Convika
無料で始める

PHP の脆弱性で緊急メンテナンス：自分のサイトは何をすればいい？

Convika Team読了目安: 19 分

  • security
  • php
  • wordpress
  • rental-server
目次

情報は 2026 年 10 月 22 日 12 時 27 分（日本時間）時点です。サーバー会社の状況は数時間で変わります。最新は、契約している会社のお知らせで確かめてください。

2026 年 10 月 21 日 23 時（日本時間）、PHP 本体の 2 つの脆弱性（CVE-2026-109618 と CVE-2026-109619、通称 php2shell）を直した PHP 8.5.12・8.4.27・8.3.36・8.2.35 が出ました。レンタルサーバーでサーバーの PHP を直すのはサーバー会社で、たとえば mixhost は「お客様で必要な作業はございません」としています。利用者がすることは、契約している会社のお知らせを読み、サイトの PHP のバージョンを確かめることです。WordPress を更新しても、この脆弱性は直りません。

この記事は、レンタルサーバーで自分のサイトを動かしている人と、止まったサービスの再開を待っている人に向けて書いています。何が起きたか、どこまでがサーバー会社の作業か、各社のお知らせに何が書いてあるかを、出典と確認した日時つきで並べます。悪用があったかどうかは出典によって見方が分かれているので、どちらかに決めず、そのまま並べます。

いま何が起きているか：PHP 本体の 2 つの脆弱性

PHP は、サーバーの上でページを組み立てるプログラムです。WordPress も PHP で動いています。今回の欠陥は、WordPress やプラグインではなく、その土台の PHP 本体にあります。

  • 何をされうるか: ログインなしに、ネット越しに、サーバーで PHP を動かしているアカウントの権限で好きなプログラムを動かされるおそれがあります。これを RCE（リモートコード実行）と呼びます。PHP の発表は、Apache の mod_php では、アプリのコードが動く前に攻撃できることが実証されたとしています。
  • 対象: Web のリクエストを処理するすべての PHP です（PHP-FPM、Apache の mod_php、php-cgi、FrankenPHP、LiteSpeed）。危険がいちばん大きいのは mod_php です。
  • 直った版: PHP 8.5.12・8.4.27・8.3.36・8.2.35。PHP 8.1 以前には、PHP からの修正版は出ません。7.4・8.0・8.1 向けには、自分でソースから組み立てる人のための最小限の修正だけが公開されています。
  • 深刻度: PHP は CVSS v4.0 で 9.2（Critical）としています。米国の脆弱性データベース NVD は、CVSS v3.1 で 9.8 としています（2026 年 10 月 22 日 11 時 55 分に確認）。
  • PHP 8.2 の期限: 8.2 へのセキュリティ修正は 2026 年 12 月 31 日までです。

「脆弱性」は、ソフトウェアの欠陥のうち、攻撃に使えるもののことです。「php2shell」は CISA（米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁）の注意喚起も使っている通称で、PHP の発表文にはこの名前は出てきません。

なぜ多くのサイトやサービスが止まったのか

修正版が出る前の 10 月 21 日、IPA（情報処理推進機構）は「事前準備のお願い」を出し、PHP を使っているプログラムを棚卸しして、修正版が出たらすぐに入れられるよう準備することを呼びかけました。同じ日、共同通信によると、国家サイバー統括室（NCO）は修正プログラムを含めた速やかな対応を呼びかけました。日本経済新聞によると、高市早苗首相は自身の X で「可及的速やかに適用できるよう準備をお願いする」と投稿し、修正の適用が難しい場合はウェブサイトの一時停止などが「リスクを低減させるための有効策のひとつだ」と述べました。首相の X の投稿と NCO の注意喚起の原文は、この記事では読んでおらず、どちらも報道の引用です。

修正版の公開は 23 時でした。多くの会社は、それより前に予防のためサイトやサービスを止めました。個人のブログ piyolog は、各組織の告知で確認できた 211 組織を業種別にまとめています（10 月 22 日 11 時 55 分に確認）。

止まったことは、攻撃を受けたことを意味しません。エックスサーバーは、自社の公式サイトや管理画面を止めた理由について「本対応は当社サービスに対する不正アクセスの発生に伴うものではございません」と書いています。

