PHP脆弱性「php2shell」｜レンタルサーバー各社の対応状況と、自分のサイトの確認方法【2026年11月1日更新】

最終更新: 2026年11月1日 8:40（日本時間）。各社の対応状況は随時更新します。11月1日の確認では、KAGOYAが「当社サービス状況」のお知らせの状況表を「2026年10月31日 9:10 時点」に更新し、WordPress専用サーバーを「稼働中 (緩和策：10月31日完了)」としていました。共用サーバーとマネージド専用サーバー（「緩和策：10月30日完了」）とあわせ、表の上では緩和策の対象3サービスがすべて「完了」になりました（緩和策は「一時的な対策」で、根本的な対策としてレンタルサーバープランへの変更などを依頼する点は変わらず）。同じお知らせの管理画面等の状況表では、サポートサイトが「10/30 18:30再開」になっています。ほかの各社とPHP公式のお知らせページに、今回の脆弱性に関する新しい追記はありませんでした。

2026年10月21日に公開されたPHPの重大な脆弱性2件（通称「php2shell」）は、修正版のPHPに更新することだけが完全な対策です。 共用レンタルサーバーでは修正はサーバー会社が行います。利用者がやることは「サーバー会社が対応したか」と「自分のサイトが修正版で動いているか」の2つの確認です。

2026年10月26日（米国時間）、米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が、この2件を「実際に悪用された脆弱性」の一覧（KEVカタログ）に登録しました。IPAは10月27日の更新で、国内での攻撃被害の事例は把握していないとしています。修正版になっていないサイトは、更新を急いでください。

この記事では、レンタルサーバー各社の対応状況を公式告知の日時つきで一覧にし、自分のサイトのPHPバージョンを確かめる3つの方法と、バージョンごとにやることを整理します。古いPHP（7.4や8.1）のサイトの選択肢も書きます。

結論: 修正版の一覧と、今日やること3つ

PHP開発チームが2026年10月21日に公開した修正版は次の4つです。これより古い番号のPHPは、同じ系列であっても脆弱性の対象です。

PHPの系列	修正済みのバージョン	備考
8.5系	8.5.12
8.4系	8.4.27
8.3系	8.3.36	WordPress公式が推奨する系列
8.2系	8.2.35	2026年12月31日でセキュリティサポート終了予定
8.1・8.0・7.4	公式のリリースなし	PHPセキュリティチームが「最小限のソースパッチ」を公開。サーバー会社が自力で適用する形で対応できる
7.3以前（7.3・7.2・5.x など）	公式のリリースもパッチもなし	8.2以上への切り替えのみ

出典: PHP公式サイトのリリース告知（2026年10月21日）。PHP公式は「PHP 8.1以前はPHPプロジェクトからの更新を受けない」としたうえで、7.4／8.0／8.1向けには最小限のソースパッチを提供したと書いています。あわせて「完全な緩和策はなく、更新が唯一の安全な選択」と明記しています。

PHP公式は2026年10月23日に補足の告知（Informational advisory）を出し、設定とアプリケーションのコードが特殊な組み合わせのときにだけ起きる別の経路（CVE-2026-115560。詳しい内容は次の定期リリースで公表予定）への備えとして、次の定期バグ修正リリースまで session.upload_progress.enabled=0（アップロード進捗機能の無効化）にするよう勧めています。10月21日の時点でこの設定を入れていれば、そのままでよく追加の作業は不要としています。ロリポップ！とヘテムルは、全バージョンでこの機能（session.upload_progress）を無効化したと告知しています。

今日やることは次の3つです。

1. 下の早見表で、自分のサーバー会社の対応状況を見る。
2. 自分のサイトのPHPバージョンを確かめる（確認方法は3通り。後述）。
3. 修正版より古い番号なら、サーバーの設定画面で修正版の系列に切り替える。8.1以前なら、サーバー会社がパッチを当てたかを確かめつつ、8.2以上へ移る準備を始める。

PHPバージョンの確認は、メール登録不要の無料WordPress脆弱性診断でも補助できます。外部から見える情報だけを使うので、サイトに手を加えずに試せます。

何が起きたか: 2026年10月21日に公開された2件の脆弱性

今回の脆弱性は、CVE-2026-109618 と CVE-2026-109619 の2件です。どちらも、ログインしていない第三者がサーバー上で任意のプログラムを実行できる「認証不要のリモートコード実行」で、深刻度はCVSS v4.0で9.2（最高ランクの「緊急」）と評価されています。

