PHPの重大な脆弱性、レンタルサーバー各社の対応状況を比較【2026年10月】

2026年10月21日、PHPにおいて2件の重大な脆弱性（CVE-2026-109618、CVE-2026-109619）の修正版が公開されました。

今回の脆弱性は、外部から認証なしでサーバー上のコードを実行される可能性がある深刻なものです。

これを受け、国内のレンタルサーバー各社も緊急メンテナンスやセキュリティパッチの適用を実施しました。

一方で、PHP 7.4などの古いバージョンを利用している場合、「すぐにPHPを更新しなければ危険なのか」と疑問に感じる方もいるかもしれません。

実際には、サーバー会社が古いPHPにも独自の修正を適用しているケースがあります。

今回は、主要レンタルサーバー各社の公式発表をもとに、対応状況を比較します。

今回のPHP脆弱性とは？

今回修正された脆弱性は以下の2件です。

• CVE-2026-109618
• CVE-2026-109619

いずれも、外部から不正なコードを実行される可能性がある重大な問題です。

PHP公式が公開した修正版は以下のとおりです。

PHP 8.1以前は公式サポートが終了しており、通常のセキュリティリリースは提供されていません。

参考：PHP公式セキュリティ情報／IPAの注意喚起

レンタルサーバー各社の対応状況

2026年10月24日時点で確認できた公式発表をまとめました。

※各社の共用レンタルサーバーに関する情報です。VPSや利用者がPHPを管理する環境には、そのまま当てはまりません。

さくらのレンタルサーバ

さくらインターネットは、コントロールパネルから選択できるすべてのPHPバージョンについて、今回の脆弱性への対応を完了したと発表しています。

そのため、今回の脆弱性に限れば、利用者による緊急のPHPバージョン変更は必要ないと案内しています。

ただし、サポート期間中の新しいPHPへの移行も推奨しています。

さくらインターネット公式発表

エックスサーバー

エックスサーバーは、PHP 5.6〜8.5について、対象となるすべてのサーバーへの修正パッチ適用を完了しています。

PHP 5.6〜8.1ではバージョン番号を変えずに修正し、PHP 8.2〜8.5では同じ系列の修正版へ更新しています。

一方、PHP 5.1〜5.5については、10月23日17時時点で対象サーバーの過半数への適用が完了した段階と公表しています。

なお、XServer VPSなど、利用者自身がPHPを管理するサービスでは別途対応が必要です。

エックスサーバー公式発表

ロリポップ！

ロリポップ！は、PHP 8.2〜8.5に公式修正版を適用し、PHP 7.4〜8.1には開発元の修正コードを適用しています。

さらに、PHP 5.3〜7.3についても、公式の修正内容をもとに独自の修正を作成・検証して適用しています。

対応作業中は一部サーバーでサイト表示を停止し、10月22日13時頃に再開しました。

ただし、今回の対策に伴い、一部のPHP機能が無効化されているため、サイトやお問い合わせフォームなどの動作確認が推奨されています。

ロリポップ！公式発表

ConoHa WING

ConoHa WINGは、2026年10月22日20時45分時点で、提供中のすべてのPHPバージョンへのセキュリティパッチ適用を完了しています。

対象にはPHP 5.6やPHP 7.4などの古いバージョンも含まれます。

今回の対応では、PHPのバージョン番号を変更せず、修正プログラムだけを取り込む方法が採用されています。

ConoHa WING公式発表

PHP 7.4.33と表示されていても対策済みの場合がある

今回、特に注意したいのがPHPのバージョン番号です。

例えば、ConoHa WINGではPHP 7.4.33という表示のままでも、今回の脆弱性への修正が適用されていると明記しています。

これは、既存のPHPに必要な修正だけを取り込む「バックポート」と呼ばれる方法などによって対応できるためです。

つまり、表示されているバージョン番号だけでは、今回の脆弱性への対応状況を正確に判断できない場合があります。

サーバー会社の公式発表を確認することが重要です。

パッチ適用済みなら古いPHPを使い続けても大丈夫？

今回の脆弱性への対応が完了していることと、古いPHPを今後も安全に使い続けられることは別の問題です。

PHP 7.4など、公式サポートが終了したバージョンには、今後新しい脆弱性が発見されても、PHP公式から通常の修正版が提供されません。

サーバー会社が今回独自に修正したとしても、今後のすべての脆弱性に対応することが保証されるわけではありません。

そのため、緊急の対応が不要な環境でも、サポート中のPHPへの移行は計画的に進めることをおすすめします。

WordPress利用者が確認しておきたいこと

今回の脆弱性に対応済みのレンタルサーバーを利用している場合でも、次の点は確認しておきましょう。

1. 利用しているレンタルサーバーの公式発表を確認する
2. 現在のPHPバージョンとサポート状況を確認する
3. WordPress本体・テーマ・プラグインを更新する
4. 使用していないWordPressやプラグインを削除する
5. お問い合わせフォームなどが正常に動作するか確認する

PHPを新しい系列へ変更する際は、事前のバックアップと動作確認が必要です。古いテーマやプラグインが新しいPHPに対応していない場合、サイトが正常に動作しなくなる可能性があります。

まとめ

今回のPHP脆弱性に対して、国内の主要レンタルサーバー各社は、古いPHPを含めた修正対応を進めています。

特に、さくらのレンタルサーバやConoHa WINGでは、提供中の古いPHPにも修正が適用されていることが公式に確認できます。

ただし、「今回の脆弱性に対応済み」であることと「古いPHPを使い続けても問題ない」ことは同じではありません。

まずは契約中のサーバー会社の対応状況を確認し、必要に応じてPHPやWordPressの更新を検討しましょう。

株式会社おべんちゃーでは、WordPressの更新やPHPバージョンアップに伴う動作確認、Webサイトの保守・改修についてもご相談いただけます。

---

※本記事は2026年10月24日時点の各社公式発表をもとに作成しています。対応状況は変更される可能性があります。最新情報は各社の公式サイトをご確認ください。