自分が契約している、または管理を任されているサーバーだけを確認してください。当サイトは独立した個人運営のサイトで、PHP Group・php.netとは無関係です。サイトやサーバーへアクセスして検査することはありません。
先に結論
レンタルサーバーのPHP本体は、サーバー会社が更新します。利用者がまずやることは、契約会社の公式発表で「修正を適用した」と書かれているか、自分のPHPバージョンとプランが対象に入っているかを確認することです。あわせて【目安】（本サイトの案内で、会社の指示ではありません）として、管理画面で選んでいるPHPが古い系統（7.4・8.0・8.1）なら、サポートが終わった系統を使い続けないよう、バックアップを取ってから修正版のある系統（8.2以上）への切り替えも検討してください。ただし、ConoHa WINGやカラフルボックスのように、切り替えは不要と案内している会社もあります。会社の案内を優先してください。多くの会社が10月22日に適用を完了したと発表していますが、完了の範囲（どのPHPバージョンか、どのプランか）は会社ごとに違います。
今回の脆弱性は、CVE-2026-109618 と CVE-2026-109619 の2件です。セキュリティ企業Wizが付けた通称が「php2shell」です。PHP公式は、どちらも認証なしでリモートからコードを実行されるおそれがある重大な脆弱性と発表しています。公式の修正版は PHP 8.2.35・8.3.36・8.4.27・8.5.12 で、PHP公式は、完全な回避策はなく、更新が唯一の対処だとしています。
なお、管理画面で「8.3」を選んでいても、それだけで修正済みとは限りません。管理画面に出るのは系統名で、修正版が入っているかは会社側の作業次第です。逆に、修正を適用した会社でも、バージョン番号は変えない場合があります（mixhostは「8.4.26のまま」と案内）。番号ではなく会社の発表で確認してください。各社の最新状況は下の表とホスティング状況ページで確認してください。
主要レンタルサーバー各社の公式発表と、利用者がやること
2026年10月22日午後から夜（日本時間）までの記録です。「公式」は会社の記載、「目安」は本サイトの案内（会社の指示ではありません）です。各社とも状況は刻々と変わるため、最新は公式ページで確認してください。
| 会社・サービス | 公式発表の要点 | 利用者がやること | 出典・確認日時 |
|---|---|---|---|
| さくらのレンタルサーバ（マネージドサーバを含む） | コントロールパネルから選べるすべてのPHPバージョンで、CVE-2026-109618・CVE-2026-109619への対応を完了したと発表。緊急メンテナンス「PHPバージョンアップ」は10月22日6時30分に完了と表示。お知らせの本文にはphpMyAdminとウェブメールが対応中と書かれたまま（ウェブメールは13:45に対応完了と追記）だが、別のメンテナンス情報ではウェブメール・旧ウェブメール・ファイルマネージャーは13:45、phpMyAdminは15:15に復旧と表示。修正後の版数は書かれていない。 | 【公式】利用者の操作を求める記載はなし。【目安】PHP 7.4・8.0・8.1を選んでいるなら、バックアップを取って8.2以上へ。 | さくら お知らせ、メンテナンス情報 確認 10/22 15:15（JST）時点まで |
| エックスサーバー（同社のシンレンタルサーバー、Xserverビジネス、スターレンタルサーバーにも同じ案内が表示） | 公式X（10月22日21:14）で、PHP 5.6〜8.5は対象サーバーすべてで修正パッチの適用が完了、PHP 5.5以下は修正パッチの作成・検証を継続中と案内。これより前の投稿でも、PHP 7.4〜8.1は完了としていた（12:08）。各種サービスサイトは20:10から順次再開し、一部の機能は引き続きメンテナンス中。 | 【公式】利用者の操作を求める記載はなし（ご利用状況によっては追加の対策をお願いする場合があり、その際は改めて案内するとしている）。【目安】PHP 5.5以下を選んでいるなら、同社へ確認し、8.2以上への切替も検討。再開していない機能は公式のお知らせで確認。 | エックスサーバー公式 X、お知らせ 確認 10/22 夜（JST） |
