カラフルボックスのPHP脆弱性対応とは、2026年10月21日に修正版が公開されたPHPの重大な脆弱性2件（CVE-2026-109618・CVE-2026-109619、通称php2shell）について、レンタルサーバーのカラフルボックス（ColorfulBox）がサーバー側で行った更新と、利用者が念のため確認しておくことです。結論から言うと、カラフルボックスは10月22日朝までに全サーバーの更新を終え、「お客様によるPHPバージョンの変更作業は不要」と公式に発表しています。

速報（2026年10月22日16時00分時点・当社調べ）

当社が上の時刻に公式ページを見て確かめた内容です（ログインはしていません）。状況は変わることがあるので、最新の情報は必ず公式ページでご確認ください。

この記事は、2026年10月22日16時00分時点でカラフルボックスの「障害・メンテナンス情報」、公式サイトの「お知らせ」、サポートサイトに掲載されている内容をもとにしています。脆弱性そのものの説明はPHPの重大な脆弱性（CVE-2026-109618/109619）の解説記事に、10月21日に国内で起きたことの全体像は10月21日のまとめ記事にまとめています。ここではカラフルボックスの利用者に関係する部分に絞って整理します。状況は更新されることがあるので、最新の情報は公式ページでご確認ください。

カラフルボックスが公式に発表していること（10月22日16時00分時点）

要点は3つです。10月22日0時から全サーバーで更新作業を行った、朝までにすべて完了した、利用者がPHPのバージョンを切り替える必要はない、の3点です。告知はマイページ側の障害・メンテナンス情報（解決済みの一覧）に2本掲載されています。このうち完了の告知は、10月22日付けで公式サイトの「お知らせ」とマイページのお知らせにも同じ内容で載りました。

告知1｜「サーバーシステムおよびセキュリティメンテナンスのお知らせ」

1本目は、10月22日0時以降に全サーバーで順次行うメンテナンスの告知です。告知文そのものには「サーバー環境の安全性および安定稼働維持のためのシステムアップデート」と書かれ、PHPという言葉は出てきませんが、あとに出た完了告知でPHPの脆弱性への対応だったことが分かります。途中経過と完了は追記の形で出ています。

告知2｜「PHPの脆弱性に対するセキュリティアップデート完了のお知らせ」

2本目は、件名に「お客様でのバージョン変更作業は不要です」と添えられた完了の告知です（最終更新は10月22日9時34分）。10月21日に公開されたPHPの脆弱性について、共有サーバー・カラフルビジネス・タダサーバー・専用サーバーの全サーバーで、事前の保護措置と修正版への更新を10月22日朝までにすべて終えた、という内容です。

利用者のバージョン変更は「対応不要」と明記

告知には、いま使っているPHPのバージョンを保ったまま、サーバー側で対策済みのものに入れ替えたと書かれています。そのため、利用者が自分でPHPのバージョンを変える必要はなく、WordPressなどを使っている場合も同じだとしています。カラフルボックスの利用者は、他社のように「8.1以前なら急いで切り替える」という作業を、今回の件では求められていません。

PHP 7.4や8.0・8.1にも修正と保護措置を適用と発表

注目したいのは古い系列の扱いです。PHPの開発チームは8.1以前に公式の修正版を出していませんが、カラフルボックスは「PHP 7.4やPHP 8.0・8.1などの旧バージョンも、すべてサーバー側でセキュリティ修正と保護措置の適用を完了した」と発表しています。どの系列を使っていても、そのまま利用できるという説明です。どのような方法で古い系列に修正を入れたかまでは、告知には書かれていません。

今回の脆弱性で押さえておく3つの事実

カラフルボックスの告知を読むときの前提として、判断に必要な事実だけを押さえます。詳しい経緯は上で紹介した解説記事に譲ります。

修正版は8.5.12・8.4.27・8.3.36・8.2.35

PHPの開発チームは日本時間10月21日の23時ごろに修正版を公開しました。対象は8.5.12、8.4.27、8.3.36、8.2.35の4つです。公式は、設定の変更だけで完全に防ぐ方法はなく、更新が唯一の安全な選択だとしています。

