PHP脆弱性、レンタルサーバー各社の対応は？主要10サービスの公式情報を整理

PHPの重大な脆弱性について、「使っているレンタルサーバーは、もう対応したのかな」と気になっている人向けに、主要10サービスの公式案内を整理したよ。対象は、2026年10月21日に修正版が公開された CVE-2026-109618／CVE-2026-109619。

確認基準：2026年10月22日16:53（日本時間）、ロリポップ！は同日17:00追記。 各社の公式告知をもとにまとめた時点の情報だよ。掲載後に進捗が変わるため、利用前には各項目の公式リンクで最新の対象プラン・PHP系列を確認してね。脆弱性そのものと修正版の一覧は、先に公開したPHPの解説で説明している。

先に一覧：どこまでの対応が確認できた？

この表の「適用完了」は、公式が明記した範囲のこと。会社全体の全製品や、利用者が自分で管理するVPSまで、まとめて修正されたという意味ではないよ。並び順は対応の優劣を示すものではない。

単に管理画面へログインできるようになったことだけでは、Web側PHPの修正完了までは分からない。表では、再開時刻だけでなく、提供元が修正の対象として挙げたPHP系列も確認しているよ。

エックスサーバー：8.2〜8.5は完了、旧版は別に確認

公式のメンテナンス案内では、10月22日6:45時点で、PHP 8.2〜8.5について対象となるすべてのサーバーへの修正パッチ適用が完了したとしている。旧版は、一部でパッチの準備が整い、検証できたものから順次適用を開始。その他の旧版も引き続き対応中という説明だよ。

同じページには、9:30にシンクラウド各サービスを除くアカウント管理機能などを再開し、13:15にはシンクラウド側も再開したとの追記がある。ただし一部機能は引き続きメンテナンス中で、API／MCPなども停止対象に含まれている。PHPパッチの対象範囲と、操作したい管理機能の再開状況は別々に読むのがポイント。

なお、公式は今回の一時停止を予防的な対応と説明し、不正アクセス発生に伴うものではないとしている。停止中という表示だけで侵害が起きたと判断しないでね。公式サイトのルートURL自体に臨時のお知らせが表示されているため、通常サイトへ戻った場合は新しい告知も確認しよう。

ConoHa WING：提供元が順次適用、利用者の版変更は不要

ConoHa WINGの公式告知は、サーバーへセキュリティパッチを順次適用中と案内している。10月21日以降の緊急メンテナンスと、ファイルマネージャー・Webメールの一時停止は、この問題への対応として実施しているとの説明だよ。

利用中のPHPバージョンを維持して提供元がパッチを当てるため、利用者自身によるPHPの版変更などは不要としている。Webサイト表示とメール送受信は通常どおり利用できるとの案内もある。「版変更は不要」という説明と「全サーバーへの適用完了」は同じ意味ではないので、続報で完了の範囲を確認してね。この告知を、そのままConoHa VPS内部のPHPへ当てはめないことも大切。

さくら：レンタルサーバの修正と、VPS内の管理を区別

さくらインターネットの公式告知は、さくらのレンタルサーバで提供するPHPへ必要な修正を適用していると説明している。サービス内で提供しているサポート終了版も含まれる一方、一部機能はメンテナンス中という案内だよ。

さくらのVPSは、サービス提供に関わる部分ではPHPを使っていないため影響はないと説明している。ただし、利用者のVPS内で動かしているPHPの更新まで不要になるわけではない。利用者自身がOSやソフトウェアを管理する環境は、個別にPHPを確認して対応する必要がある。

管理機能の利用可否は、別掲の緊急メンテナンス情報も確認しよう。

mixhost・ColorfulBox：旧PHPを含む完了範囲を明記

mixhostの公式告知は、mixhostレンタルサーバー・アダルトレンタルサーバー・海外レンタルサーバーの全サーバーで、10月22日10:18頃に修正パッケージ適用が完了したとしている。対象はPHP 5.2〜8.5。採用するCloudLinuxが旧版向けにも独自修正を提供していると説明しているよ。

mixhostは、この修正ではPHPの表示バージョン番号が変わらないと明記している。WordPressのサイトヘルスなどに古い枝番が残っていても、それだけで未修正とは判断できない。利用者の作業は不要と案内しつつ、サポート中の系列を使うことは引き続き勧めている。

ColorfulBoxの公式告知は、共有サーバー・カラフルビジネス・タダサーバー・専用サーバーのすべてで、10月22日朝までに保護措置と修正版への更新を完了したとしている。PHP 8.2〜8.5に加え、7.4・8.0・8.1などの旧版も修正・保護措置の適用対象。利用者のPHP切り替え作業は不要と案内しているよ。

今回の旧版向け修正を、PHP本家の通常サポートが復活したという意味に読み替えないでね。今後の保守方針や、アプリケーション側の更新は別に考えよう。

ヘテムル：再開後はアップロード周辺の動作も確認

ヘテムルの公式告知の12:18追記は、PHP 8系・7.4に公式修正版、それ以外に公式の修正内容に基づく独自修正を適用し、対策を実施したと説明している。サイト表示・コントロールパネル・FTP・Webメールなども再開したとのこと。