| ロリポップ！レンタルサーバー（GMOペパボ） | 公式Xで、修正版を適用してお客様のサイトを13:11に再開、公式の修正版がない旧バージョンのPHPにも独自の修正を適用していると案内。16:27の復旧のお知らせでCVE-2026-109618 / 109619を挙げ、修正の適用が完了し13時頃にお客様のサイトの表示を再開したと案内（すべてのサイトを保護するため、PHP 8.2以降やPHPを使っていないサイトも含めてサーバー単位で停止していたと説明）。サービスサイトは一部を除き、まもなく再開予定。修正後の版数は書かれていない。 | 【公式】お願いとして、PHP 8.2以降へのバージョンアップ、WordPress本体・プラグイン・テーマの更新状況の確認、サイトの表示・フォーム・ファイルのアップロードなどの動作確認を挙げている。【目安】PHP 7.4・8.0・8.1を選んでいるなら、バックアップを取って8.2以上へ。 | ロリポップ！ 公式X（16:27）、公式X（13:11） 確認 10/22 夜（JST） |
| ConoHa WING（GMOインターネット） | 終報（公式X、10月22日21:01）で、PHPの脆弱性へのすべての対応が完了したと案内。20:45時点でサーバーへのセキュリティパッチの適用は完了。PHPのバージョンを上げずに修正プログラムだけを取り込む方法で適用したため、サイトヘルスなどで従来のバージョン番号（例：8.5.11）が表示される場合があるが、想定内としている。CVE番号は書かれていない。 | 【公式】お客様ご自身でPHPバージョンを変更する必要はないとしている。【目安】7.4・8.0・8.1を選んでいるなら、8.2以上への切替を検討。 | ConoHa 終報、ConoHa WING お知らせ 確認 10/22 夜（JST） |
| お名前.com レンタルサーバー（GMOインターネット） | ConoHa WINGと同様に、緊急サーバーメンテナンスとファイルマネージャー・phpMyAdmin・Webメールの一時停止はPHP修正版への対応だと説明。利用中のPHPバージョンを維持したまま順次パッチを適用中。基本的にPHPバージョンの変更は不要だが、PHP 5系や7系は変更が必要な場合もあるとしている。 | 【公式】基本的に変更は不要。PHP 5系・7系は、公式の案内を確認。【目安】完了の発表を待つ。8.0・8.1なら8.2以上への切替を検討。 | お名前.com お知らせ 確認 10/22 午後（JST） |
各社ごとの詳しい手順（管理画面でのPHPバージョンの確認・変更方法）は、個別のページにまとめています：エックスサーバー・さくらのレンタルサーバ・ロリポップ！・ConoHa WING。全体の流れはPHP脆弱性の対策まとめ、複数のお客様のサイトを管理している場合は制作会社・保守担当向けチェックリストをご覧ください。
その他のレンタルサーバー
| サービス | 公式発表の要点 | 出典・確認時刻 |
|---|---|---|
| ヘテムル | 最終報告（10月22日）で、全バージョンのPHPに修正を適用したと案内。PHP 8.2〜8.5は開発元の修正版、サポートが終了したPHP 7.4・8.0・8.1は開発元提供の修正、PHP 5.6〜7.3は同社が作成した修正。お客様のサイトは11:24に再開し、18:05の追記時点ですべてのサービスが復旧。すべてのバージョンでsession.upload_progress機能が無効になっており、サイトの動作確認をお願いしている。 | ヘテムル 10/22 18:05（JST）の追記まで |
| レンタルサーバーCPI | PHPの脆弱性対応のため、サービスサイトと管理画面などを順次停止。ご利用サーバーは稼働を続けながら対策を進め、不正アクセスや攻撃は確認されていないと案内。最新パッチが提供されているPHPバージョンについて「急ぎ対応をおこなっております」とし、パッチの提供がないバージョンも今後情報を更新するとしている。パッチの適用状況は「本ページにて、追ってお知らせいたします」としている。サービスサイト（10/22 21:00）、コントロールパネル、マイページ、Roundcubeは再開済み。パッチを適用できないバージョンについてはphp.iniの設定変更を緩和策として案内（サポート対象外）。 | CPI お知らせ 10/22 夜（JST） |
| KAGOYA レンタルサーバー | CVE-2026-109618 / 109619を挙げた案内（10月22日の最新更新、ページ更新18:48）で、レンタルサーバープラン（PHP 7.4系、8.1系、8.2系、8.3系、8.4系、8.5系）は修正版へのアップデートを順次進めており、10月22日24時の完了を見込むとしている（完了したとは書かれていない）。マネージド専用・共用サーバー・WordPress専用の各プランは恒久対応を調整中で、暫定策としてWebサイトの公開停止やアクセス制限の検討を呼びかけている。 | KAGOYA 10/22 夜（JST） |
