エックスサーバーのPHP脆弱性対応｜修正完了と利用者が今やること

2026年10月23日更新：エックスサーバーがPHP 5.6〜8.5への修正を終え、管理画面も再開したことを受けて、内容を書き換えました。

「エックスサーバーの管理画面に入れない」「PHPの脆弱性のニュースを見たけれど、自分のサイトで何をすればいいのか分からない」——2026年10月21日の夕方から、エックスサーバーでホームページやWordPressを動かしている人の多くが、この状態に置かれました。

結論から言うと、エックスサーバーは10月22日14時までに、PHP 5.6〜8.5のすべてのバージョンへ修正を当て終えたと発表しています。管理画面も22日から順に再開しました。今回の脆弱性について、利用者がやらなければいけない作業は、今のところありません。ただし、8.1以前に入ったのはエックスサーバー独自の修正で、PHPの公式の修正は今後も出ません。8.1以前と8.2のサイトは、年内をめどに8.3以上へ上げておくのが安全です。

株式会社Fyveは、中小企業のWeb運用とAI活用を支援しています。私たちが関わっているWordPressのサイトにも、エックスサーバーで動いているものがあります。この記事では、エックスサーバーの公式発表をもとに、今の状況と、利用者がやること・やらなくていいことを順に整理します。

結論｜修正は完了。この先やることはPHPのバージョンで分かれる

今回の脆弱性（通称「php2shell」）は、PHPそのものにある穴です。直すにはサーバーに入っているPHPに修正を当てるしかなく、その作業はエックスサーバーが行い、10月22日に終えています。この先の利用者側の動き方は、使っているPHPのバージョンで次のように分かれます。

どの場合も、WordPress本体やプラグインを最新にしても、今回の脆弱性は直りません。直るのは、サーバー側のPHPに修正が当たったときです。WordPressの公式ブログも、WordPressの更新は必要なく、予定もないと書いています。

脆弱性そのものの中身や、ほかのレンタルサーバーの対応は、別の記事にまとめています。

php2shellとは｜PHPの脆弱性でサイト運営者が今やること

エックスサーバーで起きたこと（2026年10月22日20時10分時点）

ここからは、エックスサーバーの公式サイトに出ているお知らせの内容です。お知らせはその後も更新されるため、最新の状況はエックスサーバーのお知らせと公式Xアカウント（@xserverjp）で確かめてください。

公式サイトと管理画面は、22日から順に再開した

エックスサーバーは2026年10月21日16時から、公式サイトと管理画面へのアクセスを止めていました。理由は「予防的な安全対策」で、当社サービスに対する不正アクセスが起きたためではないと明記されています。

10月22日9時30分から、アカウント管理画面と各種機能を順に再開しています。20時10分時点では、サーバーパネル、WEBメール、ファイルマネージャ、各種API／MCP、新規お申し込み、お問い合わせフォームなど、主なものは再開しています。まだメンテナンスが続いているのは、次のものです。

• 旧WEBメール
• サーバーパネルとサポートサイトの一部の機能
• 契約更新・お支払いの一部の決済手段

止まっていた間も、お客様が使っているサーバーは動き続けていました。Webサイトの表示と、メールソフト（OutlookやiPhoneのメールなど）での送受信には影響がなかったとされています。

PHP 8.2〜8.5は、22日6時45分に修正を当て終えた

PHPの修正版は、日本時間の10月21日23時ごろに公開されました。エックスサーバーは22日1時10分に8.2〜8.5への適用を始め、6時45分に「対象となるすべてのサーバーへの修正パッチ適用が完了」したと発表しています。

8.2〜8.5を使っているサイトは、利用者がPHPを入れ替える作業はありません。

8.1以前にも、エックスサーバー独自の修正が入った

PHPの開発チームは、8.1以前のバージョンには修正版を出しません。8.1以前はすでに公式のサポートが終わっているためです。7.4・8.0・8.1向けには最小限の修正のコードだけを公開していて、使うかどうかはサーバー会社に任されています。エックスサーバーは、独自に作った修正を、7.4〜8.1には22日12時に、5.6〜7.3には14時に当て終えたと発表しています。5.5以下は、20時10分の時点でまだ修正を作成・検証しているところです。

