2026年10月21日に公表されたPHPの脆弱性の影響で、レンタルサーバーやWebサービスの一部が一時的に止まりました。何が起きたのか、自分は何を確認すればよいのかを、公式情報だけで整理します。
サービスが止まったと聞いて、自分も何かしないといけないのか、気になった人も多いと思います。
PHP開発元の発表、IPA（情報処理推進機構）の注意喚起、各社のお知らせを、2026年10月23日朝に確認しました。状況は更新されることがあるため、最新の案内もあわせてご覧ください。
- PHPの脆弱性の影響で、重大な2件の修正版が10月21日に出た
- 見るだけの利用者は、PHPの更新は要らない（編集部の整理）
- サイト運営者は、契約会社のお知らせとPHPの版を確認する
- ConoHa WINGは、表示の番号が古くても適用済みと案内している
- PHP 8.1以前は更新の提供が終わっており、移行の検討が必要
PHPの脆弱性の影響は？結論｜利用者は更新不要、運営者は確認が必要
結論から言うと、ブラウザーでサイトを見るだけの利用者は、PHPの更新をする必要はありません。PHPは、サイト側のサーバーで動くソフトだからです。これは公式の一文ではなく、編集部の整理です。
自分のPCやスマホの更新は別の話で、Windows 11に更新できない古いPCの記事で整理しています。PHPで動くサイトの運営者は、契約会社のお知らせとPHPの版の確認が必要です。
利用者が自分で何かを直す話ではありません。まずは、使っているサービスの公式お知らせを見てみましょう。
PHPとは？Webサイトの裏側で動くソフト
PHPとは、サイトの裏側で動くプログラムを作るための言語です。WordPressをはじめ、多くのサイトの仕組みを支えています。
ギズモード・ジャパンによると、サーバー側の言語が分かるサイトのうち、約7割がPHPを使っています（W3Techs調べ）。たとえるなら、お店の裏で注文をさばく店員さんです。
2件の脆弱性は何が危険か｜外部から処理を実行されるおそれ
PHPの開発元は10月21日に、重大な脆弱性（＝ソフトの弱点）2件の修正版を公開しました。
どちらも、リモートコード実行（＝外部から勝手に処理を実行されること）につながるおそれがあると説明されています。深刻度の目安であるCVSS v4.0のスコアは、どちらも9.2です。
- CVE-2026-109618：メモリ不足の処理で、準備の途中の内部データが正しいものとして扱われる
- CVE-2026-109619：解放されたはずの内部データが残り、あとの要求が使ってしまうことがある
IPAは、この2件の組み合わせを「PHP2shell」と呼んでいます。開発元は、完全な回避策はなく、更新が唯一の確実な方法だと説明しています。
| PHPの系統 | 修正版 | セキュリティサポートの終了予定 |
|---|---|---|
| 8.5系 | 8.5.12 | 2029年12月31日 |
| 8.4系 | 8.4.27 | 2028年12月31日 |
| 8.3系 | 8.3.36 | 2027年12月31日 |
| 8.2系 | 8.2.35 | 2026年12月31日 |
| 8.1以前 | 開発元の提供なし | すでに終了 |
修正版はPHP開発元の発表、サポート期間はphp.netの対応表によります（確認日 2026年10月23日）。
なぜ一斉に止まった？公開前の予防停止から再開までの時系列
PHPの脆弱性の影響に備え、エックスサーバーは、修正版の公開前にあたる10月21日16時から、サービスサイトと管理画面を一時停止しました。
公開前に止めた理由｜予告から修正版公開までの流れ
PHPの開発元は10月20日に、修正版の公開を予告しました。日本時間では、10月21日23時にあたります（編集部の換算）。
エックスサーバーは、脆弱性の詳細と修正版が公開される予定だったことを受け、「予防的な安全対策」として停止したと説明しています。
また、「本対応は弊社サービスに対する不正アクセスの発生に伴うものではございません」とも明記しています。
止まったのは管理画面など付随の機能が中心｜サイト表示は続いた例
エックスサーバーは、お客様のサーバーは稼働を続け、サイトの表示とメールの送受信に影響はないと案内しました。ConoHa WINGの第一報も、サイトの表示とメールの送受信は通常どおり使えると案内しています。
ConoHa WINGで一時停止したのは、ファイルマネージャーやWebメールなどです（どちらも10月22日18:30頃に再開）。ITmedia NEWSによると、BASEやCygames、ニコニコ、pixivなども、公式サイトやWebサービスを一時的に停止しました。
悪用の試みは公表直後から急増｜Cloudflareの報告
ITmedia NEWSによると、CloudflareのCEOは10月22日、PHP2shellを狙う悪用の試みについてXに投稿しました。公表前の10時間は数千件、公表後の45分で数万件、2時間以内に数十万件で、その後は数百万件に達したとしています。
これはCloudflareのネットワーク全体で観測した「試み」の数で、被害の件数ではありません。
レンタルサーバー3社の対応比較｜エックスサーバー・ConoHa WING・さくら
契約中のレンタルサーバーがある人は、次の表で会社ごとの対応を見てください。各社の公式お知らせ（10月22日掲載分）を、10月23日に確認した内容です。
| 事業者 | 機能面の案内 | 修正の適用 | 利用者の対応 |
