ホスティング事業者の対応状況
各社の公式チャンネルに書かれていることだけを掲載します。「発表なし」は、表示されている確認日時の時点で公式の発表が見つからなかったことを意味します。
状態の見方
- 対応済み事業者が、PHPを修正済みと公表しています。
- 順次対応中事業者が、修正を順次適用中と公表しています。
- 要対応利用者側の操作が必要です（修正済みのPHPバージョンへの切り替えなど）。
- 緩和策のみ回避策のみで、修正ではありません。
- 未確認公表はありますが、対応済み・緩和・対応中のいずれも確認できません。
- 発表なし確認した時点で、公式の発表は見つかりませんでした。
| 事業者 | 状態 | 利用者の対応 | 情報源 | 確認 |
|---|---|---|---|---|
| SiteGround共有サーバー / グローバル | 緩和策のみ | SiteGroundは全サーバーにサーバー側の保護を適用済みで、利用者側の作業は不要としています。記事内では修正済みPHPのバージョンは示されていません。 | 2026-10-22 23:17 UTC | |
| Hostinger共有サーバー / グローバル | 対応済み | Hostingerは、自社テストの結果プラットフォームはphp2shellの影響を受けないと確認し、追加の保護も入れたうえで、すべてのマネージドホスティングサーバーでPHPのアップグレードが完了したとしています(10月22日 06:44 UTC)。一部のサイトでPHP 8.5.12ではなく8.5.11と表示されますが、修正は利用中のバージョンに追加されているため想定どおりで、PHP InfoのBuild Dateが2026年10月21日以降であれば修正が適用されているとしています。Web Hosting、Agency Hosting、cPanel Hostingのお客様の対応は不要です。VPSのお客様はご自身でPHPを管理します。 | 2026-10-22 23:17 UTC | |
| Bluehost共有サーバー / グローバル | 順次対応中 | Bluehostは、残りのホスティング基盤にパッチ適用済みPHPビルドを展開する作業を続けており、大半のプラットフォームは最新になったとしています（更新表記 Oct 22nd 18:15 est）。VPSや専用サーバーを自己管理するお客様には、サービスに関するメールを確認するよう案内し、PHPバージョンの変更方法の案内へのリンクと、プラットフォームごとのパッチ適用済みバージョン（例：cPanel EasyApache 4 の PHP 8.5.12、8.4.27、8.3.36、8.2.35）を示しています。10月21日には、緩和策は追加の保護層として継続され、アップロードサイズに制限がかかる場合があるとしていました。 | 2026-10-22 23:17 UTC | |
| GoDaddy共有サーバー / グローバル | 対応済み | GoDaddyは、Web Hostingのすべてのバージョンでパッチ適用が完了したとしています（10月22日 13:30 UTCの更新）。Managed Hosting for WordPressとWindows Hostingについても以前の更新で同様に完了としており、これらではお客様の対応は不要です。VPSの所有者はご自身でPHPを更新する必要があります。ステータスのインシデント「Hosting Maintenance」は10月22日 15:07 UTCに解決されました。業界全体の問題であると述べています。ブログの10月22日 17:15 UTCの更新では、Web Hostingでは更新後もPHPのバージョン番号が変わらない場合があり（修正は同じバージョン番号の新しいビルドとして展開されたため、8.5.11のように表示されることがあります）、確認にはビルド日を使うよう案内しています。10月22日 21:06 UTCのステータス投稿（状態 Monitoring）では、緩和策を適用済みで、Web HostingとManaged Hosting for WordPressを含むマネージドサービスにパッチを適用済みとしています。 | 2026-10-22 23:17 UTC | |
| HostGator共有サーバー / グローバル | 順次対応中 | HostGatorは、残りのホスティング基盤にパッチ適用済みPHPビルドを展開する作業を続けており、大半のプラットフォームは最新になったとしています（更新表記 Oct 22nd 18:15 est）。VPSや専用サーバーを自己管理するお客様には、サービスに関するメールを確認するよう案内し、PHPバージョンの変更方法の案内へのリンクと、プラットフォームごとのパッチ適用済みバージョン（例：cPanel EasyApache 4 の PHP 8.5.12、8.4.27、8.3.36、8.2.35）を示しています。10月21日には、緩和策は追加の保護層として継続され、アップロードサイズに制限がかかる場合があるとしていました。 | 2026-10-22 23:17 UTC | |
| DreamHost共有サーバー / グローバル | 順次対応中 | DreamHostは、全ホスティングプラットフォーム（共有、VPS、DreamPress、専用）に保護策を導入し、WAFが攻撃の試みを遮断しているとしています。さらに、10月22日 11:12 AM PDT（18:12 UTC）時点で、公式のPHPセキュリティ更新がネットワーク全体に適用され、これまでの緩和策も引き続き有効で、お客様の対応は不要としています。10月21日 1:43 PM PDTの更新では、PHP 8.1以前向けのセキュリティ修正はPHP Extended Supportプログラムにより翌日中に展開される見込みとしていましたが、その後の更新では、これらの修正が提供されたかどうかに触れていません。インシデントはまだMonitoring（監視中）の状態です。 | 2026-10-22 23:17 UTC | |
| A2 Hosting共有サーバー / グローバル | 順次対応中 | A2 Hostingは「PHP Update」のインシデントを10月22日 17:02 CST（約23:02 UTC）に解決済みとし、PHP関連のサービス更新が正常に完了したとしています。この最終の記載はCVEやPHPのバージョンには触れていません。それ以前の更新（10月22日 03:09 CST）では、cPanel/Pleskの共有ホスティングとマネージドcPanel/Pleskサーバーで、PHP 5.2以降のすべてのバージョンにパッチを展開中で、お客様の対応は不要とし、Enhance/コントロールパネルのプラットフォームでは、PHP 7.4以降のすべてのバージョンにパッチを適用済みとしていました。自己管理のサーバーについては、ベンダーの更新をすべて適用済みか確認するよう求めています。また、一部のケースではベンダーが修正をバックポートしているため、PHPのバージョン番号は変わっていない場合があり、phpinfo()のビルド日は10月21日になるとしています。 | 2026-10-22 23:17 UTC | |
| Namecheap共有サーバー / グローバル | 対応済み | Namecheapは、Regularサーバー71、105、312を除くすべてのサーバーで修正を適用済み（10月22日 12:00 PM EDT）とし、12:50 PM EDT（16:50 UTC）にメンテナンスが完了したと述べています。投稿は[RESOLVED]表示になりました。VPSと専用サーバーの利用者は自分でPHPを更新する必要があります。その後の注記（7:00 PM EDT）では、ベンダーのCloudLinuxが基本のバージョン文字列を維持したままセキュリティ修正をバックポートしているため、8.5.12ではなく8.5.11と表示されることがあり、そのバージョン（例：8.5.11-5.el8）は想定どおりで、両CVEの修正を含むとしています。 | 2026-10-22 23:17 UTC | |
