レンタルサーバーの管理画面でPHPのバージョンを見たら、8.3.35のままだった。ニュースでは8.3.36に上げろと言っているのに、これはまだ直っていない、ということなのでしょうか。番号が1つ古いと聞くだけで、私はもうだめな気がしてしまいます。それなら契約先が何をしたのかを読めばよいのですが、お知らせは会社ごとに書き方がばらばらです。9社分のお知らせを、同じ順番で一つずつ、端から開いていきます。
はじめまして、モノサシ屋のみつきです。公式のお知らせに書かれた条件を並べて、何で比べるかを決めています。
先に押さえる2点｜表示の番号と、8.1以前の扱い
比べる前に、読み違えやすい点を2つだけ置きます。
1つ目は、表示されるPHPの番号が古いままでも、修正が済んでいる場合があることです。ConoHa WINGのお知らせには、表示される番号は据え置き（例: 8.3.35、8.4.26、8.5.11）のまま、修正が適用されていると書かれています。mixhostは、サイトヘルスとPHPの設定情報を表示するページの表示も据え置きと書いています。お名前.comとカラフルボックスも、ご利用中のPHPバージョンのまま適用したと書いています。サイトヘルスやPHPの設定情報を表示するページの番号が古いままでも修正済みの場合があるので、判断は契約先のお知らせで行います。
管理画面やサイトヘルスのPHPの番号が、修正版より古いですか
番号だけでは、直ったかどうかが決まらない社があります。
契約先のお知らせに、パッチ適用の完了が書かれているかを見る
修正版の番号（8.5.12・8.4.27・8.3.36・8.2.35）に届いている
2つ目は、8.1以前に修正版がないことです。php.netが2026年10月21日に出した修正版は、8.5.12・8.4.27・8.3.36・8.2.35です。JPCERT/CCとIPAは、8.1以前に修正版は提供されないと伝えています。一方で各社のお知らせには、エックスサーバーの7.4〜8.1、カラフルボックスの7.4・8.0・8.1、mixhostの5.2〜8.5のように、旧い版にもサーバー側で修正を当てたという記載があります。PHP2Shell自体は、PHP2Shellとはにまとめています。
みつき
番号が古いのに直っている、という書き方が何社も出てきました。数字を見て安心したり慌てたりするのは、お知らせを読んでからでよさそうです。
物差し1｜パッチ適用が終わった日時
最初の物差しは、各社のお知らせに書かれたパッチ適用の完了です。日時は、各社の2026年10月22日付のお知らせの記載をそのまま写しています。
| サービス | パッチ適用の完了（お知らせの記載） |
|---|---|
| ConoHa WING | 2026年10月22日20時45分時点で完了 |
| エックスサーバー | PHP 8.2〜8.5は6:45、7.4〜8.1は12:00、5.6〜7.3は14:00に完了。5.5以下は修正パッチを作成・検証中（20:10時点） |
| シン・レンタルサーバー | エックスサーバーと同じ時刻表 |
| さくらのレンタルサーバ | コントロールパネルから選べる全てのPHPバージョンで完了 |
| ロリポップ！ | 10月22日の未明から午前に、全PHPバージョンへ修正を適用（13時頃にサイト表示を再開） |
| mixhost | 10月22日10:18頃に、PHP 5.2〜8.5へ適用 |
| お名前.com レンタルサーバー | 2026年10月22日20時45分時点で、全PHPバージョンで完了 |
| カラフルボックス | 10月22日の朝までに、全サーバーで完了 |
| ヘテムル | お知らせには、適用の完了時刻の記載が見当たらない。「修正の適用が完了し、11時24分にお客様のサイトの表示を再開」とある |
動き出した日時は、公開前の社と公開後の社が混ざっています。
- 10月21日 12:00までエックスサーバーとシン・レンタルサーバーが緩和措置を入れ終える
- 10月21日 16:00エックスサーバーとシン・レンタルサーバーが各種サービスサイト・管理画面等を一時停止する
- 10月21日 22:30さくらインターネットが会員関連機能等の予防的緊急メンテナンスを始め、ロリポップ！がサービスサイト等を停止する
- 10月22日 1:10エックスサーバーとシン・レンタルサーバーがパッチの適用を始める
- 10月22日 3:09頃ロリポップ！が一部サーバーで顧客サイトの表示を停止する
- 10月22日 10:18頃mixhostが修正パッケージの適用を終える
- 10月22日 20:45ConoHa WINGとお名前.comがパッチ適用の完了を載せる
エックスサーバーとシン・レンタルサーバーは、PHPのバージョンごとに完了の時刻が違います。
- 10月22日 6:45PHP 8.2〜8.5が完了
- 10月22日 12:00PHP 7.4〜8.1が完了
- 10月22日 14:00PHP 5.6〜7.3が完了
- 20:10時点PHP 5.5以下は修正パッチを作成・検証中
みつき
同じ日の中でも、先に動いた社と後から動いた社がいて、時刻を追うだけで目が回りました。表にしてやっと、順番が頭に入りました。