10 月 22 日には、日本の脆弱性情報サイト JVN が JVNVU#99905564 を公開しました。JPCERT/CC の注意喚起は、10 月 22 日 11 時 55 分の時点では出ていません。

止まっているゲームや銀行のサービスはいつ戻るか

再開の時期はサービスごとに違うので、この記事では予想しません。使っているサービスの公式サイトか、公式 X のお知らせを見てください。

止まっている間、利用者がスマホやパソコンで PHP を更新する必要はありません。PHP はサービス側のサーバーで動くソフトで、ページを見る側の端末で動くものではないからです。

悪用はされているか：出典によって見方が分かれている

出典言っていること日付
CISA（米国政府）発表の時点で悪用は確認していない。直ちに修正を入れ、入れられない場合や 8.1 以前を使っている場合は、修正するまで PHP のシステムを止めるよう求める10 月 21 日
CISA の悪用済み脆弱性カタログ（KEV）2 件とも載っていない（カタログ 2026.10.21 版）10 月 22 日 11 時 55 分に確認
PHP Foundation公開の時点で、実際に動く攻撃コードは確認していない10 月 21 日
IPAIPA が悪用した攻撃を確認しているわけではない（事前準備のお願いの時点）10 月 21 日
Cloudflare（Web の防御サービス）顧客を狙う攻撃の通信を観測した。WAF の対策ルールを、Free を含むすべてのプランで自動で有効にした10 月 21 日
watchTowr（セキュリティ会社）自社のおとりのサーバー（ハニーポット）で、10 月 21 日の時点で悪用を観測した10 月 22 日更新

どちらの見方でも、することは同じで、PHP に修正を入れることです。Cloudflare 自身も、WAF は PHP の修正の代わりにならないと書いています。

レンタルサーバー各社の状況（10 月 22 日 12 時 26〜27 分に確認）

最新は各社のお知らせで確認してください。この表は、各社が自分のページに書いていることだけを、確認した日時とともに載せています。

会社お知らせに書いてあること利用者がすること出典（確認日時）
mixhost10 月 22 日 10 時 18 分ごろ、全サーバーで PHP の修正パッケージの適用を完了。対象は PHP 5.2〜8.5「お客様で必要な作業はございません」。PHP 8.2 未満を使っている人には 8.2 以上を勧める（すぐの変更は不要）mixhost のお知らせ（10 月 22 日 12 時 26 分）
エックスサーバー10 月 22 日 6 時 45 分、PHP 8.2〜8.5 は対象の全サーバーで修正パッチの適用を完了。古いバージョンは順次適用中。利用者のサーバーは止めておらず、サイトの表示とメールは通常どおりいまの案内はなし。管理画面の提供を再開したあと（9 時 30 分から順次再開）、利用状況によっては追加の対策をお願いする場合があり、そのときはあらためて案内するとしているエックスサーバーのお知らせ、最終更新 10 月 22 日 9 時 30 分（12 時 26 分に確認）
ロリポップ！公式サイトがメンテナンスのページになっており、「現在利用できません」の中に「お客様のサイト」がある。10 月 21 日から、修正版の公開に先立つ予防措置再開の案内を待つ。復旧状況は公式 X（@lolipopjp）で知らせるとしているlolipop.jp（10 月 22 日 12 時 26 分）
ConoHa WING10 月 21 日 19 時から 22 日 10 時まで「システムの保守作業」の緊急メンテナンス（お知らせに PHP の記載はない）。ファイルマネージャーと Web メールは予防保守のため一時停止中停止中の機能は、メールソフトや FTP ソフトで代わりにするよう案内。PHP の修正の状況は、お知らせでは確認できないConoHa WING のニュース（10 月 22 日 12 時 27 分）
さくらのレンタルサーバコントロールパネルで選べるすべての PHP バージョンで対応を完了（10 月 22 日付のお知らせ）。PHP のバージョンアップの緊急メンテナンスは 10 月 21 日 23 時から 22 日 6 時 30 分までで、6 時 30 分に完了。一部のサービスの phpMyAdmin と Web メールは対応中「お客様に実施いただく緊急の対応はございません」。サポート期間中の最新版の PHP への移行も検討するよう案内し、古い PHP を使っている人には PHP 8.3 を案内さくらのサポート情報のお知らせ（10 月 22 日 12 時 27 分）、メンテナンス情報（12 時 26 分）