| InMotion Hosting共有サーバー / グローバル | 順次対応中 | InMotionは、両CVEに対応した修正済みPHPパッケージを全専用サーバーに適用済みとしています（10月22日 17:10 UTC）。共有ホスティングは完了扱いですが、CloudLinuxの修正済みパッケージを共有ホスティングサーバーに適用中という表現です。VPSはまだ作業中です。CloudLinuxが既存ビルドに修正を適用したため、共有ホスティングでは修正済みでもPHPのバージョン番号が変わらない場合があります（例：8.3.36ではなく8.3.35）。session.upload_progress.enabledの無効化は追加の対策として継続し、CWPのパッチ待ちの間はCWP/CWP Adminのポートを制限しています。その後の更新（10月22日 18:31 UTC）では、CWPがバージョン1.21を公開し、専用サーバーへCWPの更新を適用中で、VPSプランもまもなく続くとしています。 | 2026-10-22 23:17 UTC | |
| IONOS共有サーバー / グローバル | 対応済み | IONOSは、自社が運用するすべてのプラットフォームに公式のPHPアップデートを展開済みで、ウェブサイトとホスティングは保護されている(インシデントは10月22日 06:10 EDT=10:10 UTCに解決済み)とし、お客様の対応は不要としています。VPSや専用サーバーなどでPHPを自分で運用している場合は、最新PHPバージョンのアップデートをすぐに適用してください。 | 2026-10-22 23:17 UTC | |
| OVHcloud Web Hosting共有サーバー / ヨーロッパ | 対応済み | OVHcloudは、Webホスティングの全クラスターで7.4から8.5までのすべてのPHPリリースにパッチを適用したとしています。以前に全クラスターへWAFルールも適用済みです。それ以前のリリースについては引き続き作業中としています。対象はWebホスティングのみで、VPSやPublic Cloudは含みません。 | 2026-10-22 23:17 UTC | |
| KinstaマネージドWordPress / グローバル | 対応済み | Kinstaは、すべてのサイトが保護され、PHPセキュリティ更新がプラットフォーム全体に展開されたと述べています(インシデントは10月22日 08:26 UTCに解決済み)。それ以前の更新では、PHP 7.4、8.0、8.1、8.2、8.3、8.4、8.5のパッチを展開中と記載し、Cloudflareのファイアウォール緩和策とローカル設定の変更は追って通知があるまで継続するとしていました。最終の更新ではこれらに触れていません。 | 2026-10-22 23:17 UTC | |
| WP EngineマネージドWordPress / グローバル | 対応済み | WP Engineは、2件の重大なPHP脆弱性に対するセキュリティパッチのプラットフォームへの展開が完了し、各利用者のPHPバージョンに適用済みで、利用者側の作業は不要としています。更新後のPHPバージョンとして7.4.33.17、8.2.35、8.4.27、8.5.12を挙げています。 事業者が示す修正済みビルド: php85 8.5.12, php84 8.4.27, php82 8.2.35, php74 7.4.33.17 | 2026-10-22 23:17 UTC | |
| CloudwaysマネージドWordPress / グローバル | 対応済み | Cloudwaysは、PHPセキュリティパッチの展開が完了し、すべての稼働中サーバーが正常に更新されたと述べています(10月22日 10:11 UTC)。Autonomous上の全顧客アプリケーションへのパッチ適用は01:02 UTCまでに完了していました。サポートチームは、追加の支援が必要な一部のお客様に個別に連絡しています。PHP Groupが推奨する暫定的な設定レベルの緩和策は先に適用済みで、展開はサポート終了版(5.6以降)を含むすべてのPHPバージョンが対象で、お客様の対応は不要とされていました。 | 2026-10-22 23:17 UTC | |
| PantheonマネージドWordPress / グローバル | 順次対応中 | Pantheonは、修正済みPHPビルドが、すべての本番環境(PHP 8.2以降とすべてのLTS版)、SFTPモードのすべての環境、すべての開発前(pre-production)の顧客環境に展開済みだとしています。Free/サンドボックス環境は今後24〜48時間で更新されます。ネットワークレベルの緩和策は継続され、Pantheonは利用者側の作業は不要としています。 | 2026-10-22 23:17 UTC | |
| WordPress.comマネージドWordPress / グローバル | 未確認 | AutomatticはWordPress.comのサイトは保護済みで、PHPセキュリティチームと連携して対応したとしています。利用者の作業は不要です。 | 2026-10-22 23:17 UTC | |
| PressableマネージドWordPress / グローバル | 未確認 | Pressableは、全てのPHPバージョンとサンドボックス・ステージング・本番を含む全サイトが両脆弱性に対して保護済みで、利用者の作業は不要としています。 | 2026-10-22 23:17 UTC | |
| FlywheelマネージドWordPress / グローバル | 対応済み | Flywheelは、WP EngineがFlywheelプラットフォームでのPHPセキュリティパッチの展開を完了し、お使いのPHPバージョンに適用済みで、利用者側の作業は不要としています。CDN層とホスト層の保護策も併用されていました。 | 2026-10-22 23:17 UTC | |
| NexcessマネージドWordPress / グローバル | 順次対応中 | Nexcess（Liquid Web系列）は、エンジニアリングチームがホスティング環境全体で修正済みPHPビルドの展開と検証を続けており、ロールアウトは進行中としています（10月22日 10:42 EDT＝14:42 UTC）。15:28 EDT（19:28 UTC）の更新では、残りの環境をなお評価中で、パッチ適用の進み具合に応じて続報を出すとしています。10月21日時点では、本番環境へのパッチ適用はまだ行っていないと説明していました。 | 2026-10-22 23:17 UTC | |
| Liquid WebVPS / クラウド / グローバル | 順次対応中 | Liquid Webは、エンジニアリングチームがホスティング基盤全体に修正済みPHPビルドを展開する作業を進めているとしています。現在の修正済みビルドとして、cPanelはPHP 8.5.12、8.4.27、8.3.36、8.2.35とベンダーのバックポート版8.1.34-5、8.0.30-12、7.4.33-19、Plesk(v18.0.81.4)はPHP 8.5.12、8.4.27、8.3.36、8.2.35と2026年10月21日にビルドされたサポート終了の8.1、8.0、7.4、Windows PleskはPHP 8.5.12、8.4.27、8.3.36、8.2.35を挙げています。まだ修正されていない場合は、コントロールパネルからパッケージ更新を実行するよう案内しています。自社の管理ホスティング全体が修正済みとはまだ述べていません。10月22日 10:33 EDT（14:33 UTC）の更新では、cPanel EasyApache4のビルド（ea-php74 7.4.33-19〜ea-php85 8.5.12）に加え、CloudLinux EasyApache4のビルド（例：ea-php85 8.5.11-2。番号は低いがCloudLinuxのバックポート版）も挙げています。自社のマネージドホスティングが完全にパッチ適用済みとは述べていません。10月22日 15:28 EDT（19:28 UTC）の更新では、作業は段階的に進んでおり、残りの環境をなお評価中としています。 事業者が示す修正済みビルド: cpanel-php85 8.5.12, cpanel-php84 8.4.27, cpanel-php83 8.3.36, cpanel-php82 8.2.35, cpanel-php81 8.1.34-5, cpanel-php80 8.0.30-12, cpanel-php74 7.4.33-19 | 2026-10-22 23:17 UTC | |
