結論
2026年10月21日に公開されたPHPの重大な脆弱性（通称PHP2Shell）について、国内のレンタルサーバー各社は、ほとんどが10月22日中に修正の適用を終えました。エックスサーバー、お名前.com、mixhost、カラフルボックス、コアサーバー、ヘテムルなどは、利用者がPHPのバージョンを変えなくても修正済みです。多くの会社は表示されるバージョン番号を変えずに修正を入れているため、「8.4.26」のままでも未修正とは限りません。一方、ConoHa WINGやWebARENAは2026年10月22日22時（日本時間）時点で順次適用中、KAGOYAの一部プランは対応を調整中です。各社とも「悪用による被害は確認されていない」としていますが、ヘテムルは「脆弱性を狙ったとみられるアクセスの試み」を確認したと公表しています。
10月21日の夜に修正版が公開されてから、レンタルサーバー各社は一斉に対応に入りました。管理画面や公式サイトを止めて作業した会社も多く、22日の日中は「自分のサイトは大丈夫なのか」「何かしないといけないのか」が分かりにくい状態でした。
この記事では、各社の公式の告知だけをもとに、対応が終わったのか、どの方式で直したのか、利用者が何をすればよいのかを一覧にしました。脆弱性そのものの説明と、自社サイトの確認手順はPHPに重大な脆弱性2件｜WordPressで今すぐ確認する3つのことにまとめています。情報は2026年10月22日22時（日本時間）時点のものです。
先に知っておきたい3つのこと
1. 番号が古いままでも、修正済みのことがある
PHP公式の修正版は8.5.12・8.4.27・8.3.36・8.2.35ですが、レンタルサーバー各社の多くは、利用者が使っているバージョンの番号を変えずに、修正だけを入れる方式をとりました。お名前.com、mixhost、ConoHa WING、カラフルボックスは告知にそう明記しています。WordPressの「サイトヘルス」に8.4.26と表示されていても、それだけで未修正とは言えません。修正済みかどうかは、この記事の表と、各社の告知で確かめてください。
2. サポートが終わった古いPHPにも、独自に修正した会社が多い
PHP 8.1以前はサポートが終わっており、公式の修正版はありません。それでも、エックスサーバー、ヘテムル、さくら、mixhost、カラフルボックス、コアサーバーなどは、古い版にも独自の修正や保護措置を入れたと公表しています。ただしヘテムルが「応急的なもので、今後の脆弱性には対応できない可能性がある」と書いているとおり、各社とも8.2以上（できれば8.3以上）への切り替えをすすめています。
3. 利用者側の作業は、ほとんどの会社で不要
表の「利用者がやること」の欄を見てください。多くの会社は「バージョンの変更などは不要」としています。やっておきたいのは、サイトが正しく表示されるか、問い合わせフォームが動くかの確認と、古いPHPを使っている場合の切り替え計画です。
レンタルサーバー各社の対応状況
「方式」の「番号を維持」は、表示されるバージョン番号を変えずに修正を入れたという意味です。時刻はすべて日本時間で、各社の告知に書かれているものです。
| サーバー会社 | 対応状況 | 完了日時 | 方式・対象の版 | 利用者がやること | 被害の記述 | 出典 |
|---|---|---|---|---|---|---|
| エックスサーバー | 完了（PHP 5.6〜8.5） | 8.2〜8.5：10/22 6:45 7.4〜8.1：12:00 5.6〜7.3：14:00 |
公式の修正版と独自の修正を組み合わせて適用。5.5以下は修正を作成・検証中 | 必須の作業なし。管理画面やWebメールは再開済み。サーバーパネルの一部機能と一部の決済手段は点検中 | 不正アクセスの発生に伴うものではない | 公式 |
| シン・レンタルサーバー | 完了（PHP 5.6〜8.5） | エックスサーバーと同じ | 同上 | 同上 | 同上 | 公式 |
| お名前.com レンタルサーバー | 完了 | 10/22 20:45（緊急メンテナンス終了） | 番号を維持して修正。「表示されるバージョン番号にかかわらず」全バージョンに適用済み | バージョン変更などは不要。Webメールとファイルマネージャーは18:30ごろ再開 | 記載なし | 公式 |
