2026年10月21日の夜、PHPに見つかった重大な脆弱性（通称 php2shell、CVE-2026-109618／CVE-2026-109619）への対応で、国内のレンタルサーバー各社が一斉に動きました。管理画面を止めた会社もあれば、サイトそのものを一時停止した会社もあります。「明記なしの緊急メンテナンス」で静かに対応した会社もありました。
SNSでは「〇〇は対応が早かった」「△△はサイトを止められた」といった声が飛び交いました。自分のサイトの運用はこのままで大丈夫か、一度確認しておきたいと感じた方もいるのではないでしょうか。
この記事では、WordPressの保守とサーバー移転を日常的に請け負っている立場から、今回の各社の動きを事実ベースで整理します。そのうえで、サーバーと運用を見直すときに何を確認すればよいかをまとめました。
開示：Webの相談所は、さくらインターネットの「Web制作・開発」ソリューションのパートナーとして紹介されています。本記事では特定の事業者を推奨せず、各社の動きは公開された告知の内容のみを記載しています。
何が起きたのか（おさらい）
- 10月20日（日本時間では21日早朝）、PHPの開発チームが「重大な脆弱性2件を修正するリリースを21日23時に出す」と予告
- 2件とも深刻度は CVSS v4.0 で 9.2。ログインなしで外部からプログラムを実行される（リモートコード実行）おそれがある
- 21日22時34分ごろ、予定より早く修正版（PHP 8.5.12／8.4.27／8.3.36／8.2.35）が公開
- PHP 8.1以前には公式の修正版は出ていない（技術者向けに最小限の修正コードのみ公開）
- WordPress本体やプラグインを最新にしていても、この問題は直らない。直すのはPHP本体
共用のレンタルサーバーでは、PHP本体を更新するのはサーバー会社です。利用者にできるのは、各社の告知を確認することと、使うPHPのバージョンを選ぶことでした。
各社の動き（10月22日朝時点・公開告知ベース）
時刻は日本時間です。「PHP対応」と明記されていないメンテナンスも含めています。
| 日時 | 事業者 | 公開された動き |
|---|---|---|
| 21日 13:00〜 | さくらのレンタルサーバ | 緊急メンテナンスを開始（22日8時ごろまで） |
| 21日 14時台 | Amimoto（マネージドホスティング） | 対応方針を告知。当日中に緩和設定を先行適用し、修正版は公開後にサイトを止めずに適用、作業前にスナップショットを取得する。メンテナンス画面を希望する利用者は18時までに連絡を受け付け |
| 21日 14:54 | KAGOYA | CVE番号を挙げて、影響を調査中と告知 |
| 21日 16:00〜 | エックスサーバー | 予防措置として公式サイト・管理画面を停止。サイト表示とメールは継続と案内 |
| 21日 16時台 | Amimoto | 現行プランのサーバーで、国外IPからのPOSTリクエスト（フォーム送信・ログインなど）をWAFで一時遮断すると告知（21日19:00〜22日10:00）。閲覧は国内外とも通常どおり。適用しない選択も18時まで受け付け |
| 21日 19:00〜 | ConoHa WING | 緊急のサーバーメンテナンス（22日10時まで） |
| 21日 夜 | ロリポップ！・ヘテムル | サービスサイト・ユーザー専用ページなどを順次停止 |
| 21日 22:34ごろ | ― | PHPの修正版が公開 |
| 21日 23:00〜 | さくらのレンタルサーバ | PHPバージョンアップの緊急メンテナンス（22日6時30分に完了と案内） |
| 22日 0:00〜 | カラフルボックス、バリューサーバー・コアサーバーなど | 全サーバーで順次システム更新 |
| 22日 未明 | ロリポップ！・ヘテムル | 一部サーバーのサイトを一時停止すると告知 |
| 22日 朝 | エックスサーバー | PHP 8.2〜8.5 は対象全サーバーへの適用を完了と案内。旧バージョンは順次 |
状況は刻々と変わっています。ご自身の契約先については、必ず各社の公式のお知らせを確認してください。
サーバーと運用を見直すときに確認したい5つの基準
ひとつ大事な前提があります。今回の対応を「サイトを止めた＝悪い」「止めなかった＝良い」で判断するのはおすすめしません。修正版がまだない時間帯に攻撃を受けるリスクと、サイトが止まる損失のどちらを重く見るかは、会社の方針によって変わります。どちらにも合理性があります。
見るべきなのは、その方針が自分のサイトに合っているかです。
1. 告知が「何を・なぜ・いつまで・利用者は何をすべきか」まで書かれているか
今回、理由を明記した会社もあれば、「システムの保守作業」とだけ書いた会社もありました。攻撃者に手がかりを与えないため、あえて書かないという判断もありえます。
ただ、サイトの持ち主にとっては、自分が何かする必要があるのかどうかが分かることが一番大切です。普段から障害・メンテナンス情報のページと公式SNSが整っているかを、一度見ておいてください。
2. 「止め方」が自分のサイトの性質に合っているか
- 予約・EC・問い合わせが売上に直結するサイト：サイトが止まるとそのまま機会損失になります。サイトを動かしながら裏で対策する方針の会社の方が合いやすいです。
- 会社案内・情報発信が中心のサイト：数時間止まっても実害が小さければ、「安全が確認できるまで止める」方針の方が安心できます。
自分のサイトが止まったら何が困るのかを先に言葉にしておくと、比べる軸がはっきりします。
