2026年10月のPHP重大脆弱性で何が起きた？レンタルサーバー各社の対応を、約30サイトを更新した現場目線でまとめました

2026年10月、PHPに重大な脆弱性が公表され、Webサイトを運営している会社やお店、自治体の担当者の方は対応に追われたのではないでしょうか。当社でも、自治体関連のサイトを優先しながら、約30のWordPressサイトの確認・更新を行いました。

この記事では、今回の騒動で何が起きたのかを整理したうえで、作業の中で見えた「レンタルサーバー会社ごとの対応の違い」を、現場の目線でまとめました。サーバー選びや、これからの保守の参考にしてください。

今回のPHPの脆弱性で何が起きたのか

PHPは、WordPressをはじめ、多くのWebサイトを動かしているプログラム言語です。2026年10月20日にPHP公式から「重大なセキュリティリリースを予定している」という事前の告知があり、10月21日に修正版が公開されました。

項目	内容（PHP公式の発表より）
公表日	2026年10月21日（日本時間では21日の夜）
内容	重大な脆弱性2件。認証なしで、外部からプログラムを実行されるおそれ（リモートコード実行）
深刻度	2件ともCVSS v4.0で9.2（重大）
修正版	PHP 8.5.12／8.4.27／8.3.36／8.2.35
PHP 8.1以前	PHP公式の更新はすでに終了。サポートされているバージョンへの移行が必要

PHP公式は、一時的な回避策はあっても完全な対策にはならず、「更新するのが唯一の安全な方法」と案内しています。
→ PHP公式のお知らせ（英語）

レンタルサーバーでは「サーバー会社の対応待ち」になる部分がある

自社でサーバーを管理している場合は、自分でPHPを更新します。一方、レンタルサーバーを使っている場合、PHP本体の修正はサーバー会社が行います。利用者ができるのは、サーバー会社が修正版を用意したあとに、サイトのPHPのバージョンを切り替えたり、WordPressやプラグインを更新したりする作業です。

今回は、多くのサーバー会社が修正が終わるまでの間、PHPで動くサイトを一時的に止める対応をとったため、サイトが表示されない時間がありました。一方、エックスサーバーは公式サイトや管理画面を止めたものの、利用者のサイトは表示したまま対策を進めました（エックスサーバーのお知らせ）。そのため、「サーバー会社がいつ修正して再開し、いつ案内を出したか」で、サイトが止まっていた時間と、サイト側の作業を始められる時間が大きく変わりました。

サーバー会社ごとの対応（当社が作業した範囲）

以下は、当社が実際に作業したサイトで、修正版の公表後にサイトが再び表示され、作業を始められたタイミングをまとめたものです。サーバー会社の公式な発表時刻ではなく、当社の作業の体感です。プランやサーバーによって違う場合があります。

サーバー会社	作業を始められたタイミング	お知らせ
さくらインターネット	公表の翌朝から	対応状況が分かりやすかった
エックスサーバー	公表の翌朝から（サイトは表示されたまま。管理画面は10月22日9時30分から順次再開）	対応状況が分かりやすかった
ロリポップ！	公表の翌日の昼ごろ	—
ヘテムル系	公表の翌日の昼ごろ	—
OCNホスティング	公表の翌日の夕方	—

表に出てくるレンタルサーバーの公式サイトはこちらです（OCNホスティングを除く）。
→ さくらのレンタルサーバ（さくらインターネット）
→ エックスサーバー
→ ロリポップ！
→ ヘテムル

対応が早かった会社で助かったこと

さくらインターネットとエックスサーバーは、翌朝の時点で対応状況が案内されていて、どのサーバーが修正済みなのかが分かる状態でした。そのため、自治体関連など優先度の高いサイトから、すぐに確認・更新の作業に入れました。

こうした緊急時には、「修正が終わったかどうか」だけでなく、「今どういう状況で、利用者は何をすればいいか」が分かるお知らせがあるかどうかで、作業の進めやすさが大きく変わります。

今回、対応が早く案内も分かりやすかった2社の公式サイトはこちらです。
→ エックスサーバーの公式サイトを見る
→ さくらのレンタルサーバの公式サイトを見る

修正が終わるまで、サイトが止まったサーバーもあった

今回は、多くのレンタルサーバー会社が、修正が終わるまでの間、PHPで動くサイトを一時的に止める対応をとりました。WordPressのサイトはPHPで動いているので、その間はサイトが表示されない状態になります。なお、エックスサーバーは、公式サイトや管理画面などを一時停止した一方で、利用者のサーバーは稼働を続け、Webサイトの表示やメールの送受信には影響がなかったと案内しています。重大な脆弱性から利用者のサイトを守るための判断ですが、サイトを見に来た人やお客さまからは「サイトが壊れた」と見えてしまいます。

また、再開後のPHPの環境で、古いWordPressやテーマ・プラグインが正しく動かないこともあります。サーバー会社のお知らせを確認するだけでなく、再開後に自分のサイトがきちんと表示されるかも、必ず確認しましょう。

