NEWS!!2026年10月24日、PHP更新状況を当ページでご案内
各社PHP更新状況
レンタルサーバー各社のPHPアップデート・更新状況（2026/10/24 11:14時点）をまとめました。（AI集計）
ご参考になさってください。
この記事の情報は 2026年10月24日（土）11:14 時点のものです。各社の対応は刻々と変わっています。最新の状況は、表の「公式情報」から各社のお知らせを必ずご確認ください。
前回（10/23 22:05）から変更はありません。
PHPの重大な脆弱性「php2shell」とは
2026年10月21日 23時ごろ（日本時間）、PHPの開発チームが重大な脆弱性2件の修正版を公開しました。対象は CVE-2026-109618 と CVE-2026-109619 で、「php2shell」と呼ばれています。
- 危険度：CVSS v4.0 で 9.2。最も深刻な「緊急（Critical）」に分類されています。
- 何が起きうるか：ログインしていない外部の人が、細工したリクエストを送るだけで、サーバー上でプログラムを動かせてしまうおそれがあります。
- 対象：ウェブのリクエストを処理するすべてのPHPです。WordPress などのCMSも、PHP本体を更新しない限り対策になりません。
- 修正版：PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35
- PHP 8.1 以下：公式の修正版は提供されません。サーバー会社が独自に修正するか、新しいバージョンへ切り替える必要があります。
PHP公式は、設定の変更で減らせるのは攻撃経路の一部だけで、完全な対策は修正版への更新のみとしています。
10/23 に、PHP公式が追加の案内を出しました。次の定例の修正版が出るまで、session.upload_progress という機能を無効（session.upload_progress.enabled=0）にしておくよう勧めています。とても特殊な設定とプログラムの組み合わせでだけ起きる、別の攻撃経路（CVE-2026-115560）への備えです。PHP公式は、実際に起きる可能性は低いとして、次の定例の修正版で直し、そのときに詳しい情報を出すとしています。この設定は 10/21 の時点でも対策の一つとして挙げられていたもので、すでに無効にしている場合は追加の作業はいりません。共用のレンタルサーバーでは、この設定もサーバー会社が管理していることが多く、ロリポップ！とヘテムル（PHP 8.1 以下）は、すでにこの機能を使えなくしたと発表しています。
レンタルサーバー各社の対応状況（10/24 11:14時点）
共用のレンタルサーバーでは、PHP本体の更新はサーバー会社が行います。各社が公式に発表している内容を、次の3つに分けて整理しました。
- 適用完了 修正の適用完了が公式に発表されている
- 対応中 PHPの件として対応を進めていると発表しているが、完了の発表はまだ
- 記載なし メンテナンスは行っているが、PHPの修正かどうかが書かれていない
| サーバー | 状況 | 公式発表の内容 | 公式情報 |
|---|---|---|---|
| ロリポップ！ | 適用完了 | 10/21 から、PHPの脆弱性への予防措置として、公式サイト・ユーザー専用ページ・おさいぽ！の自動更新・FTPなどを止めて緊急メンテナンスをしていました。修正版を適用し終えるまでのあいだ、一部サーバーのサイトを一時的に停止していました（公式Xより）。10/22 15:33 に、PHP 8系と 7.4 には公式の修正版を、それ以外のバージョンには公式の修正をもとにした独自の修正を適用したと発表しました。あわせて、お客さまのサイト表示・公式サイト・ユーザー専用ページを再開し、サイトも見られる状態になっています。10/22 16:57 に、おさいぽ！の自動更新も再開し、メンテナンスはすべて完了したと発表しました。同じ日に出した経緯の報告では、PHP 8.2〜8.5 には公式の修正版を、7.4〜8.1 にはPHP開発チームが用意した修正を、5.3〜7.3 には独自に作った修正を適用したと説明しています。また、修正を当て終えるまでのあいだサイトの表示を止めたのは、脆弱性を狙ったとみられるアクセスが実際に確認されていたためとしています（それによる不正アクセスの被害は確認されていないとのことです）。すべてのPHPバージョンで一部の機能（session.upload_progress）が使えなくなったため、自分のサイトの動作確認と、PHP 8.2 以上への切り替えを呼びかけています。 | お知らせ 経緯の報告 公式サイト 公式X |
