エックスサーバーのPHP脆弱性対応とバージョン変更

自分が契約している、または管理を任されているサーバーだけを確認してください。当サイトは独立した個人運営のサイトで、PHP Group・php.netとは無関係です。サイトやサーバーへアクセスして検査することはありません。

先に結論

エックスサーバー株式会社は、公式Xの投稿（2026年10月22日21:14）で、PHP 5.6〜8.5について対象となるすべてのサーバーへの修正パッチの適用が完了したと発表しています（確認 2026年10月22日）。PHP 5.5以下の旧バージョンについては、引き続き修正パッチの作成・検証を進めるとしています。これより前の投稿でも、PHP 7.4〜8.1について同様に完了したとしていました（12:08）。同じ投稿で、各種サービスサイトは20:10から順次再開し、一部の機能は引き続きメンテナンス中としています。

お客様に求める操作について、同社は「ご利用状況によっては、お客様にも追加の対策をお願いする場合があり、その際は改めてご案内いたします」としています。確認した時点で、今すぐ操作してほしいという記載は見つかりませんでした。また、同じお知らせには、サーバーの稼働を続けながら対策を進めていること、Webサイトの表示やメールの送受信は通常どおり使えること、今回の対応は同社サービスへの不正アクセスによるものではないことも書かれています。

まず次の3つを確認してください。

公式お知らせとX（@xserverjp）に、お客様向けの追加の案内が出ていないか。
自分のドメインに設定されているPHPバージョンが何になっているか（確認方法は下の手順）。
5.5以下を選んでいる場合は、同社が修正パッチの作成・検証を続けている段階なので、同社へ確認してください（当サイトが記録している同社の案内に基づく注意点です）。あわせて【目安】（本サイトの案内で、同社の指示ではありません）として、7.4・8.0・8.1を含むサポートが終わった系統を使い続けないよう、バックアップを取ったうえで8.2以上への切り替えも検討してください。サイト内のレンタルサーバー編と同じ目安です。

注意してほしい点があります。公式の発表には、修正後のPHPのバージョン番号が書かれていません。サーバーパネルで選ぶのは「8.3.x」のような系統名で、その番号を修正済みバージョン一覧の公式の修正版（PHP 8.2.35・8.3.36・8.4.27・8.5.12）と照らして「修正済み」と判定することはできません。修正済みかどうかは、エックスサーバーの公式お知らせで確認してください。

対応状況（エックスサーバーと姉妹サービス）

シンレンタルサーバー、スターレンタルサーバー、XServerビジネスは、エックスサーバー株式会社の全社向けのお知らせと同じ内容が各サービスの公式サイトにも表示されています。ただし、修正パッチの適用に関する記述には、各製品名は書かれていません。下の表は、当サイトが記録している公式情報です。エックスサーバーの記録の最終確認日は 2026-10-22 です。