経緯は次のとおりです。

• 2026年10月20日: PHP開発チームが「重大なセキュリティリリースを10月21日に公開する」と予告。
• 2026年10月21日: 独立行政法人 情報処理推進機構（IPA）が「事前準備のお願い」として注意喚起を公開。
• 2026年10月21日 23時ごろ（日本時間）: 修正版4系列が公開。修正内容の詳細も同時に公表。
• 2026年10月26日: JPCERT/CCが注意喚起を更新。悪用できると主張する実証コードが多数公開され、悪用を試みる通信の観測報告も相次いでいると追記。
• 2026年10月26日（米国時間）: 米国のCISAが、2件を「実際に悪用された脆弱性」の一覧（KEVカタログ）に登録。
• 2026年10月27日: IPAが注意喚起を更新し、CISAの登録を追記。国内での攻撃被害の事例は把握していないとしています。

CISAが「実際に悪用された脆弱性」として登録したことで、更新だけでなく、攻撃を受けていないかの確認も急ぐ必要が高まりました。JPCERT/CCは公開当初（10月22日）から、修正版への更新とあわせて、侵害の有無の調査を勧めています。確かめ方は、下の「よくある質問」に書きました。

対象はPHPで動くすべてのWebサイトであり、WordPressかどうかは関係ありません。 PHP公式は、PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを処理するあらゆる構成が対象だとしています。

「php2shell」という通称は、脆弱性の発見・公表に関わった研究者やセキュリティ企業の記事で使われた呼び名で、公式名称ではありません。

レンタルサーバー各社の対応状況 早見表

2026年11月1日 8:40時点。各社の公式告知（お知らせ・ステータスページ・公式X）を、当サイト運営者が2026年10月22日〜11月1日に確認した内容です。11月1日時点で、告知の中でPHPに言及している各社（エックスサーバー・さくら・ロリポップ！・ヘテムル・mixhost・KAGOYA・カラフルボックス・Zenlogic・バリューサーバー）は、修正版または独自修正の適用を告知しています。mixhost（別のお知らせ）とバリューサーバー（完了報告）がPHPの脆弱性対応を明記していることは、10月24日の確認で照合しました。一方で、ConoHa WING・お名前.comの告知にはPHPという語がなく、脆弱性対応かどうかは告知からは分かりません。利用者側の作業を前提にしている会社は少ないものの、古いバージョンの利用者に切り替えを依頼する会社（ヘテムル。ロリポップ！・さくら・mixhostも新しい版への移行を案内）や、共用系プランで緩和策を実施し（共用・マネージド専用サーバーは10月30日、WordPress専用サーバーは10月31日に完了）、それを「一時的な対策」としてレンタルサーバープランへの変更を求めている会社（KAGOYA）もあります。「PHPへの言及」が「なし」の会社は、メンテナンス告知にPHPという語が無く、脆弱性対応かどうかを告知からは断定できません。

