ロリポップ！：PHP脆弱性（php2shell）への対応状況とPHPバージョンの確認・変更方法

自分が契約している、または管理を任されているサーバーだけを確認してください。当サイトは独立した個人運営のサイトで、PHP Group・php.netとは無関係です。サイトやサーバーへアクセスして検査することはありません。

先に結論

ロリポップ！レンタルサーバー（GMOペパボ）は、公式Xで、修正版の適用を行い、停止していたお客様のサイトを10月22日13:11に再開したと案内しています。あわせて、公式の修正版がない旧バージョンのPHPにも、ロリポップ！が独自に修正を適用したとしています（ロリポップ！ 公式X、確認 2026年10月22日）。16:27の復旧のお知らせ（公式X）では、CVE-2026-109618 / CVE-2026-109619を名指しして、修正の適用が完了し、13時頃にお客様のサイトの表示を再開したとしています。お客様へのお願いとして、PHP 8.2以降へのバージョンアップ、WordPressの本体・プラグイン・テーマの更新状況の確認、サイトの表示・フォーム・ファイルのアップロードなどの動作確認を挙げています。

つまり、まず利用者がやることは次の3つです。

1. 公式Xとお知らせで、サービスサイトの再開など、その後の案内が出ていないかを確認する。
2. 管理画面（ユーザー専用ページ）で自分のサイトのPHPバージョンを確認する。ロリポップ！はPHP 8.2以降へのバージョンアップをお願いとして挙げています。7.4・8.0・8.1のような古い系統を選んでいたら、バックアップを取ってから新しい系統への変更を検討してください。
3. サイトの表示、問い合わせフォーム、ファイルのアップロードなどが正常に動くかを確認する。

注意点として、公式Xの投稿には、修正後のPHPのバージョン番号は書かれていません。管理画面で見える「8.3」などの系統名だけでは、修正が入っているかどうかは判断できません。判断はロリポップ！の発表で行います。

対応状況

下の表は、当サイトが記録している最新の公式情報です。最終確認日は 2026-10-22 です。表の内容は、この日付時点の記録です。

表の日付は記録した時刻（UTC）です。その後、公式の案内が更新されている可能性があります。最新の状況は、必ずロリポップ！の公式Xとお知らせで確認してください。全体の一覧はホスティング別 対応状況、他社との比較はレンタルサーバーのPHP脆弱性対応にまとめています。

サービスサイトの停止について

ロリポップ！のお知らせページ（lolipop.jp/info/）には、「PHPの重大な脆弱性に関するセキュリティリリースが、2026年10月21日（水）23:00（日本時間）に公開されることが予告されました。」という記載があります。当サイトの先の記録では、このページには修正版の公開に先立つ予防措置としての緊急メンテナンスの案内も残っていました。なお、このお知らせページは、その後は当サイトの確認環境から開けず、再確認できていません。

その後の公式Xの投稿では、お客様のサイトは再開済みとされ、サービスサイトについては「一部を除き、サービスサイトもまもなく再開予定となります。」と書かれています。16:27の復旧のお知らせは、すべてのサイトを保護するため、PHP 8.2以降やPHPを使っていないサイトも含めてサーバー単位で停止していたと説明しています。ユーザー専用ページについて個別に触れた記載は、確認できた範囲ではありませんでした。ユーザー専用ページに入れないときは、公式Xとお知らせで再開の案内を確認してから操作してください。

ロリポップ！の公式発表の内容

確認日は2026年10月22日です。

• 修正版の適用を行い、停止していたお客様のサイトを13:11に再開した。
• 公式の修正版がない旧バージョンのPHPにも、ロリポップ！が独自に修正を適用している。
• 「一部を除き、サービスサイトもまもなく再開予定となります。」（投稿の原文）
• 16:27の復旧のお知らせ：CVE-2026-109618 / CVE-2026-109619への対応に伴うメンテナンスについて、修正の適用が完了し、10月22日13時頃にお客様のサイトの表示を再開した。すべてのサイトを速やかに保護するためサーバー単位で停止したため、PHP 8.2以降やPHPを使っていないサイトも表示できない状態だった。
• 同じお知らせで、お客様へのお願いとして、PHP 8.2以降へのバージョンアップ、WordPressの本体・プラグイン・テーマの更新状況の確認、サイトの表示・フォーム・ファイルのアップロードなどの動作確認を挙げている。