| ConoHa WING | 順次適用中 | 22時時点で完了の告知なし | 番号を維持して、サーバー側でパッチを順次適用 | バージョン変更などは不要。ファイルマネージャーとWebメールは一時停止中（サイト表示とメールは通常どおり） | 記載なし | 公式 |
| さくらのレンタルサーバ | 一部完了 | 10/22 8:15時点で、一部機能を除き緊急メンテナンスを解除 | 提供しているPHPに必要な修正を適用。サポート終了版にも適用 | サポート中の版（8.3）への切り替えを推奨。一部機能はメンテナンス継続 | 10/22 14時時点で被害の報告なし | 公式 |
| ロリポップ! | 完了（サイトの再開） | 10/22 13:11にサイトを再開（公式X） | 修正版を適用。古い版には独自の修正を適用（公式X） | 公式サイトが取得できず、詳細は未確認。ユーザー専用ページのお知らせを確認 | 未確認 | 公式X |
| ヘテムル | 完了 | 10/22 15:15（全サービス復旧） | 8.2〜8.5は公式の修正版、7.4〜8.1は公式のサポート終了版向け修正、5.6〜7.3は自社で作成した修正を適用。全版でsession.upload_progressを無効化 | 8.2以上への切り替えを推奨。再開後にサイト表示・フォーム・アップロードの動作確認 | 脆弱性を狙ったとみられるアクセスの試みを確認。不正アクセスや漏えいは未確認 | 公式 |
| mixhost | 完了 | 10/22 10:18ごろ | 番号を維持して修正。PHP 5.2〜8.5が対象（サポート終了版はCloudLinuxの修正） | 作業は不要。8.2未満はサポート中の版への移行を推奨 | 記載なし | 公式 |
| KAGOYA | 調整中 | 22時時点で完了の告知なし | レンタルサーバーの8.2〜8.5は修正版へのバージョンアップを調整中。他のプラン・版は方針を調整中 | 共用・マネージド専用・WordPress専用は、サイトの一時公開停止やアクセス制限の検討を求めている | 被害は確認されていない | 公式 |
| コアサーバー（V1・V2） | 完了 | V1：10/22 0:50 V2：10/22 11:13 |
提供中の全PHPバージョンで対応。サーバーソフトも更新 | バージョン変更などは不要 | 記載なし | 公式 |
| バリューサーバー | 完了 | 10/22 0:50 | PHP 5.3〜8.5の全バージョンで対応 | バージョン変更は不要 | 記載なし | 公式 |
| カラフルボックス | 完了 | 10/22 朝まで | 番号を維持して、対策済みの版へサーバー側で更新。7.4〜8.1などの古い版にも修正・保護措置 | バージョン変更は不要 | 記載なし | 公式 |
| Zenlogic（IDCフロンティア） | 一部完了 | 7.4〜8.5：10/22 8:00にWebサーバー再開 5.3：19:00完了予定 |
修正パッチの適用、またはマイナーバージョンアップ。5.3は最新版へ強制アップグレード（戻せない） | 5.3（場合により7.4・8.1）の利用者は、フォームやCMSの表示崩れ・エラーの可能性。プログラム側の修正が必要になることも | 記載なし | 公式 |
| WebARENA（NTTPC） | 順次適用中 | SuiteX／SuiteSは10/22 17:30から緊急メンテナンス | 10/21に緩和策と海外からのWebアクセス停止を実施済み | 各サービスのサポートサイトを確認 | 被害やデータの流出は確認されていない | 公式 |
| CPI（KDDIウェブ） | 順次適用中 | 22時時点で完了の告知なし | 各種システムを順次更新（公式X） | 公式サイトがメンテナンス中のため、公式Xで続報を確認 | 未確認 | 公式X |
ロリポップ!とCPIは、公式サイトがメンテナンス中で告知ページを取得できなかったため、公式Xの投稿と報道で確認した範囲にとどめています。スターサーバー、ラッコサーバー、ABLENET、wpXなどは、2026年10月22日22時（日本時間）時点で公式の告知を見つけられませんでした。お使いの会社がこの表にない場合は、管理画面のお知らせか公式Xで確認してください。
主要サービスの停止と再開
レンタルサーバー以外でも、PHPで動くサービスの多くが、修正版の公開前後にサービスを止めて対応しました。ITmediaは、pixiv、BASE、コドモン、Cygames、ニコニコ、静岡銀行なども一時停止したと報じています（ITmedia NEWS、2026年10月22日）。公式の告知で確認できたものを表にしました。
