PHPの脆弱性（PHP2Shell）にレンタルサーバー8社はどう対応した？時系列で比較
2026年10月21日に公表されたPHPの重大な脆弱性（通称「PHP2Shell」）について、国内の主なレンタルサーバー8社の対応を、各社の公式発表をもとに時系列でまとめました。
30秒でわかるこの記事のまとめ
- 国内の主なレンタルサーバー8社は、ほぼ10月22日中に修正を終えた
- 違いが出たのは「お客様のサイトを止めたか」「古いPHP（8.1以前）まで直したか」「利用者の作業が要るか」の3点
- エックスサーバーはサイトを止めずに、10月26日朝までにPHP 5.1〜8.5のすべてで修正を終えた
- 番号が変わらないまま修正した会社もあるため、確認はサーバー会社のお知らせで行う
当方はホームページ制作と公開後の保守をしており、今回もお客様のサイトを10月21日〜23日にかけて確認しました。その中で感じたことも含めて、サーバー選びで見ておきたい点を解説していきます。
※時刻・内容は2026年10月26日時点の各社の公式発表にもとづきます。
2026年10月のPHPの脆弱性とは
2026年10月21日、PHPの開発元が重大な脆弱性（セキュリティ上の欠陥）2件（CVE-2026-109618、CVE-2026-109619）の修正版を公開しました。深刻度はどちらもCVSS v4.0で9.2と、最も危険な部類に入ります。
ざっくり言うと、ログインしなくても、外から悪意のあるプログラムを動かされるおそれがあるというものです。WordPressなど、PHPで動いているホームページの多くが対象になりました。
悪用されると、Webサイトの改ざんや不正アクセス、データの持ち出しといった被害につながる可能性があります。攻撃する側はログインやパスワードを知らなくてもよいため、リスクの高い脆弱性でした。
- 修正版：PHP 8.5.12／8.4.27／8.3.36／8.2.35
- 公開日時：2026年10月21日 23時ごろ（日本時間）
- PHP 8.1以前：公式の修正版は出ていない
日本ではIPA（情報処理推進機構）も10月21日に事前の告知、22日に注意喚起を出しています。
出典：PHP公式／IPA（10月22日）
レンタルサーバーを使っている場合、PHPを入れ替えるのはサーバー会社です。そのため、利用者にとっては「自分のサーバー会社がどう動いたか」がそのまま安全につながりました。
一方、VPSや自社で管理しているサーバーは、OSやPHPのアップデートも自分で行う必要があります。各社の公式サイトでも、VPSは対象外として案内されていました。
お知らせの確認から修正後の動作確認までを任せたい場合は、ホームページの保守・更新サポートを利用する方法もあります。
レンタルサーバー各社の対応を時系列で比較
まずは、各社が「修正が終わった」と発表した時刻とあわせて一覧にしました。
| 会社 | 修正が終わった時刻 （10月22日） | お客様のサイトの停止 | 利用者の作業 |
|---|---|---|---|
| さくらのレンタルサーバ | 6:30（緊急メンテナンス完了） | 数秒つながらない程度 | 古いPHPなら8.3への切り替えを推奨 |
| エックスサーバー | 8.2〜8.5から順次 （5.1〜8.5すべての完了は10月26日6:20） | 止めていない | 不要 |
| カラフルボックス | 朝まで（時刻の記載なし） | 記載なし | 不要 |
| mixhost | 10:18ごろ | 記載なし | 不要 |
| ロリポップ！ | 13:00ごろ（サイトの表示を再開） | 一部サーバーで約10時間（3:09ごろ〜13:00ごろ） | 8.2以上への切り替えを推奨 |
| お名前.com レンタルサーバー | 20:45 | 記載なし | 不要 |
| ConoHa WING | 20:45 | 記載なし | 不要 |
| CPI | 8.2〜8.4は22日に適用 7.4・8.0は10月27日・29日の予定 | 止めていない | 対象外のプランは自分で暫定策 |
出典：さくらのレンタルサーバ／エックスサーバー／カラフルボックス／mixhost／ロリポップ！／お名前.com／ConoHa WING／CPI
ここからは、表だけでは分からない違いを見ていきます。
修正の速さ：さくらが早朝に完了
修正版が出たのは21日の23時ごろです。さくらのレンタルサーバ（さくらインターネット）は23時からすぐに緊急メンテナンスに入り、翌朝6:30に完了しました。エックスサーバーも、サイトを止めないまま8.2〜8.5から順に修正を当てています。
ほかの会社も22日中にはほぼ終わっていますが、夜までかかった会社もありました。
お客様のサイトを止めたかどうか
ここが一番大きく分かれた点です。
| お客様のサイト | 会社 |
|---|---|
| 止めずに直した | エックスサーバー、CPI（どちらも「サーバーは止めない」と明記） |
| 数秒の中断 | さくら（数秒） |