書かれていないことも押さえておきます。これらの投稿には、どのPHPバージョンにどの修正を適用したのかの詳細や、修正後のバージョン番号の記載はありません。「書かれていない」は、何もしていないという意味ではなく、告知の本文に記載がないという意味です。

利用者がやること

ロリポップ！はレンタルサーバーなので、PHP本体の更新は会社側が行います。16:27の復旧のお知らせが挙げているお客様へのお願いは、PHP 8.2以降へのバージョンアップ、WordPressの更新状況の確認、サイトの動作確認です。次の順で確認してください。

1. 公式の最新案内を見る。 公式X @lolipopjp とお知らせで、サービスサイトの再開や追加の案内を確認します。
2. 今のPHPバージョンを確認する。 方法は次の節です。
3. 古い系統なら移行を検討する。 7.4・8.0・8.1はPHP公式のサポートが終わっていて、公式の修正版もありません（サポート終了のガイド）。ロリポップ！は独自の修正を適用したと案内していますが、サポートが終わった系統を使い続けることに変わりはありません。ロリポップ！もPHP 8.2以降へのバージョンアップをお願いとして挙げています。バックアップを取ってから、公式の修正版がある系統（PHP 8.2〜8.5。修正版の番号は修正済みバージョン一覧）への変更を検討してください（この部分は、当サイトの【目安】も兼ねています）。
4. サイトの表示を確認する。 切り替えた場合は、トップページ、記事、管理画面、問い合わせフォームなどを開いて確認します。

PHPバージョンの確認・変更方法（ユーザー専用ページ）

以下は、ロリポップ！の公式マニュアルPHP設定による手順です。当サイトが確認したのは、2026年7月31日に保存されたこのマニュアルの写し（インターネットアーカイブ）で、その写しを2026年10月22日に確認しました。現在公開されているマニュアルのページは確認できていません。保存から約3か月たっているため、画面の名前や場所が変わっている可能性があります。実際の画面と公式マニュアルを見比べて進めてください。

PHPバージョンの確認

1. ユーザー専用ページにログインします。
2. 「サーバーの管理・設定」にある「PHP設定」を押します。
3. PHP設定のエリアで、ドメインごとにPHPバージョンを確認できます。

マニュアルの冒頭には、この機能を使えるプランとして、エコノミープラン、ライトプラン、スタンダードプラン、エンタープライズプランが書かれています。この一覧にはハイスピードプランの名前がありませんが、同じマニュアルの別のページにはハイスピード向けの記載もあり、画面の表示が異なる可能性があります。ハイスピードプランの方は、ユーザー専用ページの表示と公式マニュアルを見比べて進め、不明な点はロリポップ！に問い合わせてください。

WordPressをお使いなら、サイトヘルスでも確認できます（PHPバージョンの確認方法）。

PHPバージョンの変更

1. 変更するドメインのPHPバージョンを選び、「変更」をクリックします。すべてのドメインにまとめて設定することもできます。
2. 反映までに5〜10分ほどかかります。
3. マニュアルには「PHP7.1未満のバージョンからアップグレードした場合、変更前のバージョンに戻すことができません。」と書かれています。

切り替える前に

マニュアルには、次の注意が書かれています。

• PHPのバージョンを変更すると、使っているプログラムによってはサイトが正常に動作しない可能性がある。
• WordPressをお使いの場合は、テーマとプラグインが変更後のPHPバージョンに対応しているか確認し、必要ならアップデートする。
• 使っているスクリプトが変更後のバージョンに対応しているか確認し、必要に応じて配布元の確認やプログラムの変更を行う。