| ヘテムル | 適用完了 | ロリポップ！と同じGMOペパボのサービスです。10/21 19:44 から、PHPの脆弱性への予防措置として、サービスサイト・コントロールパネル・FTP・Webメーラーなどを止めてメンテナンスしていました。10/22 12:18 に、PHP 8系と 7.4 には公式の修正版を、それ以外の古いバージョンには公式の修正をもとにした独自の修正を適用したと発表しました。あわせて、お客さまのサイト表示・サービスサイト・コントロールパネル・heteml FTP・hetemail を再開しています。10/22 13:20 に phpMyAdmin も再開しました。10/22 18:05 に出した経緯の報告で、おさいぽ！の自動更新も 15:15 ごろに再開し、メンテナンスがすべて完了したと説明しています。PHP 8.2〜8.5 には公式の修正版を、7.4〜8.1 にはPHP開発チームが用意した修正を、5.6〜7.3 には独自に作った修正を適用したとのことです。脆弱性を狙ったとみられるアクセスはあったものの、不正アクセスや情報漏えいは確認されていないとしています。また PHP 8.1 以下では、今回の対策で一部の機能（session.upload_progress など）が使えなくなったため、自分のサイトの動作確認を呼びかけています。 | お知らせ 経緯の報告 メンテ情報 |
| ConoHa WING | 適用完了 | 10/21 19:00〜10/22 10:00（予定）に、一部サーバーで緊急メンテナンス（「システムの保守作業」）を行いました。また 10/22 に、ファイルマネージャーとWebメールを一時停止したと発表しました。10/22 に「PHPの脆弱性への弊社対応について」を発表し、この緊急メンテナンスと機能の停止は、どちらもPHPの脆弱性への対応だったと明らかにしました。さらに 10/22 12:00〜21:00 に、サーバーの再起動を伴う新たな緊急メンテナンスを行いました。10/22 18:00 時点の続報（第2報）で、ファイルマネージャーとWebメールを再開した（18:30 ごろ）と発表しました。10/22 20:45 時点の終報で、提供中のすべてのPHPバージョンに修正（セキュリティパッチ）を適用し終えたと発表しました。phpMyAdmin も再開し、12:00〜21:00 の緊急メンテナンスは 20:45 に終了しました。修正はバージョン番号を変えずに入れたため、サイトヘルスなどに出る番号（例: 8.5.11）は変わりませんが、修正は適用済みとしています。利用者がPHPのバージョンを変える必要はないとしています。 | 終報 お知らせ 第2報 メンテ情報 機能停止 12時からのメンテ |
| お名前.com レンタルサーバー | 対応中 | ConoHa WING と同じ時間帯（10/21 19:00〜10/22 10:00）に、「システムの保守作業」として緊急メンテナンスを行いました。さらに 10/22 に、12:00〜21:00 の新たな緊急メンテナンスを発表しました。サーバーの再起動を伴うため、サーバーごとに数分〜数十分ほど使えない時間が出ます。10/22 に「PHPの脆弱性への弊社対応について」を発表し、これらの緊急メンテナンスと、ファイルマネージャー・phpMyAdmin・Webメールの一時停止は、どれもPHPの脆弱性への対応だったと明らかにしました（10/21 以降の各サービスの緊急メンテナンスは、いずれもこの対応としています）。10/23 に、共用サーバーGS で 10/23 20:00〜10/24 9:00 の緊急メンテナンス（「システムの保守作業」）を発表しました。その間、一時的につながらない、またはサービスが使えないことがあります。サーバーへの修正の適用は「順次進めている」段階で、完了の発表はまだありません。基本的に利用者がPHPのバージョンを変える必要はありませんが、PHP 5系・7系を使っている場合は変更が必要になることがあるとしています。サイトの表示とメールの送受信は通常どおり使えます。 | お知らせ メンテ情報 12時からのメンテ GSの緊急メンテ |
| エックスサーバー | 5.6〜8.5 完了 | 10/22 6:45 に、PHP 8.2〜8.5 は対象の全サーバーへ修正を適用し終えたと発表しました。それより古いバージョンは、独自に作った修正を検証の済んだものから順に適用しています。10/22 9:30 に、アカウント管理画面と各種機能の提供を再開しました（一部の機能はメンテナンス中）。10/22 13:15 に、それまで除かれていたシンクラウドの各サービスでも、管理画面と各種機能を再開しました。止まっていた公式サイトは、夜には通常どおり表示されるようになりました。10/22 に出したお知らせ「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」（20:10 時点の状況）で、PHP 7.4〜8.1 は 12:00 に、PHP 5.6〜7.3 は 14:00 に、対象の全サーバーへ修正を適用し終えたと発表しました。10/23 に更新したお知らせで、PHP 5.1〜5.5 も 10/23 17:00 に修正の適用が進んだと発表しました。当初は「ほとんどのサーバー」としていましたが、その後の更新で「対象の過半数のサーバーで適用し終えた」と改めています（残りは順に適用中）。各種サービスサイトは 20:10 から順に再開し、管理画面などもすべて再開しましたが、サーバーパネルの一部機能と一部の支払い方法はメンテナンス中です。利用状況によっては、利用者にも追加の対策をお願いする場合があるとしています。10/23 の追記（13:15 更新）で、管理画面の再開後にアクセスが集中しており、画面が表示されない、または表示に時間がかかることがあるため、時間をおいてから再度アクセスするよう案内しています。あわせて、PHP 5.6〜8.5 は利用中のバージョンのまま修正済みなので、急いでバージョンを変える必要はないとしています。サイトの表示とメールの送受信は通常どおり使えます。 | お知らせ ニュース一覧 |
