ABLENETのPHP脆弱性対応とは、2026年10月21日に修正版が公開されたPHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619、通称「php2shell」）について、ABLENET株式会社（2026年10月1日に株式会社ケイアンドケイコーポレーションから社名変更）が運営する「ABLENET（エイブルネット）」のレンタルサーバーで何が案内されていて、利用者が何をすればよいか、という話です。結論から言うと、ABLENETは10月22日13時4分、レンタルサーバーのお知らせに「PHPの脆弱性に関するセキュリティアップデートの対応について」を出し、PHPの2件の脆弱性について「セキュリティアップデートの初期対応を実施いたしました」と案内しました。引き続き必要な対応を進めるとしています。ただし、2026年10月22日16時00分時点で、どのPHPのバージョンに何をしたのか、利用者に作業が必要かどうかは書かれていません。サービスの停止や緊急メンテナンスの案内は出ていません。
速報（2026年10月22日16時00分時点・当社調べ）
| PHPの脆弱性への対応 | 対応中（10月22日13時4分のお知らせで「初期対応を実施」、引き続き対応を進めると案内） |
| 管理画面・ログイン | 入れる（停止の告知なし。お客様ページのログイン画面が開くことを確認。ログインはしていません） |
| サイト・サービスの表示 | 通常どおり（障害/メンテナンス情報は「現在ネットワークに関する問題はありません」） |
| 確認した公式ページ | レンタルサーバーのお知らせ（PHPの脆弱性）、障害/メンテナンス情報 |
状況は変わることがあります。最新の情報は公式ページでご確認ください。
この記事は、2026年10月22日16時00分時点のABLENETのお知らせ一覧、レンタルサーバーのお知らせ、障害/メンテナンス情報と、ABLENETの公式マニュアル・よくある質問、PHP公式のセキュリティ勧告をもとにしています。お知らせは短く、細かい内容はまだ公表されていません。最新の情報は必ず公式のお知らせでご確認ください。脆弱性そのものの説明はPHPの重大な脆弱性（CVE-2026-109618/109619）の解説記事に、国内のサーバー会社やサービスの動きは10月21日に何が起きたかのまとめ記事にまとめています。
ABLENETが公表していること（10月22日16時00分時点）
ABLENETのお知らせは、会社全体の「お知らせ一覧」、レンタルサーバー専用の「お知らせ」、そして「障害/メンテナンス情報」の3か所に分かれています。3か所とも確認した結果は次のとおりです。
レンタルサーバーのお知らせに「初期対応を実施」の告知が出た
10月22日13時4分、レンタルサーバーのお知らせに「PHPの脆弱性に関するセキュリティアップデートの対応について」が掲載されました。本文は「PHPに関して確認された2件の脆弱性に関して、当社レンタルサーバー環境に関して、セキュリティアップデートの初期対応を実施いたしました」「引き続き、関連するセキュリティ情報の確認および適宜必要な対応を進めてまいります」という短いものです。CVE番号、対象のPHPのバージョン、利用者に作業が必要かどうかは書かれていません。障害/メンテナンス情報のページは「現在ネットワークに関する問題はありません」という表示のままで、緊急メンテナンスやサイトの一時停止にふれた告知はありません。その後、会社全体のお知らせ一覧にも、10月22日付で同じ題名の記事が載りました（16時00分に確認）。中身はレンタルサーバーのお知らせと同じで、新しい説明は増えていません。
VPSのお知らせはLinuxカーネルの別の脆弱性
一方、VPSのお知らせには、10月16日と10月20日に「Linuxカーネル脆弱性（CVE-2026-99999）」についての告知が出ています。10月20日の告知では、ABLENET VPSのホスト（仮想サーバーを動かしている親機）に対策版のパッチを順次当てていて、利用者に必要な作業が出たら速やかに知らせるとしています。これはPHPとは別の脆弱性で、今回のPHPの件についての説明ではありません。
公式の情報を整理すると次のようになります。
| 確認したこと | 10月22日16時00分時点の公式情報 |
|---|---|
| PHPの脆弱性についての告知 | 10月22日13時4分にレンタルサーバーのお知らせで掲載 |
| サービスの停止・緊急メンテナンス | 告知なし。障害情報は「問題なし」の表示 |
