PHP緊急修正で国内ホスティング各社はどう動いたか

PHPの重大な脆弱性に対し、国内のホスティング各社は何を止め、何を更新したのでしょうか。修正版の公開前には管理画面などの予防停止が行われ、公開後にはPHPの修正適用やメンテナンス完了の案内が出ています。ただし、管理画面の再開と利用者サイトの修正完了は、同じ状態を指すわけではありません。

本記事は2026年10月22日9時台に公式ページを確認し、さくらインターネット、エックスサーバー、GMO系のConoHa WINGとロリポップ！の対応を整理したものです。時刻はすべて日本時間です。GMOを一つのサービスとしてまとめず、提供サービスごとに記載します。告知で確認できない適用状況は未確認とし、未対応や被害発生とは扱いません。

比較の基準になるPHP公式の予告と修正版

PHP公式の2026年ニュースアーカイブでは、10月20日付で、翌21日14時UTC、すなわち日本時間21日23時のセキュリティリリースを予告していました。公開後は、認証不要の遠隔コード実行につながり得るCVE-2026-109618とCVE-2026-109619の修正を案内しています。

修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35です。これはPHPプロジェクトが公表した版であり、各レンタルサーバーの表示がこの数字へ変わったことを、本記事で個別に実測したわけではありません。配布元が修正を移植する場合もあるため、契約サービスの対象範囲と適用完了の告知を確認します。

以下の比較では、公開前の露出削減、修正の適用、機能の再開を分けています。同じ日に出た「システム保守」の案内でも、PHPとの関係が明記されていないものは、その関係を推測して補っていません。

国内主要サービスの対応比較

※比較表のサービス名のリンクにはアフィリエイト広告を含みます。

サービス	公開前からの対応・案内	公開後に確認できた状態	利用者が確認する点
さくらのレンタルサーバ等	10月21日付で23時開始の緊急メンテナンスを告知	PHPバージョンアップの保守が22日6時30分に完了	旧PHP利用者にはPHP 8.3の利用を案内。対象サービスと稼働版を確認
さくらのクラウドのDBアプライアンス	PHP脆弱性への対応として21日からWeb UIを停止	確認時点の告知では再開未定	DBクラスタは対象外。代替SQLクライアントを確認
エックスサーバー	21日16時から公式サイト・管理画面等を予防停止。利用者サーバーには稼働を継続しつつ対策	22日6時45分の告知でPHP 8.2〜8.5の対象全サーバーへ修正完了。旧版は対応継続	旧版PHPの状況と管理機能の再開を別々に確認
ロリポップ！（GMOペパボ）	PHP修正版公開前の予防措置として21日から順次メンテナンス	確認した公式ページは緊急メンテナンス表示。適用完了の明記は確認できず	ユーザー専用ページやMCP・API等の制限を確認
ConoHa WING（GMOインターネット）	21日19時〜22日10時のシステム保守を案内	確認時点では予定終了時刻前。PHP修正完了の記載は確認できず	終了は前後する可能性。告知はPHPを明記していない

各行の根拠は、下記の公式告知と参考資料に示します。この表は事業者の安全性ランキングではありません。対象サービス、PHP系列、停止対象が違うため、停止開始時刻や案内の数だけで対応の優劣を決めることはできません。

さくらはPHP更新の完了とDB管理機能の停止を区別する

さくらのレンタルサーバ・マネージドサーバの緊急メンテナンス告知は、作業内容をPHPバージョンアップとし、10月21日23時から22日6時30分までの作業と完了を記載しています。対象にはレンタルサーバ、メールボックス、マネージドサーバ、リセール向けサービス、ビジネスメールが含まれます。

告知の接続影響は、作業期間中の数秒程度のWeb接続不可です。作業の時間幅全体にわたり、全サイトが停止していたという意味ではありません。また、古いPHPの利用者にPHP 8.3の利用を求めていますが、告知にない細かな適用版や、すべての旧版の修正完了までは補足していません。利用中の設定と、この案内の対象を照合してください。

一方、さくらのクラウドのDBアプライアンスに関する告知は別の対応です。PHPの脆弱性に伴い、10月21日からphpMyAdmin、phpPgAdmin、pgAdminのWeb UI機能を停止し、再開は未定としています。データベースクラスタは対象外です。代替としてMariaDB・PostgreSQL互換のSQLクライアントを案内しています。

ここで止まると明示されているのはWeb UIです。データベース自体の全面停止や、利用者の全クラウドサーバーのPHP更新完了を意味しません。レンタルサーバーの完了通知を見て、別契約のクラウド管理機能も再開したと判断しないことが必要です。

エックスサーバーは修正版公開後の進捗を段階的に公表

エックスサーバーの公式告知では、10月21日16時から、公式サイト、アカウント管理画面、サーバーパネル、Webメール、ファイルマネージャ、API・MCPなどを一時停止したと説明しています。予防措置であり、不正アクセス発生に伴う対応ではないとも明記しています。

