PHPの脆弱性による緊急メンテナンス一覧　レンタルサーバー各社の対応と契約者がすること

PHPの脆弱性による緊急メンテナンスは、サーバー会社と契約プランによって対応が分かれています。
修正を終えた会社がある一方で、管理画面の停止や、契約者側で公開制限の検討が必要なプランも残っています。

同じ会社でも「ホームページの表示」「メール」「管理画面」の状態は異なるため、自社の契約に当てはまる行から確認すると、待つ作業と保守担当へ依頼する作業を分けられます。
以下は2026年10月25日5時40分(日本時間)までに確認した公式告知に基づく状況です。

PHP脆弱性による緊急メンテナンス一覧(10月25日5時40分時点)

この緊急メンテナンス一覧は、2026年10月21日に公表されたPHP本体の脆弱性への各社の対応を並べたものです。
国内すべての事業者を網羅する表ではなく、契約者が確認する機会の多い主なサービスを対象にしています。

修正完了の案内がある主なサービス(10月25日5時40分時点)

会社・対象	PHP対策・作業・停止状況
さくらの レンタルサーバ	対策・作業 提供中の全PHPに修正 緊急作業なし 旧PHPの更新は別途検討 停止・再開 10/23追記で 緊急メンテすべて終了 クラウドの停止とは別
ロリポップ	対策・作業 旧PHPを含め修正済み サイトの動作確認 旧版は移行を検討 停止・再開 サイト10/22 13時頃再開 アップロード進捗は無効
ConoHa WING	対策・作業 提供全PHPにパッチ 今回の版変更は不要 停止・再開 10/22 20:45完了 Webメール等再開 別の新規申込停止あり
mixhost	対策・作業 PHP5.2〜8.5修正 今回の作業不要 停止・再開 10/22 10:18頃完了 本告知に継続停止の 記載なし
カラフル ボックス	対策・作業 全サーバーで対応済み 今回の版変更は不要 停止・再開 10/22朝までに完了 本告知に継続停止の 記載なし
CORESERVER V1・V2 VALUESERVER	対策・作業 提供全PHP修正済み 利用者のパッチ不要 サイト動作確認が必要 停止・再開 本告知に継続停止の 記載なし
heteml	対策・作業 旧PHPを含め修正済み サイトの動作確認 旧版は移行を検討 停止・再開 サイト10/22 11:24再開 アップロード進捗は無効

「今回の作業不要」は、サイトの個別動作や将来の更新まで不要という意味ではありません。
ロリポップとhetemlは、フォームやファイルアップロードの動作確認も求めています。

ConoHa WINGはPHP対応完了後、10月24日13時40分から新規申し込み受付を別途停止しています。
終了は未定ですが、この告知にはPHPとの関連が書かれていないため、PHP対策の未完了と同一視せずに確認しましょう。

出典:さくらインターネット「PHPの脆弱性に関する当社の対応状況について(2026年10月23日17:30追記)」、ロリポップ「PHPの脆弱性への対応に伴うメンテナンス完了と経緯のご報告」、ConoHa WING「PHPの脆弱性への弊社対応完了のお知らせ(終報)」、mixhost「PHPの重大な脆弱性への対応について」、カラフルボックス「PHPの脆弱性に対するセキュリティアップデート完了のお知らせ(お客様でのバージョン変更作業は不要です)」、バリュードメイン「PHPの脆弱性へのセキュリティアップデートに関する対応状況と動作確認のお願い」、heteml「PHPの脆弱性への対応に伴うメンテナンス完了と経緯のご報告」、ConoHa WING「緊急メンテナンスによる新規お申し込み受付の一時停止のお知らせ」

契約プランやPHPの系列で対応が分かれるサービス(同時点)

会社・対象	PHP対策・作業・停止状況
エックス サーバー レンタル契約	対策・作業 PHP5.6〜8.5修正済み 5.1〜5.5は過半数まで 旧系列は個別確認 停止・再開 WEBメール等再開 一部管理機能は継続 終了時刻は未公表
お名前.com ベーシック・RS AIホームページ パック	対策・作業 提供全PHPにパッチ 今回の版変更は不要 停止・再開 10/22 20:45完了 Webメール・ファイル 管理・phpMyAdmin再開
お名前.com 共用SD等	対策・作業 7.4・8.4は修正済み 7.3以下は緩和策 旧版は切り替えを検討 停止・再開 機能再開の案内あり 対応中の記述も残る 契約ホストごとに確認
WebARENA SuiteX	対策・作業 旧環境のPHPを 対策済み7.4へ変更 サイトの互換性確認 停止・再開 旧環境のWeb・ Denbunは10/24再開 管理機能は11月上旬見込み
KAGOYA	対策・作業 レンタル契約は修正済み 共用等は恒久策調整 公開制限の検討を要請 停止・再開 多くの管理画面停止 一部の会員・VPS画面再開 旧プラン恒久策の時期未定