物差し2｜利用者の作業と、止まった機能
2つ目の物差しは、契約者が何かする必要があるかと、止まった機能です。ロリポップ！とヘテムルはサイトの動作確認と対応を求め、ヘテムルはあわせてPHP 8.2以降への切り替えを推奨しています。エックスサーバーとシン・レンタルサーバーは、2026年10月22日20:10時点の記載で、お願いしている作業の記載はなく、ご利用状況によっては追加の対策を改めて案内する、と書いています。残りの5社は、不要、または緊急の対応はない、と書いています。そのうえで、さくらのレンタルサーバはサポート期間中の最新版PHPへの移行の検討を、mixhostはPHP 8.2未満の8.2以上への更新を、案内や推奨として添えています。
| サービス | 利用者の作業 | 止まった機能（お知らせの記載） |
|---|---|---|
| ConoHa WING | PHPバージョンの変更等は不要 | ファイルマネージャー、Webメール、phpMyAdminが一時停止。ファイルマネージャーとWebメールは18:30頃に再開。サイト表示とメール送受信は継続 |
| エックスサーバー | お願いしている作業の記載はない。ご利用状況によっては追加の対策をお願いする場合があり、その際は改めて案内する | 10月21日16:00から各種サービスサイト・管理画面等へのアクセスを一時停止（サーバーパネル、WEBメール、ファイルマネージャ、新規お申し込み、契約更新・お支払い等を含む）。管理画面は10月22日9:30から、サービスサイトは20:10から順次再開。サイト表示とメール送受信に影響はない |
| シン・レンタルサーバー | エックスサーバーと同じ | 10月21日16:00から各種サービスサイト・管理画面等を一時停止。10月22日14:00にアカウント管理画面・各種機能、20:10に各種サービスサイトが順次再開。一部機能は20:10時点でもメンテナンス中 |
| さくらのレンタルサーバ | 緊急の対応はない。サポート期間中の最新版PHPへの移行をあわせて検討するよう案内 | phpMyAdminとウェブメールが対応中の扱い（ウェブメールは10月22日13:45に対応完了。phpMyAdminの完了時刻はお知らせに書かれていない）。さくらインターネット全体では10月21日22:30から予防的緊急メンテナンスを実施し、10月22日8:15時点で完了分から順次再開 |
| ロリポップ！ | ファイルのアップロード状況を記録するPHPの機能を全バージョンで無効にしたため、サイトの動作確認と対応が必要 | 10月21日13:30頃からphpMyAdmin、FTP・旧Webメーラーを順次停止。22:30頃からサービスサイト・ユーザー専用ページ・MCP・API・おさいぽ！自動更新を順次停止。10月22日3:09頃から一部サーバーで顧客サイトの表示を停止し、13時頃に表示を再開（phpMyAdminは13:11頃、サービスサイト等は13:34頃、おさいぽ！自動更新は16:44頃に再開） |
| mixhost | 不要 | 止まった機能の記載は、このお知らせにはない |
| お名前.com レンタルサーバー | 不要。ご利用中のPHPバージョンのまま適用 | Webメール、ファイルマネージャー、phpMyAdmin |
| カラフルボックス | 不要。ご利用中のPHPバージョンのまま適用 | 止まった機能の記載は、このお知らせにはない |
| ヘテムル | PHP 8.2以降への切り替えを推奨。ファイルのアップロード状況を記録するPHPの機能を全バージョンで無効にしたため、サイトの動作確認と対応をお願いしている | サイト表示（11:24頃）、FTP・hetemail（11:12頃）、サービスサイト・コントロールパネル（12:12頃）、phpMyAdmin（13:11頃）、おさいぽ！自動更新（15:15頃）が10月22日に再開 |
ロリポップ！は、PHPを8.2以上に上げることと、WordPressの本体・プラグイン・テーマの確認も依頼しています。動作の確認は、契約者のサイトでしか行えません。
mixhostとカラフルボックスのお知らせには、止まった機能の記載がありません。ない理由は、お知らせからは読み取れません。
ほかの社が「作業不要」だから、自分の契約先も不要だと考える
契約先のお知らせの「利用者の作業」の記載を見る
お手元の画面
PHPの番号の表示
見比べる
契約先のお知らせ
適用の完了・利用者の作業
判断
お手元のサイト
物差し3｜各社のお知らせの中身と、お知らせのページ
3つ目は、お知らせそのものの場所です。9社分の中身を短くまとめ、公式のお知らせのページを添えます。お知らせの読み方の手順は、PHP2Shellの影響を確認する手順に分けています。
パッチ適用の日時
利用者の作業
止まった機能
契約先のお知らせの1ページ
読むのは契約先の1ページ
2026年10月22日20時45分時点で完了
ConoHa WING
利用者の作業は不要
PHPバージョンの変更等は不要と書かれています。緊急メンテナンスは同じ20:45に終了しました。お知らせ: ConoHa WING 終報
PHPのバージョンごとに6:45・12:00・14:00に完了
エックスサーバー