| カラフルボックス | 全サーバー（共有サーバー・カラフルビジネス・タダサーバー・専用サーバー）で、修正版のアップデートを10月22日朝までにすべて完了。利用中のPHPバージョンを維持したままサーバー側で更新したため、切り替えは不要。7.4や8.0/8.1の旧バージョンもサーバー側で対応済み。 | カラフルボックス お知らせ 10/22 午後（JST） |
| mixhost | mixhost・mixhostアダルト・mixhost海外の全サーバーで、CVE-2026-109618とCVE-2026-109619に対するPHPの修正パッケージの適用を10月22日10時18分頃に完了。対応範囲はPHP 5.2〜8.5で、開発元が対象外とした版もCloudLinuxの独自修正で対応。バージョン番号は変わらない（例: 8.4.26のまま）。PHP 8.2未満の利用者には8.2以上を推奨。 | mixhost お知らせ 10/22 午後（JST） |
| コアサーバー／XREA／VALUESERVER／Oneレンタルサーバー（バリュードメイン） | CVE-2026-109618 / 109619を挙げて、メンテナンス完了と表示。CORESERVER V1・XREA・VALUESERVERは0:50に完了で、提供中のすべてのPHPバージョン（5.3〜8.5）で対応完了。CORESERVER V2は11:13に完了で、提供中のすべてのPHPバージョン（5.2〜8.5）、Oneレンタルサーバーは10:20に完了で、提供中のすべてのPHPバージョン（5.6〜8.5）で対応完了。いずれもお客様側でPHPバージョンを変更する必要はないとしている。 | CORESERVER V1、V2、XREA、VALUESERVER、One 10/22 午後（JST）に確認 |
| WebARENA（SuiteX / SuiteS） | 10月22日更新の案内で、海外からのWebアクセス制限に続き、国内からのWebアクセスも順次停止すると案内（SuiteXは10月22日18:00以降、SuiteSは10月22日17:30以降）。PHP 8.3は10月22日中に 8.3.36 へバージョンアップ（Webアクセス停止なし）、2025年11月19日以降に開通したサーバーのPHP 7.4は一時的に8.3へ切り替えて10月23日以降に修正パッチ適用済みの7.4へ戻す、2025年11月18日以前に開通したサーバー（PHP 7.4／7.2／5.6／5.3／5.1）は修正パッチを適用できないため、有効な対処が可能になるまでWebアクセスを停止するとしている。SuiteSでは、PHP 7.2／5.6／5.3／5.1を修正パッチを適用できない版として挙げ、同様にWebアクセスを停止するとしている。修正を適用済みとは書かれていない。 | WebARENA お知らせ、SuiteS 10/22 夜（JST） |
「書かれていない」は、会社が何もしていないという意味ではなく、告知の本文に記載がないという意味です。上記以外の会社は、公式のお知らせページを直接確認してください。
PHPバージョンの切替方法（各社の公式マニュアル）
バージョンの切替は、各社の管理画面で行います。画面の名称や場所は変わることがあり、本サイトでは操作手順そのものは確認していません。必ず各社の公式マニュアルに従ってください。
| サービス | 公式マニュアル |
|---|---|
| さくら | PHPのバージョンを変更したい |
| エックスサーバー | PHPのバージョンについて |
| ロリポップ！ | PHP設定 |
| ConoHa WING | PHPの設定をする |
エックスサーバーは管理画面と多くの機能が10月22日9:30に再開し、各サービスサイトも20:10から順次再開していますが、一部の機能はメンテナンス中としています。操作できる範囲は公式のお知らせで確認してください。ロリポップ！はお客様のサイトの再開を案内していますが、サービスサイトは一部を除きまもなく再開予定としています。状況は公式のお知らせで確認してください。お名前.com レンタルサーバーなど上の表にない会社は、切替の方法をまだ確認できていないため、公式マニュアルで探してください。
バージョンを切り替えるときの手順
管理画面から切り替えられるときだけ、次の順で進めてください。
- バックアップを取る。 サイトのファイルとデータベースを、会社の機能か手元にダウンロードして保存します。
- 今のPHPを確認する。 管理画面のPHP設定のほか、WordPressなら「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」でも見られます。