独自の修正のため、WordPressのサイトヘルスなどに出るバージョンの数字では、修正が入ったかを見分けられないことがあります。8.1以前の人は、エックスサーバーのお知らせで適用が終わったことを確かめてください。お知らせには、使い方によっては、利用者にも追加の対策をお願いする場合があるとも書かれています。その際は改めて案内するとしているので、しばらくはお知らせを見ておきます。

ここまでの流れ

自分のサイトのPHPバージョンを確かめる方法

やることを決めるには、まず自分のサイトのPHPのバージョンを知る必要があります。WordPressならサイトヘルス、それ以外ならエックスサーバーのサーバーパネルで確かめられます。

WordPressなら「サイトヘルス」で見られる

WordPressのサイトなら、WordPressの管理画面から確かめられます。開くのはエックスサーバーの管理画面ではなく、自分のWordPressの管理画面（ダッシュボード）です。

1. WordPressの管理画面にログインする
2. 左のメニューの「ツール」から「サイトヘルス」を開く
3. 上のタブで「情報」を選ぶ
4. 「サーバー」の項目を開き、「PHP バージョン」を見る

「8.3.36」のように数字が3つ並んで表示されていれば、PHPの公式の修正版かどうかが分かります。今回の修正版は8.5.12・8.4.27・8.3.36・8.2.35です。たとえば8.3系なら、8.3.36以上であれば公式の修正が入っています。

ただし、エックスサーバーが当てた修正でこの数字が変わるかどうかは、お知らせに書かれていません。数字が修正版より小さくても、エックスサーバーは5.6〜8.5のすべてに修正を当て終えたとしています。気になる場合は、エックスサーバーのサポートに確かめてください。

WordPress以外のサイトは、作った人に聞く

問い合わせフォームだけがPHPで動いているサイトや、独自に作ったシステムは、作った制作会社か担当者に「このサイトのPHPのバージョンはいくつか」を聞くのが確実です。エックスサーバーのサーバーパネルの「PHP Ver.切替」でも、ドメインごとに今のバージョンが表示されます。

PHPの情報を表示するファイル（phpinfo）をサーバーに置いて確かめる方法もありますが、置いたまま忘れると、サーバーの細かい情報を誰にでも見せることになります。勧めません。

判定はAIに手伝ってもらってもいい

サイトヘルスの「サーバー」の部分をスクリーンショットに撮り、ChatGPTやClaudeに貼って、次のように聞くと、読み取りと判定を手伝ってもらえます。

このWordPressのPHPのバージョンを読み取ってください。2026年10月21日にPHPの修正版（8.5.12・8.4.27・8.3.36・8.2.35）が出て、サーバーのエックスサーバーは10月22日に、PHP 5.6〜8.5のすべてに修正を当て終えたと発表しています。このバージョンのまま使い続けてよいか、年内に上げるべきかを教えてください。

修正版の番号とエックスサーバーの発表は、必ず質問の中に書いて渡してください。AIは学習した時点より新しいニュースを知らないことがあり、番号を渡さないと古い情報で判定してしまうおそれがあります。

PHP 8.2以上のサイト｜今回の件での作業はない

エックスサーバーが修正するのは、サーバーに入っているPHPそのものです。共用のレンタルサーバーでは、利用者が自分でPHP本体を入れ替えることはできませんし、その必要もありません。

エックスサーバーは、8.2〜8.5への修正を22日6時45分に当て終えたと発表しています。気になる場合は、サイトヘルスでPHPのバージョンを見ておきます（数字の見方は前の章のとおりです）。

8.2を使っている人は、もう1つあります。PHP 8.2は2026年12月31日で公式のサポートが終わり、それ以降は今回のような修正が出ません。年内に8.3以上へ上げておきます。手順は次の章の「切り替えの手順」と同じです。