| 修正版PHPの適用 | 「セキュリティアップデートの初期対応を実施」。対象のバージョンは書かれていない |
| 利用者がやること | 案内なし |
| 関連する告知 | VPSでLinuxカーネルの脆弱性への対応（10月16日・20日） |
お知らせにバージョンごとの説明がない以上、利用者側で「自分のサイトがどのPHPで動いているか」を確かめておくのが現実的です。ここから先は、ABLENETの公式マニュアルに沿って、その確認の仕方を説明します。
ABLENETレンタルサーバーのPHPのしくみ
ABLENETのレンタルサーバーは、2023年3月に始まった新しい共用サーバーです。機能・仕様のページによると、管理画面（コントロールパネル）には「DirectAdmin」を使い、Webサーバーには「LiteSpeed」を使っています。
選べるPHPは5.6から8.5まで
各種パス・プログラム一覧では、使えるPHPとして5.6、7.3、7.4、8.0、8.1、8.2、8.3、8.4、8.5が挙げられています。古いバージョンも選べるので、昔作ったサイトが古いPHPのまま動いていることがあります。今回の脆弱性で、PHP公式の修正版が出たのは8.2以降だけです。
切り替えはDirectAdminの「Select PHP version」
PHPのバージョンは、DirectAdminの「追加機能」の中にある「Select PHP version」で選びます。ABLENETのよくある質問（サイトヘルスで「1つ以上の推奨モジュールが存在しません」と表示される場合の解決法）に、この画面の開き方が載っています。その画面例では、初期の設定が「native (8.1) (current)」と表示されています。nativeはサーバーの標準のPHPという意味で、この例ではそれが8.1です。いまの標準が同じかどうかは書かれていないため、自分の画面で確かめてください。
サーバー側の守り（WAFと自動バックアップ）
機能・仕様のページでは、無料で使えるWAF（怪しいアクセスを手前で止める仕組み）と、セキュリティ製品「imunify360」、Acronis Backupによる14日分の自動バックアップが紹介されています。ただし、WAFは攻撃のよくある形を止めるもので、PHPそのものの弱点をなくすものではありません。PHP公式も、確実な対策は修正版への更新だけだとしています。
バージョンの番号だけでは修正の有無が分からないことがある
ここは公式発表ではなく、筆者の見立てとして読んでください。ABLENETはサーバーのOS名を公表していませんが、「Select PHP version」という画面は、共用サーバー向けのOS「CloudLinux」のPHP切り替え機能と同じ名前です。CloudLinux社の10月21日の案内では、同社が配る修正済みのPHPは、修正を取り込んでもバージョンの番号が公式の修正版より低いまま（例: 8.4.27ではなく8.4.26）になると説明しています。ABLENETのサーバーがこれに当たるかは分かりませんが、画面の番号が8.4.27などに届いていなくても、それだけで「未修正」とは言い切れません。修正が済んだかどうかは、ABLENETの発表か問い合わせで確かめるのが確実です。
今回の脆弱性で押さえておくこと
PHP公式の勧告によると、今回の2件は、ログインしていない第三者が外部からプログラムを実行できてしまうおそれのある弱点です。Webのアクセスを処理するPHPはほぼすべて対象で、ABLENETのレンタルサーバーが使っているLiteSpeedも対象に含まれています。利用者として覚えておきたい点は次の3つです。
| ポイント | 内容 |
|---|---|
| 修正版 | PHP 8.5.12、8.4.27、8.3.36、8.2.35（日本時間10月21日23時ごろ公開） |
| 8.1以前 | PHP公式の修正版は出ない。サーバー会社が独自に直すか、8.2以上へ切り替える必要がある |
| WordPressの更新 | WordPress本体やプラグインを更新しても、PHPの弱点は直らない |
共用のレンタルサーバーでは、PHP本体の更新はサーバー会社の仕事です。利用者にできるのは「どのバージョンを使うか」を選ぶことなので、まずは自分のサイトのバージョンを知るところから始めます。
PHPのバージョンを確認する手順
確認は5分ほどで終わります。操作は見るだけなので、この段階でサイトが止まることはありません。
ステップ1｜お客様ページにログインする