サーバー会社	対応状況（公式告知の要約）	日時	PHPへの言及	旧バージョン（8.1以前）の扱い
エックスサーバー	公式お知らせ「PHPの脆弱性（CVE-2026-109618／CVE-2026-109619）に関するお客様のご利用サーバー環境への安全対策について」（10/21付）: 10/21 12:00までに修正版公開前の緩和策を実施し、同日23:00ごろの修正版公開後は、PHP 8.2〜8.5から順次修正を適用して旧バージョンにも対応を広げ、「10月26日（月）6:20までに、PHP 5.1〜8.5のすべての対象サーバーへの対応が完了しております」。5.1〜8.1はバージョンを変えずに修正パッチを適用、8.2〜8.5は同じ系列の修正版に更新したとして、「急いでPHPのバージョンを変更いただく必要はございません」（利用状況によっては追加の対策を依頼する場合があるとも記載）。VPSは「弊社によるPHPの修正パッチの適用は行っておりません」として、利用者自身での確認・更新を案内。別のお知らせ（一時停止のお知らせ・10/26 16:00更新）では、10/21 16:00から停止していた各種サービスサイト・管理画面等を10/22から順次再開し、10/23 16:20時点の状況表でWEBメール・ファイルマネージャ・API/MCPを含む全項目が「再開」（サポートサイトとサーバーパネル等は一部メンテナンス中の機能あり）。管理画面へのアクセス集中は落ち着いたと告知	緩和策: 10/21 12:00まで。修正: 10/21 23:00ごろの修正版公開後に8.2〜8.5から順次適用し、10/26 6:20までにPHP 5.1〜8.5のすべての対象サーバーで完了	あり	5.1〜8.1 はバージョンを変えずに修正パッチを適用し、10/26 6:20までに全対象サーバーで対応完了と告知
シン・レンタルサーバー（運営: XServer Inc.・エックスサーバーと同じ会社）	11/1時点で、シン・レンタルサーバーの障害・メンテナンス情報には今回の脆弱性に関する独自の告知が見当たらない（10/21に予定していた管理ツールのメンテナンスは延期と記載）。エックスサーバーの停止期間中は、同じ一時停止の表示が出ていたとの報道。対応はエックスサーバーと同じ会社の作業だが、シン向けの明記は当サイトでは確認できていない	—	未確認（独自の告知なし）	エックスサーバーに準ずるとみられるが未確認
さくらのレンタルサーバ・マネージドサーバ	公式お知らせ「PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）への対応状況について」（10/22）: 「当社サーバーコントロールパネルから選択できる全てのPHPバージョン」について対応を完了し、「お客様に実施いただく緊急の対応はございません」。ウェブメールは10/22 13:45に対応完了。別のお知らせ（緊急メンテナンス）では、VPSは10/22 17:40に完了。10/26の更新で、さくらインターネット提供のPHPを使わず自分でPHPをインストールしている場合は「お客様にて脆弱性への対応が必要」とする注意事項を追加。10/28の更新で「よくあるご質問」を追加し、メンテナンス後のPHPバージョンを8.3.36／8.2.35／8.1.34／8.0.30／7.4.33／5.6.40／5.4.45／5.3.29／5.2.17と示した	10/21 13:00開始、レンタルサーバ・マネージドサーバは10/21 22:30完了。10/26更新（自分でインストールしたPHPへの注意事項）。10/28更新（よくあるご質問を追加）	あり	選べる全バージョンで対応完了と告知（告知に記載の対応済みバージョン: 8.3／8.2／8.1／8.0／7.4／5.6／5.4／5.3／5.2）。10/28追加のよくあるご質問では「PHP 8.1以下のバージョンについてはバックポート対応のため、PHPバージョンに変更はありません。」と説明。田中邦裕社長はXで「過去のPHPについても独自にバックポート」と投稿。サポート期間内の最新版への移行を推奨（10/26更新の注意事項欄では、旧バージョンもなるべく早くサポート対象のPHP 8.3へ移行するよう依頼）
ロリポップ！（GMOペパボ）	公式お知らせ【完了】（10/22 16:57）: サイト表示・サービスサイト・ユーザー専用ページ・MCP/API・FTP・旧Webメーラーを10/22 15:33までに再開。PHP 8系と7.4には公式の修正版を適用、それ以外のバージョンには公式の修正内容に基づく独自修正を適用。全バージョンで session.upload_progress を無効化。利用者にサイトの動作確認を依頼	10/21〜10/22 16:57 完了	あり	7.4は公式修正版、7.3以前は独自修正。古いバージョンは今後も公式の修正が提供されない可能性があるとして、新しいバージョンへの切り替えを案内
ヘテムル（GMOペパボ）	公式お知らせ「PHPの脆弱性への対応に伴うメンテナンス完了と経緯のご報告」（10/22 18:05）: PHP 8.2〜8.5 は開発元の修正版（8.2.35／8.3.36／8.4.27／8.5.12）を適用。サイト表示は10/22 11:24ごろ、サービスサイトとコントロールパネルは12:12ごろ再開し、最後のおさいぽ！自動更新は15:15ごろ再開（18:05の告知で全サービス復旧）。全バージョンで session.upload_progress を無効化。利用者に、サポートが続く8.2以降への切り替え、WordPress本体・プラグイン・テーマの更新確認、再開後の動作確認を依頼	10/21 19:44の掲載時点から順次実施、10/22 18:05の告知で全サービス復旧	あり	7.4／8.0／8.1は開発元が提供した修正コードを適用済み。5.6〜7.3は公式の修正がないため、同社が公式の修正内容をもとに独自修正を作成・検証して適用。8.1以下については「今回の対策は応急的なもの」として8.2以降への切り替えを依頼
ConoHa WING（GMOインターネット）	「緊急メンテナンス」としてシステムの保守作業を告知。終了予定時刻を過ぎたが、11/1 8:40時点で完了の追記はない	10/21 19:00〜10/22 10:00（予定）	なし	記載なし
お名前.com レンタルサーバー（GMOインターネット）	「【緊急】サーバーメンテナンス」としてシステムの保守作業を告知。対象はベーシック・RSプラン・AIホームページパック・共用サーバーSD・ホームページエディター。11/1 8:40時点で完了の追記はない	10/21 19:00〜10/22 10:00（予定）	なし	記載なし