| サービス | 停止 | 再開 | 告知の内容 | 出典 |
|---|---|---|---|---|
| BASE（ネットショップ作成） | 10/21 15:50 | 10/22 8:00に完了 | PHPの重大な脆弱性への対応と明記 | 公式 |
| カラーミーショップ | 10/21 22:00 | 10/22 8:49に完了 | CVE番号を明記。悪用による攻撃やデータ漏えいは確認されていない | 公式 |
| ニコニコ | 10/21 19:00から順次 | 10/22 15:30時点で動画・チャンネル・漫画などは復旧。静画、ニコニ・コモンズなどは再開未定 | PHPの脆弱性への対応と明記 | 公式 |
| コドモン（保育施設向け） | 10/21に全サービスを順次停止 | 「10/22早朝に再開見込み」（続報） | 不正アクセスや漏えいは確認されていない | 公式 |
| 阪神電気鉄道（Webサイト） | 10/21 | 再開見込みは未定（取得時点） | 不正アクセスの発生に伴うものではない | 公式 |
| Cygames（Webサイト・一部サービス） | 時刻の記載なし | サービスごとに異なる | 「システムの安全性を確保するため」の緊急メンテナンス | 公式 |
pixiv、Chatwork、makeshopなども停止と再開が報じられていますが、公式ページを直接確認できなかったため表には入れていません。
悪用はあったのか
2026年10月22日22時（日本時間）時点で、国の機関が「実際に悪用された」と発表した例は見当たりません。IPAは10月21日の事前情報で「悪用した攻撃を確認しているわけではない」としており、正式な注意喚起「PHPの脆弱性対策について（PHP2shell）」も公開されていますが、本文はこの記事の執筆時に取得できませんでした（IPA）。
ただし、各社の告知を読むと、攻撃の動きはすでにあります。ヘテムルは「脆弱性を狙ったとみられるアクセスの試みは確認された」としたうえで、不正アクセスや情報漏えいは確認されていないと説明しています。エックスサーバーは、脆弱性の公表前の10月21日12時から、不正アクセスのリスクを下げる措置を入れていました。海外では、Cloudflareが攻撃の通信を観測したと公表しています（詳しくはPHPの脆弱性の記事をご覧ください）。
電話で相談できます
読みながら「うちの場合は？」と思ったら、そのまま電話で聞いてください
たとえば、こんなことを聞いていただけます。
- アクセスはあるのに問い合わせが来ない。どこを直す？
- 記事制作を外注すると、費用はどれくらいかかる？
- ホームページは作り直すべきか、直すべきか迷っている
受付：平日10:00〜18:00｜担当者が直接お答えします
「記事を見た」とお伝えいただくと、お話がスムーズです。
受付時間外の方・文章で相談したい方はこちら
✓ 相談・見積もりは無料 ✓ 営業電話やしつこい勧誘はしません ✓ 情報収集の段階でも大丈夫です
利用者が確認する3つのこと
1. 自分のサーバー会社の対応が終わっているか
上の表で、お使いの会社が「完了」になっているかを見てください。「順次適用中」「一部完了」の会社は、管理画面のお知らせや公式Xで続報を確認します。表にない会社は、管理画面のお知らせを確認してください。
2. サイトとフォームが正しく動くか
修正の適用後に、ごくまれに表示や動作が変わることがあります。ヘテムルは全バージョンで「session.upload_progress」という機能を無効にしており、Zenlogicは古いPHPを強制的に新しい版へ上げています。トップページ、問い合わせフォーム、画像のアップロードの3つは、一度動かして確かめてください。
3. 古いPHPを使っているなら、切り替えの計画を立てる
今回は多くの会社が古い版にも独自に修正を入れましたが、これは今回限りの応急処置です。次に脆弱性が見つかったとき、同じ対応があるとは限りません。PHP 8.3以上への切り替えを、バックアップと試験サイトでの確認つきで計画してください。進め方はWordPressの更新方法｜放置サイトの安全な復旧手順で解説しています。
なお、WordPress公式は、WordPress本体の更新は不要としています（WordPress.org、2026年10月21日）。
いま確認すべきこと
- 自分のサーバー会社の対応状況を、この記事の表か管理画面のお知らせで確認した