エックスサーバーのPHP5.1〜5.5は、10月23日17時時点で対象サーバーの過半数まで修正済みという案内です。
自社の環境が残る対象に含まれるかは保守担当へ照会し、5.6〜8.5の完了情報をそのまま当てはめないでください。

出典:エックスサーバー「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」

お名前.comは、ベーシック・RSなどの完了案内と、共用SD等の旧PHPに対する緩和策の案内を分けています。
共用SD等の告知には全版修正済みという表現もありますが、具体的な対応欄ではPHP7.3以下を緩和策としているため、旧版まで修正完了と自己判断しないことが必要です。

同社は10月24日13時40分以降、申し込み関連の手続きで瞬断が起きる可能性も告知しています。
こちらもPHPとの因果は明記されていない別のメンテナンスなので、契約中のサイト表示やPHP対策とは分けて確認します。

出典:お名前.com「PHPの脆弱性への弊社対応のお知らせ」(レンタルサーバー)、お名前.com「PHPの脆弱性への弊社対応のお知らせ」(共用サーバーSD/お名前メール)、お名前.com「緊急サービスメンテナンスについて」

緊急メンテナンスはいつまで？再開と停止中の機能を分ける

緊急メンテナンスの終了時期は、使いたい機能ごとに確認します。
Webページが再開しても、設定を変える管理画面や契約手続きが止まっていれば、更新や証明書の手続きは進められない場合があります。

WebARENA SuiteXは旧環境の再開予定が更新された

WebARENA SuiteXの最新追記では、旧環境のWebページとWebメール(Denbun)は10月24日に再開しています。
以前の「10月28日再開見込み」から更新されており、旧環境でPHP5.1・5.3・5.6・7.2・7.4を使っていた場合は対策済みPHP7.4が適用されています。

この変更で古いプログラムの動作に影響する場合があるため、表示が崩れても脆弱なPHP5系へ戻す判断は避け、制作会社へエラーと変更後の環境を伝えます。
各種管理機能や契約管理画面は11月上旬の再開見込みであり、サイトの再開日とは別です。

出典:WebARENAお客さまサポート「【SuiteX】PHPの脆弱性に伴うWebサービスおよび契約管理画面の一部停止について(2026/10/24更新)」

KAGOYAはサービス稼働と恒久対策を分けて確認する

KAGOYAはレンタルサーバープランの修正完了を案内する一方、共用・マネージド専用・WordPress専用の各プランは恒久対策を調整中としています。
これらには公開停止やアクセス制限の検討が案内されているため、保守会社へ自社のプランと暫定対応を確認します。

また、10月24日12時40分時点の案内では多くの管理画面が停止しています。
サービスが稼働中という表示だけで「自社のPHPも修正済み」「管理操作も使える」と判断せず、現在できる作業を分けて依頼してください。

出典:KAGOYA「PHPの脆弱性(CVE-2026-109618 / CVE-2026-109619)に関する当社サービスへの影響について」、KAGOYA「PHPの脆弱性(CVE-2026-109618 / CVE-2026-109619)に関する当社サービス状況」

契約の確認では、サーバー以外にもドメインの有効期限管理を見直すと、別の契約先に残る手続きを拾えます。
エックスサーバーを利用している場合は、管理画面停止とサイト・メールへの影響も機能の切り分けに役立ちます。

緊急メンテナンス後もPHPのバージョンが変わらない理由

緊急メンテナンス後にPHPの表示番号が変わらなくても、修正プログラムだけが適用されている場合があります。
既存の版へ必要な修正を取り込む方法を「バックポート」と呼び、ConoHa WINGやmixhostなどが番号不変の理由として説明しています。

たとえば、WordPressのサイトヘルスに古い番号が表示されていても、サーバー会社がその版へのパッチ適用を明示していれば、今回の修正が入っている環境もあります。
反対に、他社の完了案内を根拠に、自社も修正済みとは判断できません。

そのため、表示番号・契約プラン・事業者の適用案内をそろえて保守担当へ確認します。
WordPressを利用している場合の確認場所や、PHPとWordPress本体の違いは、PHPの脆弱性とバージョンの確認方法で確かめられます。