| DigitalOcean App Platformアプリ実行基盤（PaaS） / グローバル | 要対応 | DigitalOceanは、App PlatformのPHPビルドパックにパッチを適用済みとしています。最新のビルドパックと安全なPHPを反映するにはアプリの再デプロイが必要です。独自のDockerfileやコンテナイメージでデプロイしている場合は、そのイメージのPHPバージョンを更新して再デプロイしてください。記事にはビルドパックのPHPバージョンは書かれていません。 | 2026-10-22 23:17 UTC | |
| Herokuアプリ実行基盤（PaaS） / グローバル | 要対応 | HerokuはPHP 8.2.35、8.3.36、8.4.27、8.5.12を提供開始しました。反映にはアプリの再デプロイが必要です。Heroku-22のPHP 8.1.34にはPHPプロジェクトのバックポート修正が入っています。 | 2026-10-22 23:17 UTC | |
| Renderアプリ実行基盤（PaaS） / グローバル | 発表なし | 確認時点で、Renderの公式ページにこのPHP脆弱性に関する発表は見つかりませんでした。 | 2026-10-22 23:17 UTC | |
| Platform.sh / Upsunアプリ実行基盤（PaaS） / グローバル | 順次対応中 | Upsunのステータスページは、更新済みのPHPイメージが21日23:35 UTCにフリート全体のすべてのグリッドリージョンに展開され、PHPセキュリティパッチのすべてのDedicatedクラスターへの展開が22日04:12 UTCに完了したとしています。同社ブログ(10月22日 04:12 UTC時点)では、phpランタイムイメージのPHP 7.4〜8.5すべて(7.4、8.0、8.1のバックポート修正を含む)にパッチを適用して影響を受ける環境を再デプロイしたが、composable imageの更新はまだ進行中としています。8.x未満のPHPを使っている場合はできるだけ早くPHP 8へアップグレードするよう強く勧めており、それまではエッジ層の緩和策で保護されるとしています。PHP 7.3以前には更新は提供されません。コンテナの更新中は短時間のダウンタイムが発生する場合があります。 | 2026-10-22 23:17 UTC | |
| Laravel Cloudアプリ実行基盤（PaaS） / グローバル | 対応済み | Laravel Cloudは、稼働中のすべてのアプリケーションにPHPセキュリティリリースを適用済みで、デプロイも再開したとしています。アプリは利用中のバージョンに応じてPHP 8.5.12、8.4.27、8.3.36または8.2.35で動作しており、その場で適用されるため再デプロイは不要です。新規デプロイはパッチ適用済みの更新済みベースイメージを使用します。 事業者が示す修正済みビルド: php85 8.5.12, php84 8.4.27, php83 8.3.36, php82 8.2.35 | 2026-10-22 23:17 UTC | |
| Laravel Forgeコントロールパネル / グローバル | 要対応 | Forgeの利用者は引き続きご自身のサーバーでPHPを更新する必要があります。Laravelの記事(2026年10月21日 23:26 UTC更新)では、PHP 8.2、8.3、8.4、8.5を使っている場合はForgeでサーバーを開いて「Update PHP」をクリックし(サーバーごとに実行)、失敗した場合はSSHで更新するよう案内しています。Ubuntu 20.04以前のサーバーは更新できないため、対応するUbuntuで新しいサーバーを作成してサイトを移すよう案内しています。PHP 8.0と8.1には修正が提供されないとしています。Forge自身の注意書きでは、自動セキュリティ更新ではPHPは更新されず、PHP 8.1以前には公式の修正がないとしています。 | 2026-10-22 23:17 UTC | |
| AWS Elastic Beanstalk (PHP)アプリ実行基盤（PaaS） / グローバル | 要対応 | AWSは、Elastic Beanstalk(Amazon Linux 2023)のPHPプラットフォームバージョン4.13.13で、PHP 8.5.12とPHP 8.4.27(2026年10月21日のリリース)、PHP 8.3.36とPHP 8.2.35(2026年10月22日のリリース)を提供し、両方のCVEに対処したとしています。AWSは、新しいプラットフォームバージョンがすべてのAWSリージョンですぐには利用できない場合があり、完了まで数時間かかることがあると述べています。マネージドプラットフォーム更新を有効にした環境は次のメンテナンスウィンドウで自動的に新バージョンになります。それ以外は、環境のプラットフォームバージョンをご自身で更新する必要があります。 当サイトの案内: PHP 8.5、8.4、8.3、8.2のいずれでも、環境をプラットフォームバージョン4.13.13以降に更新してください(またはマネージドプラットフォーム更新を有効にしてください)。お使いのリージョンのプラットフォーム履歴も確認してください。 事業者が示す修正済みビルド: php85 8.5.12, php84 8.4.27, php83 8.3.36, php82 8.2.35 | 2026-10-22 23:17 UTC | |
| Amazon LightsailVPS / クラウド / グローバル | 要対応 | AWSは、Lightsailの利用者が自分でPHPを更新する手順を公開しています。Lightsailが提供するブループリント(WordPress、WordPress Multisite、LAMP、Nginx)から作成したインスタンスでは、PHPはOSのパッケージリポジトリから入っており、パッケージマネージャーで更新できます。Bitnamiブループリントから作成したインスタンスは独自のPHPを持ち、apt upgradeでは更新されないため、AWSはLightsail提供のブループリントへの移行を勧めています。AWSは修正済みバージョンを8.2.35、8.3.36、8.4.27、8.5.12としています。 当サイトの案内: スナップショットを取り、sudo apt updateとsudo apt upgradeを実行してWebサーバーを再起動し、apt policyまたはdpkg -lの出力を当サイトのLinuxパッケージチェッカーに貼り付けて確認してください(Lightsailが提供するPHPは、アップストリームではなくUbuntuまたはDebianのバージョン番号のままです)。Bitnamiブループリントのインスタンスは、AWSのLightsailガイドに従って、Lightsail提供のブループリントへ移行するか、BitnamiのPHPを置き換えてください。 | 2026-10-22 23:17 UTC | |
| Azure App Service (Linux, PHP)アプリ実行基盤（PaaS） / グローバル | 順次対応中 | Microsoftは、App Service on Linuxの組み込みPHPイメージの更新版をLatestとStandardのリリースチャネルへ展開完了したとしています(PHP 8.2.35、8.3.36、8.4.27、8.5.12)。Extendedチャネルは最後に更新されるため、StandardまたはLatestへの切り替えを勧めています。Microsoft Marketplaceの公式「WordPress on App Service」から展開されたWordPressアプリは修正済みPHPに更新済みですが、旧Alpineベースのイメージのアプリには修正は提供されません。カスタムコンテナは利用者が再ビルドする必要があり、サポート終了のPHPランタイムにはパッチは提供されません。 事業者が示す修正済みビルド: php82 8.2.35, php83 8.3.36, php84 8.4.27, php85 8.5.12 | 2026-10-22 23:17 UTC | |
| Google Cloud (App Engine, Cloud Run)クラウド基盤 / グローバル | 要対応 | Google Cloudは、App Engineスタンダード（PHP 8.2以降）は自動更新、それ以外は修正版PHP（8.5.12、8.4.27、8.3.36、8.2.35）での再デプロイ・再ビルドが必要としています。PHP 8.1以前は修正されません。 | 2026-10-22 23:17 UTC | |