| シン・レンタルサーバー スターサーバー |
5.6〜8.5 完了 | どちらもエックスサーバー社のサービスで、エックスサーバーと同じ内容のお知らせを出しています。管理画面・公式サイトの再開はエックスサーバーと同じです。10/22 のお知らせ（20:10 時点の状況）で、PHP 5.6〜8.5 は対象の全サーバーへ修正を適用し終えた（7.4〜8.1 は 12:00、5.6〜7.3 は 14:00）と発表しました。10/23 に更新したお知らせで、PHP 5.1〜5.5 も、10/23 17:00 に対象の過半数のサーバーで修正を適用し終えたと発表しました（エックスサーバーと同じ内容です）。 | シン スター |
| カラフルボックス | 適用完了 | 全サーバー（共有・カラフルビジネス・タダサーバー・専用）で、10/22 朝までに修正の適用を終えたと発表しました。対象は PHP 8.2〜8.5 だけでなく、7.4・8.0・8.1 などの旧バージョンも含みます。利用者がPHPのバージョンを変える必要はないと案内しています。10/22 19:00〜20:00 の予定で、マイページ（会員向けの管理画面）のシステム更新のための緊急メンテナンスを行い、その間マイページが使えなくなっていました。このメンテナンスは 10/22 20:12 に終わって「解決済み」になり、マイページはまた使えるようになりました（21:04 の確認時点）。 | サーバー ステータス 公式サイト |
| Zenlogic （IDCフロンティア） |
適用完了 | 10/21 22:00〜10/22 19:00 に、PHPのバージョンアップと脆弱性対策パッチの適用を行いました。作業中はWebサーバー（Apache）が止まっていました。10/22 15:00 の更新で、PHP 7.4・8.1〜8.5 を使っているサーバーはメンテナンスを終え、10/22 8:00 にWebサーバーを再開したと発表しました。10/22 17:30 には、PHP 5.3 のサーバーの完了予定を 18:00 から 19:00 に延ばしていました。その後お知らせが「緊急メンテナンス作業完了のお知らせ」に変わり、PHP 5.3 のサーバーも含めて作業が完了したと発表しました（19:05 の確認時点）。PHP 5.3 を使っていた場合は新しいバージョンへ上げられており、元には戻せません。表示崩れやエラーが出たら、利用者側でプログラムの修正が必要です。 | お知らせ |
| KAGOYA | 7.4・8.1〜8.5 完了 | レンタルサーバープランの PHP 8.2〜8.5 は、修正版への更新で対応する方針です。10/22 10:35 の続報では、この更新を「調整中」としていました。10/22 18:15 の続報で、レンタルサーバープランの PHP 7.4・8.1〜8.5 を修正版へ順に更新しており、本日（10/22）24 時に完了する見込みと発表しました。マネージド専用・共用・WordPress専用サーバーのプランは対応方針を調整中で、それまでのリスクを下げる手段として、サイトの公開停止（メンテナンス画面への切り替え）やアクセス制限を検討するよう呼びかけています。攻撃などの被害は確認されていないとしています。10/23 12:30 の更新で、レンタルサーバープランの PHP 7.4・8.1〜8.5 は、修正版への更新を終えた（10/22 14:40〜24:00 に順に実施）と発表しました。マネージド専用・共用・WordPress専用のプランは、引き続き対応方針を調整中で、サイトの公開停止やアクセス制限の検討を呼びかけたままです。また 10/22 14:15 から、セキュリティ対策としてWebメール（Active!mail）・会員サイト・各種コントロールパネルを緊急メンテナンスで停止しています（終了は未定）。契約中のサーバーは止まらず、メールソフトでの送受信もそのまま使えるとしています。さらに 10/22 15:15 から、サポートサイトも緊急メンテナンスで停止しています（終了は未定）。10/23 に、各サービスの状況をまとめたページを新しく公開しました（18:17 時点）。レンタルサーバーを含むすべてのサービスは稼働中で、会員サイトとサービスサイトは使える状態に戻りました。一方、レンタルサーバーなどのコントロールパネル、サポートサイト、新規申し込みは停止中のままです。マネージド専用・共用・WordPress専用のプランは、引き続き対応方針を調整中です。 | サービス状況 お知らせ メンテ情報 サポートサイト停止 |