PHP 8.1以前のサイト｜年内をめどに8.3以上へ切り替える

急がなくてよいが、そのままにはしない

エックスサーバーは、8.1以前にも独自の修正を当て終えたと発表しています。今回の件については、急いで切り替える必要はなくなりました。

ただし、8.1以前はPHPの開発チームのサポートがすでに終わっていて、今回に限らず、今後見つかる問題にも公式の修正は出ません。次に同じような問題が見つかったときも、サーバー会社が独自の修正を作るのを待つことになります。サイトの動作を確かめる時間が取れるときに、修正が出続ける8.3以上へ移っておくのが確実です。

切り替える前にやること

• バックアップを取る。エックスサーバーの自動バックアップに加えて、WordPressのバックアップ用プラグインなど、自分の手元にも残せる形で取っておきます
• テーマとプラグインを先に更新する。新しいPHPで止まる原因の多くは、長く更新されていないテーマやプラグインです。WordPressの管理画面からできます
• 確かめるページを決めておく。トップページ、問い合わせフォームの送信、予約や決済のページ、WordPressの管理画面へのログイン

切り替えの手順

1. エックスサーバーのサーバーパネルにログインする
2. 「PHP」の「PHP Ver.切替」を開く（エックスサーバーのマニュアル「PHPのバージョンについて」にある画面です）
3. 切り替えるドメインを選ぶ
4. 修正版が出ている8.3以上のバージョンを選んで、変更する
5. 決めておいたページを順に開き、表示とフォームの送信を確かめる

表示が崩れたら

元のバージョンに戻せば、表示は戻ります。ただし、戻した状態は、公式のサポートが終わった古いPHPのままです。戻したら、どのテーマ・プラグインが原因かを確かめて直し、もう一度切り替えるところまで進めます。原因の探し方と直し方は、次の記事で手順にしています。

WordPressのPHPバージョンアップ｜止まる原因と直し方

今回の件で、やらないこと

• 「PHP対策」をうたうメールやSMSのリンクからログインしない。ログインを急がせる連絡が来たら偽物を疑い、ログインは普段使っているブックマークから行います
• メンテナンスモードのプラグインで安心しない。今回の攻撃は、WordPressが動き始める前の段階で起こせるとPHPの開発チームが説明しています。WordPress側で画面を閉じても防げません
• php.iniの設定変更で済ませない。PHPの開発チームは、設定で一部の攻撃の道筋を減らせても安全にはならず、更新だけが安全だとしています
• 慌ててほかのサーバーへ引っ越さない。修正はすでに入っています。引っ越しの作業中は設定の抜けやメールの止まる事故も起きやすく、今回の件を理由に引っ越す必要はありません

制作会社・保守担当（複数のサイトを預かる人）の段取り

お客様のサイトをまとめて預かっている場合は、次の順で進めます。

1. 預かっているサイトを一覧にし、それぞれのPHPのバージョンを控える。WordPressならサイトヘルスで見られます
2. 8.1以前のサイトは、持ち主に切り替えの了承を先に取る。表示が崩れる可能性と、確かめる時間帯を伝えておきます
3. 問い合わせ・予約・決済があるサイトから、年内をめどに切り替える
4. お客様に「WordPressを更新したので大丈夫です」と説明しない。今回は当てはまりません
5. 改ざんされていないかを確かめる（次の章）

お客様への連絡は、たとえば次のような文面で足ります。

PHP（ホームページを動かしている仕組みの1つ）に重大な脆弱性が見つかり、サイトを置いているエックスサーバーが10月22日に修正を当て終えました。御社のサイトは現在PHP ◯◯で動いていて、このバージョンは公式のサポートがすでに終わっています。今後も修正が出るバージョンへ切り替えたいので、◯日の◯時ごろに切り替えと表示の確認を行ってもよろしいでしょうか。切り替え後は、トップページと問い合わせフォームの動きをこちらで確かめます。

修正が終わったあとに確かめること

Cloudflareは、公式の公開日より前に情報が漏れ、自社の顧客を狙う攻撃の通信を観測したと発表しています。エックスサーバーも公表の前（10月21日の昼まで）に、不正アクセスのリスクを和らげる措置を入れていたとしていますが、修正が入る前に狙われていないとは言い切れません。念のため、次の点を見ておきます。