ログイン方法のページにあるとおり、管理画面（お客様ページ）のログインURLは「https://shared.ablenet.jp/index.php?rp=/login」です。申し込みのときに登録したメールアドレスとパスワードでログインします。脆弱性の話題に便乗した偽メールもありえるので、メールのリンクからではなく、ブックマークや公式サイトから開いてください。
ステップ2｜DirectAdminを開く
DirectAdminのマニュアルの手順で、ログイン後に使っているサービスの「サービスの詳細を見る」を押し、サービスの詳細にある「DirectAdminにログイン」を押します。これでDirectAdminのトップページが開きます。
ステップ3｜「追加機能」→「Select PHP version」で確認する
DirectAdminのメニューから「追加機能」→「Select PHP version」を開きます。いま使っているバージョンには「(current)」と付いています。「native」と書かれている場合は、その横のかっこ内の数字（例: native (8.1)）が実際のバージョンです。8.1以前なら、次の「切り替え手順」に進みます。
ステップ4｜WordPressのサイトヘルスでも確認する
WordPressのサイトなら、管理画面の「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開くと、「PHPのバージョン」の欄に実際に動いている番号（例: 8.3.36）が出ます。DirectAdminの画面より細かい番号まで分かるので、両方を見ておくと安心です。複数のサイトを置いている場合は、サイトごとに確認します。
8.1以前を使っている場合の切り替え手順
8.1以前には公式の修正版が出ません。13時4分のお知らせにも、8.1以前に独自の修正を当てたという記載はないため、8.2以上へ切り替えるのが基本です。8.2は2026年12月31日でセキュリティ修正が終わるので、いま切り替えるなら8.3か8.4を選ぶと、次の切り替えまで余裕ができます。
| バージョン | 状況（2026年10月時点） | セキュリティ修正の終了 |
|---|---|---|
| 8.5 | 通常のサポート中 | 2029年12月31日 |
| 8.4 | 通常のサポート中 | 2028年12月31日 |
| 8.3 | セキュリティ修正のみ | 2027年12月31日 |
| 8.2 | セキュリティ修正のみ | 2026年12月31日 |
| 8.1以前・7.x・5.6 | サポート終了 | 終了済み |
表はPHP公式のサポート期間の一覧をもとにしています。
ステップ1｜バックアップを取る
ABLENETには、ファイル・メール・データベースを14日分自動で取っておくAcronis Backupがあり、DirectAdminの「追加機能」→「Acronis Backup」から日時を選んで戻せます。ただし、戻すときは選んだ日時の状態で上書きされます。念のため、切り替えの直前にWordPressのバックアップ用プラグインなどで手元にもコピーを残しておくと、戻し方の選択肢が増えます。
ステップ2｜WordPress・テーマ・プラグインを最新にする
PHPを上げる前に、WordPress本体、テーマ、プラグインを更新しておきます。古いままだと、新しいPHPで動かないことがあるためです。何年も更新されていないプラグインは、新しいPHPに対応していないことがあります。代わりのプラグインを探すか、作った制作会社に相談します。
ステップ3｜「Select PHP version」でバージョンを選ぶ
「追加機能」→「Select PHP version」を開き、バージョンの選択欄で8.3か8.4を選びます。ABLENETのよくある質問の手順では、選ぶと拡張機能（モジュール）の一覧が出るので、もとのバージョンで使っていたものにチェックが入っているかを確かめてから「Apply」を押します。WordPressの画像処理で使う「imagick」などが外れていると、サイトヘルスに警告が出ることがあります。
ステップ4｜切り替え後にサイトを確認する
切り替えたら、次の順で動きを確かめます。表示崩れや「重大なエラー」の画面が出ていないかを見るのが目的です。
| 確認する場所 | 見るポイント |
|---|---|
| トップページと主なページ | 表示崩れ、エラーの文字が出ていないか（スマホでも見る） |
| お問い合わせフォーム | テスト送信して、メールが届くか |
| WordPressの管理画面 | ログインできるか、記事の保存ができるか |
| サイトヘルス | PHPのバージョンが変わっているか、新しい警告が出ていないか |
