KAGOYAからホームページの公開停止やアクセス制限を検討するよう案内が届いたら、先に契約プランと、作業を頼める相手を確かめてください。PHPの脆弱性への対応はプランごとに異なり、サイトが表示できることだけでは修正済みか判断できません。
2026年10月25日朝に公式告知を確認した時点では、レンタルサーバープランは修正版への更新完了、共用・マネージド専用・WordPress専用の各プランは恒久的な対応を調整中でした。対象の会社は、公開を続ける条件と止めた場合の受付方法を制作会社・保守会社と揃え、判断できる状態にしましょう。
確認時点公式の更新時刻と記事の確認日を分けて読む
本記事の確認日は2026年10月25日朝です。KAGOYAの影響告知は10月23日12時30分更新、サービス状況の提供サービス欄は10月23日18時17分、管理画面等の欄は10月24日12時40分時点の記載に基づきます。
状況は変わるため、実際の停止・制限・再開を決める時は、公式告知の新しい更新と自社環境を保守担当者に照合してもらってください。
KAGOYAのPHP脆弱性対応は、契約プラン別に確認する
KAGOYAのPHP脆弱性対応では、「レンタルサーバープラン」と旧来の「共用サーバープラン」を区別するところが出発点です。普段はどちらも「レンタルサーバー」と呼んでいても、今回の完了告知が自社の契約に当てはまるとは限りません。
修正完了の告知があるプランと、対応調整中のプラン
| 契約プラン | 公式の対応状況 | 自社で確かめる点 |
|---|---|---|
| レンタルサーバー | 修正版へ更新完了 | 契約と対象PHP |
| 共用サーバー | 恒久対応は調整中 | 停止・制限の方針 |
| マネージド 専用サーバー | 恒久対応は調整中 | 停止・制限の方針 |
| WordPress 専用サーバー | 恒久対応は調整中 | 停止・制限の方針 |
完了告知の対象は、レンタルサーバープランのPHP7.4系・8.1系・8.2系・8.3系・8.4系・8.5系です。KAGOYAは10月22日14時40分から24時までに順次更新したと報告しており、この完了をほかのプランへ広げて受け取ってはいけません。
一方、共用・マネージド専用・WordPress専用プランには、暫定的に公開停止やアクセス制限を検討するよう案内があります。公式の同じページには「.htaccess」を使う停止例もありますが、設定ファイルを扱う作業は制作会社・保守会社へ依頼し、自社の構成に合う方法を判断してもらう前提です。
出典:KAGOYA「PHPの脆弱性(CVE-2026-109618 / CVE-2026-109619)に関する当社サービスへの影響について」
自社のプラン名が分からなければ、契約書・請求書・契約時のメールを探し、制作会社が契約している場合はその担当へ照会します。「カゴヤを使っている」だけで話を進めず、契約名と対象ドメインを一緒に伝えると、確認対象を絞れます。
補足判断の対象を、契約している自社サイトへ絞る
同じKAGOYAでもプランと管理範囲が違います。別の会社の「直った」「止めた」という話を、自社の判断へそのまま当てはめないようにしてください。
サイトの稼働と、管理画面の停止は別に見る
| 確認する対象 | 公式の記載 | 判断できること |
|---|---|---|
| 対象3プランの 提供サービス | 稼働中 (10月23日時点) | 全面停止の告知 ではない |
| 対象3プランの 管理画面 | 停止中 (10月24日時点) | 通常の管理操作に 制約がある |
| 恒久的な対策 | 対応方針を調整中 | 稼働だけでは 適用済みと言えない |
この違いがあるため、ホームページが開くことを、PHPの修正が終わった証拠にしないでください。その間も、公開継続や制限の方針まで自動的に決まるわけではなく、保守担当者との確認が必要になります。
また、共用・マネージド専用からレンタルサーバーへのプラン変更は、公式の確認時点では管理画面停止のため申し込めないとされています。今すぐ切り替えられると考えて暫定対応を後回しにせず、実行できる対策から相談する順番です。
出典:KAGOYA「PHPの脆弱性(CVE-2026-109618 / CVE-2026-109619)に関する当社サービス状況」
PHP自体の更新とWordPressの更新がどう違うかは、PHP脆弱性の確認方法と制作会社への問い合わせ文例でも整理しています。WordPressの更新通知が消えているかと、サーバー側の対応状況を分けて見てください。