| HetznerVPS / クラウド / ヨーロッパ | 対応済み | Hetznerは、すべてのWebホスティングとマネージドサーバーで、PHP 7.4および8.0〜8.5に続き、残りのPHP 5.6と7.3にもパッチを適用済みとしています。専用サーバーとクラウドサーバーの利用者には、メールで個別に通知するとしています。 | 2026-10-22 23:17 UTC | |
| netcup共有サーバー / ヨーロッパ | 対応済み | netcupは、すべてのWebホスティングパッケージ(リセラーを含む)とすべてのマネージドサーバーにパッチ適用と保護が完了してオンラインに復帰しており、未修正のPHPバージョンはオンラインにないとしています。Webホスティングのコントロールパネルは、Pleskが更新版を提供した後に復旧しました。ルートサーバー、VPS、マネージドクラウドクラスターの利用者は自分でシステムを管理するため、PHPを自分でパッチする必要があります。 | 2026-10-22 23:17 UTC | |
| Hostnet共有サーバー / ヨーロッパ | 対応済み | Hostnetは、PHPのセキュリティ更新を全システムに展開済みで脆弱性は解消され、古いPHPバージョンもPHP Extended Supportで更新済みとしています。一時的な措置は10月22日00:26 UTCに解除されました。10月22日のニュース記事によると、更新はShared HostingとManaged VPSのプラットフォームで展開されました。Unmanaged VPSは利用者自身がソフトウェアを管理し、PHPをできるだけ早く更新するよう強く推奨されています。 | 2026-10-22 23:17 UTC | |
| Infomaniak共有サーバー / ヨーロッパ | 対応済み | Infomaniakは、共有Webホスティングとクラウドサーバーのインフラ全体で、PHP 8.5、8.4、8.3、8.2、8.1、8.0、7.4向けのPHPセキュリティ修正の展開が完了したとしています(22/10 07:42、ページ表示の現地時間)。PHPのバージョン番号は変わりませんが、対象のすべてのサービスで修正は適用されています。PHP 7.4より古いバージョンはアップグレードが必要です。暫定の緩和策としてsession.upload_progress.enabledを無効化し、他の複数のサービスでファイルアップロードを一時的に制限しています。22/10 17:03の更新では、使用中のビルド（8.5.11、8.4.26、8.3.35、8.2.34、8.1.34、8.0.30、7.4.33）にセキュリティ修正を適用して再コンパイルしたとし、8.5.12、8.4.27、8.3.36、8.2.35もできるだけ早く提供するとしています。 | 2026-10-22 23:17 UTC | |
| TransIP共有サーバー / ヨーロッパ | 発表なし | 確認時点で、TransIPの公式サイトにこのPHP脆弱性に関する発表は見つかりませんでした。TransIPのステータスページには接続できませんでした。 | 2026-10-22 23:17 UTC | |
| o2switch共有サーバー / ヨーロッパ | 発表なし | 確認時点で、o2switchの公式ページにこのPHP脆弱性に関する発表は見つかりませんでした。 | 2026-10-22 23:17 UTC | |
| Gandi共有サーバー / ヨーロッパ | 発表なし | 確認時点で、Gandiの公式ページにこのPHP脆弱性に関する発表は見つかりませんでした。 | 2026-10-22 23:17 UTC | |
| cPanel & WHM (EasyApache 4)コントロールパネル / グローバル | 対応済み | cPanel は 2026年10月21日の EasyApache 4 25.91 で、ea-php82〜ea-php85 の修正版と、サポート終了の ea-php74・ea-php80・ea-php81 向けバックポートを公開しました。通常のシステム更新で EasyApache 4 を更新し、PHP(Apache・PHP-FPM・LSAPI)を再起動してください。cPanel は cPanel & WHM 自体が使う内部 PHP(Roundcube ウェブメールを含む)も更新しており、cPanel & WHM 138.0.18、136.0.50、134.0.66 に PHP 8.4.27 が含まれ、110.0.153 には PHP 8.1.34 向けのバックポート修正が含まれます。CloudLinux では、CloudLinux 自身の ea-php ビルドが修正を低いバージョン番号のまま含む(例: 8.4.26-2.elX.cloudlinux.1)ため、上記の番号と比較せず、パッケージの changelog で CVE ID を確認してください。 事業者が示す修正済みビルド: ea-php85 8.5.12-1, ea-php84 8.4.27-1, ea-php83 8.3.36-1, ea-php82 8.2.35-1, ea-php81 8.1.34-5, ea-php80 8.0.30-12, ea-php74 7.4.33-19 | 2026-10-22 23:17 UTC | |
| CloudLinux (alt-php)コントロールパネル / グローバル | 要対応 | CloudLinuxは、修正済みのalt-phpパッケージが安定版リポジトリに入ったとしています(2026年10月22日00:07 UTCにリリース完了)。対象は、CloudLinux OS 7、8、9のalt-php 5.2〜5.6、7.0〜7.4、8.0〜8.5、CloudLinux OS for Ubuntu 22.04のalt-php 5.2、5.6、7.0〜7.4、8.0〜8.5、およびCloudLinux OS 10のalt-php 5.2です(CloudLinux OS 10のその他のバージョンはELS ALT PHPリポジトリから提供)。通常の更新でこれらすべてが入り、その後PHPの再起動が必要です。パッケージは修正をバックポートした形で、元より小さい独自のバージョン番号のままなので、CloudLinuxは修正の確認にパッケージのchangelogを使うよう案内しています。CloudLinux 6はまだ確認されていません。10月22日 14:31 UTCの更新では、修正済みのalt-php/ea-phpはバックポートのため古いPHP番号のまま表示されるとし、例としてalt-php85 8.5.11-5、CloudLinux OS 8のea-php84 8.4.26-2.el8.cloudlinux.1を挙げています。PHP.net準拠の番号のalt-phpは後日提供するとしています。10月22日 19:50 UTCの更新では、CloudLinux OSリポジトリの修正済みネイティブPHPパッケージが、影響を受けるすべてのバージョンでstableチャネルに入ったとしています（CloudLinux OS 10：PHP 8.3、OS 9：PHP 8.0・8.1・8.2・8.3、OS 8：PHP 7.2・7.3・7.4・8.0・8.2、OS 7：TuxCare ELS経由のPHP 5.4）。通常のパッケージ更新でインストールされます。 当サイトの案内: CloudLinux OS 7ではyum clean all && yum update "alt-php*"、CloudLinux OS 8、9、10ではdnf clean all && dnf upgrade "alt-php*"、CloudLinux OS for Ubuntuではapt-get update && apt-get upgradeを実行します。その後Apache、PHP-FPMまたはLiteSpeedを再起動し、たとえばrpm -q --changelog alt-php74-common | grep -E "CVE-2026-(109618|109619)"のようにchangelogで確認してください。セキュリティ更新のみ(yum --security)では、これらのパッケージはまだ表示されません。 | 2026-10-22 23:17 UTC | |