この表にない会社（KAGOYA、Zenlogic、heteml、CPI など）は、この記事では各社のページを確認していません。

自分のサイトで確かめること: 4 つの手順

1. 契約しているサーバー会社のお知らせを読む

レンタルサーバーでは、サーバーの PHP を直すのはサーバー会社です。Cloudflare も、ホスティング会社が PHP を管理している場合はその会社に更新を頼むよう書いています。まずお知らせで、修正が終わったか、利用者にお願いしていることがあるかを見ます。エックスサーバーのように、あとで追加の対策をお願いする場合があると書いている会社もあるので、一度読んで終わりにせず、数日は見直してください。

2. サイトが使っている PHP のバージョンを見る

レンタルサーバーの管理画面で、サイト（ドメイン）ごとに選んでいる PHP のバージョンを見ます。WordPress なら、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」でも見られます（英語の画面では Tools > Site Health > Info > Server。WordPress.org の案内による）。

3. 直ったかどうかは、バージョンの数字ではなく会社のお知らせで確かめる

バージョンの数字は、修正の証明になりません。サーバー会社や Linux の配布元は、修正だけを古い版に移して（バックポート）、数字を変えずに入れることがあるからです。mixhost は「サイトヘルスやphpinfo等で表示されるPHPのバージョン番号（例：8.4.26）は、修正後も変わりません」と書いています。AlmaLinux も、修正を移しているので php -v の数字を当てにしないよう書いています。数字が古いままでも直っていることがあるので、レンタルサーバーでは会社のお知らせで確かめます。

4. PHP 8.1 以前なら、サポート中のバージョンへの切り替えを計画する

PHP 8.1 以前には、PHP からの修正版は出ません。サーバー会社が独自に直すことはあり（mixhost は 5.2〜8.5 に適用、エックスサーバーは古いバージョンにも順次適用中）、それはお知らせで確かめます。そのうえで、サポート中の 8.2 以上に切り替えるかは、別に決めることです。切り替えるとサイトのプログラムが動かなくなることがあり、mixhost はその影響をサポートの対象外としています。なお 8.2 も、セキュリティ修正は 2026 年 12 月 31 日までです。

メンテナンスをお客様に知らせるには：お知らせのページを 1 枚

サーバー会社のメンテナンスや PHP の切り替えでサイトが止まっている間は、そのサイトにお知らせを載せられません。止まっている理由と戻る見込みを 1 枚のページにすれば、リンクを LINE やメールで送り、QR コードを印刷して店頭に貼れます。

Convika では、お知らせの内容を AI に伝えると 1 分ほどで非公開のプレビューができ（ChatGPT などで作った HTML ファイルを置くこともできます）、公開するとリンクと QR コードが出ます。ページはレンタルサーバーとは別の ○○.convika.page のアドレスで開き、再開したら同じページを書き換えれば、配ったリンクと QR コードのまま新しいお知らせになります。登録から公開まで無料です。

無料でお知らせのページをつくる

WordPress を使っている場合：php2shell と WordPress の脆弱性は別のもの

WordPress.org は 10 月 21 日、これらの脆弱性は WordPress に固有のものではなく、PHP のアプリを置くすべてのサーバーに影響するとして、「WordPress の更新は必要なく、予定もない」と書いています。名前の似た wp2shell など、同じ年に見つかった WordPress 本体の脆弱性は別のもので、直し方も違います。

名前どこの欠陥か直し方時期
php2shell（CVE-2026-109618・CVE-2026-109619）PHP 本体PHP の更新（レンタルサーバーではサーバー会社の作業）2026 年 10 月 21 日
wp2shell（CVE-2026-60137・CVE-2026-63030）WordPress 本体WordPress 6.9.5・7.0.2 への更新（CVE-2026-60137 は 6.8.6 も）2026 年 7 月（IPA の呼びかけは 7 月 22 日）
CVE-2026-87902WordPress 本体WordPress 7.1.2 への更新2026 年 9 月 22 日

