さくらのレンタルサーバのPHP脆弱性対応とバージョン変更

自分が契約している、または管理を任されているサーバーだけを確認してください。当サイトは独立した個人運営のサイトで、PHP Group・php.netとは無関係です。サイトやサーバーへアクセスして検査することはありません。

先に結論

さくらインターネットは、さくらのレンタルサーバ（マネージドサーバを含む）について、コントロールパネルから選べるすべてのPHPバージョンでCVE-2026-109618・CVE-2026-109619への対応を完了したと発表しています。あわせて「お客様に実施いただく緊急の対応はございません」と案内しています（さくらお知らせ、確認 2026年10月22日）。

さくらは、コントロールパネルから選べるすべてのPHPバージョンについて、対応を完了したとしています。ただし、発表には修正後のバージョン番号は書かれておらず、phpMyAdminなど同じメンテナンスの他のサービスの扱いは別です（下の注意点を参照）。利用者がまずやることは、次の2つです。

上の公式発表で、自分のサービス（レンタルサーバ／マネージドサーバ）が対象に入っているかを確認する。
余裕があるときに、サポート期間中の新しいPHPへ切り替えることを検討する（さくらもこれを案内しています）。

注意点が3つあります。

公式発表には、修正後のPHPのバージョン番号は書かれていません。管理画面で選んでいる番号を、公式の修正版の番号（修正済みバージョン一覧）と照らして判定することはできません。判断は会社の発表で行います。
一部のサービスで使っているphpMyAdminとウェブメールについて、お知らせの本文には「対応を進めている」と書かれたままです（ウェブメールは13:45に対応完了と追記）。一方、別のメンテナンスのお知らせでは、ウェブメール・旧ウェブメール・ファイルマネージャーは13:45、phpMyAdminは15:15に復旧したと表示されています（詳しくは下の「phpMyAdminとウェブメールについて」）。
さくらのVPS・さくらのクラウドは、この発表の対象ではありません。PHPは利用者自身が入れて更新するため、手順が違います（下の「VPS・さくらのクラウドをお使いの場合」）。

対応状況（さくらのレンタルサーバ／マネージドサーバ）

下の表は、当サイトが記録している公式情報です。表のデータの最終確認日は 2026-10-22 です。表の内容は、この記録時点のものです。

事業者	状態	利用者の対応	情報源	確認
さくらのレンタルサーバ / さくらのマネージドサーバ (Sakura Internet)共有サーバー / 日本	対応済み	さくらインターネットは、さくらのレンタルサーバ・さくらのマネージドサーバについて、コントロールパネルから選択できるすべてのPHPバージョンでPHPの脆弱性（CVE-2026-109618、CVE-2026-109619）への対応を完了したとしています。緊急メンテナンス「PHPバージョンアップ」は2026年10月22日6時30分に完了と表示されています。お知らせにはphpMyAdminとウェブメールが対応中と書かれたまま（ウェブメールは13:45に完了と追記）ですが、一部機能停止のメンテナンス情報では、ウェブメール・旧ウェブメール・ファイルマネージャーは13:45、phpMyAdminは15:15に復旧したと表示されています。当サイトの案内: さくらは、お客様に実施いただく緊急の対応はないとしています。あわせて、サポート期間中の最新版PHPへの移行を検討するよう案内しています。移行する場合は、事前にお使いのアプリがそのバージョンで動くか確認し、バックアップを取ってください。	情報源	2026-10-22 23:17 UTC

表の右端の日付は、データを記録した時刻（UTC、協定世界時）です。日本時間は、これに9時間を足した時刻です。この時刻は、このページの文章を確認した時刻ではありません。公式のお知らせは更新が続いています。表と公式お知らせで食い違う場合は、公式のお知らせを優先してください。最新の状況は、必ず公式のお知らせで確認してください。

全体の一覧はホスティング別対応状況、国内の他社との比較はレンタルサーバーのPHP脆弱性対応にまとめています。

さくらの公式発表の内容

確認日はいずれも2026年10月22日（日本時間）です。phpMyAdminなどの復旧情報は、15時15分の更新まで確認しています。

対応完了のお知らせ

PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）への対応状況について（2026年10月22日更新）には、次のことが書かれています。