事業者	状態	利用者の対応	情報源	確認
エックスサーバー (Xserver)共有サーバー / 日本	順次対応中	エックスサーバー株式会社は公式X（2026年10月22日21:14の投稿）で、PHP 5.6～8.5については対象となるすべてのサーバーへの修正パッチの適用が完了したとし、PHP 5.5以下の旧バージョンについては引き続き修正パッチの作成・検証を進めるとしています。これより前の投稿でも、PHP 7.4～8.1について同様に完了したとしていました（12:08）。各種サービスサイトは20:10から順次再開し、一部機能は引き続きメンテナンス中としています。当サイトの案内: 現時点で、公式の案内にお客様の操作を求める記載はありません。同社は、ご利用状況によってはお客様にも追加の対策をお願いする場合があり、その際は改めて案内するとしているため、同社の案内（公式サイトとX @xserverjp）を確認し、求められた場合のみ対応してください。PHP 5.5以下をお使いの場合は、安全とみなす前に同社へ確認してください。	情報源	2026-10-22 23:17 UTC
Xserverビジネス (Xserver Business)共有サーバー / 日本	順次対応中	エックスサーバー株式会社は公式X（2026年10月22日21:14の投稿）で、PHP 5.6～8.5については対象となるすべてのサーバーへの修正パッチの適用が完了したとし、PHP 5.5以下の旧バージョンについては引き続き修正パッチの作成・検証を進めるとしています。これより前の投稿でも、PHP 7.4～8.1について同様に完了したとしていました（12:08）。各種サービスサイトは20:10から順次再開し、一部機能は引き続きメンテナンス中としています。この全社向けのお知らせにXserverビジネスの名称は記載されていません。当サイトの案内: 現時点で、公式の案内にお客様の操作を求める記載はありません。同社は、ご利用状況によってはお客様にも追加の対策をお願いする場合があり、その際は改めて案内するとしているため、同社の案内（公式サイトとX @xserverjp）を確認し、求められた場合のみ対応してください。PHP 5.5以下をお使いの場合は、安全とみなす前に同社へ確認してください。	情報源	2026-10-22 23:17 UTC
シンレンタルサーバー (Shin Rental Server)共有サーバー / 日本	順次対応中	エックスサーバー株式会社は公式X（2026年10月22日21:14の投稿）で、PHP 5.6～8.5については対象となるすべてのサーバーへの修正パッチの適用が完了したとし、PHP 5.5以下の旧バージョンについては引き続き修正パッチの作成・検証を進めるとしています。これより前の投稿でも、PHP 7.4～8.1について同様に完了したとしていました（12:08）。各種サービスサイトは20:10から順次再開し、一部機能は引き続きメンテナンス中としています。この全社向けのお知らせにシンレンタルサーバーの名称は記載されていません。当サイトの案内: 現時点で、公式の案内にお客様の操作を求める記載はありません。同社は、ご利用状況によってはお客様にも追加の対策をお願いする場合があり、その際は改めて案内するとしているため、同社の案内（公式サイトとX @xserverjp）を確認し、求められた場合のみ対応してください。PHP 5.5以下をお使いの場合は、安全とみなす前に同社へ確認してください。	情報源	2026-10-22 23:17 UTC
スターレンタルサーバー / スターサーバー (Star Server)共有サーバー / 日本	順次対応中	エックスサーバー株式会社は公式X（2026年10月22日21:14の投稿）で、PHP 5.6～8.5については対象となるすべてのサーバーへの修正パッチの適用が完了したとし、PHP 5.5以下の旧バージョンについては引き続き修正パッチの作成・検証を進めるとしています。これより前の投稿でも、PHP 7.4～8.1について同様に完了したとしていました（12:08）。各種サービスサイトは20:10から順次再開し、一部機能は引き続きメンテナンス中としています。この全社向けのお知らせにスターレンタルサーバーの名称は記載されていません。当サイトの案内: 現時点で、公式の案内にお客様の操作を求める記載はありません。同社は、ご利用状況によってはお客様にも追加の対策をお願いする場合があり、その際は改めて案内するとしているため、同社の案内（公式サイトとX @xserverjp）を確認し、求められた場合のみ対応してください。PHP 5.5以下をお使いの場合は、安全とみなす前に同社へ確認してください。	情報源	2026-10-22 23:17 UTC

表の右端の日付は、データを記録した時刻（UTC、協定世界時）です。日本時間は、これに9時間を足した時刻です。公式のお知らせは更新が続いており、表の概要と食い違う場合は公式のお知らせを優先してください。

全体の一覧はホスティング別対応状況、国内の他社との比較はレンタルサーバーのPHP脆弱性対応にまとめています。

公式の発表で確認できたこと

確認日はいずれも2026年10月22日です。公式サイトのお知らせは、日本時間の約15時の確認時点ではメンテナンス表示の中で読めました。20時以降の状況は、公式Xの投稿によります。

