結論：2026年10月21日に、PHP に重大な穴が2件（CVE-2026-109618・CVE-2026-109619）公表されました。ログインなしで外から勝手にプログラムを動かされるおそれがあり、10月26日（米国時間）には米国の政府機関が「悪用が確認された穴」の一覧に加えています（通称「PHP2Shell」）。レンタルサーバー（共用）を使っている方は、主な会社の多くが10月22〜26日ごろまでに修正を終えていて、多くは作業不要です（CPI の一部の古いプランなど、例外もあります）。一方、VPS や自分で PHP を入れたサーバーは、自分で更新して再起動するまで直りません。
この記事でわかること
- 何が起きたか・どの版で直ったか
- 主なレンタルサーバー各社の対応と、利用者がすること
- VPS の利用者がすること
何が起きたか
- 2026年10月21日（日本時間の23時ごろ）、PHP の開発チームが修正版を公開しました。修正された版は 8.5.12・8.4.27・8.3.36・8.2.35 です。前日の20日には「重大な修正を出す」と予告していました。
- 2件とも、ウェブからの通信を受けている PHP が対象です。ログインなしの通信で、サーバーの上で勝手にプログラムを動かされるおそれがあります。PHP の開発チームは、深刻度を10点満点の9.2としています。
- 日本では IPA（情報処理推進機構）が10月22日に緊急の注意を出しました。10月26日（米国時間）には米国の政府機関 CISA が、悪用が確認された穴の一覧に2件を加えています（IPA が10月27日に追記）。IPA は国内の被害例はつかんでいないとしています。
- PHP 8.1 以前には、公式の新しい版は出ていません。サポートの終わった版は、サーバー会社や OS の提供元が独自に手当てしない限り直りません。IPA は、PHP 5.4 以降は少なくとも1件の影響を受けるとする調査を紹介しています。
攻撃のくわしい仕組みはこの記事では扱いません。大事なのは「自分のサイトの PHP が、修正済みのものになっているか」です。
主なレンタルサーバー各社の対応
各社の公式のお知らせで確かめた内容です（2026年11月1日確認）。共用のレンタルサーバーでは、各社が利用者の代わりに修正しています。
| サーバー | 会社側の対応 | 利用者がすること |
|---|---|---|
| エックスサーバー | 10月26日までに PHP 5.1〜8.5 のすべての版で修正（8.2〜8.5 は修正版へ更新） | 共用は急いで版を変える必要なし。XServer VPS は自分で更新 |
| シンレンタルサーバー | 10月22日までに PHP 7.2〜8.5 のすべての版で修正 | 共用は急いで版を変える必要なし。シンVPS は自分で更新 |
| ロリポップ！ | 10月22日、一部のサーバーで一時的にサイトの表示を止めて全版を修正。アップロードの進み具合を記録する機能を全版で止めた | PHP 8.2 以上への切り替えを依頼。WordPress 本体・プラグイン・テーマを最新にし、表示・お問い合わせフォーム・アップロードが動くか確認 |
| さくらのレンタルサーバ | 管理画面で選べるすべての版で修正（8.1 以前は版の番号が変わらない） | さくらが用意した PHP なら緊急の対応は不要。8.3 への移行を推奨。自分で入れた PHP は自分で対応 |
| mixhost | 10月22日、全サーバーの 5.2〜8.5 で修正 | 作業は不要。8.2 未満なら移行を推奨 |
| ColorfulBox | 10月22日の朝までに全サーバーで修正 | 特別な対応は不要 |
| CPI | 10月22日に 8.2〜8.4 を修正。10月27〜29日に一部プランの 7.4・8.0 に修正版を用意し、一部の版では設定の一時対策も | 8.2〜8.4 は作業不要。7.4・8.0 は修正版が出たら切り替える（設定ファイル .htaccess の書き換えが要る場合あり）。修正版の対象外の古いプランは、CPI が示す一時対策の設定を検討。覚えのない .php ファイルや管理者がいないか確かめる |
ConoHa WING は、公式のお知らせを当サイトでは確かめられていません。ご利用中の方は、コントロールパネルのお知らせを確認してください。
注意したいこと：古い版（8.1 以前）は、会社が独自に修正を当てているため、版の番号を見ても修正済みかどうか分かりません。また、今回は手当てしてもらえましたが、次も同じとは限りません。ロリポップ・mixhost は 8.2 以上、さくらは 8.3 への移行を勧めています（8.2 は2026年12月31日でサポート終了）。版の上げ方は PHP 8.2 のサポート終了と版を上げる前の確認 にまとめています。
VPS を使っている方がすること
VPS は、OS や PHP の更新を自分で行う契約です。今回も、エックスサーバー・シンは、VPS には会社側の修正を当てていないと明記しています。
- OS の更新で PHP の修正版を入れる：Ubuntu・AlmaLinux などは、10月21〜22日に修正したパッケージを出しています（Ubuntu は USN-8948-1、AlmaLinux 9 は ALSA-2026:87079 など）。
- Apache や PHP-FPM を再起動する：Ubuntu の公式の解説では、更新のあと、Apache などのサービス（またはサーバー全体）の再起動が必要になるとしています。自動更新を有効にしていても、再起動は別に必要です。
- 古い OS は延長サポートを確かめる：Ubuntu 20.04 以前は、延長サポート（Ubuntu Pro。個人なら5台まで無料）を有効にしないと修正が届きません（16.04 以前は追加のオプションも必要）。
- すぐに更新できないとき：PHP の開発チームは、設定でできる一時的な対策も示していますが、それで危険は減っても安全にはならず、更新が必要だとしています。更新までの間は、外からの接続を絞る・サイトを一時的に止めることも、IPA は検討するよう勧めています。
Windows の VPS で PHP を使っていない場合（MT4・MT5 だけを動かしているなど）は、今回の件は直接は関係ありません。ただし、Windows Update とリモートデスクトップの守りは別に必要です（VPS のセキュリティ対策）。
念のため確かめておきたいこと
- WordPress の管理画面に、覚えのない管理者のアカウントが増えていないか
- サーバーのファイル一覧に、覚えのない .php ファイルが増えていないか（画像を置く場所 uploads の中は特に）
- WordPress 本体・プラグイン・テーマが最新か
おかしな点を見つけたら、消す前に状態を記録し、サーバー会社の窓口か、サイトを作った会社に相談してください。
まとめ
共用のレンタルサーバーは、多くの会社が数日のうちに修正を終えました。こうした緊急の修正をすぐに当ててくれるのは、共用サーバーの大きな利点です。一方で VPS は、自由に使える分、更新も自分の仕事です。サーバーを選ぶときは、料金だけでなく「何かあったときに誰が直すのか」も比べてください。各社が今も新規の申し込みを受け付けているか・料金は レンタルサーバー一覧、セキュリティ機能で比べるなら セキュリティ機能で選ぶレンタルサーバー をご覧ください。