当社コントロールパネルから選択できるすべてのPHPバージョンに対して、脆弱性への対応を完了している。
そのため、お客様に実施いただく緊急の対応はない。
ただし、セキュリティ維持の観点から、サポート期間中の最新版PHPへの移行もあわせて検討してほしい。

修正後のバージョン番号や、どのバージョンにどう対応したか（公式の修正版に上げたのか、独自の修正なのか）は書かれていません。

緊急メンテナンス「PHPバージョンアップ」

緊急メンテナンスのお知らせには、次のことが書かれています。

作業日程は2026年10月21日23時00分〜10月22日6時30分で、作業内容は「PHPバージョンアップ」。数秒程度、ウェブに接続できない時間が発生する、としていました。
2026年10月22日6時30分に、このメンテナンスは完了した。
補足事項として、古いPHPをお使いの方にはPHP 8.3を利用してほしいと案内している。

このお知らせには、CVE番号や修正後のバージョン番号は書かれていません。さくらが勧めているのは8.3です。本サイトが別に示している【目安】（修正版のある系統は8.2以上）は、さくらの案内ではなく当サイトの案内です。

phpMyAdminとウェブメールについて

さくらは、一部のサービスで使っているphpMyAdminとウェブメールの対応について、別の緊急メンテナンスのお知らせで案内しています。10月22日の更新履歴の内容は次のとおりです。

ウェブメール、旧ウェブメール、ファイルマネージャーは13時45分に復旧。
phpMyAdmin（レンタルサーバのみ。マネージドサーバは対象外）は15時15分に復旧。
Snapupバックアップ＆ステージングのステージング機能には、確認できた範囲で復旧の記載がありません。
同じお知らせには、「サービス自体の停止は発生せず、ウェブサイトやメールの送受信に影響はございません」とも書かれている。

なお、対応完了の発表（n-2700）の本文は、phpMyAdminとウェブメールが「対応中」という記載のまま更新されていません（ウェブメールのみ13:45に完了と追記）。このメンテナンス情報とは表示が食い違うため、最新の状況はそれぞれのお知らせで確認してください。

利用者がやること

1. 発表で自分のサービスが対象か確認する

さくらのレンタルサーバ・マネージドサーバが対象です。リセール向けサービス、メールボックス、ビジネスメールは、緊急メンテナンスのお知らせの影響範囲に入っていますが、このお知らせにはCVEやPHPの対応状況は書かれていません。対応完了の発表（n-2700）が対象としているのは、レンタルサーバとマネージドサーバです。リセール向けサービス、メールボックス、ビジネスメールについては、さくらがCVEへの対応を述べた文章が見つからず、当ページでは対象に入るかどうか判断できません。契約中の方は、さくらに問い合わせてください。

2. 古いPHPを選んでいる場合は、新しい系統への切り替えを検討する

さくらは、サポート期間中の最新版PHPへの移行を勧めています。さくらのサポート方針のページ（PHPの提供ポリシー、最終更新 2023年9月14日）には、次のことが書かれています。

サポートが終了したPHPバージョンには、セキュリティ更新プログラムが提供されない。
さくらでは、セキュリティサポートが終わったあともバージョンの提供を続ける。ただし、重大な脆弱性が見つかった場合は、予告なく提供を終了することがある。
提供を終了する場合は、そのバージョンに一番近い上位のマイナーバージョンに変更される。
事前にコントロールパネルでサポート終了以外のバージョンに変えて、問題なく動くか確認してほしい。

つまり、コントロールパネルで選べるからといって、サポート期間中とは限りません。7.4・8.0・8.1の公式サポートが終わっていることは、PHP 7.4・8.0・8.1 サポート終了のガイドにまとめています。

切り替える前には、必ずバックアップを取ってください。手順は次の節です。

PHPバージョンの確認・変更方法（コントロールパネル）

さくらの公式マニュアルPHPのバージョンを変更したい（最終更新 2023年12月18日）による手順です。対象プランはライト、スタンダード、プレミアム、ビジネス、ビジネスプロ、マネージドです。画面の名前は変わることがあるため、実際の画面と公式マニュアルを見比べて進めてください。