WordPress の最新版は 7.1.3 です（10 月 6 日のセキュリティとメンテナンスのリリース。10 月 22 日 12 時に WordPress.org の更新情報で確認）。WordPress を最新にしておくことは wp2shell などへの備えで、php2shell は直りません。php2shell を直すのは PHP の更新です。

自分でサーバーを管理している場合（VPS・クラウド・Docker）

VPS やクラウドで PHP を自分で入れている場合、修正を入れるのは自分です。PHP の発表は、完全な対策は更新だけで、設定で被害を減らす方法は「インストールを安全にはしない」としています。

  • 更新と再起動: 修正版（8.5.12・8.4.27・8.3.36・8.2.35）か、配布元の修正済みパッケージに更新し、PHP-FPM や Apache を再起動します。AlmaLinux の手順は sudo dnf clean metadata && sudo dnf upgrade 'php*' のあと sudo systemctl restart php-fpm（AlmaLinux 8 で mod_php なら sudo systemctl restart httpd）です。
  • 確かめ方: AlmaLinux では php -v ではなく rpm -q php-common（AlmaLinux 10 の PHP 8.4 は rpm -q php8.4-common）で、修正済みのパッケージの版と比べます。Debian では、12（bookworm）は php8.2 の 8.2.35-1~deb12u1、13（trixie）は php8.4 の 8.4.27-1~deb13u1 が修正済みです（Debian のセキュリティトラッカー）。Ubuntu は、Ubuntu の CVE のページでリリースごとの修正版を確かめます。
  • Docker: 公式イメージ php には、8.5.12・8.4.27・8.3.36・8.2.35 のタグがあります（10 月 22 日 12 時 27 分に Docker Hub で確認）。使っているイメージは、修正版のタグで作り直します。
  • Google Cloud: App Engine スタンダード（PHP 8.2 以上）は自動で更新され、作業は要りません。Cloud Run は、ベースイメージの自動更新を有効にしていなければ作り直してデプロイし、GKE は自分でイメージを更新します（Google Cloud のブログ）。
  • Remi のリポジトリ: PHP の発表は、10 月 21 日にはこのリポジトリの更新がないとして、配布元のパッケージかソースからの組み立てに切り替えるよう求めています。
  • 未確認のもの: Red Hat Enterprise Linux の修正済みパッケージ、cPanel、Plesk の状況は、この記事では確認していません。10 月 23 日に確かめた cPanel と Red Hat の状況は、PHP October 2026 security release: what to update（英語）にあります。

すぐに更新できない場合に被害を減らす設定（session.upload_progress.enabled=0 など）は、PHP の発表 にあります。どれも一部の攻撃の道をふさぐだけで、更新の代わりにはなりません。

9 月 24 日の PHP 更新との違い

PHP は 9 月 24 日にも 8.5.11・8.4.26・8.3.35・8.2.34 を出しています（PHP の変更履歴）。こちらは SOAP、Phar、FastCGI の接続許可、TLS の確かめ方など、特定の機能に関わる脆弱性の修正で、10 月 21 日の 2 件とは別のものです。「PHP の脆弱性」で探して 9 月の記事が出てきたら、日付を確かめてください。

サイトが 1 枚のページとフォームだけなら：PHP を使わない置き方

この記事を書いている Convika は、HTML のページを公開するサービスです。サイトの中身が実は 1 枚の案内ページとお問い合わせフォームだけで、昔作った PHP のメールフォームのためにレンタルサーバーを続けている、という場合に限って、ひとつの選択肢になります。

Convika に置いたページは HTML として配信され、フォームは Convika の仕組みで受け付けるので、持ち主が更新する PHP はありません。Free プランでは、公開できるページは 1 ページ（2026 年 10 月 23 日以降に作ったワークスペース）、フォームの答えは月 50 件まで見られ（超えた分も保存され、Pro で見られます）、www.example.com のような独自ドメインを 1 つつなげます。Free のページには、下に Convika のバーが出ます。

できないこともはっきりしています。WordPress、ネットショップのカートや決済、会員のログイン、PHP のスクリプトは置けません。今のサイトを移すなら、ページを作り直し、ドメインの DNS に CNAME と TXT のレコードを足す作業が要ります。急いで移す理由はなく、サーバー会社がメンテナンス中で DNS の設定画面が開けないときにできる作業でもありません。フォームの置き方は サーバーなしでフォームを置く方法、独自ドメインは AI で作ったページを無料で独自ドメインに公開する方法、Convika に置いたページにも残るリスクは バイブコーディングの危険性と実際の事例 にまとめています。