- 「順次適用中」「調整中」の会社を使っている場合は、続報を確認する担当を決めた
- サイトのトップページ、問い合わせフォーム、画像のアップロードが正しく動くことを確かめた
- PHP 8.1以前を使っている場合は、8.3以上への切り替えの日程を決めた
- 制作会社に保守を任せている場合は、今回の対応状況を一度確認した
よくある質問
サイトヘルスのPHPバージョンが8.4.26のままです。未修正ですか？
お名前.com、mixhost、ConoHa WING、カラフルボックスなどは、表示されるバージョン番号を変えずに修正を入れています。番号だけでは判断できないため、この記事の表と、各社の告知で修正済みかどうかを確認してください。
何もしなくて大丈夫ですか？
ほとんどのレンタルサーバー会社は「バージョンの変更などは不要」としています。ただし、お使いの会社が「順次適用中」や「調整中」の場合は、続報を確認してください。修正後にサイトとフォームが正しく動くかの確認はしておきましょう。
古いPHP（8.1以前）を使っています。今回は守られましたか？
エックスサーバー、ヘテムル、さくら、mixhost、カラフルボックス、コアサーバーなどは、古い版にも独自の修正や保護措置を入れたと公表しています。ただし各社とも応急的な対応だとしているため、8.2以上（できれば8.3以上）への切り替えを計画してください。
すでに攻撃されていないか、どう確かめればよいですか？
管理画面に入れる場合は、見覚えのないファイルや管理者ユーザーがないかを確認します。サーバーのログを見られる場合は、画像の送信直後にメモリ上限のエラーやHTTP 500が繰り返されていないかが目安です。不安な場合は、制作会社かサーバー会社に点検を依頼してください。
WordPress本体の更新は必要ですか？
WordPress公式は、今回の問題はPHP側のものであり、WordPress本体の更新は不要で、予定もないとしています。ただし、テーマやプラグインは普段どおり最新に保ってください。
出典
- エックスサーバー「PHPの脆弱性への対応について」（2026年10月22日）
https://www.xserver.ne.jp/news_detail.php?view_id=19734 - シン・レンタルサーバー「PHPの脆弱性への対応について」（2026年10月22日）
https://www.shin-server.jp/news/detail.php?view_id=2535 - お名前.com「【重要】[お名前.com レンタルサーバー] PHPの脆弱性への弊社対応完了のお知らせ」（2026年10月22日）
https://www.onamae.com/news/article/11594 - ConoHa WING「PHPの脆弱性への対応について」（2026年10月22日）
https://www.conoha.jp/wing/news/?ap=2015054903 - さくらインターネット「PHPの脆弱性への対応について」（2026年10月22日）
https://www.sakura.ad.jp/corporate/information/announcements/2026/10/22/1968226117/ - ヘテムル「PHPの脆弱性への対応に関するご報告」（2026年10月22日18:05）
https://heteml.jp/info/detail/id/2954 - mixhost「PHPの脆弱性への対応完了のお知らせ」（2026年10月22日）
https://mixhost.jp/news/1974 - KAGOYA「PHPの脆弱性への対応について」（2026年10月22日更新）
https://www.kagoya.jp/news/2026102237094/ - GMOデジロック「CORESERVER V2 ソフトウェア更新」（2026年10月22日完了）
https://status.value-domain.com/information/detail/?info_id=917 - GMOデジロック「CORESERVER V1 ソフトウェア更新」（2026年10月22日完了）
https://status.value-domain.com/information/detail/?info_id=916 - GMOデジロック「VALUE SERVER ソフトウェア更新」（2026年10月22日完了）