同社は、利用者のWebサイト表示とメールソフトによる送受信は通常どおり利用でき、利用者サーバーを稼働させたまま安全対策を進めると案内しています。したがって、Webメールへ入れないことと、メールソフトで送受信できないことは同じ影響としてまとめられません。

公開後の更新履歴では、22日1時10分時点でPHP 8.2〜8.5への修正適用開始と、旧版向けの独自修正作成への着手を案内。3時55分時点では適用を継続し、各種機能は点検を終えたものから再開すると説明しています。最新の6時45分の案内では、PHP 8.2〜8.5の対象全サーバーへの修正適用完了を報告しています。

ただし、6時45分の案内でも旧バージョンは一部で準備が整い、検証後に順次適用する段階です。「PHP 8.2〜8.5の完了」を「旧版を含む全PHPと全管理機能が完了」に広げないでください。同社は利用状況によって追加対策を依頼する場合があるとも案内しています。

GMO系はConoHaとロリポップを別に読む

ConoHa WINGの10月21日付告知は、一部サーバーのシステム保守を、21日19時から22日10時まで実施するとしています。一時的な接続不可やサービス利用不可の可能性があり、終了は前後すると説明しています。

この告知本文にはPHPやCVEの記載がありません。本記事ではPHP修正版の公開前後に重なる保守情報として掲載しますが、今回のPHP修正を目的とする作業だった、全対象へ修正を適用した、とまでは断定しません。予定された終了時刻に到達することと、実際の完了確認も別です。

ロリポップ！の公式案内では、PHPの重大脆弱性に対する修正版公開に先立つ予防措置としてメンテナンスを実施したと説明しています。確認時点のページは緊急メンテナンス表示で、レンタルサーバーのサービスサイト、ユーザー専用ページ、おさいぽ！の自動更新、MCP・APIなどを利用不可としています。

また、ロリポップFTPと旧Webメーラーは「以前から」の緊急メンテナンスとして分けています。これらを一律に今回新たに停止した機能と数えるのは不正確です。別サービスのデプロイナウでは公開中のサイト・Webアプリ表示などを利用可能とする一方、契約関連機能を制限しており、同じブランド内でも対象が異なります。

確認したページだけでは、ロリポップ！の各PHP系列への修正適用完了は判断できません。これは未対応との断定ではありません。GMOグループの一つのサービスで完了が告知されても、別のサービスへその状態を引き継がない読み方が必要です。

利用者は停止範囲と修正範囲を二つの欄で管理する

ここからは、本サイトが提案する運用手順です。契約名、サービス、サーバー識別子、使用するPHP系列、公式告知、確認日時を一覧にし、「修正適用」と「管理機能の再開」を別の欄へ記録します。PHPが更新されても管理画面の点検が続く場合があり、画面に入れても自分の旧版PHPの適用状況が確認済みとは限らないためです。

共有ホスティングでは、利用者がOSへ直接パッチを入れられないことがあります。一方、自分でOSを管理するVPS・クラウドでは、事業者のポータル保守を待つだけで、ゲストOS内のPHPまで更新されるとは限りません。今回の共用サーバー向け告知を、別のVPS契約へ流用しないでください。

PHP系列の切り替えを案内された場合は、対象サイトのCMS、テーマ、プラグイン、独自処理の互換性も確認します。ただし、互換性確認が終わらないことを理由に、露出した未修正環境を放置するのではなく、契約先へ利用可能な対策と制限を確認します。事業者の管理外の設定を、公開記事の一般論だけで変更しないようにします。

• 修正の確認では、対象PHP系列とサーバーが完了通知に含まれるかを見る。
• 再開の確認では、必要な管理操作、API、Webメールなどを個別に確かめる。
• サイトの確認では、表示だけでなくログイン、フォーム、通知、定期処理も見る。
• 追加対応が未定なら、担当者と次に確認する公式情報を記録する。

作業後の動作確認と、侵害有無の調査も別です。パッチ適用や管理画面の復旧だけで、過去の不正利用がなかったと証明できるわけではありません。不審なファイル、予期しない管理者、異常な通信など別の兆候があれば、ログを保全して通常のインシデント対応へ進めます。本記事で各社の侵害を確認したという意味ではありません。

未確認の欄を残すことが対応判断につながる

今回の対応から分かるのは、公開前に露出を減らす措置と、公開後に修正を届ける作業、機能を再開する点検が並行したことです。一つの「対応済み」という言葉へまとめると、旧版の適用待ちや、業務に必要な管理機能の制限を見落とします。

本記事は公式告知を確認した時点の比較であり、すべての国内事業者や契約プランを網羅するものではありません。確認できない欄を推測で埋めず、契約したサービスの最新告知と個別通知へ戻れる状態を作ることが、サイト運営者にとっての実用的な対応です。

関連記事

• PHP修正版の対象と全Webワーカーへの反映を確認する：修正版公開時点の技術的な対応を扱う先行記事です。各社の最新保守状況は本記事の公式リンクで確認してください。
• Cloudflareが観測したPHP攻撃通信とWAF・調査範囲の点検：事業者の適用確認とは別に、防御範囲やログを点検したい場合の参考記事です。