PHPに重大な脆弱性｜XServer・ConoHa・さくらなど主要レンタルサーバーの対応状況（2026/10/23時点） | 東京都の墨田区にあるホームページ制作・Web制作・イラスト・デザイン制作会社 TenCy株式会社
2026.10.23

PHPに重大な脆弱性｜XServer・ConoHa・さくらなど主要レンタルサーバーの対応状況（2026/10/23時点）

2026年10月21日、PHP開発チームは、PHPに存在する2件の重大な脆弱性に対応する緊急セキュリティアップデートを公開しました。今回確認されたのは、

  • CVE-2026-109618
  • CVE-2026-109619

の2件です。

いずれも深刻度はCVSS v4.0で「9.2（Critical）」とされており、条件によっては認証されていない第三者からリモートコード実行（RCE）につながる可能性があります。

WordPressをはじめ、多くのWebサイトでPHPが利用されていることから、国内のレンタルサーバー各社も緊急メンテナンスやセキュリティパッチの適用を進めています。

今回は、PHP公式の発表内容と、XServer、ConoHa WING、さくらインターネット、ロリポップ！など主要サービスの対応状況をまとめます。

PHPで2件の重大な脆弱性が発見

PHP公式は2026年10月20日、2件のCriticalレベルの脆弱性に対応するセキュリティリリースを翌21日に公開すると異例の事前告知を行いました。その後、10月21日に脆弱性の詳細と修正版を公開しています。

今回の対象となる脆弱性は以下の2件です。

CVE-2026-109618

PHPがメモリ不足を処理する際、内部のリクエストデータが完全に初期化されていない状態で処理が中断され、その後の処理で不正なデータが有効なものとして扱われる可能性があります。

悪用された場合、リモートコード実行につながる可能性があります。

CVE-2026-109619

PHP内部で使用される状態情報が、メモリ解放後も残存することによって発生する脆弱性です。

同じPHPワーカーで処理される後続のリクエストから、解放済みの情報が利用され、リモートコード実行につながる可能性があります。

PHP公式では、PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを処理するPHP環境が対象になるとしています。

特にmod_phpについては、アプリケーションコードが実行される前に攻撃が成立することが実証されており、リスクが高いとされています。

PHP公式は最新版への即時アップデートを推奨

PHP公式から公開された修正版は以下のとおりです。

PHP系統修正版
PHP 8.58.5.12
PHP 8.48.4.27
PHP 8.38.3.36
PHP 8.28.2.35

PHP公式は、すべてのPHPユーザーに対して速やかなアップデートを強く推奨しています。また今回の脆弱性について、「完全な緩和策はなく、アップデートが唯一の安全な選択肢」と案内しています。

PHP 8.1以前についてはPHPプロジェクトによる通常のセキュリティアップデートが終了しており、OSやレンタルサーバー事業者などが独自にバックポートした修正を提供する場合があります。

公式情報：
https://www.php.net/archive/2026.php#2026-10-21-5

IPAもPHP利用環境の確認を呼びかけ

国内では、IPA（独立行政法人情報処理推進機構）も10月21日に注意喚起を公開しています。

IPAはセキュリティリリース公開前の段階から、

  • PHPを利用しているWebサイト・システムの棚卸し
  • PHPバージョンの確認
  • 開発元・サーバー事業者の情報確認
  • 修正版公開後に速やかに適用できる準備

を行うよう呼びかけていました。

また、サポートが終了した古いPHPを利用しているWebサイトが現在も存在するとし、攻撃者によって短時間で脆弱性が悪用される可能性についても注意を促しています。

IPA公式：
https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html

XServerはPHP 5.6～8.5への修正パッチ適用を完了

XServerでは、今回の脆弱性情報公開に備え、10月21日から各種サービスサイトや管理画面へのアクセスを一時停止する予防措置を実施しました。Webサイト自体の表示やメールの送受信については継続されています。

