PHP脆弱性でバージョンは上げるべき？レンタルサーバー各社の対応状況と切り替え手順

PHPの脆弱性のニュースを見て、「自分のサイトもPHPのバージョンを上げないといけないの？」と焦っていませんか。レンタルサーバーの管理画面を開いてみたものの、どれを選べば安全なのか分からず止まっている人も多いはずです。

先に答えると、エックスサーバーやさくらのレンタルサーバなど大手の共用サーバーなら、多くの場合、サーバー会社がすでに修正を当てています。今すぐ自分でバージョンを変える必要はありません。ただし、PHP 8.1以前を使っている人や、VPSなどで自分でPHPを管理している人は、自分で動く必要があります。

この記事では、レンタルサーバー各社の公式発表をもとに対応状況をまとめました。そのうえで、自分がやるべきことと、各社の管理画面でPHPのバージョンを上げる手順を紹介します。各社の状況は2026年10月22日12時30分時点のものです。状況は数時間単位で変わっているので、最後は必ず各社の公式ページで確認してください。

今回のPHPの脆弱性（php2shell）でサイト運営者に関係すること

PHP公式は2026年10月21日、深刻な脆弱性2件（CVE-2026-109618とCVE-2026-109619、通称php2shell）を修正した版を公開しました。深刻度はどちらもCVSS v4.0で9.2です。ログインなしで、外部からサーバー上のプログラムを勝手に動かされるおそれがあります。

修正版は次の4つです。

PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

PHP公式によると、Webのアクセスを処理しているPHPはすべて対象です。PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedが挙げられていて、特にmod_phpは危険度が高いとされています。また、公式は「完全な回避策はなく、更新だけが安全な選択だ」と明言しています。

WordPressのプラグインやテーマを更新しても、この問題は解決しません。PHPそのものの問題だからです。

もう一つ大事なのが、PHP 8.1以前はPHP公式の修正対象外だという点です。サーバー会社やLinuxディストリビューションによっては独自に修正を当てていますが、公式は8.2以降への移行をすすめています。さらに、PHP 8.2も2026年12月31日でサポートが終わると公式が案内しています。

レンタルサーバー各社の対応状況（10月22日12時30分時点）

各社の公式発表を確認できた範囲でまとめました。「PHP」と明記していない会社は、そのように書いています。

サーバー	公式発表の内容	利用者がやること
エックスサーバーシン・レンタルサーバー	10月22日6時45分時点で、PHP 8.2〜8.5は対象のすべてのサーバーに修正パッチを適用済み。旧バージョンは、準備ができたものから順に適用中。管理画面などは9時30分に一部を除いて再開	8.2〜8.5なら急ぎの作業はなし。旧バージョンの人は続報を確認
さくらのレンタルサーバマネージドサーバ	管理画面で選べるすべてのPHPバージョンで対応完了（10月22日のお知らせ）。phpMyAdminと一部のWebメールは対応中	緊急の作業はなし。サポート中の最新版への移行の検討をすすめている
mixhost	10月22日10時18分ごろ、全サーバーに修正パッケージを適用完了。PHP 5.2〜8.5が対象	作業は不要。8.2未満の人には8.2以降への移行をすすめている
ConoHa WING	10月21日19時〜22日10時に緊急メンテナンスを実施。作業内容は「システムの保守作業」で、PHPとは書かれていない。22日からファイルマネージャーとWebメールを一時停止中	公式の続報を確認。PHPの修正状況は公式発表では確認できていない
ロリポップ！	PHPの脆弱性への予防措置として、10月21日から緊急メンテナンス中。12時30分時点の告知では、お客様のサイトやユーザー専用ページなどが「現在利用できません」と表示されている	メンテナンス明けを待つ。最新情報は公式X（@lolipopjp）で発表
KAGOYA	レンタルサーバーのPHP 8.2〜8.5は、修正版へのバージョンアップで対応する予定。マネージド専用・共用・WordPress専用の恒久対応は調整中（10月22日10時35分時点）	調整中のプランは、メンテナンス画面への切り替えやアクセス制限を検討するよう案内されている
Zenlogic	10月21日22時〜22日18時に、PHPのバージョンアップとパッチ適用の緊急メンテナンス。作業中はWebサイトが表示されない。PHP 5.3は最新版へ強制的に上がり、7.4と8.1も上がる可能性あり	メンテナンス後、フォームやCMSが正しく動くか確認
お名前.com レンタルサーバー	10月21日19時〜22日10時に緊急のサーバーメンテナンス。作業内容は「システムの保守作業」で、PHPとは書かれていない	公式の続報を確認