| 表示を止めて直した | ロリポップ！（一部サーバーで約10時間） |
| 記載なし | お名前.com・ConoHa WING・mixhost・カラフルボックス |
ロリポップ！は、修正を当て終わるまでの間、サイトの表示を止める対応をとったと説明しています。経緯の報告も分刻みで丁寧でした。ただ、PHPを使っていないサイトまで止まったので、お店や会社のホームページにとっては影響が大きかったと思います。
古いPHP（8.1以前）まで直したか
開発元のサポートが終了したPHP 8.1以前は、公式の修正版がありません。それでも、多くの会社が自社で修正を当てています。
| 会社 | PHP 8.1以前の対応 |
|---|---|
| エックスサーバー | 5.1〜8.1に修正（10月26日6:20までにすべて完了） |
| さくらのレンタルサーバ | 記載なし（古いPHPならPHP 8.3への切り替えを推奨） |
| ロリポップ！ | 5.3〜8.1に修正（5.3〜7.3は自社で修正を作成） |
| mixhost | 5.2以降に修正 |
| カラフルボックス | 7.4・8.0・8.1に修正 |
| お名前.com・ConoHa WING | 5.6以降に修正 |
| CPI | 7.4・8.0は修正版を準備中 対象外のプランは設定での暫定策のみ |
古いPHPのまま動いているサイトは、実は少なくありません。古いバージョンまで面倒を見てくれるかどうかは、作ってから時間がたったサイトほど大事になります。
「番号が変わらないのに直っている」ことがある
今回まぎらわしかったのが、PHPのバージョン番号です。
| 番号の扱い | 会社 |
|---|---|
| 番号が上がった （8.3なら「8.3.36」） | エックスサーバー・ロリポップ！・CPIなど ※当方が管理しているエックスサーバーのサイトでも、8.3.36・8.5.12になったことを確認しました |
| 番号はそのまま | お名前.com・ConoHa WING（例：8.3.35のまま）、mixhost |
番号がそのままの会社は、公式に「表示は古いままでも修正済み」と書いています。WordPressのサイトヘルスなどで番号だけを見て「まだ直っていない」と判断しないようにしましょう。必ず、サーバー会社のお知らせで確かめるのが確実です。
管理画面の停止
サイトとは別に、管理画面（サーバーパネルなど）やWebメールは、多くの会社が予防のために一時停止しました。
エックスサーバーは、修正版が出る前の21日16時に管理画面を止め、22日の朝から順に再開しています。再開後はアクセスが集中し、23日には「サーバーパネルなどが表示されない、または表示に時間がかかる」と追記していました（26日に「落ち着いた」と更新）。サイトは動いていたものの、この間はPHPのバージョンの切り替えなどができなかったのは、正直なところ不便でした。
サーバー会社の修正のあとに、利用者がやっておきたい対策
サーバー側の修正が終わっても、それだけで安心とは言い切れません。サイトを持っている側でも、次の対策をしておくと安全性が上がります。
まずはコントロールパネルとお知らせで修正の状況を確認する
契約しているサーバー会社の公式サイトのお知らせで、修正が終わっているかを確かめます。あわせて、コントロールパネル（サーバーパネル）で、ドメインごとにどのPHPのバージョンを使っているかも見ておきましょう。
PHPのバージョンを上げる前に、必ずバックアップを取る
PHP 8.1以前を使っている場合、サポート中のバージョンへの移行を勧めるサーバー会社が多くありました。ただ、PHPのバージョンを上げると、古いテーマやプラグインとの互換性の問題で、エラーや表示の不具合が出ることがあります。
切り替える前に、ファイルとデータベースのバックアップを取り、不具合が発生しても、すぐに復旧できる状態にしておくのが基本です。
WordPress・テーマ・プラグインを最新にし、不審な点がないか見る
- WordPress本体・テーマ・プラグインをアップデートする
- 見覚えのない管理者アカウントや、不審なPHPファイルが増えていないか確認する（見つけたら、削除する前にサーバー会社へ連絡する）
- 気になる場合は、WordPressの管理者のパスワードを変更する
不審なファイルや管理者アカウントの確認は、CPIも利用者に呼びかけていました。
お問い合わせフォームやファイルのアップロードが動くか試す
PHPの修正やバージョンの変更のあとは、お問い合わせフォームの送信やファイルのアップロードなど、サイトの機能が正常に動くかを試しておきましょう。ロリポップ！も、修正後にこうした動作の確認をするよう案内しています。
すぐに直せない場合は、一時的にアクセスを制限する
VPSなどで修正版にすぐ上げられない場合は、PHPの開発元やサーバー会社が案内している緩和策（暫定の設定）を入れたり、.htaccessでサイトへのアクセスを制限したりする方法があります。ただし、あくまで一時的な対策で、修正版への移行が必要です。