| さくらのレンタルサーバ | 適用完了 | 10/22 に、コントロールパネルで選べるすべてのPHPバージョンで対応を完了したと発表しました（PHPのバージョンアップ作業は 10/21 23:00〜10/22 6:30 に実施・完了）。利用者が急いで行う対応はないとしています。一方、10/21 からウェブメール・ファイルマネージャ・phpMyAdmin・ステージング機能などを止めていました（新ウェブメールβ は 10/22 9:35 に再開）。10/22 13:45 に、ウェブメール・旧ウェブメール・ファイルマネージャを再開しました。10/22 15:15 に phpMyAdmin を再開しました（リセール向けの事業者管理画面も 14:45 に再開）。メンテナンス情報のページでは、ステージング機能はまだ「再開」と書かれていません。10/23 17:30 に、さくらインターネットが会社としてのお知らせを更新し、今回の脆弱性に伴う緊急メンテナンスはすべて終わったと発表しました。サポートが終わった古いPHPにも必要な修正を入れたとしています。そのうえで、今後も新しい脆弱性が見つかるおそれがあるため、サポート中の新しいPHPを使うよう勧めています。サイトの表示とメールの送受信には影響ないとしています。 | お知らせ PHP更新 機能停止 会社の発表 |
| バリューサーバー | 適用完了 | 全サーバーでソフトウェア更新のメンテナンスを行い、10/22 0:50 に完了しました。公式のお知らせに、このメンテナンスがPHPの脆弱性（CVE-2026-109618／109619）への対応だったと明記されました。利用者がPHPのバージョンを変える必要はないとしています。 | お知らせ |
| mixhost | 適用完了 | 「予防的なセキュリティ強化」のためマイページを停止していましたが、10/22 8:30 に再開しました。10/22 に、全サーバーで 10:18 ごろPHPの修正の適用を完了したと発表しました。対象は PHP 5.2〜8.5 で、公式の修正がない古いバージョンにも修正を入れています。修正はバージョン番号を変えずに入れたため、サイトヘルスなどに出る番号（例: 8.4.26）は変わりません。今すぐのバージョン変更は不要ですが、8.2 未満の人には 8.2 以上を勧めています。 | お知らせ ステータス |
※「記載なし」の会社も、今回の脆弱性への対策を行っている可能性はあります。ただし、どのPHPバージョンにどの修正を入れたかは公表されていません。管理画面が使えるようになったら、各社の続報を確認してください。
サイトを運営している人が今やること
- 契約しているサーバー会社のお知らせを確認する
「修正の適用が完了した」と発表されるまでは、対策が終わっていないものとして扱ってください。 - サイトのPHPバージョンを確認する
管理画面が使えるようになったら、サイトごとのPHPバージョンを確認しましょう。WordPress なら「ツール」→「サイトヘルス」→「情報」→「サーバー」でも見られます。 - PHP 8.1 以下なら、切り替えを最優先で検討する
8.1 以下には公式の修正版がありません。切り替えるなら、プラグインやテーマの対応状況を確かめたうえで 8.3 か 8.4 にするのが無難です。8.5 は、まだ対応していないプラグインがある場合があります。 - サーバー会社から追加の対応を求められたら従う
エックスサーバーなどは、管理画面の再開後に利用者へ追加の対策をお願いする場合があると案内しています。
なお、WordPress の「メンテナンスモード」にしても、この脆弱性は防げません。PHP公式によると、WordPress などのプログラムが動き始める前の段階で攻撃が成立しうるためです。
参考：PHPのバージョンごとのサポート期限
| バージョン | 今回の修正版 | セキュリティ修正の期限 |
|---|---|---|
| PHP 8.5 | 8.5.12 | 2029年12月31日 |
| PHP 8.4 | 8.4.27 | 2028年12月31日 |
| PHP 8.3 | 8.3.36 | 2027年12月31日 |
| PHP 8.2 | 8.2.35 | 2026年12月31日（あと約2か月） |
| PHP 8.1 以下 | 公式の修正版なし | サポート終了済み |
出典：PHP公式 Supported Versions、PHP公式 セキュリティアドバイザリ（2026年10月21日・23日）、IPA 重要なセキュリティ情報、および表中の各社公式発表（いずれも 2026年10月24日 11:14 時点で確認）
当サイトの評価基準と運営体制
当サイト「StreamRental.com」は、2000年創業の株式会社ストレンが15年にわたり蓄積したホスティング業界の知見をベースに、料金・速度・使いやすさ・サポート・運営実績を比較し、各レンタルサーバー・VPS・WordPressテーマを中立的に評価しています。
記事作成者プロフィール