2026年10月のPHPの脆弱性にレンタルサーバーのエックスサーバー、さくらのレンタルサーバ、ConoHa WING、お名前.com レンタルサーバー、ロリポップ！はどう対応した？

PHP（WordPressをはじめ、多くのサイトを動かしているプログラム言語）に、外から勝手にプログラムを動かされる脆弱性が2件見つかり、2026年10月21日の夜に修正版が出ました。エックスサーバー、さくらインターネットのさくらのレンタルサーバ、GMOインターネットグループのConoHa WINGとお名前.com レンタルサーバー、GMOペパボのロリポップ！の5つのレンタルサーバーは、どれもサポートが終わったPHP 8.1以前にまで修正を入れています。

とはいえ、8.1以前への修正は、開発元のサポートから外れたバージョンの穴を、各社が自前で埋めたものです。直した側のロリポップ！も、メンテナンスの経緯の報告でこの対策を「応急的なもの」とし、8.2以降への切り替えを求めています。だから、8.1以前のPHPでサイトを動かしているなら、急ぎの修正が済んだいまのうちに、新しいPHPへ移しておくほうが安全です。

各社が止めたもの

今回の脆弱性（CVE-2026-109618とCVE-2026-109619。CVEは脆弱性ごとに振られる番号）は、ログインしなくても、外から細工したアクセスを受けるだけで、攻撃する側のプログラムをサーバーの上で動かされるもので、サイトを書き換えられたり、データを持ち出されたりするおそれがありました。PHPの開発元は10月21日の午前に、その日の23時（日本時間）に修正版を出すと予告していました。ところが実際には、少し早い22時30分過ぎに出ています。その前後に5社は自社の画面や機能を止めましたが、止め始めた時刻は、修正版より9時間ほど早いロリポップ！から翌日の昼のConoHa WINGとお名前.com レンタルサーバーまで、ばらばらです。

ロリポップ！が止めた3つは、データベースを操作するphpMyAdmin、ファイルを送るロリポップ！FTP、メールを読み書きする旧Webメーラーで、どれもブラウザから使う画面です。なかでもphpMyAdminは、それ自体がPHPで動くので、今回の脆弱性がそのまま当てはまります。

ロリポップ！はさらに、修正が終わるまでの守りとして、利用者のサイトの表示まで止めました。設定を変えて攻撃の経路を狭めるだけでは防ぎきれないおそれがあったうえ、脆弱性を狙ったとみられるアクセスが実際に届いていたからです。一部のサーバーでは、22日の3時9分ごろから、そこに置かれたサイトがまとめて見られなくなりました。そのまま13時ごろに表示が戻るまで、約10時間止まっていました。止めた単位がサーバーだったので、PHPを8.2以降に上げていたサイトや、PHPを使っていないサイトも表示されませんでした。

その間に、ロリポップ！は開発元の修正が無いPHP 5.3〜7.3向けの修正を自社で作り、確かめてから当てています。修正とは別に、全バージョンのPHPでsession.upload_progress（ファイルを送っている途中の進み具合をPHPが記録しておく機能）なども切ったので、お問い合わせフォームやファイルのアップロードが前と同じように動くかを確かめるよう、利用者に頼んでいます。

ロリポップ！と違って、エックスサーバーは利用者のサイトを止めず、この間もWebサイトの表示とメールの送受信は続いていました。エックスサーバーのお知らせによると、エックスサーバーは公表より前に、利用者のサーバーにも不正アクセスの危険を下げる手当てを入れていました。自社の画面の停止も、不正アクセスを受けてのものではなく、予防のためです。管理画面は22日の朝、公式サイトはその日の夜に戻ったものの、しばらくはアクセスが集中して、管理画面が開きにくい状態が続きました。

ConoHa WINGの対応完了のお知らせによると、ConoHa WINGの緊急メンテナンスは22日の20時45分に終わりました。止めていたWebメールとファイルマネージャー（ブラウザでサーバーのファイルを扱う画面）、phpMyAdminも、その日のうちに戻っています。お名前.com レンタルサーバーのお知らせによると、同じGMOインターネットグループのお名前.com レンタルサーバーも、緊急メンテナンスの時間から、止めた機能と戻した時刻まで、ConoHa WINGと同じでした。

8.1以前のPHPの直し方

開発元の修正版は、いまもサポートが続く8.2〜8.5の分だけです。サポートが終わったバージョンのほうは、7.4〜8.1向けに開発元から修正のコードだけが出て、7.3より古いバージョンには、そのコードすらありません。なので、古いバージョンを提供し続けるなら、レンタルサーバーの会社が開発元の修正をもとに、自分たちで直すしかありません。5社ともそうして8.1以前まで直しましたが、直した範囲は会社ごとに違います（エックスサーバーは、同じ会社のレンタルサーバー、XServerビジネスとXServer for WordPressも同じ）。

WordPressのサイトヘルスに古い番号が出ても

修正が済んだかどうかは、PHPのバージョンの番号だけでは決められません。エックスサーバーとロリポップ！は8.2〜8.5を開発元の修正版に入れ替えたので番号も新しくなりますが、ConoHa WINGとお名前.com レンタルサーバーは、どのバージョンも使っている番号のまま修正だけを取り込んだからです。

WordPressの管理画面の「サイトヘルス」に1つ前の8.5.11と出ていても、ConoHa WINGとお名前.com レンタルサーバーでは修正済みです。8.1以前には開発元の新しい番号そのものが無いので、どの会社でも番号では見分けられず、修正が済んだかは契約している会社のお知らせでしか確かめられません。

古いPHPのこれから

さくらインターネットとロリポップ！を利用中で、旧バージョンのPHPを使っている人は要注意です。2社とも新しいバージョンへの切り替えを求めているうえ、さくらインターネットのお知らせによると、サポートが終わったバージョンには今回とは別の問題もこれから見つかりうるからです。

急いで変えなくてよいとするエックスサーバーでも、開発元の修正のコードが無い5.1〜5.5は、最後まで修正が残りました。今回は修正のコードが出た7.4〜8.1も、次の脆弱性でコードが出なければ、各社が一から直すしかなくなります。そうなる前に移すなら、私は8.2より8.3以降を選びます。8.2は、開発元がいまサポートしているバージョンの中でいちばん古く、次にサポートが切れるからです。

ロリポップ！なら、ユーザー専用ページ（ロリポップ！の管理画面）の「サーバーの管理・設定」から「PHP設定」を開き、ドメインごとに切り替えます。WordPressで作ったサイトは、切り替える前に本体とプラグイン、テーマを新しくしておきます。新しくしても切り替えた直後にエラーが出たら、まずサイトのプログラムやプラグインが新しいPHPで動くものかを確かめてください。

VPSのPHPは自分で直す

VPS（仮想のサーバーを1台分借りて、中のソフトを自分で管理するサービス）は、レンタルサーバーと違って、中に入れたPHPも利用者が管理します。そのぶん、エックスサーバーとさくらインターネットのVPSでは、今回の脆弱性への備えも利用者の仕事でした。