PHPの重大な脆弱性が発見
PHPに重大な脆弱性が見つかったことを受け、2026年10月21日、日本時間23時に緊急のセキュリティリリースが予定されています。
今回の脆弱性は、深刻度を示すCVSS v4.0の評価でいずれも9.2とされており、PHPを利用するWebサイトの運営者やサーバー管理者に対し、修正版を速やかに適用できるよう準備が呼びかけられています。
PHPはWordPressを動かすためにも使われているため、WordPressでブログを運営している人にとっても気になる問題です。
そこで今回は、エックスサーバーやさくらインターネットなど、国内の主要レンタルサーバー各社について、PHPの脆弱性に関する発表や対応状況をまとめます。
※この記事は2026年10月21日時点の情報をもとに作成しています。各社の公式発表やPHPの修正版公開状況に応じて、随時更新します。
何が問題なのか？
PHPの開発チームは2026年10月20日、重大な脆弱性2件に対応するセキュリティリリースを翌21日に公開する予定であると発表しました。
2件の脆弱性はいずれもCVSS v4.0で9.2と評価されています。脆弱性の詳細や影響を受けるバージョン、修正済みバージョンについては、セキュリティリリースと同時に公表される予定です。
情報処理推進機構（IPA）も、修正版の公開後に速やかに適用できるよう、事前準備を呼びかけています。
出典：IPA「PHPのセキュリティリリース公開予定について」
WordPressを利用している場合も注意が必要
WordPressはPHPを利用して動作するCMSです。そのため、WordPress本体やプラグインを最新の状態に保つだけでなく、サイトが利用しているPHPのバージョンにも注意する必要があります。
ただし、PHPの脆弱性への対応と、WordPress本体やプラグインの脆弱性への対応は別の問題です。WordPressを更新しているだけで、PHP本体の脆弱性まで解消されるとは限りません。
レンタルサーバーを利用している場合は、サーバー会社がPHPの修正版を提供するか、サーバー側で更新するか、利用者自身がPHPのバージョンを切り替える必要があるかを確認しておきたいところです。
エックスサーバーの対応状況
エックスサーバーでは、2026年10月21日(水)16:00に、予防的な安全策として公式サイト・管理画面等の一時停止が実施され、Xでも告知をされています。
【重要なお知らせ】 現在、予防的な安全対策のため、当社アカウント管理画面等へのアクセスを一時停止しております。 本対応は不正アクセスの発生によるものではございません。 なお、お客様のご利用サーバーに影響はなく、Webサイトの表示やメールソフトでの送受信も引き続きご利用いただけます。 また、お客様のご利用サーバーについても、稼働を継続しながら、安全対策を進めております。 ■再開の見込み 10月22日（木）未明 ※対応状況により前後する場合がございます。 詳細は以下メンテナンスページをご確認ください。 ■メンテナンスページ
— エックスサーバー【公式】 (@xserverjp) October 21, 2026急なご案内となり、ご不便をおかけし申し訳ございません。 何とぞご理解を賜りますようお願い申し上げます。
今回の措置は、PHPの重大な脆弱性に関連して、影響を防ぐために一時的な制限を行うものとみられます。
ただし、公式サイトや管理画面の一時停止と、PHPの修正版の適用は別の対応です。PHPの更新状況やサービスの再開時期、利用者側で必要な操作については、公式のお知らせで確認する必要があります。
10月22日06:45、PHP 8.2～8.5について、対象となるすべてのサーバーへの修正パッチの適用が完了とのお知らせが発表され、旧バージョンについても対応を進めているとのことです。
さくらインターネットの対応状況
さくらインターネットでは、21日の13:00～メンテナンスに入っており対応を行っているようです。
今回のPHPの脆弱性に関連した対応とみられますが、メンテナンスの対象や実施内容についての記載はなく、今後の情報発表を確認する必要がありそうです。
メンテナンスの終了後には、PHPの修正適用状況や、利用者側で追加の作業が必要な場合もありますので、注意が必要です。
2026年10月21日(水) 13:00 ～ 10月22日(木) 8:00頃
10月22日(木) 8:17に、社長の田中邦裕さんのXアカウントにてPHPバージョンアップ完了の報告がありました。過去のバージョンのPHPでも対応を行ったようですが、古いPHPについては更新するようお願いされています。
昨日のPHP脆弱性の件に対して、さくらのレンタルサーバをはじめ、深夜に緊急メンテナンスを行い、PHPのバージョンアップをさせて頂きました。 古いPHPをお使いのお客様、自分のサイトは大丈夫なんてことは絶対にありえませんので、必ず最新バージョンをお使いください。 https://t.co/T9xjzwvEIc
— 田中邦裕社長＠さくらインターネット (@kunihirotanaka) October 21, 2026
ロリポップ！の対応状況
2026年10月21日(水)に緊急メンテナンス実施。
ConoHa WINGの対応状況
システムの保守作業として、2026年10月21日(水) 19:00から緊急メンテナンスを実施、終了時刻は2026年10月22日(木)10:00となっています。
mixhostの対応状況
2026年10月21日22:45からマイページの緊急メンテナンス実施、終了予定時刻は未定。
レンタルサーバー各社の対応状況まとめ
2026年10月21日時点で、今回のPHPの重大な脆弱性に対する各社の具体的な対応内容については、追加確認が必要です。
| サーバー会社 | 現時点での確認状況 |
|---|---|
| エックスサーバー | 2026年10月21日(水)16:00～ 予防的な安全策として公式サイト・管理画面等の一時停止 |
| さくらインターネット | 2026年10月21日(水)13:00～ メンテナンスに入っており対応を行っているようです。 |
| ロリポップ！ | 2026年10月21日(水)に緊急メンテナンス実施 |
| ConoHa WING | 2026年10月21日(水) 19:00～ 緊急メンテナンスを実施 |
| mixhost | 2026年10月21日22:45～ 緊急メンテナンス実施、終了予定時刻は未定 |
※表の「未確認」は、公式の対応が行われていないわけではなく、一般向けに対応状況が発表されていないという意味です。契約者に対しての連絡等は行われている可能性があります。
WordPress利用者は何をすればいい？
今回の脆弱性については、PHPの修正版が公開された後、利用しているレンタルサーバー会社の案内を確認することが重要です。
具体的には、次の点を確認しておきたいところです。
- 現在利用しているPHPのバージョン
- そのバージョンが今回の脆弱性の影響を受けるか
- 修正版がいつ提供されるか
- サーバー会社が自動で更新するのか、利用者側の操作が必要なのか
- 利用しているWordPressやプラグインへの影響が案内されているか
phpのバージョン変更など、サーバー利用者側が操作する必要がある場合もありますので、案内を待つ必要がありそうです。なお、phpの脆弱性に関しては、2026年10月21日 23:00に正式に発表されるとのことなので、それ以降の時間に作業が必要になる可能性があります。
PHPのバージョンを変更する場合は、WordPress本体やプラグイン、テーマとの互換性にも注意が必要です。サーバー会社の案内に従い、必要に応じてバックアップを取得してから作業するようにしましょう。
まとめ
2026年10月21日、PHPの重大な脆弱性2件に対応するセキュリティリリースが予定されています。深刻度はいずれもCVSS v4.0で9.2と評価されており、WordPressを利用するサイト運営者も注意が必要です。
レンタルサーバーを利用している場合、PHPの更新がサーバー側で実施されるのか、利用者自身で対応する必要があるのかは、サービスによって異なる可能性があります。
コメント