あわせて、安全性確保のため、すべてのPHP版で session.upload_progressが無効になっている。これはセッションを使ってファイル送信の進み具合を扱う機能。利用者へサイトの動作確認と対応を求めているので、該当機能に依存するフォームがないか確認したいね。

13:20にはphpMyAdminの再開が追記されているが、おさいぽ！自動更新は復旧対応中とされている。過去の「13:00頃復旧見込み」という予定より、後から追記された実績を優先して読もう。

CPI・KAGOYA：完了の続報と対象プランを確認

CPIの公式臨時案内は、14:10更新で、最新パッチが提供されているPHP版への対応を急いで進めていると説明している。パッチの提供がない版についても、対策を含め続報を出す方針。この記事の確認時点では、対象すべてへの修正完了とは扱っていないよ。

サービスサイトや複数の管理機能は停止対象で、RoundcubeのWebメールは13:11頃に再開済みとされている。一方、今回のメンテナンスによる利用サーバーの停止はなく、Web表示やメールソフトの送受信は通常どおり利用できるとの案内だよ。

KAGOYAの公式告知では、レンタルサーバープランのPHP 8.2〜8.5について、修正版への更新による対応を調整中としている。マネージド専用・共用・WordPress専用サーバープランは、恒久対応の方針を引き続き調整中。

後者については、暫定的なリスク低減策としてサイト公開停止やアクセス制限などの検討を案内している。すべての会社・すべての利用者へ一律に公開停止を勧める話ではないので、自分の契約プランに向けた依頼かどうかを先に確認しよう。

コアサーバー：V1とV2で完了対象が異なる

バリュードメインの公式告知は、コアサーバーV2のPHP 8.2以上、V1のPHP 7.4以上について修正適用が完了したとしている。対応済み範囲では、利用者自身で修正プログラムを当てる必要はないよ。

同じ告知では、OneレンタルサーバーのPHP 8.0以上、バリューサーバーとXREAのPHP 7.4以上も完了対象としている。サービスが似た名前でも、対応系列を取り違えないようにしたいね。

修正で枝番が変わる場合があり、サイトの表示・各機能の動作確認も依頼している。一方、7.4から8.2へのような系列変更は利用者が判断する操作。今回のパッチ適用と、大きな版の切り替えを混同しないでね。

ロリポップ！：旧版も修正、13時頃にサイト表示を再開

ロリポップ！の復旧・対応報告によると、修正の適用を完了し、10月22日13時頃に利用者のサイト表示を再開したとしている。PHP系列ごとの対応は次のとおりだよ。

• PHP 8.2／8.3／8.4／8.5：それぞれ8.2.35／8.3.36／8.4.27／8.5.12を適用。
• PHP 7.4／8.0／8.1：PHP開発元が提供したサポート終了版向けの修正コードを適用。
• PHP 5.3〜7.3：公式の修正内容をもとに、提供元が独自修正を作成・検証して適用。

phpMyAdminは13:11頃、サービスサイト・ユーザー専用ページ・MCP／API・ロリポップ！FTP・旧Webメーラーは13:34頃に再開と説明している。一方、おさいぽ！の自動更新は引き続き停止中とされている。

安全性確保のため、すべてのPHP版でsession.upload_progressを無効化しており、フォームやファイル送信などの動作確認を求めている。PHP 8.1以下への今回の対策は応急的なものとして、サポートが続く系列への切り替えも依頼しているよ。変更前にアプリの互換性を確認し、切り替え後にエラーが出る場合はプログラムやアプリの更新も検討しよう。公式のPHP設定手順も確認してね。

告知は、一部サーバーで03:09頃からサイト表示を止めたのは、修正完了までサイトとデータを保護するためだったと説明している。停止はサーバー単位で行われ、PHP 8.2以降やPHPを使わないサイトにも影響したとのこと。狙ったとみられるアクセスの試みと、侵害・情報漏えいが確認されたかどうかも分けて書かれている。アクセスの試みを、そのまま侵害の発生と読み替えないでね。

追記の確認方法： 編集部の取得環境では告知URLが403になったため、この項目は、読者から提供された同URLの告知本文をもとに追記したもの。編集部が公式ページを直接再取得できたという意味ではないよ。利用中の環境に当てはめる際は、リンク先の最新案内も確認してね。

自分のサイトでは、この3点を照合しよう

1. 契約サービスとプラン：共有サーバー、マネージド、VPSのどれか。会社名だけで判断しない。
2. Web側のPHP系列と修正の対象範囲：CLI版や表示された枝番だけで判定せず、提供元のバックポート情報も確認する。
3. 利用者へ依頼されている操作：作業不要なのか、動作確認なのか、個別の暫定対策なのかを読む。

問い合わせるなら、「契約中のプランで、Web側PHPのCVE-2026-109618とCVE-2026-109619の修正適用は完了していますか。利用者側で必要な操作と、確認すべき機能はありますか」と聞くと整理しやすいよ。

この記事は公開告知の比較で、各社サーバーへ攻撃テストをした結果ではない。PHP公式は、設定による緩和だけでは完全な解決にならず、更新が必要と説明している。利用者が管理するVPS・コンテナなどは、PHP公式の修正案内とOS・パッケージ提供元の案内に沿って、更新と必要な再起動を進めよう。