10月21日23時頃にPHP公式から修正版が公開された後、各PHPバージョンへ修正を順次適用。10月22日時点では、

  • PHP 8.2～8.5
  • PHP 7.4～8.1
  • PHP 5.6～7.3

について、対象となるサーバーへの修正パッチ適用が完了しています。

PHP 5.5以下については、10月22日時点で独自の修正パッチを作成・検証中と案内されています。

XServerでは、PHP公式がサポートを終了している旧バージョンについても独自対応を進めている点が特徴です。

XServer公式情報：
https://vpscloud.xserver.ne.jp/news/detail.php?view_id=19734

なお、XServerでは今回の脆弱性発表直前の10月19日に、PHP 8.2～8.5について以下のバージョンへの更新を実施していました。

  • PHP 8.5.11
  • PHP 8.4.26
  • PHP 8.3.35
  • PHP 8.2.34

今回のPHP公式緊急リリースは、その次のパッチバージョンにあたります。

https://www.xserver.ne.jp/news_detail.php?view_id=19632

ConoHa WINGは全提供PHPバージョンにセキュリティパッチを適用

ConoHa WINGも、PHPの脆弱性を受けて緊急対応を行いました。

10月21日以降、

  • 緊急メンテナンス
  • ファイルマネージャーの一時停止
  • Webメールの一時停止
  • phpMyAdminの一時停止

などを実施。

10月22日20時45分までに、セキュリティパッチの適用と緊急メンテナンスを完了しています。

ConoHa WINGでは、PHP 5.6からPHP 8.5まで、提供中のすべてのPHPバージョンに対して今回の脆弱性修正を適用したと発表しています。

ConoHaではPHPのバージョン番号が変わらない場合も

注意したいのが、ConoHa WINGではPHPそのものを最新版へ切り替えるのではなく、現在利用中のPHPバージョンへ修正プログラムを取り込む「バックポート」の形で対応していることです。

そのため、たとえばWordPressのサイトヘルス画面では、PHP 8.5.11と表示されていても、CVE-2026-109618、CVE-2026-109619への修正は適用済みの場合があります。

ConoHaは今回、

  • PHP 5.6.40
  • PHP 7.0.33
  • PHP 7.1.33
  • PHP 7.2.34
  • PHP 7.3.33
  • PHP 7.4.33
  • PHP 8.0.30
  • PHP 8.1.34
  • PHP 8.2.34
  • PHP 8.3.35
  • PHP 8.4.26
  • PHP 8.5.11

について、今回の脆弱性に対する修正プログラムを適用済みと案内しています。

そのため、ConoHa WING利用者については、今回の脆弱性対策のためだけにPHPバージョンを変更する必要はないとされています。

ConoHa WING公式：
https://www.conoha.jp/wing/news/?ap=2015054909

さくらインターネットも緊急メンテナンスと修正版適用を実施

さくらインターネットも、2026年10月22日に今回のPHP脆弱性への対応状況を公表しています。

同社では、PHP公式によるセキュリティリリース公開前の10月21日22時30分から、

  • 会員関連機能
  • 一部サービス
  • 一部管理機能

などを予防的に停止し、緊急メンテナンスを実施しました。

PHP公式から脆弱性の詳細と修正版が公開された後、対象となるシステムへの修正版適用を順次進めています。

さくらインターネット公式：
https://www.sakura.ad.jp/corporate/information/announcements/2026/10/22/1968226117/

さくらのレンタルサーバを利用している場合は、PHPバージョンを利用者自身で変更する前に、公式のお知らせで現在の対応状況を確認することをおすすめします。

ロリポップ！も予防的な緊急メンテナンスを実施

ロリポップ！でもPHPの重大な脆弱性への対応として、PHP公式による詳細公開前から予防的な緊急メンテナンスを実施しています。

一部の管理機能や新規申し込みなどを一時停止する一方、Webサイトの表示やメール送受信については継続されました。

また、ロリポップ！関連サービスでは、PHP公式とIPAの注意喚起を案内し、PHPの重大な脆弱性への予防措置であることを明らかにしています。

ロリポップ！公式：
https://lolipop.jp/info/news/8232/

関連情報：
https://lolipop.jp/ai/agent-cloud/info/product/2026-10-21/

今後、PHP修正版の適用状況について追加情報が公開される可能性があるため、ロリポップ！利用者は最新のお知らせを確認してください。

主要レンタルサーバーのPHP脆弱性対応状況

2026年10月23日時点の主な対応状況をまとめると以下のようになります。

サービス主な対応
XServerPHP 5.6～8.5への修正パッチ適用完了。PHP 5.5以下も対応中
ConoHa WING提供中の全PHPバージョンに修正パッチ適用完了
さくらインターネット緊急メンテナンスを実施し、対象システムへ修正版を順次適用
ロリポップ！予防的な緊急メンテナンスを実施。最新の公式情報確認を推奨