よくある質問

PHP の脆弱性で何をすればいいですか？

レンタルサーバーを使っているなら、契約しているサーバー会社のお知らせを読み、修正が終わったか、利用者へのお願いがあるかを確かめます。PHP を直すのはサーバー会社です。管理画面でサイトの PHP のバージョンも見て、8.1 以前なら 8.2 以上への切り替えを計画します。自分でサーバーを管理しているなら、修正版に更新して PHP-FPM や Apache を再起動します。

PHP の緊急メンテナンスはいつまで続きますか？

サービスごとに違い、この記事では予想しません。エックスサーバーは公式サイトを 10 月 22 日中に再開する予定としており、mixhost は 10 月 22 日 10 時 18 分ごろに全サーバーの修正を終えています（いずれも各社のお知らせ、10 月 22 日 12 時 26 分に確認）。使っているサービスの公式サイトか公式 X を見てください。

レンタルサーバーを使っています。自分で PHP を更新する必要はありますか？

レンタルサーバーでは、サーバーの PHP を直すのはサーバー会社です。mixhost は「お客様で必要な作業はございません」としています。ただ、会社によっては、あとで追加の対策をお願いする場合があると書いています（エックスサーバー）。お知らせを数日は見直してください。

WordPress を使っています。WordPress を更新すれば直りますか？

直りません。WordPress.org は、この脆弱性は WordPress に固有のものではなく、WordPress の更新は必要なく予定もないとしています。直すのは PHP の更新です。wp2shell や CVE-2026-87902 は WordPress 本体の別の脆弱性で、こちらは WordPress の更新で直ります。

PHP のバージョンが修正版かどうかは、どう確かめますか？

レンタルサーバーでは、サーバー会社のお知らせで確かめます。数字は証明になりません。会社や Linux の配布元は修正を古い版に移して数字を変えずに入れることがあり、mixhost は表示される番号が「修正後も変わりません」と書いています。自分のサーバーなら、AlmaLinux の rpm -q php-common（AlmaLinux 10 の PHP 8.4 は rpm -q php8.4-common）のように、パッケージの版で確かめます。

php2shell とは何ですか？

2026 年 10 月 21 日に修正された PHP 本体の 2 つの脆弱性、CVE-2026-109618 と CVE-2026-109619 の通称です。ログインなしに、ネット越しにサーバーでプログラムを動かされるおそれがあります。PHP の発表文ではこの名前は使っておらず、CISA の注意喚起などが使っています。

個人でできることはありますか？

サイトを持っていない人は、スマホやパソコンで PHP を更新する必要はありません。PHP はサービス側のサーバーで動くソフトです。止まったサービスの再開は、そのサービスの公式サイトか公式 X で確かめます。レンタルサーバーでサイトを持っている人は、上の 4 つの手順を見てください。

PHP の脆弱性で個人情報は漏れますか？

PHP の発表によると、攻撃が成功すると、サーバーで PHP を動かすアカウントの権限でプログラムが動き、CVE-2026-109619 ではメモリの中身が漏れるおそれもあります。実際に情報が漏れたかどうかは、サイトごとに違います。メンテナンスで止まったことは、漏れたことを意味しません。エックスサーバーは、不正アクセスが起きたための対応ではないと書いています。

PHP 8.1 以前を使っているとどうなりますか？

PHP からの修正版は出ません。CISA は、更新できない場合や 8.1 以前を使っている場合は、修正するまで PHP のシステムを止めるよう求めています。レンタルサーバーでは会社が独自に直していることがあるので（mixhost は 5.2〜8.5）、お知らせで確かめ、そのうえで 8.2 以上への切り替えを計画します。

出典

更新の記録

  • 2026 年 10 月 22 日: 公開。レンタルサーバー各社の状況と Docker Hub は 10 月 22 日 12 時 26〜27 分に、ほかの出典は 11 時 55 分に読んだものです。

関連記事

記事を共有する