|---|---|---|---|
| エックスサーバー | サービスサイトと管理画面を予防停止 | PHP 5.6〜8.5は適用完了。5.5以下は作成・検証中 | 利用状況により追加の対策をお願いする場合がある |
| ConoHa WING | ファイルマネージャーとWebメールなどを一時停止したが、10月22日18:30頃に再開 | 提供中のすべてのPHPに適用済み（番号は変えない） | PHPの版の変更は不要 |
| さくらのレンタルサーバ | ウェブメールは10月22日13:45に対応完了。phpMyAdminなどの状況は公式で確認 | 選べるすべてのPHPで対応を完了 | 緊急の対応は不要。最新版への移行は検討を |
エックスサーバーは10月22日20時10分時点、ConoHa WINGは20時45分時点、さくらは10月22日更新の掲載内容です。
ConoHa WING｜バージョン番号を変えずに修正を適用
ConoHa WINGは、PHPの版を上げず、修正プログラムだけを取り込む方法で適用しました。サイトヘルスに8.5.12ではなく8.5.11と出ても、適用済みと案内しています。
番号が古く見えても、ConoHa WINGの場合は適用済みという説明です。表示だけで慌てなくて済みます。
さくらインターネット｜緊急の対応は不要、最新版への移行は検討を
さくらは、緊急の対応はないとしたうえで、サポート期間中の最新版PHPへの移行もあわせて検討するよう案内しています。
自分は何を確認する？利用者・WordPress運営者・自己管理サーバーの3タイプ別
図で自分がどれに当たるかを選び、当てはまる項目だけ読めば十分です。
ブラウザーで見るだけの利用者｜PHPの更新は要らない
パソコンやスマホでサイトを見るだけなら、PHPの更新は要りません。止まっていたサービスは、公式のお知らせで再開の時期を確認しましょう。
この記事で確認した公式情報には、利用者へパスワードの変更を求める記載はありませんでした。不審なメールやSMSのリンクは開かず、公式サイトから確認してください。
お使いのWindowsの更新は別の話です。更新前に、KB5127648の不具合の記事のような既知の不具合も見ておくと安心です。
レンタルサーバーでWordPressを使っている人｜契約会社のお知らせを確認
PHPの脆弱性への対応状況を、契約しているレンタルサーバーの会社のお知らせで確認します。
番号を変えずに修正を適用する会社もあります。迷ったら、契約会社の案内か問い合わせ窓口で確かめましょう。
VPSなど自分で管理している人｜修正版へ更新
自分でPHPを管理している場合は、修正版への更新が必要です。IPAは、暫定的な対策やアクセスの制限にも触れ、外部からの接続の遮断やサービスの一時停止の検討も挙げています。
IPAのページは、新しい情報が出るたびに更新されます。作業の前に、最新の内容を確認してください。
公式発表では分かっていないこと
この記事で確認した公式情報には、次の内容が載っていませんでした。エックスサーバーは、今後の状況をお知らせで随時更新するとしています。
- 被害を受けたサイトの数（Cloudflareの数字は「試み」の件数です）
- 利用者がパスワードを変える必要があるかどうか
- エックスサーバーのPHP 5.5以下の修正が終わる時期（10月22日20:10時点では対応中）
PHP 8.1以前・8.2を使っている場合｜サポート終了ソフトのリスクと移行の考え方
PHP 8.1以前は、PHP開発元の更新の提供がすでに終わっています。IPAは、更新が難しい場合、サポート中の版への更新か、対策済みの製品・サービスへの移行を検討するよう案内しています。
- PHP 8.2のセキュリティサポートは、2026年12月31日までの予定です
- レンタルサーバーで修正が適用済みでも、最新版への移行を勧める会社があります
サポートが終わったソフトを使い続けるリスクは、Office 2021・2019のサポート終了後の考え方と同じです。なお、ゲーム用のレンタルサーバーはゲームサーバーのレンタル比較で扱っています。
まとめ｜PHPの脆弱性の影響を整理
状況は更新されることがあります。最新の案内は、PHP開発元、IPA、各社のお知らせで確認してください。
- 利用者は、使っているサービスの公式お知らせで再開や案内を見る
- レンタルサーバーの運営者は、契約会社の案内を確認し、番号だけで判断しない
- 自分で管理している運営者は、修正版へ更新する
- PHP 8.1以前は、サポート中の版か対策済みサービスへ移行を検討する
この記事は、2026年10月23日に確認した公式発表をもとにしています。復旧の状況は変わる場合があるため、最新の案内は各社の公式ページで確認してください。
PHPの脆弱性の影響についてよくある質問
- 自分のパソコンやスマホも更新が必要ですか？
-
サイトを見るだけの利用者は、PHPの更新は要りません（編集部の整理）。使っているサービスの案内は、あわせて確認してください。
- パスワードは変えたほうがよいですか？
-
この記事で確認した公式情報には、変更を求める記載はありませんでした。各サービスの案内に従い、不審なメールやSMSのリンクは開かないでください。
- PHPの版の表示が古いままでも問題ありませんか？
-
ConoHa WINGは、番号を変えずに修正を適用するため、表示が古いままの場合があると案内しています。適用済みという説明です。迷う場合は、契約会社に問い合わせてください。
関連記事