21:14（最新）：PHP 5.6〜8.5は、対象となるすべてのサーバーへの修正パッチの適用が完了。PHP 5.5以下の旧バージョンについては、引き続き修正パッチの作成・検証を進める。各種サービスサイトは20:10から順次再開し、一部の機能は引き続きメンテナンス中（公式X）。
6:45時点：PHP 8.2〜8.5は、対象となるすべてのサーバーへの修正パッチの適用が完了。旧バージョンは、一部で修正パッチの準備が整い、検証・確認が完了したものから順次適用を開始している（公式お知らせ）。
12:08：PHP 7.4〜8.1は、対象となるすべてのサーバーへの適用が完了（公式X）。
9:30時点：シンクラウドの各種サービスを除き、アカウント管理画面と各種機能の提供を再開。各サービスの公式サイトは、この時点では停止が続いていて、同日中に再開予定（公式お知らせ。その後20:10から順次再開）。13:15の更新で、シンクラウドの各種サービスについても管理画面と各種機能の提供を再開。一部の機能は引き続きメンテナンス中（公式お知らせ）。
公式お知らせのメンテナンス一覧では、サーバーパネルとファイルマネージャーは「一部再開」、WEBメールは「停止中」と表示されていた時点があります。最新の状況は公式で確認してください。
問い合わせについて、メンテナンス中はチャットや問い合わせフォームが使えず、電話では詳しい案内ができないと書かれています（公式お知らせ）。

PHPバージョンの確認・変更方法（サーバーパネル）

エックスサーバーの公式マニュアルPHPのバージョンについてによる手順です。この記事を書いた時点（10月22日）は、このページが開けなかったため、メンテナンス開始（10月21日16:00）より前の2026年9月30日に保存されたInternet Archiveの写しで確認しました。画面の名前は変わることがあるため、実際の画面と公式マニュアルを見比べて進めてください。

サーバーパネルにログインします。ログインURLは公式マニュアルのサーバーパネル一覧（2026年7月12日の保存版で確認）に載っている https://secure.xserver.ne.jp/xapanel/login/xserver/server/ で、XServerアカウントID（ご登録メールアドレス）とパスワードでログインします。メインFTPアカウントのユーザー名とパスワード（サーバーIDとサーバーパスワード）でもログインできると書かれています。
サーバーパネルの「PHP Ver.切替」をクリックします（サーバーパネル一覧の公式マニュアルでは、「PHP」のメニューグループの中にあります）。
変更したいドメインの右側にあるペンのアイコンをクリックして、編集画面を開きます。
現在のバージョンを確認し、「変更後のバージョン」から変更したいバージョンを選びます。
「設定する」をクリックします。旧サーバーパネルでは「変更」というボタンです。

現在のバージョンを確認したいだけなら、手順3の編集画面で現在のバージョンを見るだけで、変更はしなくてかまいません。マニュアルは、新サーバーパネルと旧サーバーパネルの2種類が用意されています。

PHPバージョンはドメインごとに設定します

公式FAQ利用できるPHPのバージョン（2026年4月23日の保存版で確認）には、「設定ドメインごとに動作するPHPバージョンを選択することが可能です」と書かれています。サーバーパネルの画面で選ぶ単位は、ドメインです。サブドメインやディレクトリごとにPHPを切り替える方法は、公式の資料では確認できなかったため、このページでは案内しません。切り替える前に、そのドメインで動いているサイトやWordPressなどのシステムを確認してください。

選べるバージョンと、公式の注記

公式マニュアルの保存版（2026年9月30日）では、Xアクセラレータ Ver.2が有効な場合に選べるバージョンは、8.5・8.4・8.3・8.2・8.1・8.0・7.4・7.3・7.2の各系統でした。PHP 8.5・8.4・8.3には「Wordpress推奨バージョンです」、PHP 8.2〜5.5には「旧バージョンです。今後バージョンアップの予定はないため新規での利用は推奨しません」と書かれていました。これはメンテナンス開始より前の記載で、今回の修正パッチの適用状況とは別の話です。選べる系統は、実際のサーバーパネルの画面で確認してください。