当方が実際に対応して感じたこと
当方では、エックスサーバー・ロリポップ！・お名前.comなどで動いているお客様のサイトを管理しています。今回はこのように動きました。
- 10月21日：脆弱性の発表を受けて、保守契約のあるお客様へ「修正版が出たら確認して、終わったら連絡します」とお知らせ
- 10月22日：各サーバー会社の発表を確認し、サイトのPHPのバージョンをひとつずつ確認。修正が確認できたお客様から完了の連絡
- 10月23日：エックスサーバーの全サイトを確認し終え、お問い合わせフォームの送信テストまで実施
やってみて感じたのは、サーバー会社によって「直ったかどうかの確かめやすさ」がかなり違うということです。番号が上がる会社はすぐ判断できますが、番号がそのままの会社はお知らせを読み込む必要がありました。
また、ご自身でサイトを管理している方の中には、「何をすればいいか分からない」という声も多く見かけました。
当方が保守しているお客様向けには、PHPの脆弱性への対応についてのお知らせも出しています。
レンタルサーバー選びで見ておきたい3つのポイント
今回のことから、サーバーを選ぶときは料金や速さだけでなく、次の点も見ておくと安心です。
いざというとき、サイトを止めずに直せるか
脆弱性は、今後も必ず出てきます。そのたびにサイトが何時間も止まると、お問い合わせや売上の機会を逃してしまいます。
古いPHPまで面倒を見てくれるか
PHPのバージョンを上げると、古いテーマやプラグインが動かなくなることがあります。すぐに上げられないサイトでも守ってもらえるかは大きな違いです。
お知らせが分かりやすいか
「何が起きていて、いつ直って、利用者は何をすればいいのか」がすぐ分かるかどうかです。時系列で1ページにまとめて更新してくれる会社は、確認がとても楽でした。
当方がエックスサーバーをおすすめする理由
上の3つで見ると、当方がお客様におすすめしているのはエックスサーバーです。
- お客様のサイトを止めずに、主なバージョン（8.2〜8.5）から順に修正を当てた
- サポートが終わった5.1〜8.1にも修正を当てた（10月26日朝までにすべて完了）
- 経過を時系列の表で1ページにまとめて更新しており、確認しやすかった
一方で、管理画面が長く止まり、再開後もつながりにくかった点はマイナスでした。また、さくらのレンタルサーバも修正の完了がとても早く、同じくらい信頼できる対応だったと思います。
それでも、「お客様のサイトを止めない」「古いサイトも守る」という点で、今回もエックスサーバーを選んでいてよかったと感じました。
これからサーバーを契約する方は、紹介リンクから申し込むと料金が最大20%OFFになります。申し込みの手順は下記の記事で画像付きで解説しています。
自分で対応するのが不安な方へ
「PHPのバージョンを上げたらサイトが表示されなくなった」「そもそも自分のサイトが何で動いているか分からない」という方も多いと思います。
当方では、ホームページ公開後の保守・更新もお受けしています。今回のような脆弱性が出たときも、確認から対応、完了のご報告までまとめて行います。他社で作ったホームページでもご相談ください。
よくある質問
- レンタルサーバーなら、利用者は何もしなくていいですか？
-
PHPの修正はサーバー会社が行います。ただ、会社によっては古いPHPの切り替えを勧めています。まずは契約しているサーバー会社のお知らせを確認してください。
- サイトヘルスに表示されるPHPの番号が古いままです。危ないですか？
-
お名前.com・ConoHa WING・mixhostなどは、番号はそのままで修正しています。番号だけでは判断できないので、サーバー会社のお知らせで確かめてください。
- PHPのバージョンを上げると何か問題がありますか？
-
古いテーマやプラグインが動かなくなり、画面が真っ白になることがあります。先にバックアップを取り、プラグインを更新してから切り替えるのがおすすめです。
- 今回の件で、サーバーを乗り換えた方がいいですか？
-
今のサーバーで修正が終わっていれば、急いで乗り換える必要はありません。ただ、契約の更新やリニューアルの機会に、今回のような対応も比べて選ぶと安心です。
まとめ：サーバー選びは「いざというときの対応」も見て選びましょう
2026年10月のPHPの脆弱性では、国内の主なレンタルサーバーはほぼ10月22日中に修正を終えました。ただし、サイトを止めたか、古いPHPまで直したか、お知らせが分かりやすいかで、対応には違いがありました。
ご自身のサイトについては、次の点を確認しておくと安心です。
- 契約しているサーバー会社のお知らせで、修正が終わっているか
- PHPが8.1以前なら、サポート中のバージョンへの切り替えを検討する（先にバックアップを取る）
- WordPress本体・テーマ・プラグインを最新にし、お問い合わせフォームが動くか試す
これからサーバーを契約する場合は、紹介割引を使うとお得に申し込めます。
-
この記事の著者
