自分のサイトは、PHP2Shellの影響を受けるんでしょうか。ニュースでは「PHPのバージョンを見て」と言っていた気がしますが、バージョンって、どこで見るんでしたっけ。そもそも、サーバーの会社の名前は、すぐ出てきますか。契約したのはだいぶ前で、そのときのメールも埋もれている気がします。まずは、契約したときのメールを探して、サーバーの会社の名前だけでも思い出すところからです。
はじめまして、モノサシ屋のみつきです。ネットワークまわりの案内役で、ニュースの数字や公式の発表を、読む順番に並べて比べています。
結論｜最初にやることは、契約先の公式お知らせを開くこと
最初の一手は、サイトを置いているサーバー会社のお知らせを開いて、パッチの適用が完了と書かれているかを読むことです。PHPの番号は、そのあとに補助として見ます。サーバー会社によっては、修正を当てたうえで、管理画面に出る番号をそのままにしているためです。PHP2Shell自体は、PHP2Shellとはにまとめています。(出典: ConoHa WING お知らせ、mixhost お知らせ)
- 1契約しているサーバー会社の名前を調べる
- 2その会社のお知らせで、パッチの適用完了を読む
- 3利用者への作業のお願いがあるかを読む
- 4補助として、PHPの番号を見る
主に見る
契約先のお知らせ。パッチの適用完了と、利用者の作業の有無が書かれています。
補助で見る
サイトヘルスなどに出るPHPの番号。据え置きの会社があり、これだけでは決められません。
自分で行う
VPSや自前のサーバーなら、修正版への更新と再起動が自分の作業です。
契約先のお知らせを見る方法｜会社名を調べてから、お知らせを読む
会社名が思い出せないときは、契約したときに届いた確認メールや、支払いの明細を探します。差出人や請求元の欄に、サーバー会社の名前が載っていることが多いです。
サーバー会社の名前を言えるか
言えるかどうかで、最初の一手が変わります。
その会社のお知らせのページを開く
契約時のメールや支払いの明細から、会社名を探す
みつき
契約した会社の名前を、メールの山からやっと見つけました。ここまで来れば、あとはお知らせを開くだけです。
会社のお知らせのページが見つかったら、2026年10月21日から22日にかけての日付のものを探します。本文では、次の3つを読みます。各社のお知らせの中身は、国内レンタルサーバー各社の対応状況に並べています。
- 1
パッチの適用が完了したか
「適用完了」の言葉と、その日時が書かれているかを読みます。
- 2
利用者の作業が要るか
「お客様で必要な作業はございません」のような文か、作業のお願いかを読みます。
- 3
PHPの番号の扱い
番号を据え置いたまま適用したか、が書かれていることがあります。
| 読む項目 | お知らせにある言葉の例 | 出典 |
|---|---|---|
| 適用の完了 | サーバーへのセキュリティパッチの適用：完了いたしました | ConoHa WING |
| 利用者の作業なし | お客様で必要な作業はございません | mixhost |
| 番号の据え置き | ご利用中のPHPバージョンを維持したまま | お名前.com レンタルサーバー |
| 利用者の作業あり | ご自身のサイトについて動作確認と対応をお願いいたします | ロリポップ！ |
PHPのバージョンを見る方法｜補助として、サイトヘルスで確かめる
WordPressなら、管理画面からPHPの番号を見られます。ダッシュボードの「ツール」から「サイトヘルス」を開き、「情報」の「サーバー」の欄です。WordPressの画面にはPHPを更新する機能がなく、変更は契約先の側で行います。(出典: SmartScope ブログ)
- ダッシュボードを開く
- 「ツール」を選ぶ
- 「サイトヘルス」を開く
- 「情報」のタブに切り替える
- 「サーバー」の欄でPHPの番号を見る
番号を見るときの注意があります。ConoHa WING、お名前.com、mixhostは、表示されるバージョン番号が修正前のまま変わらない場合があると告知しています。番号が8.3.35のままでも、お知らせに「適用完了」とあれば修正済みです。(出典: ConoHa WING、お名前.com、mixhost)
サーバー会社が適用
利用者の作業なしのことが多い
番号は据え置き
管理画面の表示
古い番号のままのことがある
お知らせを読む
契約先のお知らせ
適用の完了を読む
みつき