切り替える前に知っておくこと

切り替えたあとにサイトが表示されなくなる場合があります。公式FAQPHPバージョンを切り替えてから、サイトが正常に表示されなくなりました（2026年5月14日の保存版で確認）は、利用中のWordPressプラグインやテーマが、選んだPHPバージョンに対応していない可能性があるとし、サーバーパネルで他のバージョンに変更して表示を確かめるよう案内しています。最終更新日から長期間たったプラグイン・テーマは、PHP 8に対応していない可能性があるとも書かれています。
戻すときは、同じ手順で元のバージョンを選び直します。スターサーバーとXServerビジネスの公式お知らせに、同じ趣旨の案内があります。
切り替える前に、サイトのファイルとデータベースのバックアップを取ってください。バックアップの取り方は、この記事の対象外です。
WordPressの場合は、更新前にプラグインとテーマがPHPの新しい系統に対応しているか確認してください（WordPress編）。

切り替えたあとの確認

XServerビジネスの公式お知らせ（PHP 8.5の案内、2026年5月10日の保存版で確認）は、ドメインごとにバージョンを変更し、変更後にウェブサイトが正常に表示されるかを必ず確認するよう案内しています。正常に動かない場合は、切り替え前のバージョンへ戻してください。

公式マニュアルには、サーバーを再起動する手順は載っていません。切り替えたあとは、サーバーパネルの画面で、そのドメインの現在のバージョンが選んだものになっているかを見て、続けてサイトのトップページと主なページを開いて表示を確かめてください。WordPressをお使いなら、サイトヘルスでも使われているPHPのバージョンを確認できます（PHPバージョンの確認方法）。

「PHPのバージョンが書き換わってしまう」場合

公式FAQPHPのバージョンが書き換わってしまいます（2026年4月23日の保存版で確認）は、原因として「.htaccessファイルが上書きされている可能性があります」と書き、ホームページの更新やプログラムの処理で.htaccessファイルを削除したり上書きしたりしないよう注意を促しています。FAQには、これ以上の仕組みの説明はありません。心当たりがあるときは、公式FAQと、お使いのCMSやプラグインの説明を確認してください。

シンレンタルサーバー・スターレンタルサーバー・XServerビジネスの場合

次の3つの公式マニュアルは、エックスサーバーと同じ手順（サーバーパネルの「PHP Ver.切替」→ドメインの右のペンのアイコン→「変更後のバージョン」→「設定する」）です。確認は、いずれもメンテナンス開始より前の保存版で行いました。

シンレンタルサーバー：PHPのバージョンを変更したい（2026年2月13日の保存版）。保存版で選べる系統は8.5から7.2まででした。
スターレンタルサーバー：PHPのバージョンを変更したい（2026年6月16日の保存版）。選べる系統は8.5から7.2まででした。
XServerビジネス：PHPのバージョンについて（2026年4月10日の保存版）。

旧サービスの「スターサーバー」は、スターレンタルサーバーとは別のサービスで、マニュアルも別です。旧スターサーバーのマニュアル（PHPバージョンの変更、2026年9月30日の保存版）では、メニュー名が「PHPバージョン設定」で、サーバー管理ツールから変更すると書かれています。当サイトの対応状況の表は両方を1行にまとめているため、旧スターサーバーをお使いの方は、旧サービス向けの公式案内を確認してください。

スターサーバーの公式お知らせ（PHP推奨バージョン8.3の案内、2025年8月4日付、2026年6月5日の保存版で確認）には、稼働中のサイトのPHPバージョンは自動では変更されないと書かれています。変更したい場合は、サーバーパネルの「PHP Ver.切替」から行います。

手元のバージョンを確認する

チェッカーに、サーバーパネルで確認したPHPのバージョンを入力すると、公式の修正版と比べられます。入力した内容を見るのはブラウザ内だけで、サイトの検査や外部への送信はしません。ただし、エックスサーバーの発表には修正後の番号が書かれていないため、サーバーパネルで見た番号だけで「修正済み／未修正」とは言い切れません。修正済みかどうかは、エックスサーバーの公式お知らせで確認してください。

PHP 7.4・8.0・8.1は、PHP公式のサポートがすでに終わっています。詳しくはPHP 7.4・8.0・8.1 サポート終了のガイドをご覧ください。

一次情報

確認日はいずれも2026年10月22日です。保存版を使ったものは、その保存日を本文に書いています。

エックスサーバー：PHP脆弱性（php2shell）への対応状況とPHPバージョンの確認・変更方法