対応を待つ間にやっておくこと

サーバー会社の修正を待つ間も、できることはあります。

• サイト全体（ファイル・データベース）のバックアップを取る
• サイトで使っているPHPのバージョンと、WordPress・プラグイン・テーマのバージョンを確認する
• 更新が長く止まっているプラグインがないか確認する
• サーバー会社のお知らせ・障害情報のページをこまめに確認する
• サーバー側でPHPが更新されたあと、トップページ・下層ページ・お問い合わせフォームなどが正しく表示・動作するか確認する

PHPのバージョンを上げる前の正しい順番は、こちらで説明しています。
→【【要注意】WordPressでPHPを上げる前に必ず確認！順番を間違えるとサイトが壊れます【2026年10月の脆弱性対応も】】

今回の騒動で見えた、サーバー選びと保守のポイント

1. 緊急時のお知らせが分かりやすいか

ふだんの料金や速さだけでなく、こうした緊急時に、状況と対応方法をきちんと案内してくれるかどうかも、サーバー会社を選ぶポイントです。

2. 古いPHP・古いWordPressのまま放置しない

PHP 8.1以前は、すでにPHP公式の更新が終わっています。また、PHP 8.2も2026年12月31日でサポートが終わります。古いバージョンのままのサイトは、今回のように修正版が出ても、すぐには切り替えられないことがあります。

当社で対応したサイトの中にも、古いWordPressやオリジナルテーマのために、段階的に更新しなければならないサイトがありました。
→【PHPの重大な脆弱性に対応。約30サイトの更新で見えた、WordPress保守の重要性】

3. 「誰が更新するか」を決めておく

制作会社が廃業していたり、担当者が異動していたりして、「誰に頼めばいいか分からない」サイトもありました。緊急時に慌てないよう、ふだんから更新の担当や保守の契約を決めておくことが大切です。
→【ホームページ制作会社が廃業したらどうする？ドメイン・サーバー・メールを守るための対処法】

4. 地方プロバイダ系のホスティングは、乗り換えも検討を

今回の作業で気になったのが、地方のプロバイダなどが提供しているホスティング（ホームページ用のサーバー）です。当社が見ている範囲では、いまだにPHP 5系で提供されているものも多く、今回のような重大な脆弱性についても、更新の告知が出ていませんでした。

PHP 5系は、PHP公式のセキュリティ更新が2018年末で終わっている、とても古いバージョンです。今回の修正版（8.2以降）とは大きく離れているため、サーバー側で新しいPHPが選べないと、サイト側でできる対策がほとんどありません。

次のようなホスティングを使っている場合は、大手のレンタルサーバーへの乗り換えをおすすめします。

• PHPのバージョンが5系や7系のまま、新しいバージョンを選べない
• セキュリティ更新やメンテナンスのお知らせがほとんど出ない
• 管理画面でPHPのバージョンを確認・変更できない
• 問い合わせ先や対応時間がはっきりしない

乗り換えるときは、ホームページのデータだけでなく、独自ドメインやメールの設定も一緒に移す必要があります。手順を間違えるとメールが届かなくなることもあるので、事前に確認しておきましょう。
→【レンタルサーバーの選び方：格安プランの問題点を知る】
→【【保存版】Webサイトリニューアルで「メールが止まる」悲劇を防ぐには？デザインより先に確認すべきインフラの話】

乗り換え先の候補としては、今回の対応が早かったエックスサーバーや、さくらのレンタルサーバがあります。料金やプランは各社の公式サイトで確認してください。
→ エックスサーバーの公式サイトを見る
→ さくらのレンタルサーバの公式サイトを見る

まとめ

2026年10月のPHPの脆弱性では、レンタルサーバー会社の対応の早さと、お知らせの分かりやすさが、サイト側の作業の進めやすさを大きく左右しました。当社が作業した範囲では、さくらインターネットとエックスサーバーが翌朝から作業でき、案内も分かりやすい対応でした。

サーバー会社の対応を待つだけでなく、ふだんからバックアップを取り、PHP・WordPress・プラグインを順番に更新しておくことが、いざというときの一番の備えになります。古いPHPしか選べないホスティングを使っている場合は、この機会に乗り換えも検討してください。

株式会社メビウス・ネットコムでは、保守契約のないサイトや他社で制作されたWordPressサイトについても、PHP・WordPress・プラグインの確認と更新をスポットで承っています。
→【Webサイト管理運用】
→【お問い合わせ】（TEL：0233-29-6600）

※本記事は2026年10月時点の当社の作業をもとにした内容です。各サーバー会社の対応状況は、それぞれの公式のお知らせをご確認ください。

同じ時期に、ホームページ作成サービスの「Ameba Ownd」は、脆弱性の調査をきっかけにサービス終了（2026年12月24日）を決めました。利用中の方はこちらを確認してください。
→【Ameba Owndが2026年12月24日にサービス終了｜すでに更新不可、データ保存と移行の準備を】
→【Ameba Owndの移行先はどう選ぶ？小さなお店・会社のホームページを続ける方法】

エックスサーバーの対応について、当社が評価した点はこちらで詳しく紹介しています。
→【エックスサーバーをおすすめする理由｜PHP脆弱性対応で実感した、サーバー選びの大切さ】