| Plesk Obsidianコントロールパネル / グローバル | 要対応 | Pleskは修正済みPHPビルドが利用可能だとしています。Plesk for LinuxとPlesk for Windowsで、PHP 8.2〜8.5がそれぞれ8.2.35、8.3.36、8.4.27、8.5.12です。Linuxのサポート終了PHP 7.4.33、8.0.30、8.1.34はバージョン番号が同じままで、2026年10月21日にビルドされたものに修正が含まれます。Plesk自身の管理画面エンジン(sw-engine)は、Plesk Obsidian 18.0.80 Update 11と18.0.81 Update 4で修正済みです。Pleskは、Pleskを利用可能な最新バージョンに更新するよう案内しています。 当サイトの案内: サーバーにPleskの更新をインストールし(Plesk自身の案内もPleskの更新です)、「ツールと設定」>「PHP設定」で各ハンドラーのPHPバージョンを確認してください。LinuxのPHP 7.4、8.0、8.1はバージョン番号が変わらないため、ビルド日(2026年10月21日以降)で確認します。ホスティング会社の共有サーバーを利用している場合は、更新済みかどうかをホスティング会社に確認してください。 | 2026-10-22 23:17 UTC | |
| DirectAdmin (CustomBuild)コントロールパネル / グローバル | 要対応 | DirectAdminは10月21日に、CustomBuildのPHP 8.5、8.4、8.3、8.2を最新版へ更新し、PHP 8.1、8.0、7.4向けのパッチを追加したビルドを公開しました。その後のビルドで、より古いPHP(7.3、7.2、7.1、7.0、5.6)向けのパッチと、PHP 8.1のコンパイルに関する小さな修正が追加されました。さらに、レガシーのrhel7およびdebian10リリースチャネル向けのビルドも公開され、最新のPHPバージョンとすべてのセキュリティパッチが含まれます。これらのチャネル向けの新しいビルド(10月22日 約06:18 UTC)では、LiteSpeedを使うサーバーでのパッチ適用順序が修正されました(それ以前はlsphpモードでパッチが適用されない場合がありました)。PHPの更新は自動ではなく、'da update'のあと'da build php'を実行する必要があります(CustomBuildのcronが有効な場合を除く)。以前にスタッフは、一部の環境でPHP 8.1が正常にビルドできない可能性があると述べています。 | 2026-10-22 23:17 UTC | |
| Webuzo (Softaculous)コントロールパネル / グローバル | 要対応 | Webuzoは、CVE-2026-109618とCVE-2026-109619に対処した更新版のEMPSパッケージ(Webuzoが同梱するPHPスタック)とエンドユーザー向けPHPを公開し、パッチ適用済みのPHP 5.6〜8.5を提供したとしています(EMPS 5.6もパッチ適用済みのPHP 7.4に更新)。すべての利用者に、rootでコマンドを実行してEMPSとすべてのPHPをできるだけ早く更新するよう勧めています(webuzo --emps updateのあと、インストール済みの各PHPを更新。自動更新が無効だった場合は管理パネルの「Update Apps」を使用)。Webuzo 4.8.5(安定版、2026年10月22日)にはEMPSのセキュリティ修正が含まれ、EMPSは自動更新されるとしています。PHPのバージョン番号は示していません。 | 2026-10-22 23:17 UTC | |
| CyberPanelコントロールパネル / グローバル | 要対応 | CyberPanelは、修正済みのLiteSpeedパッケージが利用可能になり、自社のUbuntu 26.04テストサーバーでPHPを8.2.35、8.3.36、8.4.27、8.5.12に更新して検証を通過したと述べています。その後(10月22日)、認証付きのLiteSpeed Ubuntu 20.04パッケージ索引に修正版の候補が掲載され、Ubuntu 20.04のテストホスト1台でPHP 8.3がPHPおよびOPcacheとも8.3.36と報告されたと追記しています(09:50 UTC)。これらの結果はテストしたホストとブランチに限られるとしています。管理者は、すべてのPHPランタイムと関連モジュールの更新、CyberPanel独自のパネル用PHPコピーの更新、ワーカーの再起動と確認を自分で行う必要があります。PHP 8.1以前はベンダーのバックポートまたは移行が必要です。 事業者が示す修正済みビルド: php85 8.5.12, php84 8.4.27, php83 8.3.36, php82 8.2.35 | 2026-10-22 23:17 UTC | |
| Virtualminコントロールパネル / グローバル | 緩和策のみ | Virtualminのスタッフは、VirtualminはPHPパッケージを提供しておらず、OSが提供するものだと述べています(フォーラム返信、10月21日19:11 UTC)。そのためPHPの修正はお使いのOSまたはPHPパッケージの提供元から入手することになります。以前のリリース前のスタッフ投稿では、部分的な対策としてPHP-FPMプールでPHPセッション設定を1つ無効にする方法が示されていました。Virtualmin側の修正済みパッケージ一覧は見つかっていません。 | 2026-10-22 23:17 UTC | |
| ISPConfigコントロールパネル / グローバル | 緩和策のみ | ISPConfig は「ISPConfig の脆弱性ではなく PHP 自体の問題」とし、根本対策はディストリビューションや PHP リポジトリ（Debian、Ubuntu、sury.org など）が出す更新版 PHP の適用だと説明しています。暫定策として、nginx/Apache でマルチパート（ファイルアップロード）リクエストを遮断する ispconfig-multipart-guard を公開しています。遮断中はアップロードが使えないため、PHP 更新後に解除してください。 | 2026-10-22 23:17 UTC | |
| aaPanelコントロールパネル / グローバル | 要対応 | aaPanelのスタッフは(投稿は10月22日 11:07 UTCに編集)、パッチはPHP 7.4〜8.5のみ提供されるとしています(投稿が挙げる更新先は8.5.12、8.4.27、8.3.36、8.2.35、8.1.35、8.0.27、7.4.34)。10月22日 01:39 UTCのスタッフ返信では、7.4、8.0、8.1の更新に修正が追加されたとしています。投稿には、aaPanel自前のPHP 7.0、7.1、7.2、7.3向けパッチ適用ビルド(7.0.34、7.1.34、7.2.35、7.3.34、node.aapanel.comのスクリプトでインストール。aaPanelは先にテストするよう案内)も追加されています。これらはPHPプロジェクトのリリースではなく、aaPanel独自のビルドです。アプリストアで「Update App List」を押し、PHPのバージョンを選んでUpdateを実行し、複数入れている場合はそれぞれ更新します(事前にスナップショット推奨)。PHP 5.6以前は設定による暫定策のみの案内です。8.1、8.0、7.4のビルドは番号だけで判断しないでください。投稿が示すこれらのブランチの番号はPHPプロジェクトの修正版リリースではありません(php.netの8.0.27は修正前の古いリリースです)。同スレッドでは、パネルでのPHPビルドの失敗や極端な遅さを報告する利用者が複数います。 事業者が示す修正済みビルド: php85 8.5.12, php84 8.4.27, php83 8.3.36, php82 8.2.35 | 2026-10-22 23:17 UTC | |
| Cloudflare WAFCDN / WAF / グローバル | 緩和策のみ | Cloudflareは、php2shell向けのマネージドWAFルールを、FreeおよびすべてのPlanでデフォルト有効として展開しました(2026年10月21日 03:02 UTCから)。あわせて、リクエストだけでなくオリジンのレスポンスも見る新しいレスポンス側のマネージドルール(Cloudflare Managed Response Firewall Default、「Default block for High confidence Signatures」)を、Freeを含むすべてのプランに提供しました。これらは追加の防御層にすぎず、Cloudflareは「PHPを必ず更新するように」としており、Cloudflareを経由せずにサーバーへ届く通信は対象外です。有料プランではManaged Rulesetがブロックモードで有効か確認してください。 | 2026-10-22 23:17 UTC | |