今回のような共有レンタルサーバーでは、サーバー会社側がPHPへセキュリティパッチを適用するケースが多く、利用者自身がPHPを直接アップデートする必要がない場合があります。

そのため、単純に「PHP 8.5.12に表示が変わっていないから危険」と判断するのではなく、利用中のレンタルサーバー会社がバックポートを含めどのような対応をしているか確認することが重要です。

WordPress利用者はPHPバージョンをむやみに変更しない

WordPressサイトを運用している場合、「PHPの脆弱性だからすぐPHPを最新版へ変更しなければ」と考える方もいるかもしれません。

しかし、レンタルサーバーを利用している場合は、まずサーバー会社の対応状況を確認してください。

今回のConoHa WINGのように、利用中のPHPバージョンを変更せず、サーバー会社側で脆弱性修正だけを適用しているケースがあります。

不用意にPHPのメジャー・マイナーバージョンを変更すると、

  • WordPressテーマ
  • プラグイン
  • 独自PHPプログラム
  • 古いシステム

などが動作しなくなる可能性があります。

PHPバージョンを変更する場合は、事前にWebサイトとデータベースのバックアップを取得し、WordPress本体・テーマ・プラグインが変更先のPHPバージョンに対応しているか確認したうえで実施してください。

古いPHPを使い続けているサイトは今回を機に見直しを

今回の脆弱性では、レンタルサーバー事業者によってはPHP 5系やPHP 7系にも独自のセキュリティパッチを適用しています。

ただし、これは「古いPHPを今後も使い続けて問題ない」という意味ではありません。

PHP公式によると、PHP 8.1以前はすでに公式のセキュリティサポートが終了しています。

さらにPHP 8.2も、2026年12月31日にサポート終了予定です。

サーバー会社によるバックポートは緊急対応として有効ですが、長期的にはWordPress本体、テーマ、プラグインなどとの互換性を確認しながら、サポート中のPHPへ移行することが重要です。

PHPの脆弱性はWordPressサイトにも影響する

WordPressそのものに脆弱性がなくても、その実行基盤であるPHPに問題があれば、WordPressサイトも影響を受ける可能性があります。

今回の2件は、PHPでWebリクエストを処理する環境そのものに関係する脆弱性です。

Webサイト管理者は、

  • 利用しているPHPバージョンを確認する
  • レンタルサーバー会社のお知らせを確認する
  • セキュリティパッチの適用状況を確認する
  • サポート終了済みPHPからの移行を検討する
  • WordPress本体・テーマ・プラグインも最新版に保つ
  • Webサイトとデータベースのバックアップを取得する

といった対応をおすすめします。

特に自社でVPSやクラウドサーバーを管理し、PHPを直接インストールしている場合は、レンタルサーバー会社による自動対応は期待できません。

PHP公式が公開した修正版へのアップデート、または利用しているOS・ディストリビューションが提供する修正パッケージを速やかに適用してください。

公式情報

PHP「Critical remote code execution vulnerabilities, update now」
https://www.php.net/archive/2026.php#2026-10-21-5

IPA「PHPのセキュリティリリース公開予定について」
https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html

XServer「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」
https://vpscloud.xserver.ne.jp/news/detail.php?view_id=19734

ConoHa WING「PHPの脆弱性への弊社対応完了のお知らせ」
https://www.conoha.jp/wing/news/?ap=2015054909

さくらインターネット「PHPの脆弱性に関する当社の対応状況について」
https://www.sakura.ad.jp/corporate/information/announcements/2026/10/22/1968226117/

ロリポップ！「セキュリティ強化に関する緊急メンテナンスのお知らせ」
https://lolipop.jp/info/news/8232/

カテゴリ-

OTHER INFORMATION

All-in-One WP Migrationに重大な脆弱性｜7.110への更新を推奨

WordPress公式ブラウザー拡張機能が登場

Elementor Proに重大な脆弱性｜4.2.2以降への更新を推奨
一覧にもどる