「サーバーコントロールパネル」にログインします。「メールアドレス／パスワード」でログインすると、メール設定しか表示されません。必ず「初期ドメイン、または追加されたドメイン／パスワード」でログインしてください（マニュアルの注意書きです）。
「スクリプト設定」から「言語バージョン設定」をクリックします。
「PHPのバージョン項目の設定からPHPのバージョンを選択」し、「保存する」をクリックします。モジュールモードを使うときは、バージョンを選ぶ際に「モジュール」にチェックを入れます。
現在のバージョンが、選んだバージョンに変わっていれば変更は完了です。

確認だけしたいときも、同じ「言語バージョン設定」の画面を見ます。マニュアルの手順4で、変更後に現在のバージョンが表示されると書かれているためです。マニュアルには、確認専用の手順やphpinfoを使う方法は載っていませんでした。WordPressをお使いなら、サイトヘルスでも確認できます（PHPバージョンの確認方法、WordPress編）。

切り替える前に知っておくこと

マニュアルには、次の注意が書かれています。

PHPのバージョンを変更すると、お使いのアプリケーションが使えなくなる場合があります。変更後は、サイトの表示や投稿などの動作を確認してください。不具合があるときは、古いバージョンを選び直すと元の環境に戻せます。
契約時期によって、標準で設定されているPHPのバージョンが異なります。
PHP 8.2は、OSがFreeBSD 11.1以上のサーバーに対応しています。
ionCube Loaderを使うアプリ（a-blog cms Ver.2.11以下、bingo!CMS）は、動かなくなる場合があります。
モジュールモードは、プランによって使えるバージョンが違います（ライトでは使えません。スタンダード・プレミアム・ビジネスはPHP 7以上）。

このマニュアルは2023年の更新です。今、選べるバージョンの一覧としては使わないでください。現在選べる系統は、コントロールパネルの画面で確認してください。

動作確認用のステージングについて

さくらには、本番サイトのデータをコピーしてテストできるステージングサーバーがあります（WordPressのPHP更新の案内、最終更新 2022年8月5日。対象はスタンダード、プレミアム、ビジネス、ビジネスプロ、マネージド）。このマニュアルには、PHPバージョンの変更はすぐに反映されること、エラーが出て最新のPHPをすぐに使えなくても、古いバージョンのまま使い続けるのはセキュリティ面で危険を伴うことも書かれています。

ただし、前の節のとおり、Snapupバックアップ＆ステージングのステージング機能は、10月21日のメンテナンスで停止し、確認できた範囲では復旧の記載がありません。使う前にお知らせで復旧を確認してください。使えない場合は、サイトのファイルとデータベースを手元に保存してから切り替え、動作を確認するのが現実的です。

VPS・さくらのクラウドをお使いの場合

さくらのVPS・さくらのクラウドは、レンタルサーバとは違い、PHPを入れて更新するのは利用者自身です。対応完了の発表（n-2700）が対象としているのは、レンタルサーバとマネージドサーバで、VPSやクラウドには触れていません。「さくらがPHPを修正した」と受け取らないでください。

なお、さくらのVPSの緊急メンテナンス（お知らせ）は、CVE-2026-99999（PwnEscape）という別の脆弱性に対する、ホストサーバのOSの更新です。PHPの脆弱性（CVE-2026-109618・CVE-2026-109619）の話ではありません。

VPS・クラウドのPHPは、OSのパッケージ管理で更新します。手順と、OSごとの修正済みバージョンの番号は、次のページをご覧ください。

手元の版数を確認する

チェッカーに、コントロールパネルで確認したPHPのバージョンを入力すると、公式の修正版と比べられます。入力した内容を見るのはブラウザ内だけで、サイトの検査や外部への送信はしません。ただし、さくらの発表には修正後の番号が書かれていないため、管理画面で見た番号だけで「修正済み／未修正」とは言い切れません。最終的な判断はさくらの発表で行ってください。

一次情報

確認日はいずれも2026年10月22日です。

さくらのレンタルサーバ：PHP脆弱性（php2shell）への対応状況とPHPバージョンの確認・変更方法