mixhost	公式お知らせ「【完了】PHPの重大な脆弱性への対応について」（10/22）: mixhostレンタルサーバー・アダルトレンタルサーバー・海外レンタルサーバーの全サーバーで、10/22 10:18ごろにPHPの修正パッケージの適用を完了。対応範囲はPHP 5.2〜8.5（採用しているCloudLinuxの独自修正パッケージで、開発元の修正対象外の版も適用済み）。修正はバージョン番号を変えずに適用されるため、サイトヘルスやphpinfoの表示（例: 8.4.26）は修正後も変わらないと説明。「お客様で必要な作業はございません」。マイページは別の告知で10/21 22:10から一時停止し、10/22 9:48に完了	修正パッケージは10/22 10:18ごろ適用完了（マイページは10/21 22:10停止、10/22 9:48完了）	あり	5.2〜8.1も修正パッケージを適用済みと告知。即座の変更は不要としつつ、8.2未満の利用者には8.2以上の利用を推奨
KAGOYA（カゴヤ・ジャパン）	CVE番号を明記した告知。10/23 12:30更新で、レンタルサーバープラン（PHP 7.4系・8.1系・8.2〜8.5系）の修正版へのアップデート完了を告知（10/22 14:40〜24:00に順次実施）。マネージド専用・共用・WordPress専用サーバーは恒久的な方針を引き続き調整中で、暫定策としてサイトの公開停止やアクセス制限を案内。10/23 12:30の更新時点で、この脆弱性を悪用した攻撃や情報漏えい等は確認されていないと告知。10/26には別のお知らせ「当社サービス状況」を掲載し、レンタルサーバー（PHP 7.4系・8.1系・8.2〜8.5系）のアップデート完了を改めて示した。このお知らせは更新され、11/1の確認では、共用／マネージド専用サーバー／WordPress専用プランについて「対象サービスについて、セキュリティリスクを低減するための緩和策を順次実施しております。」としている（10/28の確認時にあった「脆弱性が残存している状態です」「脆弱性への対応可否を含め今後の対応について検討を進めております」の文は、10/29以降の確認では同じお知らせに見当たらない。更新履歴の記載はなし）。提供サービスの状況表（10/31 9:10時点）では、共用サーバーとマネージド専用サーバーが「稼働中 (緩和策：10月30日完了)」、WordPress専用サーバーが「稼働中 (緩和策：10月31日完了)」（上の段落の「緩和策を順次実施しております。」の文はそのまま）。緩和策の詳細ページ（一覧は10/28 19:00時点）では、session.upload_progress の無効化や送信データ量の上限設定などを挙げている。ただし緩和策は「一時的な対策です」とし、「根本的な対策として、レンタルサーバープランへの変更および、脆弱性対策済みのPHPバージョンへの移行をお願いいたします。」。管理画面等の状況表（10/31 9:10時点）では、コントロールパネルは多くのサービスで10/26 14:00に再開、サポートサイトは「10/30 18:30再開」、新規申込み（オンラインサインアップ）はレンタルサーバーなどが10/27 19:55に再開（KAGOYAの別のお知らせによると、新規申込みの受付停止は10/19からで、Linuxカーネルの脆弱性によるもの）	レンタルサーバーは10/22 14:40〜24:00に完了。10/21初出、10/23 12:30更新。10/26に状況のお知らせを新たに掲載（提供サービスの状況表・管理画面等の状況表とも10/31 9:10時点の表記。11/1確認）。緩和策は共用サーバー・マネージド専用サーバーが10/30、WordPress専用サーバーが10/31に完了	あり	レンタルサーバーは7.4系・8.1系も修正版へのアップデート完了と告知。ただし10/26掲載のお知らせのQ&A（レンタルサーバープランについての回答）では、対応済みのPHPを8.5.12／8.4.27／8.3.36／8.2.35として「上記以外は、影響を受けます」とし、7.4系／8.0系／8.1系は「緩和策は対応済」だが上記の4つの版（8.5.12など）へのアップデートを強く推奨しており、冒頭の「完了」とは表現が異なる。7.3以前の個別の記載はない。レンタルサーバープラン以外のWebサービスの各プランは、Q&Aで「PHPのバージョンアップが完了しておりません」。緩和策は共用／マネージド専用が10/30、WordPress専用が10/31に完了で、これを一時的な対策として、レンタルサーバープランへの変更と脆弱性対策済みのPHPバージョンへの移行を依頼
カラフルボックス	公式ステータスページ（解決済み一覧）に「PHPの脆弱性に対するセキュリティアップデート完了のお知らせ（お客様でのバージョン変更作業は不要です）」。全サーバー（共有サーバー・カラフルビジネス・タダサーバー・専用サーバー）が対象で、利用者側のバージョン変更は不要と告知。追記で、バージョン番号を変えずに修正を取り込んだPHPを適用しているため、表記が公式の最新番号と異なっても修正は適用済みと説明	10/22 0:00〜9:00（10/22 18:08更新）	あり	7.4／8.0／8.1もサーバー側で対応済みと告知
Zenlogic（IDCフロンティア）	「緊急メンテナンス作業完了のお知らせ」（最終更新日10/23）: 緊急メンテナンスの作業完了を告知。PHP 7.4・8.1は修正パッチを適用、それ以外の版（8.2〜8.5）はマイナーバージョンアップ、PHP 5.3は最新バージョンへのアップグレードを実施。7.4・8.1〜8.5のサーバーは10/22 8:00にWebサーバーを再開	10/21 22:00〜10/22 19:00（告知の実施日時。5.3の完了予定を19:00に変更）。最終更新日10/23	あり	PHP 5.3は最新版へ強制アップグレード（5.3には戻せない）。7.4・8.1は修正パッチ適用済みと告知
バリューサーバー（GMOデジロック）	「【PHP脆弱性：CVE-2026-109618/CVE-2026-109619】の対応（VALUESERVER）【完了】」: 全サーバーで、CVE-2026-109618／109619への対応とソフトウェア更新を実施し完了。提供中の全PHPバージョン（5.3〜8.5の15バージョン）で対応を完了し、「お客様側でのPHPバージョンの変更等のご対応は必要ございません」	10/22 0:00〜0:50	あり	5.3〜8.1（5.3／5.4／5.5／5.6／7.0〜7.4／8.0／8.1）も対応完了と告知