番号が古いのに適用済み、と聞くと、本当かなと迷います。だから、お知らせの文面を声に出して読むことにします。
番号とお知らせの組み合わせで、次のように読みます。
| 画面の番号 | 契約先のお知らせ | 読み方 |
|---|---|---|
| 8.5は8.5.12以上、8.4は8.4.27以上、8.3は8.3.36以上、8.2は8.2.35以上 | どちらでも | 公式の修正版の番号です。お知らせも読みます |
| 修正版より小さい | 適用完了と書かれている | 修正を当てたうえで、番号を据え置いている可能性があります |
| 修正版より小さい | 適用の記載が見つからない | 契約先に、適用の状況を尋ねます |
影響を受ける範囲の見方｜版の範囲と、自分でPHPを入れている場合
php.netは2026年10月21日に、修正版として8.5.12・8.4.27・8.3.36・8.2.35を出しました。JPCERT/CCは、8.5は8.5.12未満、8.4は8.4.27未満、8.3は8.3.36未満、8.2は8.2.35未満が影響を受けると書いています。8.1以前には、公式の修正版は出ていません。IPAは、Wizの調査として、PHP 5.4以降が少なくとも一方の影響を受けると記載しています。8.2は、2026年12月31日にサポートが終わります。(出典: php.net ニュース（2026年10月21日付）、JPCERT/CC AT-2026-0033、IPA 注意喚起)
みつき
うちのPHP、7点いくつか8点いくつか、思い出せません。とにかく、画面を見に行ってきます。
- 2026年10月21日php.netが、修正版の8.5.12・8.4.27・8.3.36・8.2.35を出す
- 2026年10月22日JPCERT/CCとIPAが、注意喚起を出す
- 2026年12月31日PHP 8.2のサポートが終わる
契約の形によって、やることが変わります。
レンタルサーバー
契約先のお知らせを読みます。多くの会社は、サーバー側で適用したと告知しています。
VPS・自前のサーバー
修正版への更新と、Apache・PHP-FPMなどの再起動が自分の作業です。OSの更新も読みます。
制作会社に任せている
サーバーの契約者が誰かを確かめて、その相手に適用の状況を尋ねます。
自前のサーバーでPHPを確かめるときは、次の2点を分けます。(出典: SmartScope ブログ、JPCERT/CC AT-2026-0033)
サーバーに直接命令を打って調べたPHPの番号だけで決める
Webで動くPHPの番号も、別に見る
PHPの設定情報を表示するページを公開サイトに置いたままにする
見終わったら、そのファイルを消す
サーバーに直接命令を打って調べたPHPの番号は、Webサイトを動かしているPHPとは別の番号になっていることがあります。
分からないときの相談先｜お知らせの文面を持って尋ねる
お知らせを読んでも判断がつかないときは、契約先のサポート窓口に尋ねます。尋ねるときは、お知らせのページと、契約しているプラン名を添えると、話が早くなります。エックスサーバーは、利用状況によっては追加の対策をお願いする場合がある、と告知しています。個別の連絡が来ていないかも、あわせて見ます。(出典: エックスサーバー お知らせ)
IFお知らせに「適用完了」とあり、自分のPHPバージョンが対象に含まれている
→
THEN番号が古くても、適用済みと読む。「作業不要」の一言だけでは適用済みとは読まず、自分のバージョンの完了の記載を確かめる
IFお知らせに利用者の作業のお願いがある
→
THEN書かれた作業と、サイトの動作を見る
IFお知らせが見つからない、読んでも分からない
→
THEN契約先の窓口に、プラン名を添えて尋ねる
契約先の窓口
適用の状況と、利用者の作業の有無を尋ねます。
サイトを作った人
管理を任せているなら、契約者とPHPの番号を教えてもらいます。
自分で入れた場合
自分のPHPの更新が必要です。JPCERT/CC AT-2026-0033を、更新の手がかりにします。
情報の確認日: 2026年10月23日
まとめ｜まず契約先のお知らせを開き、番号は補助で見る
自分のサイトが対象かは、契約先のお知らせに書かれた適用完了で読みます。PHPの番号は、補助です。
契約先のお知らせを開き、適用完了を読む
会社の名前を調べ、お知らせで適用の完了と利用者の作業を読みます。番号が古くても、お知らせに適用済みとあれば修正済みと読みます。
モノサシを片手に、まずは会社の名前を探すところから始めましょう。
— モノサシ屋みつき