何が起きた？
2026年10月21日、多くのホームページを動かしている「PHP（ピーエイチピー）」というプログラムに、とても危険な弱点（脆弱性）が2つ見つかりました。通称「PHP2Shell」と呼ばれています。
この弱点を悪用されると、パスワードを知らない第三者でも、外からサーバーを操作できてしまうおそれがあります。ホームページの書き換えや、情報の持ち出しにつながる危険があります。
結論から言うと、レンタルサーバーを使っている多くの方は、サーバー会社の修正がすでに終わっています。 ただし、使っているPHPのバージョンが古い場合は、自分で切り替えをしたほうが安全です。
WordPress本体やプラグインを最新にしても、今回の問題は直りません。直すにはサーバー側のPHPを修正する必要があります。
自分に関係ある？
あなたの立場によって、やることが変わります。
| あなたの立場 | やること |
|---|---|
| ネットのサービスを使っているだけ | 自分で直すものはありません。一時停止しているサービスは再開を待ち、パスワード変更などは各サービスの案内に従ってください |
| レンタルサーバーでホームページを運営している | サーバー会社のお知らせで修正完了を確認し、管理画面でPHPのバージョンを確かめます（次の項目） |
| ホームページの管理を制作会社などに任せている | 任せている先に「PHPのバージョン」と「サーバー会社の修正が済んでいるか」を確認してもらいましょう |
| 自分でサーバー（VPSなど）を管理している | PHPを修正版に更新し、Webサーバーを再起動してください。ログに不審なアクセスがないかも確認しましょう |
PHPのバージョンを確かめる
サーバー会社がPHPを直していても、あなたのサイトが古いバージョンを選んだままだと、その修正は届きません。まずは今のバージョンを確かめましょう。
確かめ方
- WordPressの場合：管理画面の「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開くと、PHPのバージョンが表示されます
- レンタルサーバーの場合：サーバーの管理画面にある「PHPバージョン設定」や「PHP Ver.切替」などの画面で確認できます
バージョン別にやること
| 表示されたバージョン | やること |
|---|---|
| 8.3 / 8.4 / 8.5 | サーバー会社の修正完了を確認できれば、今回の件で作業は不要です |
| 8.2 | 今回の修正は届いていますが、2026年12月31日でサポートが終わります。年内に8.3以上への切り替えをおすすめします |
| 8.1以前（7.4など） | PHPの開発元からは修正が出ません。サーバー会社が独自に修正していても応急処置なので、8.3以上へ切り替えましょう |
WordPressの公式推奨は「PHP 8.3以上」です。サーバーで選べるなら、サポート期間がより長い8.4にしておくと、次の切り替えまで余裕ができます（8.3は2027年末、8.4は2028年末まで）。
切り替えるときの注意
- 先にバックアップを取りましょう
- 切り替えたら、トップページ、お問い合わせフォーム、管理画面へのログインを確かめましょう
- 表示がおかしくなったら、元のバージョンに戻して、制作会社などに相談してください（古いテーマやプラグインが新しいPHPに対応していないことがあります）
レンタルサーバー各社の状況
2026年10月24日夜に確認した各社の発表をまとめました。主なレンタルサーバーは、ほぼ修正を終えています。
| サーバー会社 | 状況 |
|---|---|
| エックスサーバー | PHP 5.6〜8.5は修正完了（22日14時）。5.1〜5.5は過半数のサーバーで完了し、残りも対応中 |
| さくらのレンタルサーバ | 選べるすべてのPHPバージョンで修正完了。緊急メンテナンスもすべて終了（23日） |
| ロリポップ！ | 修正完了。一時止めていたサイトの表示も22日13時ごろに再開 |
| ConoHa WING | 提供中のすべてのPHPバージョンで修正完了（22日20時45分） |
| mixhost | PHP 5.2〜8.5で修正完了（22日10時18分ごろ） |
| カラフルボックス | 全サーバーで修正完了（22日朝まで） |
| お名前.com レンタルサーバー | レンタルサーバー（ベーシック・RS・AIホームページパック）は修正完了（22日20時45分）。共用サーバーSDなどは、23日22時15分時点で一部のサーバーがまだ対応中 |
| KAGOYA | レンタルサーバープランのPHP 7.4・8.1〜8.5は更新完了（22日24時）。コントロールパネルは24日12:40時点で停止中。共用・マネージド専用・WordPress専用プランは、恒久的な対応の方針を調整中 |
バージョンの数字だけでは判断できません
ConoHa WINGやmixhostのように、修正してもバージョンの数字が変わらない会社があります。「数字が変わっていない＝直っていない」とは限らないので、修正済みかどうかはサーバー会社のお知らせで確認してください。
この表に載っていないサーバーや、専用サーバー・VPSなどのプランを使っている場合は、契約先のお知らせを確認してください。
よくある質問
Q. サーバー会社が直してくれたなら、何もしなくていい？
今回の件については、多くの場合そのとおりです。ただし、PHP 8.2以前を使っている場合は、近いうちに8.3以上へ切り替えてください。古いバージョンは、この先また弱点が見つかっても修正されません。
Q. WordPressやプラグインを最新にすれば大丈夫？
今回はPHP本体の問題なので、WordPressの更新だけでは防げません。とはいえ、WordPressやプラグインを最新にしておくことは、ほかの攻撃を防ぐためにも大切です。
Q. 自分のサイトが被害にあっていないか心配です
今回の弱点を狙ったとみられるアクセスは実際に確認されていますが、主なサーバー会社からは、現時点で被害の報告は出ていません。見覚えのないページや表示の変化、管理画面に知らないユーザーがいるなどの異変があれば、すぐにサーバー会社や制作会社に相談してください。
Q. PHPを切り替えたらサイトが表示されなくなりました
古いテーマやプラグインが、新しいPHPに対応していない可能性があります。いったん元のバージョンに戻し、制作会社などに相談してください。
Q. 管理画面に入れません
一部のサーバー会社は、安全のために管理画面を一時停止しています。サーバー会社のお知らせで再開を確認してください。
Q. 10月23日に、また新しい弱点が見つかったと聞きました
はい。PHPの開発元は10月23日、PHP2Shellとは別の弱点（CVE-2026-115560）を発表しました。10月21日の修正では直っていませんが、特殊な設定とプログラムの組み合わせがそろったときだけ起きるもので、開発元も「実際には起こりにくい」としています。悪用の報告も、今のところありません。
修正は次の定期アップデートで行われる予定です。それまでの対策は、PHPの「アップロードの進み具合を記録する機能（session.upload_progress）」をオフにする設定で、PHP2Shellの応急対策と同じものです。
WordPress本体は、この弱点の条件になる機能を使っていません。レンタルサーバーを使っている方は、サーバー会社のお知らせを確認してください。気になる場合は、制作会社などに設定を確認してもらうと安心です。