作業の依頼は記載なし
ご利用状況によっては追加の対策をお願いする場合があり、その際は改めて案内する、と書かれています。対応は弊社サービスに対する不正アクセスの発生に伴うものではない、という記載もあります。お知らせ: エックスサーバー
エックスサーバーと同じ時刻表
シン・レンタルサーバー
作業の依頼は記載なし
10月22日14:00にアカウント管理画面・各種機能が順次再開し、20:10に各種サービスサイトが順次再開しました。一部機能は20:10時点でもメンテナンス中です。ご利用状況によっては追加の対策を改めて案内する、という記載があります。お知らせ: シン・レンタルサーバー
選べる全てのPHPバージョンで完了
さくらのレンタルサーバ
緊急の対応はない
Webメールは10月22日13:45までに対応を終えています。2026年10月22日14時の時点で、この脆弱性を悪用した不正アクセスや情報漏えい等の被害は報告されていない、との記載がさくらインターネットのお知らせにあります。お知らせ: さくらのレンタルサーバ
10月22日の未明から午前に全PHPバージョンへ適用
ロリポップ！
サイトの動作確認が必要
PHP 8.2〜8.5は開発元の修正版、7.4〜8.1は開発元が提供した修正、5.3〜7.3は公式の修正内容をもとにロリポップ！が作成した修正です。ファイルのアップロード状況を記録するPHPの機能を全バージョンで無効にしたため、サイトの動作の確認と対応が求められています。お知らせ: ロリポップ！ 完了・経緯報告
10月22日10:18頃に完了
mixhost
利用者の作業は不要
全サーバーにPHPの修正パッケージを適用しました。PHP開発元の修正対象から外れた旧版には、CloudLinuxが提供する独自の修正パッケージを適用しています。PHP 8.2未満は、8.2以上への更新を推奨しています。サイトヘルスとPHPの設定情報を表示するページの表示は据え置きです。お知らせ: mixhost
2026年10月22日20時45分時点で完了
お名前.com レンタルサーバー
利用者の作業は不要
対象はベーシック、RSプラン、AIホームページパックです。ご利用中のPHPバージョンのまま適用され、サイトヘルスのバージョン表示は変わらない可能性がある、と書かれています。お知らせ: お名前.com 完了通知
10月22日の朝までに完了
カラフルボックス
利用者の作業は不要
共有サーバー、カラフルビジネス、タダサーバー、専用サーバーの全サーバーが対象です。WordPress等のCMSを使っていても同じで、7.4・8.0・8.1などの旧い版にもサーバー側で修正と保護措置を入れています。お知らせ: カラフルボックス
10月22日11:24にサイト表示が再開
ヘテムル
更新の推奨と動作確認あり
2026年10月22日18時05分付のお知らせでは、脆弱性を狙ったとみられるアクセスの試みは確認されたが、不正アクセスや情報漏えいは確認されていない、と書かれています。PHP 8.2以降への切り替えを推奨し、ファイルのアップロード状況を記録するPHPの機能を全バージョンで無効にしたため、サイトの動作確認と対応をお願いしています。お知らせ: ヘテムル
みつき
9社を読み終えて、いちばん書き方が違ったのは「利用者の作業」の欄でした。そこだけ別の社のお知らせを借りて読むと、判断を取り違えそうです。
情報の確認日: 2026年10月23日
結論｜契約先が決まれば、確認先はその社のお知らせです
あなたの契約先が9社のどれかなら、確認先はその社のお知らせの1ページです
表示されるPHPの番号が古いままでも修正済みの場合があるので、判断は契約先のお知らせで行います。
契約先ごとの確認先は、次のとおりです。
IFロリポップ！・ヘテムルを使っている
→
THENお知らせにあるアップロード状況を記録するPHPの機能の停止の記載を見て、自分のサイトの動作を確かめる。ロリポップ！とヘテムルはPHP 8.2以降への切り替えも依頼・推奨
IFConoHa WING・お名前.com・mixhostを使っている
→
THEN各社のお知らせの「利用者の作業」の記載を見る。表示の番号は据え置きの場合がある
IFカラフルボックスを使っている
→
THENお知らせの「利用者の作業」の記載を見る。ご利用中のPHPバージョンを維持したまま、サーバー側で更新したと書かれている
IFエックスサーバー・シン・レンタルサーバーを使っている
→
THENお知らせの時刻表で、自分のPHPバージョンの行を見る。5.5以下は20:10時点で作成・検証中。追加の対策を改めて案内する場合がある、との記載も読む
IFさくらのレンタルサーバを使っている
→
THENお知らせで、最新版PHPへの移行についての案内を見る
IFこの9社以外を使っている
→
THENその会社の公式のお知らせを探す。この記事に載せた9社の記載は、その会社には当てはまらない
- 1契約先の社名を思い出す
- 2上の行から自分の契約先を探す
- 3その社のお知らせのページを開く
お知らせを読んだあと、自分のサイトに影響があったかを確かめる手順は、PHP2Shellの影響を確認する手順にあります。
それでは、モノサシを片手に、次の比較でまたお会いしましょう。
— モノサシ屋みつき