出典は記事の最後にまとめています。

「PHPのバージョンを上げれば安全」とは限らない

ここが一番まちがえやすいところです。今回の対策でいちばん大事なのは、バージョンの系列（8.3や8.4など）を変えることではありません。使っている系列に修正が当たっていることです。

たとえば、管理画面で8.1から8.4に切り替えても、そのサーバーの8.4にまだ修正が当たっていなければ安全とはいえません。逆に、サーバー会社が修正を当てていれば、8.4のまま何もしなくても大丈夫です。

もう一つ注意したいのが、バージョンの数字だけでは判断できない会社があることです。mixhostは、修正を当ててもPHPのバージョン表示は変わらないと案内しています。WordPressのサイトヘルスやphpinfoで「8.4.27になっていない」と見えても、修正済みのことがあるわけです。

だからこそ、判断の決め手は自分が契約しているサーバー会社の公式発表です。数字を見て不安になったら、まず公式のお知らせを確認してください。

自分がやることは3パターン

パターン1：共用レンタルサーバーで、PHP 8.2〜8.5を使っている

多くの人はここに当てはまります。サーバー会社が修正を当てるので、基本的には待つだけで大丈夫です。

契約しているサーバー会社の公式お知らせで「対応完了」の発表を確認する
メンテナンスが終わったら、サイトの表示やお問い合わせフォームが動いているか確認する
8.2を使っているなら、2026年12月31日のサポート終了までに8.3以上へ移る計画を立てておく

パターン2：PHP 8.1以前を使っている

PHP公式の修正対象外なので、優先して動いたほうがいいパターンです。サーバー会社が独自に修正を当てている場合もありますが、今後も古い版にパッチが出続ける保証はありません。

まずサーバー会社の公式発表で、自分のバージョンが対応済みか確認する
このあと紹介する手順で、8.3以上（テーマやプラグインが対応していれば8.4以上）へ切り替える
Zenlogicのように、サーバー会社の側で強制的にバージョンを上げる場合もあります。切り替わったあとは、サイトが正しく動くか必ず確認してください

パターン3：VPSや専用サーバーで、自分でPHPを管理している

この場合は、サーバー会社は修正してくれません。自分で更新する必要があります。

OSのパッケージ（aptやdnfなど）でPHPを入れているなら、ディストリビューションの更新版を適用する。PHP公式によると、Linuxディストリビューションには事前に修正が渡されています
更新したら、PHP-FPMやApacheなど、PHPを動かしているプロセスを再起動する
すぐに更新できないときは、PHP公式が案内している一時的な緩和策（memory_limit、post_max_size、session.upload_progress.enabledの設定など）を検討する。ただし公式は、これらは更新の代わりにならないとしています
KUSANAGIなどのパッケージを使っている場合は、その提供元の案内も確認する

どのバージョンを選べば安全？

バージョンを切り替えるなら、選ぶ基準はシンプルです。

8.1以前は選ばない：PHP公式のサポートがすでに終わっています
8.2は短期の選択肢：2026年12月31日でサポートが終わるので、あと2か月ほどしか使えません
おすすめは8.3以上：テーマやプラグインが対応をうたっている中で、なるべく新しい系列を選ぶ

個人的には、一番新しい8.5にいきなり上げるより、テーマとプラグインが対応を明記している系列を選ぶほうが安全だと考えています。新しすぎる版だと、古いプラグインが動かなくなることがあるからです。

