レンタルサーバーを選ぶときのセキュリティ面の物差し｜更新・WAF・バックアップ・PHP版の切り替え・お知らせ

この記事には広告（アフィリエイトリンク）が含まれます

サーバーを選ぶとき、セキュリティの面は、結局どこを見ればいいんでしょうか。料金と、容量と、表示の速さ。思いつくのはそのあたりで、セキュリティと言われても、何と何を並べればいいのか見当がつきません。そもそも、料金表の隣にある小さい字を、最後まで読んだことがあったかどうか。

はじめまして、モノサシ屋のみつきです。ネットワークまわりの案内役で、公式の発表を並べて、何で比べるかを決めています。

結論｜物差しは5本。契約前の平時に、公式ページで探す

セキュリティ面でサーバーを比べる物差しは、更新を誰が管理するか、WAF、バックアップ、PHPの版の切り替え、お知らせの出し方の5本です。どれも、契約前の落ち着いた時期に、各社の公式ページで探せます。PHP2Shell自体は、PHP2Shellとはにまとめています。

1. 1更新を誰が管理するかを読む
2. 2WAFの有無と設定を探す
3. 3バックアップの範囲と戻し方を探す
4. 4PHPの版の切り替えと、選べる版の幅を探す
5. 5過去のお知らせの書き方を読む

物差し1｜更新を誰が管理するか：契約者の作業の範囲を読む

レンタルサーバーでは、PHPの更新を事業者がサーバー側で行う会社が多くあります。VPSや自前のサーバーでは、修正版への更新と再起動が自分の作業です。JPCERT/CCは、PHP2Shellへの対策は更新のみが適切と書いています。(出典: JPCERT/CC AT-2026-0033)

2026年10月22日の各社のお知らせでも、契約者の作業の書き方は分かれていました。

→ 横にスクロールできます

物差し2｜WAFの有無と設定：更新の代わりにならない前提で読む

WAFは、不正なアクセスを入り口で遮断する仕組みです。PHP2Shellの公開ページ（php2shell.com）は、WAFの働きはプロバイダと攻撃の経路に依存し、更新の代わりにならないと書いています。(出典: php2shell.com) Cloudflareは2026年10月21日に、顧客向けのWAF保護を全顧客へ展開したと、自社のブログで告知しています。(出典: Cloudflare ブログ)

契約前に探すのは、次の3点です。WAFの機能名があるか。標準で付くのか、設定を自分で入れるのか。どの範囲のサイトに適用されるのか。

物差し3｜バックアップの範囲と戻しやすさ：取る・残す・戻すを探す

バックアップは、契約前に説明ページで探せる項目が3つに分かれます。自動で取られるか、どのくらい残るか、どう戻すか。あわせて、対象がサイトのファイルだけか、データベースやメールも含むかを見ます。

1. 1

   取る

   自動か手動か。対象はファイル、データベース、メールのどれか。

2. 2

   残す

   保存される日数や世代の数。

3. 3

   戻す

   管理画面から自分で戻すのか、問い合わせて戻してもらうのか。

→ 横にスクロールできます

物差し4｜PHPバージョンの切り替えやすさ：選べる版の幅を見る

PHP2Shellの修正版は、2026年10月21日にphp.netが8.5.12・8.4.27・8.3.36・8.2.35を出しました。8.1以前には、公式の修正版が出ていません。JPCERT/CCは、サポートされている版への移行を勧めています。8.2は、2026年12月31日にサポートが終わります。(出典: php.net ニュース（2026年10月21日付）、JPCERT/CC AT-2026-0033)

さくらのレンタルサーバ、ロリポップ！、mixhostは、それぞれのお知らせで、さくらのレンタルサーバはサポート期間中のPHPへの移行の検討を、ロリポップ！とmixhostはPHP 8.2以上への切り替えを、勧めたり、依頼したりしています。(出典: さくらインターネット、ロリポップ！、mixhost) つまり、管理画面で版を選べることと、選べる版にサポート期間内のものが含まれることが、物差しになります。

• 2026年10月21日php.netが、修正版の8.5.12・8.4.27・8.3.36・8.2.35を出す
• 2026年12月31日PHP 8.2のサポートが終わる

1. 契約先の管理画面を開く
2. PHPの設定の項目を探す
3. 選べる版の一覧を見る
4. 版を選ぶ
5. サイトの表示を見る

物差し5｜お知らせの出し方：完了の日時、範囲、契約者の作業を読む

この物差しは、2026年10月22日のお知らせで、実際の書き方を並べて読めます。見るのは、完了の日時が書かれているか、対象の範囲が書かれているか、契約者の作業の有無が書かれているかの3点です。各社のお知らせの中身は、国内レンタルサーバー各社の対応状況に並べています。

• 2026年10月22日 6時45分エックスサーバー：PHP 8.2〜8.5の対応が完了と、お知らせにある
• 2026年10月22日 10時18分ごろmixhost：全サーバーで修正パッケージの適用が完了と、お知らせにある
• 2026年10月22日 12時エックスサーバー：PHP 7.4〜8.1の対応が完了と、お知らせにある
• 2026年10月22日 14時エックスサーバー：PHP 5.6〜7.3の対応が完了と、お知らせにある
• 2026年10月22日 20時10分時点エックスサーバー：PHP 5.5以下は修正パッチの作成・検証中と、お知らせにある
• 2026年10月22日 20時45分ConoHa WING：サーバーへのセキュリティパッチ適用が完了と、お知らせにある

(出典: エックスサーバー、mixhost、ConoHa WING)

過去の障害やメンテナンスのお知らせは、契約前でも、各社のお知らせ一覧で読めます。書き方の型を、平時に見比べる物差しとして使います。

情報の確認日: 2026年10月23日

まとめ｜5本の物差しを、契約先の公式ページで探す

契約前に、5本の物差しを、契約先の公式ページで探します。WAFは更新の代わりにならないので、更新の物差しと並べて読みます。

探す先の例として、2社の公式サイトを並べます。お知らせの書き方は、物差し5で並べたとおりです。