KAGOYAのPHP脆弱性で公開を止めるか、何を材料に判断するか
KAGOYAのPHP脆弱性について、公式は対象プランへ停止やアクセス制限の検討を案内しています。全契約者へ一律の停止を命じる説明ではありませんが、修正を確認できないまま「動いているから待つ」と決めるのも適切ではありません。
今回の対象はCVE-2026-109618とCVE-2026-109619で、IPAは悪用されると外部の第三者にサーバー上でプログラムを実行されるおそれがあると説明しています。単なる画面の表示不具合とは違い、サイトを続ける時にも対策の根拠が求められる問題です。
判断材料対策の有効性と、止めた時の影響を並べる
IPAは更新が難しい場合に、利用環境に合った暫定対策を検討し、有効な対策が難しければ被害や業務への影響を踏まえて外部アクセスの遮断・一時停止を判断するよう案内しています。
自社だけで安全性を推測せず、技術面は保守担当者、業務を止める判断は経営者や責任者が材料を持ち寄る形にします。
出典:IPA「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)」
公開継続の根拠があるか、先に技術担当者へ聞く
制作会社・保守会社には、修正の適用を確認できるか、確認できないなら何を遮断できるかを聞きます。アクセス制限の対象が管理画面だけなのか、外部からのPHPへの通信まで含むのかによって、対策として確認する範囲が変わります。
そのため、メンテナンス画面を置く案が出た時も、見た目が変わっただけで対策完了と扱わないことが大切です。どの通信を止め、どの機能が残るのかを、作業する担当者の説明で確かめてください。
画面を差し替えた
しばらく待った
制限が届く範囲
再開できる条件
止めた場合に、誰がどこで受付を続けるかを決める
技術面の確認と並行して、サイトを止めると使えなくなる業務も書き出します。会社案内の閲覧、問い合わせフォーム、採用応募など、自社が実際に使っている機能を挙げると、代替の受付先を決めやすくなります。
- 公開サイトで扱う情報と、停止対象のページ・機能を把握する
- 既存の電話・メールなど、代替受付先の利用可否を確かめる
- 取引先や応募者へ知らせる方法と、案内を更新する人を決める
- 技術確認の回答を受け、公開方針を決める責任者を決める
この一覧を揃えたうえで、確認結果をいつ持ち寄るかを担当者と決めておきます。その回答を待つ間も、制限の可否と代替受付だけ先に検討できるため、「KAGOYAの続報待ち」で社内の作業まで止めずに済みます。
KAGOYAのPHP脆弱性対応を制作会社・保守会社へ頼む文例
KAGOYAのPHP脆弱性対応を依頼する時は、契約・対策状況・停止範囲・再開条件を一度に確認すると、やり取りの抜けを減らせます。作業者が設定を変えられる権限を持つかも確かめ、会社側は業務影響と承認を引き受ける分担です。
自社の責任者が決める
制作・保守担当が確認する
まず送る、状況確認と暫定対応の依頼文
次の文例に対象サイトのURLと契約情報を添える時は、分からない欄を「不明」と伝え、パスワードを本文に並べる代わりに、担当者と安全な受け渡し方法を決めます。
文例PHP脆弱性の確認と、公開方針の相談
件名:KAGOYA利用サイトのPHP脆弱性対応について
KAGOYAが共用・マネージド専用・WordPress専用プランの利用者へ、公開停止やアクセス制限の検討を案内しています。当社サイトの契約プランとPHPの使用状況、修正が適用されているかをご確認いただけますか。
修正を確認できない場合は、暫定的に実施できる制限、その範囲と残る懸念、停止する機能をご提示ください。電話・メール等の代替受付を社内で検討するため、業務への影響もあわせて教えてください。
作業前に必要な承認事項と実施可能な時期、再開を判断する条件についてもご連絡をお願いします。確認できていることと未確認のことを分けていただけると助かります。
この依頼への回答が「対応済み」だけなら、どのサイトの、どの対策が完了したかまで聞き直します。契約プランと対象ドメインが合っているか、PHP修正なのか暫定制限なのかを分けて受け取ると、社内の説明にも使えます。
管理画面に入れない時に、追加する依頼文
コントロールパネルが停止中の場合は、操作できる前提の手順を自分で試し続けないようにします。使える管理経路は契約や権限で異なるため、担当会社に「現在実施できる方法」を確認する聞き方へ変えてください。