PHPのバージョンを上げる前にやること

PHPの系列を上げると、古いプラグインやテーマが動かなくなり、サイトが真っ白になることがあります。慌てて切り替える前に、次の順で進めてください。

今のバージョンを確認する：WordPressなら「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPのバージョンが見られます。サーバーの管理画面でも確認できます
バックアップを取る：サーバーのバックアップ機能やWordPressのバックアッププラグインで、ファイルとデータベースを保存する
テーマとプラグインを最新にする：先に更新しておくと、新しいPHPで動かないトラブルを減らせます
できればテスト環境で試す：ステージング機能があるサーバーなら、本番の前にそこで切り替えてみる
切り替えて動作を確認する：トップページ、記事ページ、お問い合わせフォーム、WordPressの管理画面を一通り開く
不具合が出たら元に戻す：同じ画面で前のバージョンを選び直せば、元の状態に戻せます

レンタルサーバー別のPHPバージョンの切り替え手順

各社の公式マニュアルに書かれている手順です。メンテナンス中は管理画面に入れないことがあるので、再開してから操作してください。

エックスサーバー

サーバーパネルにログインする
「PHP Ver.切替」をクリックする
対象のドメインを選び、変更後のバージョンを選んで変更する

エックスサーバーのマニュアルでは、PHP 8.2・8.1・7.4などは「旧バージョン」とされていて、今後のバージョンアップ予定はないため新規での利用はすすめられていません。

さくらのレンタルサーバ

サーバーコントロールパネルにログインする（初期ドメインか追加したドメインとパスワードで入る）
「スクリプト設定」→「言語バージョン設定」を開く
PHPのバージョンを選んで「保存する」をクリックする
現在のバージョンが選んだものに変わったか確認する

不具合が出た場合は、前のバージョンを選び直せば元の環境に戻せると案内されています。

ConoHa WING

コントロールパネルにログインし、上のメニューで「WING」を選ぶ
左メニューの「サイト管理」→「サイト設定」を開く
上のタブの「応用設定」→「PHP設定」を開く
「PHPバージョン」の右にある鉛筆マーク（編集）を押し、バージョンを選んで「保存」する

ドメインごとに設定でき、ドメイン個別の設定がサーバー全体の設定より優先されます。変更すると.htaccessに「AddHandler」で始まる行が追加されるので、消さないようにしてください。

ロリポップ！

ユーザー専用ページにログインする
「サーバーの管理・設定」→「PHP設定」を開く
対象のドメインのバージョンを選び、変更する

反映まで数分かかることがあります。なお、10月22日12時30分時点ではユーザー専用ページがメンテナンス中で使えません。

mixhost

cPanelにログインする
現行プランは「MultiPHP マネージャー」を開く（見当たらない旧プランは「Select PHP Version」）
対象のドメインにチェックを入れ、「PHPバージョン」から選んで「適用」をクリックする

mixhostは、バージョンを上げたことで起きた不具合はサポートの対象外としています。バックアップを取ってから進めてください。

「緊急のPHP対策」をよそおった連絡に注意

こうした大きなニュースのあとは、「サーバーが危険です。今すぐこちらからPHPを更新してください」といったメールが届くことがあります。サーバー会社を名乗ってログイン画面に誘導する、フィッシング（偽サイトでIDやパスワードを盗む手口）の可能性があります。

管理画面には、届いたメールのリンクからではなく、ブックマークや公式サイトから入るようにしてください。

まとめ

結論：大手の共用レンタルサーバーで8.2〜8.5を使っているなら、サーバー会社が修正を当てるので、急いで自分でバージョンを変える必要はありません
判断の決め手：バージョンの数字ではなく、契約しているサーバー会社の公式発表で「対応完了」を確認する
自分で動くべき人：PHP 8.1以前を使っている人と、VPSなどで自分でPHPを管理している人
選ぶなら：8.3以上で、テーマとプラグインが対応している系列。8.2は12月末でサポートが終わる
切り替える前に：バックアップ、テーマとプラグインの更新、切り替え後の動作確認を忘れずに