• WordPressの「ユーザー」に、見覚えのない管理者が増えていないか
• サイトの見た目やリンク先が変わっていないか（別のサイトへ飛ばされる、見覚えのない文字が出る）
• サーバー上に、見覚えのないファイルや、最近の日付で書き換わったファイルがないか
• Google Search Consoleの「セキュリティの問題」に、警告が出ていないか

気になる点が見つかったら、自分で消して終わりにせず、制作会社や保守の担当者、エックスサーバーのサポートに相談してください。

私たちが確かめたこと

10月22日の未明に、私たちも自社と、関わっているサイトを確かめました。

自社のサイトは、PHPを使わない仕組み（Next.jsで作り、Vercelで公開）で動いているため、サイト本体は今回の対象外でした。ただ、自社のメールはエックスサーバーで受けていて、同じサーバーに、1年以上更新していない古いWordPress（PHP 8.1）が1つ残っていました。使っていなかったので、管理画面が止まっている間にFTPでサイトを閉じ、すべてのページを自社のサイトへ転送しました。メールと同じサーバーに、修正の入っていないPHPで動くサイトを置いておく理由はないと考えたためです。

また、関わっているお客様のWordPressのサイトは3つあり、3つともエックスサーバーで動いていました。

どのサイトも、サイトの外から見える情報（サーバーが返すヘッダー）にPHPのバージョンは出ていませんでした。つまり、外からは判定できません。持ち主か管理している人が、サイトヘルスかエックスサーバーの管理画面で確かめる必要があります。自分のサイトがどのバージョンかを把握していない人は、まずそこから始めてください。

よくある質問

エックスサーバーの管理画面は、もう使えますか？

使えます。10月22日9時30分から順に再開し、20時10分時点で、サーバーパネル、WEBメール、ファイルマネージャなどは再開しています。旧WEBメールと、一部の機能・決済手段はメンテナンスが続いています。

サイトが表示されません。今回の件のせいですか？

エックスサーバーは、今回の停止でWebサイトの表示に影響はなかったとしています。サイトが表示されない場合は、別の原因も考えられます。エックスサーバーの障害情報を確かめるか、制作会社に相談してください。

メールは使えますか？

使えます。メールソフトでの送受信は、停止の間も通常どおりでした。ブラウザで使うWEBメールも再開しています（旧WEBメールはメンテナンス中）。

自分で何かをインストールしたり、設定を変えたりする必要はありますか？

今回の件については、今のところありません。PHPへの修正は、エックスサーバーが当て終えています。ただし、使い方によっては利用者へ追加の対策をお願いする場合があるとされているので、お知らせを確かめてください。

WordPressのダッシュボードに「PHP の更新を推奨」と出ています。これが今回の件ですか？

その表示は、使っているPHPが古いときにWordPressが出すお知らせで、今回の脆弱性とは別の仕組みで出ています。私たちの検証用のWordPress（PHP 7.4）では、「PHP の推奨バージョンは 8.3 以上です」と書かれていました。出ているなら、古いバージョンを使っている可能性があります。サイトヘルスでバージョンを確かめ、8.1以前なら、この記事の「PHP 8.1以前のサイト」の章を読んでください。

シン・レンタルサーバーやXServerビジネスも同じですか？

10月22日2時30分ごろの時点で、シン・レンタルサーバーとXServerビジネスの公式サイトにも、同じメンテナンスのお知らせが表示されていました。最新の状況は、それぞれの公式サイトで確かめてください。

まとめ｜今やることのチェックリスト

• エックスサーバーは10月22日14時までに、PHP 5.6〜8.5のすべてに修正を当て終えた。管理画面も再開している
• 今回の件で、利用者がやらなければいけない作業は今のところない（5.5以下は修正を作成・検証中）
• 自分のサイトのPHPのバージョンを確かめる（WordPressなら「ツール」→「サイトヘルス」→「情報」→「サーバー」）
• 8.2は2026年12月31日でサポートが終わる。年内に8.3以上へ上げる
• 8.1以前は公式の修正が今後も出ない。バックアップとテーマ・プラグインの更新を済ませ、年内をめどに8.3以上へ切り替える
• 「PHP対策」をうたうメールやSMSのリンクからはログインしない
• 見覚えのない管理者やファイルがないかを確かめる