各社の告知URLは記事末尾の「出典」にまとめています。10月22日の初版では、公式サイトが停止していた4社を公式Xの投稿と報道で確認していましたが、10月23日の更新で公式のお知らせに照合し直しました。この表は、各社の告知が更新されしだい書き換えます。

当サイト運営者がサーバー内で確認できたこと（エックスサーバーの例）

エックスサーバーでは、PHP 8.2〜8.5を選んでいるサイトは利用者が何もしなくても修正版に切り替わっていました。 当サイト運営者が保守するエックスサーバー上のサイト（複数の契約・合計15サイト）を2026年10月22日の朝に調べた結果です。

確認できた範囲は次のとおりです。

• 修正版（8.2.35／8.3.36／8.4.27／8.5.12）のPHP本体が、10月22日 午前6時台にサーバーへ配置され、「8.3」などの系列指定がそのまま修正版を指すようになっていた。
• PHP 8.3を選んでいたサイトは、すべて実際に8.3.36で動いていた（サイト上に一時的な確認用ファイルを置いて実測。確認後に削除）。
• 8.1以前の古いバージョンには、同じ時点では修正版の本体は配置されておらず、代わりに「session.upload_progress」という機能を無効にする緩和設定が全バージョンに入っていた（設定ファイルの作成時刻は10月21日 16時01分）。
• エックスサーバーの公式サイト・管理画面・APIは、当サイト運営者が確認した10月22日 7時台と9時台のいずれも停止していた（停止開始の時刻は報道による。再開は各自で公式告知を確認してください）。

この緩和設定は、PHP公式も「確認されている攻撃経路の一部をふさぐが、完全ではない」と位置づけている暫定策です。その後エックスサーバーは公式のお知らせで、PHP 8.2〜8.5から順次修正を適用して旧バージョンにも対応を広げ、10月26日 6:20までにPHP 5.1〜8.5のすべての対象サーバーで対応が完了したと告知しています（上の実測は、その前の10月22日朝の時点の状態です）。古いバージョンのサイトは、こうした告知で自分の版が対象かを確かめつつ、8.2以上への切り替えを検討してください。

自分のサイトのPHPバージョンを確認する3つの方法

サイトが修正版で動いているかは、サイトを表示しただけでは分かりません。 次のどれかで確かめます。

方法1: WordPressの管理画面（サイトヘルス）

WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開くと、「PHP バージョン」にそのサイトを実際に動かしているPHPの番号が表示されます。管理画面に入れる人なら、これが最も確実です。

方法2: レンタルサーバーの設定画面

サーバー会社の管理画面（サーバーパネル、コントロールパネル）に「PHP Ver.切替」「PHPバージョン設定」といった項目があり、ドメインごとに選んでいる系列が表示されます。ただし、エックスサーバーのように管理画面が停止している間は見られません。