- 移行先を決める。 公式修正版のある系統（8.2〜8.5）のうち、8.3以上がおすすめです。8.2 はセキュリティ修正の提供が2026年12月31日まで、8.3 は2027年12月31日までです。
- プラグイン・テーマの対応を確認する。 古いテーマやプラグインは新しいPHPで動かないことがあります。可能なら複製サイトで先に試してください。
- 切り替えて保存する。 反映に少し時間がかかることがあります。
- 表示を確認する。 トップページ、記事、管理画面、問い合わせフォームなどを開いて確認します。エラーや白い画面になったら、いったん切り替え前の系統に戻してください。ただし戻した間は古いままなので、原因（多くはテーマやプラグイン）を直して早めに再度切り替えます。
古いPHP（7.4・8.0・8.1）を使っている場合
この3系統はPHP公式のサポートが終わっており、公式の修正版はありません。PHP公式はソース向けの最小限の対策（ソースバックポート）を公開しています。一方、エックスサーバー（PHP 5.6〜8.5で適用完了と発表）、ロリポップ！、ヘテムル、カラフルボックス、mixhostは、各社の発表で旧バージョンにも対応を適用したとしています。対応の方法は会社ごとに異なります（ヘテムルはPHP 7.4・8.0・8.1に開発元提供の修正、PHP 5.6〜7.3に同社が作成した修正、ロリポップ！は同社の独自の修正、mixhostはCloudLinuxの独自修正と記載）。エックスサーバーとカラフルボックスは、対応の方法を詳しくは書いていません。ConoHa WINGは提供しているすべてのPHPバージョンにパッチを適用したとしています。バリュードメイン系は、提供中のすべてのPHPバージョンで対応完了としています（CORESERVER V1・XREA・VALUESERVERは5.3〜8.5、V2は5.2〜8.5、Oneレンタルサーバーは5.6〜8.5）。一方、KAGOYAのレンタルサーバープランは旧バージョンを含む7.4系・8.1系〜8.5系を順次アップデート中で、完了を10月22日24時と見込んでおり、ほかのプランは恒久対応を調整中です。WebARENAは、修正パッチを適用できないサーバーのWebアクセスを停止するとしており、CPIはPHPの修正状況を書いていません。
数字（7.4.33、8.0.30、8.1.34 など）だけでは修正の有無は分かりません。まず契約会社の発表で、自分のPHPバージョンとプランが対象に入っているか確認してください。対象に入っていても、サポートが終わった系統を使い続けることになるため、8.2以上への移行を並行して計画してください。
手元の版数を確認する
チェッカーに、管理画面で確認したPHPのバージョンを入力すると、公式の修正版と比べられます。入力した内容を見るのはブラウザ内だけで、サイトの検査や外部への送信はしません。表は修正済みバージョン一覧でも確認できます。ただし、共用サーバーでは会社がパッチを当てたかどうかを手元の数字だけで断定できない点に注意してください。
一次情報
- PHP公式 セキュリティリリース告知
- IPA 事前準備のお願い（2026年10月21日）：修正版公開前に出た注意で、この時点でIPAは悪用した攻撃を確認していないとしています。修正版や影響バージョンは確認できていないとし、「PHP 5以降」との記載があります
- JVN（JPCERT/CC・IPA）JVNVU#99905564（2026年10月22日公開）：PHP Groupのアドバイザリを案内し、対策は開発者のパッチ適用としています。修正バージョンの記載はありません
- JPCERT/CC 注意喚起 JPCERT-AT-2026-0033（2026年10月22日公開）：「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」。影響を受けるのは8.5・8.4・8.3・8.2のうち、それぞれ8.5.12・8.4.27・8.3.36・8.2.35より前のバージョンで、8.1以前には更新が提供されていないと記載しています。悪用が確認されたとの記載はありません
- NVD：CVE-2026-109618、CVE-2026-109619
自分で調べる時間がないときは
個人向けの対応プラン（$49）では、契約中のサーバーの構成に合わせた対応手順を、24時間以内にメールでお届けします。サーバーにログインして作業することはなく、手順の実施はご自身で行います。詳しくは個人向け対応プランをご覧ください。