| Sucuri Website FirewallCDN / WAF / グローバル | 緩和策のみ | Sucuri は Website Firewall に、この2件の PHP 脆弱性向けの追加 WAF ルールを展開しました（ステータス「Monitoring」、2026年10月21日 15:14 UTC）。10月21日 21:12 UTC の Sucuri ブログでは、既知の悪用経路に対するより精緻な仮想パッチルールを WAF ネットワーク全体に展開済みで、WAF はファイアウォールを通る通信にしか効かず(オリジンへの直接接続は迂回され得る)、PHP の更新は引き続き必要だとしています。オリジンサーバーの PHP 更新の代わりにはならないため、ホスティング事業者に 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 以上、またはベンダー提供のパッチ済みパッケージへの更新を依頼してください。 | 2026-10-22 23:17 UTC | |
| Wordfence (WordPress)CDN / WAF / グローバル | 要対応 | Wordfenceはリリース後の告知を公開しました。PHPが両方の脆弱性を修正する8.5.12、8.4.27、8.3.36、8.2.35を公開したこと、WordPressの自動更新では修正されないこと、PHPはホスティング会社またはご自身のサーバーで更新する必要があることを伝えています。続報(10月22日 00:51 UTC)では、脅威インテリジェンスチームがPHPのパッチを確認しラボ環境で検証したこと、同社のファイアウォールが保護するのはWordPressアプリケーション層のみであること、PHPの更新と再起動が不可欠であることを述べています。これらのCVE向けのファイアウォールルールの提供は発表していません。 | 2026-10-22 23:17 UTC | |
| Patchstack (WordPress)CDN / WAF / グローバル | 要対応 | Patchstack の警告（2026年10月21日）は、PHP を 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 またはベンダーのパッチ済みパッケージに更新し、PHP 8.1 以前はベンダーのバックポートか対応バージョンへの移行を求めています。設定による対策は部分的なものとし、非公式の「修正」プラグインは避けるよう注意しています。このページには、この問題に対する Patchstack の仮想パッチへの言及はありません。 | 2026-10-22 23:17 UTC | |
| Imunify360 (CloudLinux)CDN / WAF / グローバル | 緩和策のみ | Imunify360のWAFルールは修正ではなく暫定の緩和策です。ルールセット8.83〜8.85(10月21日)は、Imunify360とWAFが有効なサーバーに自動配信され、Apache、Nginx、Corazaでは既知の攻撃リクエストと公開されている攻撃ツールをブロックします。ルールセット8.84以降はLiteSpeedでも、ツールと自サイト以外から来るアップロード進捗リクエストをブロックします。スキャン元IPにはCAPTCHAチャレンジも表示されます。CloudLinuxは、ルールの対象はCVE-2026-109619のアップロード進捗経路のみで、CVE-2026-109618のメモリ不足経路をブロックするルールはまだないとしており、ImunifyAVやWAF無効のサーバーは対象外です。引き続きPHPの更新が必要です。CloudLinuxのブログ(10月22日 01:25 UTC)では、修正済みalt-phpが安定版に入ったとしています。 | 2026-10-22 23:17 UTC | |
| さくらのレンタルサーバ / さくらのマネージドサーバ (Sakura Internet)共有サーバー / 日本 | 対応済み | さくらインターネットは、さくらのレンタルサーバ・さくらのマネージドサーバについて、コントロールパネルから選択できるすべてのPHPバージョンでPHPの脆弱性（CVE-2026-109618、CVE-2026-109619）への対応を完了したとしています。緊急メンテナンス「PHPバージョンアップ」は2026年10月22日6時30分に完了と表示されています。お知らせにはphpMyAdminとウェブメールが対応中と書かれたまま（ウェブメールは13:45に完了と追記）ですが、一部機能停止のメンテナンス情報では、ウェブメール・旧ウェブメール・ファイルマネージャーは13:45、phpMyAdminは15:15に復旧したと表示されています。 当サイトの案内: さくらは、お客様に実施いただく緊急の対応はないとしています。あわせて、サポート期間中の最新版PHPへの移行を検討するよう案内しています。移行する場合は、事前にお使いのアプリがそのバージョンで動くか確認し、バックアップを取ってください。 | 2026-10-22 23:17 UTC | |
| エックスサーバー (Xserver)共有サーバー / 日本 | 順次対応中 | エックスサーバー株式会社は公式X（2026年10月22日21:14の投稿）で、PHP 5.6～8.5については対象となるすべてのサーバーへの修正パッチの適用が完了したとし、PHP 5.5以下の旧バージョンについては引き続き修正パッチの作成・検証を進めるとしています。これより前の投稿でも、PHP 7.4～8.1について同様に完了したとしていました（12:08）。各種サービスサイトは20:10から順次再開し、一部機能は引き続きメンテナンス中としています。 当サイトの案内: 現時点で、公式の案内にお客様の操作を求める記載はありません。同社は、ご利用状況によってはお客様にも追加の対策をお願いする場合があり、その際は改めて案内するとしているため、同社の案内（公式サイトとX @xserverjp）を確認し、求められた場合のみ対応してください。PHP 5.5以下をお使いの場合は、安全とみなす前に同社へ確認してください。 | 2026-10-22 23:17 UTC | |
| Xserverビジネス (Xserver Business)共有サーバー / 日本 | 順次対応中 | エックスサーバー株式会社は公式X（2026年10月22日21:14の投稿）で、PHP 5.6～8.5については対象となるすべてのサーバーへの修正パッチの適用が完了したとし、PHP 5.5以下の旧バージョンについては引き続き修正パッチの作成・検証を進めるとしています。これより前の投稿でも、PHP 7.4～8.1について同様に完了したとしていました（12:08）。各種サービスサイトは20:10から順次再開し、一部機能は引き続きメンテナンス中としています。この全社向けのお知らせにXserverビジネスの名称は記載されていません。 当サイトの案内: 現時点で、公式の案内にお客様の操作を求める記載はありません。同社は、ご利用状況によってはお客様にも追加の対策をお願いする場合があり、その際は改めて案内するとしているため、同社の案内（公式サイトとX @xserverjp）を確認し、求められた場合のみ対応してください。PHP 5.5以下をお使いの場合は、安全とみなす前に同社へ確認してください。 | 2026-10-22 23:17 UTC | |
| シンレンタルサーバー (Shin Rental Server)共有サーバー / 日本 | 順次対応中 | エックスサーバー株式会社は公式X（2026年10月22日21:14の投稿）で、PHP 5.6～8.5については対象となるすべてのサーバーへの修正パッチの適用が完了したとし、PHP 5.5以下の旧バージョンについては引き続き修正パッチの作成・検証を進めるとしています。これより前の投稿でも、PHP 7.4～8.1について同様に完了したとしていました（12:08）。各種サービスサイトは20:10から順次再開し、一部機能は引き続きメンテナンス中としています。この全社向けのお知らせにシンレンタルサーバーの名称は記載されていません。 当サイトの案内: 現時点で、公式の案内にお客様の操作を求める記載はありません。同社は、ご利用状況によってはお客様にも追加の対策をお願いする場合があり、その際は改めて案内するとしているため、同社の案内（公式サイトとX @xserverjp）を確認し、求められた場合のみ対応してください。PHP 5.5以下をお使いの場合は、安全とみなす前に同社へ確認してください。 | 2026-10-22 23:17 UTC | |