| ネットショップ・予約 | カートや予約の画面が最後まで進めるか |
うまく動かないときの戻し方
サイトが表示されなくなった場合は、同じ「Select PHP version」で元のバージョンに戻すと、多くはすぐ元に戻ります。ただし、古いバージョンのままでは今回の弱点が残ります。戻すのは原因を調べるまでの一時的な手当てと考え、原因のテーマやプラグインを直してから、改めて切り替える日を決めておきます。ファイルが壊れてしまったときは、Acronis Backupで切り替え前の日時に戻します。
VPS・旧共用サーバーを使っている場合
ABLENETにはレンタルサーバー以外のサービスもあり、PHPを誰が更新するかが違います。
ABLENET VPSは自分で更新する
VPS（自分専用の仮想サーバー）では、OSやPHPの管理は利用者の仕事です。ABLENETのVPSのお知らせはLinuxカーネルの件だけで、PHPの更新を代わりに行うという案内はありません。WordPressなどを自分で入れている場合は、OSのパッケージ（ソフトの配布単位）を更新してPHPを修正版にし、Webサーバーを再起動します。OSが配るPHPは、修正を取り込んでも番号が公式の修正版と違うことがあるため、OSの提供元の告知でCVE番号を確かめてください。手に負えない場合は、早めに保守を頼める会社に相談します。
旧共用サーバーは問い合わせを
2023年3月より前からの「旧共用サーバー」は、いまのレンタルサーバーとは別のサービスです。旧共用サーバーのサポートページにはPHP5の案内が残っています。いまの状況はページから分からないため、旧共用サーバーでPHPのサイトを動かしている場合は、ABLENETに状況を問い合わせてください。ABLENETのよくある質問では、旧共用サーバーからいまのレンタルサーバーへのプラン変更は受け付けておらず、移す場合はサイトのデータを移し替える形になると案内されています。
相談した方がよい場面
次のような場合は、ひとりで抱えずに相談する方が早く片づきます。
ABLENETに問い合わせる
修正版PHPがいつ適用されたか、使っているバージョンが修正済みかを知りたいときは、ABLENETのお問い合わせから聞きます。レンタルサーバーのサポートはメールで、電話では受け付けていないと仕様のページに書かれています。問い合わせるときは、契約しているドメイン名と、確認したPHPのバージョンを書いておくとやり取りが短くなります。
制作会社・保守会社に相談する
PHPを上げたらサイトが崩れた、古いテーマを使っていて何が動かなくなるか分からない、自分でVPSを管理できない、といった場合は、サイトを作った制作会社や保守会社に相談します。サイトに見覚えのないページやファイルが増えている、急に重くなった、エラーが続くといった様子があれば、設定を変える前に相談し、状況を残しておくことも大切です。
よくある質問
Q. ABLENETはこの脆弱性について何か発表していますか？
A. 10月22日13時4分に、レンタルサーバーのお知らせで「セキュリティアップデートの初期対応を実施した」と発表しました。引き続き対応を進めるとしていますが、16時00分時点で、対象のバージョンや利用者の作業についての説明はありません。続報が出る可能性があるので、お知らせを時々確認してください。
Q. ABLENETのサイトが止まったり、メンテナンスがあったりしましたか？
A. 停止や緊急メンテナンスの告知はありません。障害/メンテナンス情報は「現在ネットワークに関する問題はありません」という表示でした。
Q. 何もしなくても大丈夫ですか？
A. PHP本体の更新はサーバー会社が行うものですが、8.1以前を選んでいるサイトは公式の修正版の対象外です。少なくとも「Select PHP version」かサイトヘルスでバージョンを確かめ、8.1以前なら切り替えを検討してください。
Q. WordPressを最新にすれば安全ですか？
A. いいえ。弱点はPHP本体にあるため、WordPressやプラグインを更新しても直りません。ただし、PHPを切り替える前の準備として、WordPressまわりを最新にしておくことは大切です。
Q. 8.2と8.4のどちらを選べばよいですか？
A. 8.2は2026年12月31日でセキュリティ修正が終わるため、いまから選ぶなら8.3か8.4がおすすめです。古いテーマやプラグインが心配なら、まず8.3で動きを確かめ、問題がなければそのまま使うのが現実的です。
THREE D PLUS は Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