方法3: 外部からの診断ツール

当サイトの無料WordPress脆弱性診断は、URLを入れるだけで外から見える情報を点検します。2026年10月22日に「PHPのバージョンが脆弱性の対象か」と「WordPress本体が最新か」の2項目を追加しました。サーバーがPHPのバージョンを外部に公開している場合は、修正版かどうかを判定します。

多くのサーバーはバージョンを外部に見せない設定になっています。その場合は「外部からは確認できません」と表示し、方法1・2での確認を案内します。「外部から見えない」は「安全」という意味ではない点に注意してください。

バージョンごとにやること

確認した結果	やること
8.2.35／8.3.36／8.4.27／8.5.12 以上	修正済み。WordPress本体・プラグインの更新状況を確かめる（後述）
8.2〜8.5系だが、上の番号より古い	サーバー会社が対応済みなら、系列指定のまま自動で修正版に切り替わっているはず。そうなっていなければサーバー会社の告知を確認し、必要なら設定画面で同じ系列を選び直す
8.1・8.0・7.4	公式のリリースは出ない。サーバー会社が公式のソースパッチを当てたかを告知で確かめ、あわせて8.2以上（推奨は8.3）への切り替えを計画する
7.3以前	公式のパッチも無い。8.2以上への切り替えが唯一の対策。切り替えまでの間はサーバー会社の緩和策に頼ることになる
分からない	方法1〜3で確かめる。自分で確認できない場合は、サイトを作った会社か保守会社に「PHPのバージョンと、php2shellの修正版かどうか」を聞く

8.2系は2026年12月31日でセキュリティサポートが終わる予定のため、これから切り替えるなら8.3系を選ぶのが無難です。 WordPress公式も推奨環境としてPHP 8.3以上を挙げています。

古いPHP（7.4や8.1）で動いているサイトの選択肢

8.1以前で動いているサイトは、サーバー会社が公式のソースパッチを当てるか、8.2以上へ切り替えるかのどちらかでしか守れません。 パッチを当てたかどうかは各社の告知でしか分からず、7.3以前にはそのパッチもありません。一方で、古いPHPのまま動いているサイトは、古いテーマやプラグインが8.x系で動かないおそれがあるために据え置かれていることが多く、無計画に切り替えると表示が崩れたり真っ白になったりします。

当サイト運営者が2026年10月22日に、PHP 7.4のまま動いていたWordPressサイト（3インストール）で行った確かめ方を紹介します。

1. サーバー上で、PHP 8.3のコマンドライン版を使ってWordPress本体・有効なプラグイン・テーマを読み込ませ、致命的なエラーが出ないかを見る（WP-CLIが使えるサーバーなら「wp plugin list」などの読み取りコマンドで足りる）。
2. 有効なプラグインの「Requires PHP」（必要なPHPの版）を一覧にし、8.3で動く版に更新できるかを見る。
3. バックアップを取ってから、サーバーの設定画面でPHPを8.3に切り替える。
4. トップ・主要ページ・問い合わせフォーム・ログイン画面を順に開き、エラーや崩れがないかを見る。
5. 問題があれば、同じ設定画面で元のバージョンに戻す。多くのレンタルサーバーでは切り替えも戻しも数分で反映されます。

この手順の詳しい説明と、よくあるエラーの直し方はWordPressのPHPバージョンアップ完全ガイドにまとめています。

エックスサーバーでの具体的な切り替え手順と、画面が崩れたときの戻し方は、エックスサーバーでPHPを切り替える手順で説明しています。

ロリポップ！での切り替え手順と、PHP 7.4より前のバージョンから上げると元に戻せない場合があることは、ロリポップ！でPHPを切り替える手順で説明しています。

自社で切り替えの判断がつかない場合は、互換性の確認から切り替え・動作確認までを単発の作業としてお受けしています。お問い合わせから、サイトのURLと今のPHPバージョンを添えてご相談ください。

サーバー会社が対応済みでも残る確認

PHPが修正版になっても、WordPress本体やプラグインが古いままなら、別の入口が開いたままです。 今回の脆弱性の騒ぎで「PHPは大丈夫だった」と安心して終わらせず、次の2点を一緒に見てください。

• WordPress本体が最新か。管理画面の「更新」で確かめます。自動更新を有効にしていても、実際には更新が止まっていることがあります。当サイト運営者が2026年9月に保守先の本番サイトを棚卸しした際も、自動更新が有効なまま古い版で止まっていたサイトが複数ありました。
• プラグインが最新か。2025年に公表されたWordPress関連の脆弱性のうち91%はプラグインに起因しています（セキュリティ企業Patchstackの集計）。