| スターレンタルサーバー / スターサーバー (Star Server)共有サーバー / 日本 | 順次対応中 | エックスサーバー株式会社は公式X（2026年10月22日21:14の投稿）で、PHP 5.6～8.5については対象となるすべてのサーバーへの修正パッチの適用が完了したとし、PHP 5.5以下の旧バージョンについては引き続き修正パッチの作成・検証を進めるとしています。これより前の投稿でも、PHP 7.4～8.1について同様に完了したとしていました（12:08）。各種サービスサイトは20:10から順次再開し、一部機能は引き続きメンテナンス中としています。この全社向けのお知らせにスターレンタルサーバーの名称は記載されていません。 当サイトの案内: 現時点で、公式の案内にお客様の操作を求める記載はありません。同社は、ご利用状況によってはお客様にも追加の対策をお願いする場合があり、その際は改めて案内するとしているため、同社の案内（公式サイトとX @xserverjp）を確認し、求められた場合のみ対応してください。PHP 5.5以下をお使いの場合は、安全とみなす前に同社へ確認してください。 | 2026-10-22 23:17 UTC | |
| ロリポップ！レンタルサーバー (GMO Pepabo)共有サーバー / 日本 | 対応済み | GMOペパボは公式Xで、修正版を適用してお客様のサイトを2026年10月22日13:11に再開したこと、公式の修正版がない旧バージョンのPHPにも独自の修正を適用していることを案内しています。16:27の復旧のお知らせでは、CVE-2026-109618 / CVE-2026-109619を名指しし、修正の適用が完了して13時頃にお客様のサイトの表示を再開したとしています。すべてのサイトを保護するため、PHP 8.2以降やPHPを使っていないサイトも含めてサーバー単位で停止したと説明しています。サービスサイトは一部を除き、まもなく再開予定としています。 当サイトの案内: ロリポップ！の復旧のお知らせ（公式X、16:27）は、お客様へのお願いとして、PHP 8.2以降へのバージョンアップ、WordPressの本体・プラグイン・テーマの更新状況の確認、サイトの表示・フォーム・ファイルのアップロードなどの動作確認を挙げています。サービスサイトの完全な再開は公式X @lolipopjp で確認してください。 | 2026-10-22 17:17 UTC | |
| ヘテムル (heteml, GMO Pepabo)共有サーバー / 日本 | 対応済み | GMOペパボは最終報告（10月22日）で、全バージョンのPHPに修正を適用したとしています。PHP 8.2～8.5は開発元の修正版（8.2.35 / 8.3.36 / 8.4.27 / 8.5.12）、サポートが終了したPHP 7.4 / 8.0 / 8.1は開発元提供の修正、PHP 5.6～7.3は同社が作成した修正を適用しています。お客様のサイトは11:24に再開し、18:05の追記時点ですべてのサービスが復旧したとしています。また、すべてのバージョンでsession.upload_progress機能が無効になっているとして、サイトの動作確認をお願いしています。 当サイトの案内: ご自身のサイトの動作を確認してください。同社は、すべてのPHPバージョンでsession.upload_progress機能が無効になっているとしています。あわせて、開発元のサポートが続いているPHP 8.2以降への切り替えを案内しています。PHP 8.1以下の対策は応急的なものとしています。 事業者が示す修正済みビルド: php8.2 8.2.35, php8.3 8.3.36, php8.4 8.4.27, php8.5 8.5.12 | 2026-10-22 23:17 UTC | |
| レンタルサーバーCPI共有サーバー / 日本 | 順次対応中 | CPIはお知らせページで、最新パッチが提供されているPHPバージョンについて急ぎ対応中であり、パッチの提供がないバージョンについても今後情報を更新するとしています。パッチの適用状況は同ページで追ってお知らせするとしています。お客さまのサーバーは稼働を継続しており、Webサイトの表示とメールの送受信は通常どおり利用できます。CPIサービスサイト（10月22日21:00）、コントロールパネル（17:00頃）、マイページ（16:00頃）、Roundcube（13:11頃）は再開済みで、セキュアファイルマネージャーは10/30以降の見込みとしています。不正アクセスや攻撃は確認されていないとしています。パッチを適用できないPHPバージョンについては、php.iniの設定変更をリスク緩和策として案内し、php.iniの設定変更はサポート対象外としています。 当サイトの案内: 現時点でお客様の操作は求められていません。サイトの表示とメールの送受信は通常どおり使えます。パッチを適用できないPHPバージョンについては、CPIがphp.iniの設定変更を緩和策として案内しています（サポート対象外）。パッチの適用状況はCPIのお知らせページで確認してください。 | 2026-10-22 23:17 UTC | |
| KAGOYA レンタルサーバー (カゴヤ・ジャパン)共有サーバー / 日本 | 順次対応中 | KAGOYAは、CVE-2026-109618 / CVE-2026-109619を名指しした案内（10月22日の最新更新、ページ更新18:48）で、レンタルサーバープラン（PHP 7.4系、8.1系、8.2系、8.3系、8.4系、8.5系）については修正版へのアップデートを順次進めており、10月22日24時の完了を見込んでいるとしています。マネージド専用サーバー・共用サーバー・WordPress専用サーバーの各プランについては、恒久的な対応の方針を引き続き調整中とし、暫定的なリスク低減策として、Webサイトの公開停止（メンテナンス画面への切り替え）やアクセス制限などの検討を求めています。 当サイトの案内: レンタルサーバープランについては、KAGOYAがすでにアップデートを進めているため、完了を待ち、同じお知らせのページで続報を確認してください。マネージド専用サーバー・共用サーバー・WordPress専用サーバーの各プランについては、Webサイトの公開停止やアクセス制限などの暫定策を挙げています（お知らせに.htaccessの記載例があります）。 | 2026-10-22 23:17 UTC | |
| ConoHa WING (GMO Internet)共有サーバー / 日本 | 対応済み | ConoHaは終報（公式X、2026年10月22日21時01分投稿）で、PHPの脆弱性へのすべての対応が完了したと案内しています。2026年10月22日20時45分時点で、サーバーへのセキュリティパッチの適用は完了したとしています。これより前の報告（18時00分時点）では、パッチの適用は順次進行中で、Webメールとファイルマネージャーは再開、phpMyAdminは停止中でした。 当サイトの案内: ConoHaは、お客様ご自身でPHPバージョンを変更する必要はないとしています。PHPのバージョンを上げずに修正プログラムだけを取り込む方法で適用しているため、WordPressの「サイトヘルス」などでは従来のバージョン番号（例：8.5.11）が表示される場合がありますが、同社はこれを想定内としています。 | 2026-10-22 17:17 UTC | |
