結論からお伝えすると、主なレンタルサーバー会社では、今回のPHPの脆弱性への修正がほぼ行き渡りました。レンタルサーバーをお使いで、サイトに不具合が出ていなければ、ひとまず落ち着いて大丈夫な段階です。
10月22日に「【重要】PHPの脆弱性についてホームページへの影響と弊社の対応のご案内」を公開してから、5日ほどがたちました。この間に、各社の対応が出そろい、公的機関からの情報も更新されています。この記事では、その後の状況と、弊社としての考え方をまとめます。
（2026年10月27日時点の情報です）
この1週間で変わったこと
大きく変わったのは次の3つです。
- サーバー各社の対応がほぼ終わった：緊急メンテナンスや管理画面の一時停止も、多くは解除されています。
- 「どのバージョンなら安全か」がはっきりした：情報処理推進機構（IPA）やJPCERT/CCが、修正版のバージョンを公開しています。
- 別の新しい脆弱性も見つかった：10月23日にもう1件発表があり、こちらはまだ修正版が出ていません（「これから気をつけたいこと」で触れます）。
IPAとJPCERT/CCが「修正済み」としているのは、次のバージョン以降です。
| 系列 | 修正版（これ以降なら対策済み） | 公式サポート |
|---|---|---|
| PHP 8.5 | 8.5.12 | サポート中 |
| PHP 8.4 | 8.4.27 | サポート中 |
| PHP 8.3 | 8.3.36 | サポート中 |
| PHP 8.2 | 8.2.35 | 2026年12月31日まで |
| PHP 8.1以前 | 公式の修正版なし | 終了 |
ただし、この数字は「PHPの開発元が配った修正版」の番号です。レンタルサーバーでは、画面に出る番号がこの表と一致しないことがあります。その理由は次の節で説明します。
主なサーバー会社の対応状況
弊社のお客さまが多く使っているサーバーを中心にまとめました。どの会社も、共用のレンタルサーバーでは、お客さま側でPHPのバージョンを変える必要はないと案内しています。
| サーバー会社 | 状況 | 画面に出るバージョン |
|---|---|---|
| エックスサーバー | 10月26日までに、PHP 5.1〜8.5のすべての対象サーバーで完了 | 8.2以上は修正版の番号に上がる。8.1以前はそのまま |
| さくらのレンタルサーバ | 選べるすべてのPHPバージョンで完了 | サポート終了版も含めて修正済み |
| お名前.com レンタルサーバー | 10月22日20時45分にすべてのバージョンで完了 | 番号はそのまま（例：8.3は8.3.35） |
| KAGOYA | レンタルサーバープランは完了。共用サーバープランは10月23日時点で方針を調整中 | 修正版へ更新 |
| ロリポップ！ | 10月22日昼に完了し、サイト表示を再開 | 修正版を適用 |
| ConoHa WING、カラフルボックス、mixhost | 番号を変えずに、中身だけ修正する方式 | 番号はそのまま |
ロリポップ！以下の3行は、10月22日22時時点の各社対応のまとめ記事をもとにしています。最新の状況は、各社のお知らせでご確認ください。
VPSや専用サーバーは、サーバー会社が修正しないのが一般的です。こちらをお使いの場合は、管理している会社に確認が必要です。
「番号が古いまま」でも対策済みのことがあります
お客さまからいちばん多くいただいたのが、「WordPressで確認したら修正版より古い番号だったけど、大丈夫？」というご質問です。たとえば、お名前.comでは8.3系が「8.3.35」と表示され、IPAの言う「8.3.36」に届きません。
これは、サーバー会社の直し方の違いによるものです。
- 修正版に入れ替える方式：画面の番号も「8.3.36」などに上がります。エックスサーバー（8.2以上）などがこの方式です。
- 番号を変えずに中身だけ直す方式：修正は入っていても、番号は以前のままです。お名前.comなどがこの方式です。
お名前.comは、お知らせの中で適用後のバージョンを「8.3.35」などと明記しています。そのうえで、「表示されるバージョン番号にかかわらず、修正プログラムはすべてのPHPバージョンに適用済み」としています（お名前.comのお知らせ）。
つまり、IPAの表だけを見て「番号が足りないから危ない」とは判断できません。そのサーバー会社がどう直したかまで合わせて見る必要があります。
弊社の考え方：どうなっていれば安心か
弊社では、「IPAの示す修正版」と「サーバー会社の対応完了の発表」のどちらかで、修正が入っていることを確かめられれば、今回の件は対策済みと考えています。そのうえで、今後のことも考えて、次のようにご案内しています。
| いまの状態 | 今回の脆弱性 | 弊社からのご案内 |
|---|---|---|
| PHP 8.3以上で、修正版またはサーバー会社が対応済み | 対策済み | このままで問題ありません |
| PHP 8.2で、修正版またはサーバー会社が対応済み | 対策済み | 公式サポートが年内で終わるため、早めに8.3以上へ |
| PHP 8.1以前で、サーバー会社が独自に対応済み | ひとまず対策済み | 次に問題が出ても公式の修正は出ないため、8.3以上への切り替えをおすすめ |
| VPS・専用サーバーなど、サーバー会社が直さない環境 | 管理者の対応しだい | 個別に確認が必要 |
大事なのは、「今回の対策」と「これからの安心」を分けて考えることです。サーバー会社のおかげで、古いバージョンでも今回は守られているサイトがほとんどです。ただ、この先も同じように直してもらえる保証はありません。
また、画面上の番号も修正版にそろえたい場合は、さらに新しいバージョンへ上げることもできます。その場合は、WordPress本体との相性を確認しながらバージョンを選び、必要に応じてWordPressやプラグインの更新もあわせて行います。
これから気をつけたいこと
ひとつ気になるのが、10月23日に発表された別の脆弱性です。こちらは、今回の修正とは別のもので、10月26日のJPCERT/CCの更新時点でも修正版はまだ出ていません。いまは、PHPの設定を1か所変える暫定策が案内されています。
レンタルサーバーでは、こうした設定も基本的にサーバー会社が対応します。エックスサーバーも、利用状況によっては追加の対策をお願いする場合がある、と案内しています。弊社でも引き続き各社の発表を確認し、お客さまに作業が必要になればご連絡します。
弊社の対応について
保守契約にご加入のお客さまには、サイトごとの状況を確認し、順次ご報告しています。PHPのバージョンアップが必要なサイトには、担当から個別にご連絡します。
保守契約にご加入でないお客さまも、「うちのサイトは大丈夫？」「画面の番号が古いままで心配」といったご相談だけでもかまいません。お気軽にご連絡ください。バージョンアップや動作確認は有償での対応となりますが、サイトの状況を確認したうえでお見積りをお出しします。
状況は落ち着いてきましたが、弊社でも引き続き注意して見ていきます。今後とも、どうぞよろしくお願いいたします。