どちらも無料WordPress脆弱性診断で「本体が最新か」を外部から点検できます（外部からバージョンが読み取れるサイトに限ります）。

よくある質問

Q. WordPressを最新版に更新すれば、この脆弱性は直りますか？

直りません。今回の脆弱性はWordPressではなく、WordPressを動かしているPHP本体にあります。PHPの修正版への切り替え（共用サーバーではサーバー会社の作業）が必要です。

Q. サイトをメンテナンスモードにしておけば安全ですか？

安全とは言えません。WordPressのメンテナンスモードや「準備中」表示はPHPが動いたうえで表示されるため、PHP本体の脆弱性はそのまま残ります。サイトを止めるなら、Webサーバーそのものを止める必要があります。

Q. WAF（Webアプリケーションファイアウォール）を有効にしていれば大丈夫ですか？

一部の攻撃を止める助けにはなりますが、完全な対策ではありません。 PHP公式は「完全な緩和策はなく、更新が唯一の安全な選択」としています。WAFは修正版への切り替えまでのつなぎと考えてください。

Q. サーバー会社から何も連絡が来ません。対応済みですか？

告知の方法は会社ごとに違います。メールを送らず、公式サイトのお知らせやステータスページ、公式Xだけで告知している会社もあります。上の早見表の出典リンクから各社の最新の告知を確認し、それでも分からなければサポート窓口に「php2shell（CVE-2026-109618／109619）の修正版を適用済みか」と問い合わせてください。

Q. すでに攻撃されていないか、どう確かめればいいですか？

外部からの確認では分かりません。JPCERT/CCは、脆弱性の発見者らが公開している情報として、次の点の確認を紹介しています。

• 不審なmultipart/form-data形式（ファイル送信などに使われる形式）のリクエストがないか。その前後に、PHPのメモリ上限に関するエラーやHTTP 500エラーが出ていないか。
• 過去の応答で、不自然に長い、または異常な形式のPHPSESSID（PHPが利用者ごとのセッションを識別するCookie）が設定されていないか。
• PHPの処理を担うプロセスが、予期せず異常終了（クラッシュ）したり、頻繁に再起動したりしていないか。

JPCERT/CCは、これらの痕跡が見つからなくても「攻撃を受けていない」とは断定できない、ともしています。見覚えのないファイルやユーザーの有無、改ざんの痕跡もあわせて調べてください。共用レンタルサーバーでは、PHPのエラーログなどを利用者が見られないことがあります。その場合は、サーバー会社か保守会社に確認を依頼してください。手順はWordPressがハッキングされた時の復旧手順にまとめています。不安な場合は、ログを消さずに専門家へ相談してください。

まとめ: 「対応したか」ではなく「修正版で動いているか」を確かめる

今回の脆弱性で利用者がやることは、サーバー会社の告知を読むことと、自分のサイトのPHPバージョンを実際に見ることの2つです。8.2〜8.5系で修正版の番号になっていれば、本体とプラグインの更新状況を確かめて終わりです。8.1以前なら、切り替えの準備を始めてください。

自分で確認する時間がない、管理画面に入れない、作った会社と連絡が取れない、という場合は、無料WordPress脆弱性診断でURLを入れるところから始めてください。診断結果の画面から、そのまま相談できます。