| お名前.com レンタルサーバー (GMO Internet)共有サーバー / 日本 | 順次対応中 | GMOインターネットは、2026年10月21日から案内している緊急サーバーメンテナンスと、ファイルマネージャー・phpMyAdmin・Webメール機能の一時停止は、いずれも2026年10月21日（日本時間23時）に公開されたPHPの修正版への対応として実施しているとしています。お客様がご利用中のPHPバージョンを維持したまま、サーバーへのセキュリティパッチを順次適用しているとしています。基本的にPHPバージョンの変更は不要ですが、PHP 5系や7系をご利用の場合は変更が必要なケースもあるとしています。Webサイトの表示とメールの送受信は通常どおり利用できます。 当サイトの案内: 基本的にPHPバージョンの変更は不要です。PHP 5系や7系を使っている場合は、変更が必要なケースもあるため、同社のお知らせを確認してください。ファイルマネージャー・phpMyAdmin・Webメールは予防措置として停止中です。 | 2026-10-22 17:17 UTC | |
| カラフルボックス / カラフルビジネス (ColorfulBox)共有サーバー / 日本 | 対応済み | カラフルボックスは、全サーバー（共有サーバー・カラフルビジネス・タダサーバー・専用サーバー）での事前の保護措置とセキュリティ修正版のアップデート作業が、2026年10月22日朝までにすべて完了したとしています。お客様がご利用中のPHPバージョンを維持したまま、サーバー側で対策済みバージョンへ更新したため、お客様がPHPバージョンを変更・切り替えする必要はないとしています。PHP 8.2～8.5の最新修正版への更新に加え、PHP 7.4やPHP 8.0/8.1などの旧バージョンについても、サーバー側でセキュリティ修正と保護措置の適用が完了しているとしています。 当サイトの案内: カラフルボックスは、お客様側の対応は不要で、PHPバージョンを変更する必要はないとしています。 | 2026-10-22 23:17 UTC | |
| mixhost (ミックスホスト)共有サーバー / 日本 | 対応済み | mixhostは、mixhostレンタルサーバー、mixhostアダルトレンタルサーバー、mixhost海外レンタルサーバーの全サーバーで、2026年10月22日10時18分頃にCVE-2026-109618とCVE-2026-109619に対するPHPの修正パッケージの適用を完了したとしています。対応範囲はPHP 5.2～8.5で、PHP開発元が修正対象から外しているバージョンも、CloudLinuxが提供する独自の修正パッケージで対応済みとしています。この修正ではPHPのバージョン番号は変わりません（例：8.4.26のまま）。お客様で必要な作業はなく、PHP 8.2未満をご利用の場合は8.2以上の利用を推奨するとしています。 当サイトの案内: mixhostは、お客様で必要な作業はないとしています。修正後も、WordPressのサイトヘルスやphpinfoに表示されるPHPのバージョン番号は変わりません。PHP 8.2未満をご利用の場合は、8.2以上への移行を推奨するとしています。 | 2026-10-22 23:17 UTC | |
| CORESERVER V1 / V2 (コアサーバー, Value Domain)共有サーバー / 日本 | 対応済み | バリュードメインの稼働状況ページは、CVE-2026-109618 / CVE-2026-109619を名指しして、CORESERVERの2件のメンテナンスを完了と表示しています。CORESERVER V1（全サーバー、2026年10月22日0:50完了）は提供中のすべてのPHPバージョン（PHP 5.3～8.5）、CORESERVER V2（全サーバー、11:13完了）は提供中のすべてのPHPバージョン（PHP 5.2～8.5）で対応を完了したとしており、お客様側でPHPバージョンを変更する必要はないとしています。 当サイトの案内: バリュードメインは、お客様側でのPHPバージョンの変更等のご対応は必要ないとしています。 | 2026-10-22 23:17 UTC | |
| XREA (エクスリア, Value Domain)共有サーバー / 日本 | 対応済み | バリュードメインの稼働状況ページは、CVE-2026-109618 / CVE-2026-109619を名指しして、XREAのメンテナンス（全サーバー、2026年10月22日0:50完了）を完了と表示しています。提供中のすべてのPHPバージョン（PHP 5.3～8.5）で対応を完了しており、お客様側でPHPバージョンを変更する必要はないとしています。 当サイトの案内: バリュードメインは、お客様側でのPHPバージョンの変更等のご対応は必要ないとしています。 | 2026-10-22 23:17 UTC | |
| VALUESERVER (バリューサーバー, Value Domain)共有サーバー / 日本 | 対応済み | バリュードメインの稼働状況ページは、CVE-2026-109618 / CVE-2026-109619を名指しして、VALUESERVERのメンテナンス（全サーバー、2026年10月22日0:50完了）を完了と表示しています。提供中のすべてのPHPバージョン（PHP 5.3～8.5）で対応を完了しており、お客様側でPHPバージョンを変更する必要はないとしています。 当サイトの案内: バリュードメインは、お客様側でのPHPバージョンの変更等のご対応は必要ないとしています。 | 2026-10-22 23:17 UTC | |
| Oneレンタルサーバー (Value Domain / GMO DigiRock)共有サーバー / 日本 | 対応済み | バリュードメインの稼働状況ページは、CVE-2026-109618 / CVE-2026-109619を名指しして、Oneレンタルサーバーのメンテナンス（全サーバー、2026年10月22日10:20完了）を完了と表示しています。提供中のすべてのPHPバージョン（PHP 5.6～8.5）で対応を完了しており、お客様側でPHPバージョンを変更する必要はないとしています。 当サイトの案内: バリュードメインは、お客様側でのPHPバージョンの変更等のご対応は必要ないとしています。 | 2026-10-22 23:17 UTC | |
| WebARENA (NTTPC)共有サーバー / 日本 | 緩和策のみ | NTTPCコミュニケーションズのWebARENA SuiteX / SuiteS向けの案内（2026/10/22更新）は、CVE-2026-109618、CVE-2026-109619を名指ししています。当初の海外からのWebアクセス制限に続き、国内からのWebアクセスも順次停止するとしており、停止開始はSuiteXが10月22日18:00以降、SuiteSが10月22日17:30以降です。SuiteXについては、PHP 8.3は10月22日中に8.3.36へバージョンアップ（Webアクセス停止なし）、2025年11月19日以降に開通したサーバーのPHP 7.4は一時的にPHP 8.3へ切り替えて10月23日以降に修正パッチ適用済みのPHP 7.4へ戻す、2025年11月18日以前に開通したサーバー（PHP 7.4／7.2／5.6／5.3／5.1）は修正パッチを適用できないため有効な対処が可能になるまでWebアクセスを停止するとしています。SuiteSについては、PHP 7.2／5.6／5.3／5.1は修正パッチを適用できないため有効な対処が可能になるまでWebアクセスを停止するとしています。契約管理画面は停止し、時期は未定です。案内には、PHPの修正をすでに適用したとは書かれていません。 当サイトの案内: WebARENAは、2025年11月19日以降に開通したサーバーのPHP 7.4を10月22日中にPHP 8.3へ切り替えるため、Webコンテンツが一部正常に表示されない可能性があるとしています。Webページ、管理ツール、phpMyAdmin、Webメール、契約管理画面は案内のとおり停止され、FTPは利用できます。再開の目途や利用料金の減免については、同じお知らせのページで続報を確認してください。 | 2026-10-22 23:17 UTC | |
| ABLENET (旧ケイアンドケイコーポレーション)VPS / クラウド / 日本 | 発表なし | ABLENETの公式お知らせにPHPに関する案内は確認できませんでした。直近のセキュリティ関連は、2026年10月20日付のVPS向けLinuxカーネル脆弱性（CVE-2026-99999）の案内で、PHPとは別の件です。 当サイトの案内: 公式の指示は出ていません。PHPを自分で入れている場合は、OSのパッケージ更新とPHPバージョンの確認が必要です。 | 2026-10-22 23:17 UTC |