今回、もうひとつ選択肢がありました。サーバー単位で運用するマネージドホスティング（Amimotoなど）では、「サイトは止めずに修正を当てる」を基本方針にしながら、メンテナンス画面を出すかどうかを利用者が選べるようにしていました。国外からのフォーム送信やログインを一時的に遮断する対策についても、決済通知やWebhookへの影響を説明したうえで「適用しない」を選べるようにしていました。
共用サーバーでは、こうした判断は事業者が全利用者に一律で行うのが普通です。自分のサイトの事情に合わせて止め方を選びたいなら、それができる種類のサービスかどうかも比べる軸になります。
3. 古いPHPバージョンをどう扱うか
今回、公式の修正版が出たのは 8.2〜8.5 だけでした。8.1以前でサイトを動かしている場合、サーバー会社が独自に修正を当てるのか、新しいバージョンへの移行を求めるのかで、結果が大きく変わります。
実は、サーバーを乗り換えるより先に、今のサーバーでPHPのバージョンを上げるほうが効くケースが少なくありません。WordPressなら「ツール → サイトヘルス → 情報 → サーバー」でバージョンを確認できます。
古くなるのはPHPだけではありません。サーバーのOSが古いと、修正版のパッケージが届かない、あるいは大きく遅れることがあります。Amimotoは告知の中で、旧OSのサーバーでは修正版が遅れる可能性があり、その間は緩和設定でしのいで、OSの更新を別途案内するとしていました。サーバーを選ぶときは、OSやPHPを新しく保つ仕組みと、古いまま使い続けた場合の扱いも確認しておくと安心です。
4. 管理画面が止まっても困らない備えができるか
管理画面が止まっている間は、PHPのバージョン切り替えも、バックアップのダウンロードもできません。サーバー会社の自動バックアップだけに頼らず、サイトのバックアップをサーバーの外にも持っておくと、どの会社を使っていても選択肢が残ります。
5. 共用サーバーか、マネージドホスティングか、VPS・クラウドか
- 共用サーバー：PHPの更新はサーバー会社の仕事です。その代わり、止めるかどうかなどの方針は事業者が一律に決めます。
- マネージドホスティング：サーバー単位で専門のチームが運用します。今回のように、利用者の事情を聞きながら対応してもらえる場合があります。費用は共用より高くなるのが一般的です。
- VPS・クラウド（自前運用）：PHPの更新は自分（または保守会社）の仕事です。修正版が出た夜中に、自分で更新作業をしたかどうかでリスクが大きく分かれました。
「誰が、どこまで面倒を見てくれるのか」と、それにいくら払うのかをセットで考えるのが、サーバー選びの出発点です。
乗り換えを決める前に
サーバーの移転には、それ自体にリスクがあります。
- メールの設定（MXレコード、送信ドメイン認証）の引き継ぎ漏れ
- DNS切り替え時のダウンタイムや、SSL証明書の再発行
- 移転先のPHPバージョンやサーバー設定の違いによる表示崩れ・フォームの不具合
「不安だから今すぐ乗り換える」より、次の順番で進めるのが安全です。
- 今のPHPバージョンとサーバーの方針を確認する
- 上の5つの基準で、自分のサイトとの相性を見直す
- 合わないと判断したら、準備を整えて移転する
チェックリスト
- 自分のサイトのPHPバージョンは 8.2 以上か（8.1以前なら最優先で更新）
- 契約先の障害・メンテナンス情報ページと公式SNSの場所を知っているか
- サイトが止まったときに何が困るかを言葉にできるか
- サーバーの外にバックアップを持っているか
- PHPやWordPressの更新を誰が担当するか決まっているか
- 契約中のサーバーは共用・マネージド・自前運用のどれか、把握しているか
当社サイトにも多くのアクセスがありました
修正版の公開を控えた10月21日、Webの相談所のサイトへのアクセスは、直前2週間の平日平均の約570%増（約6.7倍）になりました。翌22日も朝9時の時点で、すでに普段の1日分の4倍近いアクセスがあります。
特に多く読まれたのは、修正版を待つ間に自分のサイトをどう守るかを解説した記事でした。
- 【重要】PHPの脆弱性（php2shell）対策として、日本国外からの一部アクセスを遮断します
- メンテナンスモードでは PHP の脆弱性「php2shell」は防げません ― .htaccess で自分以外のアクセスを拒否する方法
- WordPressのメンテナンス画面を表示する方法について解説
アクセスの多くは検索からでした。検索から最初に開かれたページを見ると、次のような内容を調べた方が多かったようです。
- php2shell や PHPの脆弱性について、今すぐ何をすればよいか
- WordPressのサイトを一時的に止める方法（メンテナンスモード）
- WordPressのバックアップの取り方
サーバー会社の対応を待つだけでなく、「自分のサイトでできることはないか」を探した方が多かったのだと受け止めています。
サーバーの見直し・引越しのご相談はWebの相談所へ
Webの相談所は、WordPressサイトの保守と、レンタルサーバー間の引越しを日常的に請け負っています。メール・DNS・SSLの切り替えまで含めて、検証環境で動作を確かめてから本番を移すので、引越しに伴うトラブルを最小限に抑えられます。
- 「乗り換えるべきか分からない」段階のご相談：オンラインでの有料相談（1時間 6,600円）で、今のサーバーの状況とPHPバージョンを確認し、乗り換えの要否から一緒に判断します。 → WordPressのトラブル相談／Web相談
- 引越し・PHPバージョンアップの作業をまるごと任せたい：スポット保守（1サイト 10万円＋税）で対応します。 → WordPressスポット保守サービス
- 今回のような緊急時も含めて、継続的に見てほしい：PHPの更新状況や死活監視まで含めた定期保守もご用意しています。 → WordPress定期保守サービス
「うちのサイトは大丈夫？」という一言からで構いません。お気軽にご相談ください。