出典（2026年10月22日〜11月1日 確認）

• PHP公式サイト「PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 Released」（2026年10月21日）: https://www.php.net/archive/2026.php
• PHP公式サイト「Informational advisory: Session upload progress」（2026年10月23日）: https://www.php.net/archive/2026.php#2026-10-23-1
• GitHub セキュリティアドバイザリ GHSA-w8hw-w9fx-j79w（CVE-2026-109618）: https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
• GitHub セキュリティアドバイザリ GHSA-6wmf-4rv5-p3rp（CVE-2026-109619）: https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
• IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）: https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
• IPA「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)」（2026年10月22日公開・10月27日更新）: https://www.ipa.go.jp/security/security-alert/2026/alert20261022.html
• JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」（2026年10月22日公開・10月26日更新）: https://www.jpcert.or.jp/at/2026/at260033.html
• CISA「Known Exploited Vulnerabilities Catalog」（2026年10月26日登録・10月28日確認）: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• エックスサーバー「【重要】PHPの脆弱性（CVE-2026-109618／CVE-2026-109619）に関するお客様のご利用サーバー環境への安全対策について」（2026年10月21日付）: https://www.xserver.ne.jp/news_detail.php?view_id=19756
• エックスサーバー「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」（2026年10月21日付・随時更新。10月26日 16:00更新）: https://www.xserver.ne.jp/news_detail.php?view_id=19734
• シン・レンタルサーバー 障害・メンテナンス情報（2026年11月1日確認）: https://www.shin-server.jp/support/information/
• エックスサーバー公式X（初報・10月21日）: https://x.com/xserverjp/status/2112817155804664098
• エックスサーバー公式X（メンテナンス状況②・再開方針）: https://x.com/xserverjp/status/2112981093796512216
• エックスサーバー公式X（メンテナンス状況③・8.2〜8.5の適用完了・旧バージョンの扱い）: https://x.com/xserverjp/status/2113023623699341814
• さくらインターネット「PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）への対応状況について」（2026年10月22日・10月26日・10月28日更新）: https://help.sakura.ad.jp/notification/n-2700/
• さくらインターネット「【完了】さくらのレンタルサーバ・さくらのVPS 緊急メンテナンス実施のお知らせ」（n-2697）: https://help.sakura.ad.jp/notification/n-2697/
• さくらインターネット 田中邦裕社長のX投稿（2026年10月22日・バージョンアップ報告）: https://x.com/kunihirotanaka/status/2113047068302537173
• 同 続報（旧バージョンへのバックポート）: https://x.com/kunihirotanaka/status/2113063176782962732
• ロリポップ！「【完了】【重要】PHPの脆弱性への予防措置に伴うメンテナンス実施のお知らせ」（2026年10月21日掲載・10月22日 16:57完了）: https://lolipop.jp/info/news/8237/
• ロリポップ！ 公式X（10月22日 3:05・一部サーバーのサイト一時停止）: https://x.com/lolipopjp/status/2112968606409699390
• ヘテムル「【完了】【重要】PHPの脆弱性への予防措置に伴うメンテナンス実施のお知らせ」（2026年10月21日 19:44 掲載）: https://heteml.jp/info/detail/id/2953
• ヘテムル「PHPの脆弱性への対応に伴うメンテナンス完了と経緯のご報告」（2026年10月22日 18:05 掲載）: https://heteml.jp/info/detail/id/2954
• ヘテムル 公式X（10月22日 3:09）: https://x.com/heteml/status/2112969595372065022
• ConoHa WING「【緊急メンテナンス】[ConoHa] サーバーメンテナンス」: https://www.conoha.jp/wing/news/?ap=2015054897
• お名前.com「【緊急】[お名前.com レンタルサーバー] サーバーメンテナンス（2026/10/21）」: https://www.onamae.com/news/article/11587/
• mixhost「【完了】PHPの重大な脆弱性への対応について」（2026年10月22日）: https://mixhost.jp/news/1974
• mixhost「マイページ緊急メンテナンスのお知らせ」: https://mixhost.jp/news/1970
• KAGOYA「PHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）に関する当社サービスへの影響について」（2026年10月23日 12:30更新）: https://www.kagoya.jp/news/2026102237094/
• KAGOYA「PHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）に関する当社サービス状況」（2026年10月26日掲載。提供サービスの状況・管理画面等の状況とも10月31日 9:10時点。11月1日確認）: https://www.kagoya.jp/news/2026102637175/
• KAGOYA「PHPの脆弱性に対する緩和策の実施と今後の対応について」（緩和策一覧は2026年10月28日 19:00時点。11月1日確認）: https://www.kagoya.jp/kir/rentalserver/php-mitigation/
• カラフルボックス サーバーステータス（解決済み一覧）「【メンテナンス】PHPの脆弱性に対するセキュリティアップデート完了のお知らせ（お客様でのバージョン変更作業は不要です）」: https://secure.colorfulbox.jp/serverstatus.php?view=resolved
• IDCフロンティア Zenlogic「【ホスティング】緊急メンテナンス作業完了のお知らせ（2026年10月21日 22時00分～）」（最終更新日 2026年10月23日）: https://www.idcf.jp/rentalserver/maintenance/2026/20261021-2.html
• バリューサーバー「【PHP脆弱性：CVE-2026-109618/CVE-2026-109619】の対応（VALUESERVER）【完了】」: https://status.value-domain.com/information/detail/?info_id=918
• PHP公式「Supported Versions」（8.2系のサポート期限）: https://www.php.net/supported-versions.php
• WordPress.org「要件」（推奨PHP 8.3以上）: https://ja.wordpress.org/about/requirements/
• Patchstack「State of WordPress Security」（プラグイン起因の割合）: https://patchstack.com/whitepaper/state-of-wordpress-security-in-2026/

次回更新目安: 各社の告知は週2回（月曜・木曜）確認し、変更があれば更新します。2027年1月には、PHP 8.2系のサポート終了にあわせて全体を見直します。