https://status.value-domain.com/information/detail/?info_id=918 - カラフルボックス「PHPの脆弱性への対応について」（2026年10月22日）
https://www.colorfulbox.jp/info/detail/?id=231 - IDCフロンティア「Zenlogic 緊急メンテナンス」（2026年10月22日17:30更新）
https://www.idcf.jp/rentalserver/maintenance/2026/20261021-2/ - NTTPCコミュニケーションズ「WebARENA PHPの脆弱性への対応について」（2026年10月22日）
https://www.nttpc.co.jp/press/info/2026/10/202610221800.html - ロリポップ!「PHPの脆弱性への対応について」（2026年10月21日、執筆時は取得不可）
https://lolipop.jp/info/news/8237/ - BASE「【重要】緊急メンテナンス完了のお知らせ」（2026年10月22日）
https://help.thebase.in/hc/ja/articles/63455442867737 - カラーミーショップ「【重要】復旧済み｜PHPセキュリティ対応に伴うサービス一時停止のお知らせ」（2026年10月22日更新）
https://shop-pro.jp/news/20261021-maintenance/ - ニコニコインフォ「ニコニコ メンテナンスのお知らせ」（2026年10月22日15:30追記）
https://blog.nicovideo.jp/niconews/14785 - コドモン「【緊急メンテナンス・続報】」（2026年10月21日）
https://codmon.com/info/maintenance/10236/ - 阪神電気鉄道「当社ウェブサイトの機能一時停止のお知らせ」（2026年10月21日）
https://www.hanshin.co.jp/information/detail/005312.html - IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）
https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html - WordPress.org「Critical PHP Security Release」（2026年10月21日）
https://wordpress.org/news/2026/10/critical-php-security-release/ - ITmedia NEWS「PHPの『緊急』レベルの脆弱性、開発元が修正バージョン公開」（2026年10月22日）
https://www.itmedia.co.jp/news/article/2610/22/2000002480/
※本記事は2026年10月22日22時（日本時間）時点の各社の公式告知にもとづいています。対応状況は時間とともに変わります。最新の情報は、お使いのサーバー会社の告知でご確認ください。
あわせて読みたい
ホームページの保守・移行のご相談
「うちのサーバーは終わってる？」
からお気軽にご相談ください
株式会社仁頼は、WordPressサイトの制作・改善と、検索・AI検索からの集客を支援しています。サーバーの対応状況の確認や、PHPの切り替え、保守の進め方からご相談いただけます。
相談・見積もりは無料です。
株式会社仁頼 代表取締役。横浜市在住。 2018年からデジタルマーケティング業界に携わり、Google広告・SEO・コンテンツマーケティングを中心に8年以上の実務経験を持つ。これまでに制作した記事は9,000本以上、70名を超える専門ライターとのチーム体制で、幅広い業界のWebマーケティングを支援してきた。 2022年9月に株式会社仁頼を設立。「受けた御恩を忘れず、信頼を得られるよう迅速かつ最適な対応をする」という信念のもと、SEO・広告運用・サイト制作などのマーケティング支援を行っている。 近年は、ChatGPTやPerplexityなどのAI検索でサイトが引用される「GEO（生成エンジン最適化）」の分野にいち早く注力。自社サービス「GEO Hack」を通じて、AI時代の新しい集客手法を企業に提供している。 「難しいことをわかりやすく、小さな会社にも大きな成果を」をモットーに、日々クライアントと伴走中。
