ロリポップ！とヘテムルは、どのサーバーが対象かを書いていません。対応状況は、それぞれの公式Xで知らせるとしています。8時ごろの確認では、サイトの再開を知らせる投稿はまだありませんでした。
ほかのサーバー会社の告知は「レンタルサーバー各社のPHP脆弱性対応状況」にまとめています。
サーバー会社の停止か、自分のサイトの問題かを見分ける
「502 Bad Gateway」や「503 Service Unavailable」は、サーバーの側で何かが起きて、ページを返せなかったときに出るエラーです。どちらが出ても、原因がサーバー会社の作業なのか、自分のサイトの設定なのかまでは分かりません。止められたサイトにどんな画面が出るかも、会社によって違います。次の順に確かめると、慌てずに切り分けられます。
- サーバー会社の公式サイトと公式Xを見る：今回は公式サイトや管理画面を止めている会社があり、その場合は公式サイトを開くとメンテナンスの告知が出ます。GMOペパボの3サービスは、サイトの停止を公式Xで知らせています。エックスサーバーも、公式サイトと公式X（@xserverjp）で状況を知らせるとしています。
- 告知の対象に自分のサービスが入っているか見る：ムームーサーバーとWPホスティングは、サービス全体が対象です。ロリポップ！とヘテムルは「一部サーバー」なので、同じサービスでも表示されるサイトがあります。
- 同じサーバーにあるほかのサイトを開いてみる：同じ契約で複数のサイトを動かしているなら、ほかのサイトも開いてみます。どれも表示されなければ、サーバーの側で止まっている可能性が高くなります。
- 別の回線でも開いてみる：スマートフォンのモバイル回線など、社内とは別の回線から開きます。自分の回線だけの問題かどうかが分かります。
エックスサーバーは、今回の停止で利用者のサイトの表示には影響がないとしています。サイトが表示されない場合は、告知のメンテナンスとは別の原因も考えられます。ただし、停止中はチャットとお問い合わせフォームが使えず、電話でも具体的な案内はできないとしています。まず公式サイトと公式Xで続報を確かめ、管理画面が再開してから調べるのが確実です。
停止中にしないほうがよいこと
サイトが止まっていると、何か手を打ちたくなります。ただ、サーバー会社の作業中に次のことをすると、再開したあとに自分で直す手間が増えるおそれがあります。
- WordPressを入れ直す：サイトが止まっている原因がサーバー会社の作業なら、入れ直しても表示は戻りません。今回の脆弱性はPHP本体の問題なので、WordPressやプラグインを入れ直しても防げません。
- DNSを書き換える：DNSは、ドメインとサーバーを結びつける設定です。ここを変えるとメールの届け先まで変わることがあり、元に戻しても反映に時間がかかります。
- 別のサーバーへ引っ越す：停止中は、元のサーバーからデータを取り出せない場合があります。引っ越すかどうかは、再開してから落ち着いて決めても遅くありません。手順は「WordPressのサーバー移行（引っ越し）手順」にまとめています。
再開したらやること
- サイトの表示を確かめる：トップページ、問い合わせフォーム、WordPressの管理画面へのログインを確かめます。
- 管理画面でPHPのバージョンを確かめる：共用サーバーでは、どのPHPを使うかを利用者が管理画面で選んでいることが多くあります。8.1以前を選んでいる場合は、8.4か8.5への切り替えを考えてください。PHP 8.1以前は、PHPプロジェクトからの更新（修正版のリリース）がありません［php.net］。各社のメニューの場所は「PHPのバージョンを確認する方法」で図解しています。切り替える前にバックアップを取ってください。
- サーバー会社の「適用した」という告知を確かめる：PHP 8.2〜8.5を使っている場合は、サーバー会社が修正版を入れ終えたかを告知で確かめます。
- 乗っ取られていないかを確かめる：修正版が入る前に攻撃を受けていた場合、修正版を入れても仕掛けられたファイルは残ります。見覚えのないファイルや管理者アカウントがないかを確かめる方法は「侵害チェックの方法」にまとめています。
お客様へのお知らせ文例
お店や会社のサイトが止まっていると、お客様から問い合わせが来ることがあります。SNSやメールで知らせる場合の文例です。サーバー会社の告知に書かれていない理由や再開の時刻は、書かないでおきます。
現在、当社ホームページが表示できない状態になっています。ご利用中のサーバー会社が、PHP（Webサイトを動かすソフトウェア）の脆弱性への対策として行っているメンテナンスによるものです。再開しましたら、こちらでお知らせします。お急ぎのご用件は、お電話（000-0000-0000）またはメール（[email protected]）でご連絡ください。ご不便をおかけし申し訳ございません。
当社ホームページは、本日○時○分ごろから通常どおりご覧いただけるようになりました。ご不便をおかけし申し訳ございませんでした。
電話番号やメールアドレスは、自社のものに置き換えてください。「情報漏えいはありません」のような文は、確かめるまでは書かないほうが安全です。
よくある質問
サイトが止まっている間、自分でできることはありますか？
サーバー会社がサイトを止めている間は、利用者の側で表示を戻す方法はありません。公式Xなどで再開の案内を待ちながら、お客様への連絡と、再開後に確かめることの準備を進めてください。
サイトが止まったのは、乗っ取られたからですか？
GMOペパボの3つの告知は、修正版を入れるまでの間の攻撃を防ぐための予防として、サイトを止めると説明しています。エックスサーバーも、管理画面などの停止は不正アクセスが起きたための対応ではないとしています。ただ、自分のサイトが攻撃を受けていないかは、再開したあとに確かめてください。
サーバー会社が修正版を入れたら、何もしなくていいですか？
PHP本体の更新はサーバー会社に任せられます。ただし、管理画面で8.1以前を選んだままの場合は、利用者が切り替える必要があります。
Webセキュリティ診断センターでは、PHPバージョンの確認と切り替え、乗っ取られていないかの診断、WordPressの更新代行、新しいサーバーへの引っ越しをお受けしています。無料相談はこちら
参考にした情報
- ムームードメイン公式X「【メンテナンス状況のお知らせ】」（10月22日 2:54）
- ロリポップ！公式X「【メンテナンス状況のお知らせ】」（10月22日 3:05） / ロリポップ！「【重要】PHPの脆弱性への予防措置に伴うメンテナンス実施のお知らせ」
- ヘテムル公式X「【メンテナンス状況のお知らせ】」（10月22日 3:09）
- エックスサーバー「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」（最終更新 10月22日 6:45） / エックスサーバー公式X「【メンテナンス状況について③】」
- php.net（PHP公式のセキュリティアドバイザリ） / サポート中のバージョン