追記例管理画面が停止している場合の確認
現在、KAGOYAの管理画面が停止しているため、通常の方法で確認・変更ができません。現時点で利用できる確認・制限方法があるか、当社の契約と権限を踏まえてご案内ください。
実施できない場合は、できない理由と、KAGOYA側のどの案内・機能の再開を待つ必要があるかを教えてください。その間に当社で準備できるお客様向けの案内や受付方法も先に決めたいと考えています。
なお、公式はPHP脆弱性に関する個別回答が難しいとして、サービス状況と影響告知での案内を示しています。別件用として掲載されたメール窓口をPHP専用の相談先と読み替えず、まず契約を把握している制作・保守担当へ照会する形が現実的です。
その担当者に何を頼める契約か曖昧な時は、ホームページ保守会社へ頼める作業と契約範囲を照らし合わせ、障害対応・サーバー操作・復旧確認の担当を明らかにしてください。社内の担当が不在なら、Web担当者がいない会社で運営を回す考え方も、窓口を決める際の参考になります。
公開停止中のお客様への案内は、使えない機能と代替窓口を伝える
公開停止を決めたら、お客様には何が利用できず、どこで受付できるかを先に知らせます。PHPの詳しい仕組みを長く説明するよりも、必要な用件を受け取れる経路と、次の案内場所を見つけられることが優先です。
利用できない機能
閲覧・問い合わせ等の停止範囲
代替の受付先
利用できる電話・メール等
次の案内
確認後に知らせる場所と時点
再開時刻が決まっていない場合のお知らせ文例
再開未定なら、未定であることと、次の案内方法を分けて書くのが伝え方です。次報の時刻を載せる場合も、作業担当が報告でき、自社で更新できる時刻だけを約束します。
文例ホームページの一時公開停止について
現在、利用中のサーバーで公表されたPHPの脆弱性に伴い、安全対策のためホームページの公開を一時停止しています。停止中は、サイトの閲覧とお問い合わせフォームをご利用いただけません。
再開時刻は現時点で未定のため、状況を確認し次第、当社がご案内するお知らせ窓口でお伝えします。お急ぎのご用件は、別途ご案内する電話・メール窓口へご連絡ください。
ご利用のお客様にはご不便をおかけしますが、ご理解くださいますようお願いいたします。
この文例を使う時は、実際に止める機能と、自社で使える連絡先へ書き換えてから案内します。「電話・メール窓口」のまま公開せず、連絡先と受付時間を具体的に入れ、確認できない再開予定は追加しないでください。
注意「情報漏えいはありません」と断定しない
予防的な停止であることと、個別サイトに被害がないと確認できたことは別です。被害有無の調査結果を持っていない場合は、未確認の安全宣言を案内文へ足さないようにします。
メールが代替窓口になるかは、Webメールと分けて確かめる
KAGOYAは、Active!mailの停止中もメールサーバーは停止せず、メールソフトからの送受信は継続できると案内しています。このため、Webメールが開かないことだけで会社のメール全体が停止したと決めず、普段使うメールソフト側の状況を担当者へ確認する順番です。
出典:KAGOYA「Active!mail、KAGOYA会員サイト、および各種コントロールパネルメンテナンスのお知らせ」
ただし、この案内だけで自社の宛先への到達や担当者の受信確認まで保証されるわけではありません。代替窓口に使うなら受け取れることを自社で確かめ、フォームを止めた期間の未受付分をどう案内するかも決めておきます。
公開を止めたサイト上だけではお知らせが届かない場合もあるため、既に使っている連絡経路にも案内を用意してください。取引先への連絡や自社が管理するSNSなど、実際に更新できる場所を選び、複数箇所の説明と連絡先を揃えます。
KAGOYAのPHP脆弱性対策後は、再開条件を確認してから制限を戻す
KAGOYAのPHP脆弱性に伴って公開を止めた場合は、待った日数より、修正や対策を確認できたかで再開を判断します。KAGOYAの新しい告知と自社環境を照らし、誰が何を確認したかを残してから解除する流れです。
再開を承認する前に受け取る報告
- 契約プランと対象ドメインに、確認した対策が適用されている
- 恒久修正か暫定対策かが分かり、残る制限・課題も説明されている
- 解除する設定と、解除後に確認する機能が決まっている
- 会社側の承認者と、実際に解除する担当者が決まっている