まずサイトのファイルとデータベースのバックアップを取ってから進めてください。WordPressの更新の考え方はWordPress編にまとめています。

変更後に問題が出たとき

マニュアルでは、PHPバージョンの変更後にサイトの表示やプログラムの動作に問題が出た場合は、ユーザー専用ページの「サポート」から連絡するよう案内しています。次の情報を書き添えるよう求められています。

• 対象のサイト、プログラムのURL
• エラー内容
• PHPバージョンの変更日時
• データベースのパスワードの変更日時

また、PHPのバージョンを変更したあとに、簡単インストールが失敗する、またはサイトに「データベース接続確立エラー」が表示される場合は、データベースのパスワード形式を「native_password形式」に変更する必要があると書かれています。手順は「サーバーの管理・設定」の「データベース」から進みます。パスワードを再設定した場合は、WordPressなら「wp-config.php」に書かれたデータベースのパスワードも書き換える必要があります。操作の詳細は、必ず公式マニュアルの該当部分に従ってください。

選べるPHPバージョンはサーバーで違います

公式マニュアルCGI、SSI、PHP、SENDMAILについてには、「ロリポップ！で利用できるPHPのバージョンは、サーバーによって異なります。ご利用可能なPHPのバージョンはユーザー専用ページ「サーバーの管理・設定」にある「PHP設定」でドメイン毎にご確認ください。」と書かれています（2026年7月31日保存の写しを2026年10月22日に確認。現在公開されているページは未確認）。

同じページの「言語ごとのパス」の表（SSHなどで使うPHPのパス）には、サーバー番号の種類ごとに次のバージョンのパスが載っています。この表は、PHP設定の画面で選べるバージョンの一覧ではありません。

自分のサーバー番号は、ユーザー専用ページのトップにある「基本情報」の「サーバー番号」で確認できます。これは保存された写しに載っている内容で、現在の内容とは違う可能性があります。実際に選べるバージョンは、PHP設定の画面で確認してください。

モジュール版・CGI版・LiteSpeed版の違い

公式マニュアルは、PHPの動かし方を3種類に分けて説明しています。次の表は、上と同じページ（2026年7月31日保存の写し）の表を整理したものです。

PHP設定のマニュアルには、php.iniの設定は「CGI版のみ変更できます。モジュール版・LiteSpeed版は変更できません。」と書かれています。

どの版をどう切り替えるかは、確認できた公式マニュアルには書かれていませんでした。PHPバージョンの変更画面でCGI版・モジュール版を切り替えられるとは言えません。ご利用のプランでの扱いは、ユーザー専用ページとロリポップ！のサポートで確認してください。

手元の版数を確認する

チェッカーに、ユーザー専用ページで確認したPHPのバージョンを入力すると、公式の修正版と比べられます。入力した内容を見るのはブラウザ内だけで、サイトの検査や外部への送信はしません。ただし、管理画面で見た番号だけで「修正済み／未修正」とは言い切れません。最終的な判断はロリポップ！の発表で行ってください。公式の修正版の番号は修正済みバージョン一覧にあります。

一次情報

確認日はいずれも2026年10月22日です。マニュアル2点は2026年7月31日保存の写しを確認したもので、現在公開されているページは確認できていません。

• ロリポップ！ 公式X（16:27の復旧のお知らせ）
• ロリポップ！ 公式X（修正版の適用とお客様のサイトの再開）
• ロリポップ！ お知らせ
• PHP設定（公式マニュアル、2026年7月31日保存の写しを確認）
• CGI、SSI、PHP、SENDMAILについて（公式マニュアル、2026年7月31日保存の写しを確認）
• PHP公式 セキュリティリリース告知

関連ページ：php2shellの解説と対応ガイド、レンタルサーバー編、WordPress編、PHPバージョンの確認方法、ホスティング別 対応状況、ガイド一覧