今回の修正と、古いPHPを使い続ける判断は別にする

旧PHP向けに今回の修正が入っても、開発元のサポートが再開されたわけではありません。
目先の脆弱性対応が済んだ後は、テーマやプラグイン、独自プログラムとの互換性を調べ、サポート対象のPHPへ移行する計画を立てます。

PHP開発元は10月23日に、特定の設定と処理が組み合わさる場合の別の問題についても追加案内を出しています。
この案内への対応は10月21日の2件と分け、ファイルアップロードの進捗に関する設定が対象か、管理担当へ確認してください。

出典:PHP公式「Informational advisory: Session upload progress」(英語)

ここで無効化されたセキュリティ関連の設定を、動作を戻すためだけに有効化しないようにします。
フォームなどに不具合があるときは、保守担当が修正の目的と影響を確認したうえで、プログラム側の調整や代替方法を判断する順番です。

緊急メンテナンス一覧を確認した契約者がすること

緊急メンテナンス一覧から自社の行を見つけたら、正式な契約プランと作業担当を確定させます。
会社名だけでは同じ行に当てはまらないことがあるため、請求書や契約管理画面、制作会社が保管する契約情報を照合するのが先です。

サーバーの修正とホームページの動作確認を分担する

サーバー会社の修正適用と、自社ホームページの動作確認は担当が分かれる作業です。
レンタルサーバーなら提供元へPHP修正を確かめ、制作会社や運用担当には表示・問い合わせ・予約・アップロードなど、自社で使っている機能の確認を依頼します。

• 正式プランと対象サーバーが最新告知の対象に入るか
• 今回の対策が修正済み・緩和策のみ・対応中のどれか
• 自社で使うページ表示・フォーム受信・ファイル機能の担当と結果
• 残る停止と次回の案内・契約期限を誰が追うか

なお、VPSや自社管理のサーバーでは、提供元の管理画面が復旧しても、その中のPHPまで自動修正されたとは限りません。
OSやPHPを管理している担当者へ、使用中のパッケージと修正適用の記録を確認します。

メールもブラウザで使うWebメールと、メールソフトでの送受信を分けると状況を伝えやすくなります。
受信設定や不審メールも含めた運用は、メールセキュリティ対策の確認項目を社内担当と共有し、使えている経路を不用意に変えない形で進めましょう。

PHPの修正とは別に、攻撃の痕跡も確認する

PHPの修正は今後の攻撃を防ぐための対応であり、修正前に侵害がなかったことを証明するものではありません。
JPCERT/CCは対策の適用とあわせて侵害の有無の調査を求め、複数の確認観点を示しています。

ここでいうCookieはWebのやり取りに付く識別情報で、PHPのエラーはサーバーの処理記録と照合します。
発注側がログの意味まで自分で判断しようとせず、上の観点を調査依頼に添え、確認できた範囲を報告してもらう方法が現実的です。

ただし、攻撃経路やログの保存状態によっては痕跡が残らないため、異常な記録が見つからないだけで「攻撃されていない」とは断定できません。
不審なファイル、実行中の処理、外部への通信も含めて、管理担当が調査します。

出典:JPCERT/CC「PHPにおける複数の脆弱性(CVE-2026-109618、CVE-2026-109619)に関する注意喚起」

制作会社へ緊急メンテナンスの対応状況を聞く文例

緊急メンテナンスの確認を制作会社へ依頼するときは、自社の契約と、回答してほしい項目を一緒に伝えます。
「サーバー会社が対策したので大丈夫です」という返答で止めず、適用対象・残る作業・調査の範囲までそろえるための文例です。

この文例には、実際に起きている症状や、業務上の期限だけを追記します。
保守契約の対象が分からない場合は、保守会社へ頼める作業と契約範囲をもとに、サーバー対応・サイト修正・侵害調査のどこを依頼するのか分けると話が進みます。

WordPress以外のCMSを使う会社でも、サーバーのPHP修正とCMS自身の更新は分けて管理します。
たとえばMovable Typeの利用環境なら、製品別の脆弱性と保守担当への確認事項も照合し、別の更新作業を今回の対応済みに含めないようにしてください。

緊急メンテナンス一覧とPHP対応のよくある質問

契約プランと作業担当を決めて対応を進める

緊急メンテナンス一覧で会社の状況を確認した後は、自社の契約に修正が入っているか、残る作業は誰が進めるかを確定させましょう。
サイトの再開、PHPの修正、動作確認、侵害調査を分けて記録すると、保守会社へ任せた後の確認漏れも防げます。

今後の更新まで含めて運用を見直したい場合、弊社では予算や必要な作業範囲に合わせて進め方を調整しています。
予算が固まっていない段階でも、現在の契約や困っている作業からご相談いただけます。