この報告のうち「対策が適用された対象」が曖昧なら、見た目が戻ったことだけで再開完了としないでください。特にWordPressを使うサイトでは、ページ表示に加え、問い合わせ・応募など自社で使う機能も確認対象へ入れます。
機能確認で送信等が必要になる場合は、会社側と確認方法を合意してから実施します。通常のお客様からの問い合わせと混ざらない扱いを決め、受付できたかまで担当者に確認してもらうと、再開後の取りこぼしを防げます。
再開した後のお知らせ文例
文例ホームページ公開再開のご案内
安全対策と必要な動作確認が完了したため、ホームページの公開を再開しました。停止中はご不便をおかけし、申し訳ございませんでした。
現在ご利用いただける機能と、継続して制限している機能がある場合は、それぞれの状況と受付先をあわせてご案内します。
この再開文も実際に確認が終わった範囲に合わせ、一部機能の制限が残っているなら、その説明と代替窓口を残し、全面復旧と受け取られる表現は避けてください。
対応後には、プラン名・確認した告知・対策内容・作業者・承認者を控えておくと、次に連絡する相手を迷わずに済みます。管理を引き継ぐ必要がある場合は、ホームページ管理会社の変更と引き継ぎの注意点にある確認項目も使い、公開判断の責任が途切れないよう整えておきましょう。
KAGOYAのPHP脆弱性対応でよくある質問
QKAGOYAを使っている会社は、必ずホームページを停止する必要がありますか？
AKAGOYAの案内は、対象プランの利用者へ公開停止やアクセス制限の検討を求めるものです。一律の停止と読み替えず、自社の修正状況、有効な暫定対策の可否、停止と被害の業務影響を保守担当者と確認して判断します。
QKAGOYAのレンタルサーバーと共用サーバーは、同じ対応状況ですか？
AKAGOYAの対応状況はプラン別です。2026年10月25日朝の確認時点では、レンタルサーバープランの対象PHPは修正版へ更新済み、共用・マネージド専用・WordPress専用プランの恒久的な対応は調整中と案内されています。
QKAGOYAの管理画面が開かない時は、何をすればよいですか？
AKAGOYAの管理画面が停止中なら、契約書や過去のメールでプラン名と契約窓口を探し、制作会社・保守会社へ対象ドメインを伝えます。現在利用できる確認・制限方法と、再開を待つ必要がある作業を分けて案内してもらってください。
QWordPressを更新すれば、今回のPHP脆弱性への対応は終わりますか？
AWordPressの更新だけで、サーバー側のPHP修正まで完了したとは判断できません。WordPress専用サーバープランも今回の案内の対象なので、契約プランとPHP側の対策状況を別に確認する必要があります。
Qホームページを止めると、会社のメールも使えなくなりますか？
Aホームページの公開停止とメールの停止は同じではありません。KAGOYAはActive!mail停止中もメールソフトからの送受信は継続できると案内していますが、代替窓口に使う自社の宛先で受け付けられるかは個別に確かめてください。
Q公開停止のために、自分で.htaccessを編集してもよいですか？
A公開停止の設定例はKAGOYA公式告知にありますが、設定ファイルの編集は制作会社・保守会社へ依頼する前提で進めます。自社の構成に合うか、どの通信が止まるか、解除後に何を確かめるかまで担当者に確認してもらいましょう。
Q公開を止めたホームページは、いつ再開できますか？
A公開再開の時期は、自社の環境への修正適用や有効な対策を確認して判断します。2026年10月25日朝の確認時点で、KAGOYAの対象3プランの恒久対応完了日は公式告知から確認できないため、独自の予定日を約束せず、担当者の確認結果に基づいて決めます。
契約プランと対応する人を確認し、公開方針を決める
KAGOYAのPHP脆弱性対応で会社側が最初に進めるのは、契約プラン・保守担当・公開を続ける条件を揃えることです。対象3プランの恒久対応を待つ間も、暫定的な制限の可否と、止めた場合の受付方法は先に検討できます。
着手担当者への連絡と、お客様への受付案内を進める
契約情報と対象ドメインを制作会社・保守会社へ渡し、対策の確認、停止・制限の範囲、再開条件を一緒に聞いてください。回答を受ける人と公開方針を決める人を揃えることで、待っている間の判断も進められます。
弊社ではサーバーの運用・管理まで行い、脆弱性が見つかった時は弊社が判断して対応しています。進め方は予算や必要な保守・制作の範囲に合わせて柔軟に決めており、予算がまだ決まっていない段階でも、現在の契約や困っている点からご相談いただけます。