8.1以前は公式の修正版がない

PHP 8.1以前は本体のサポートがすでに終わっていて、公式の修正版は出ていません。開発チームは7.4・8.0・8.1向けに最小限の修正コードを公開していますが、これはサーバーを管理する側が自分で組み込むためのものです。カラフルボックスが古い系列にも修正を入れたと発表しているのは、このようにサーバー会社側で対応したという意味だと読めます。

WordPressやプラグインの更新では直らない

今回の弱点はWordPressではなくPHP本体にあります。WordPress本体やテーマ、プラグインを最新にしても、この脆弱性は塞がりません。カラフルボックスは7月にWordPress本体の別の脆弱性（wp2shell）について更新のお願いを出していますが、今回はそれとは別の話です。名前が似ているので、混同しないようにしておきます。

念のための確認1｜cPanelでPHPバージョンを見る

対応は不要とされていますが、自分のサイトがどの系列で動いているかを一度見ておくと、今後の判断がしやすくなります。カラフルボックスの管理画面はcPanel（世界的に使われているサーバー管理画面）で、PHPのバージョンは「MultiPHP マネージャー」で確認します。メニュー名は公式マニュアル「PHPのバージョン変更方法」の表記に合わせています。

ステップ1｜マイページからcPanelにログインする

公式マニュアル「cPanelのログイン方法」のとおり、マイページにログインして「サービス」をクリックし、対象のサーバープランの「契約中」をクリックします。左側のメニュー「アクション」にある「cPanelにログイン」を押すと、cPanelが開きます。サーバー登録時に届いた「サーバーアカウント設定完了通知」メールのURLからログインすることもできます。

ステップ2｜「ソフトウェア」の「MultiPHP マネージャー」を開く

cPanelのトップ画面で「ソフトウェア」の欄にある「MultiPHP マネージャー」をクリックします。カラフルボックスではドメインごとにPHPのバージョンを設定できるので、画面にはドメインの一覧と、それぞれのPHPバージョンが並びます。

ステップ3｜ドメインごとの系列を読む

運用しているドメインを1つずつ見て、「8.3」「7.4」のような系列を確認します。古いサイトほど、そのドメインだけ7.4や8.0のままになっていることがあります。この画面で分かるのは系列までで、8.3.36のような細かい番号は次の「確認2」で見ます。

選べる系列はマニュアルと画面で違うことがある

公式の「ウェブプログラム関連の仕様一覧」には、PHPは8.3から5.3までが記載されています。一方、今回の完了告知では8.4と8.5にも触れているので、実際に選べる系列は仕様一覧より新しい可能性があります。選べる系列は、MultiPHP マネージャーのプルダウンに表示されるものが正確です。

念のための確認2｜WordPressのサイトヘルスで番号を見る

WordPressを使っているなら、管理画面の「サイトヘルス」で8.3.36のような細かい番号まで確認できます。cPanelにログインしなくても見られるので、こちらだけでも構いません。

ステップ1｜「ツール」→「サイトヘルス」→「情報」タブ

WordPressの管理画面（/wp-admin/）にログインし、左メニューの「ツール」から「サイトヘルス」を開きます。上部の「情報」タブをクリックします。

ステップ2｜「サーバー」の「PHPバージョン」を読む

「サーバー」の項目を開くと、「PHPバージョン」の行に番号が表示されます。8.2以上の系列なら、次の表の番号以上になっていれば修正版で動いていると判断できます。

8.1以前は番号で判断できない

8.1以前の系列は、公式の修正版がないため、サーバー会社が修正を組み込んでも表示される番号が変わらないことがあります。7.4や8.1を使っている場合は、番号ではなくカラフルボックスの告知を根拠にすることになります。

WordPressを使っていない場合はphpinfoで確認

WordPress以外のサイトは、公式FAQ「PHPのバージョンを確認したいのですが」にある方法で確認できます。phpinfo()を書いたファイルを公開フォルダに置いてブラウザで開く方法です。FAQにもあるとおり、確認が終わったらそのファイルは必ず削除します。サーバーの情報が誰でも見られる状態で残ると、攻撃の手がかりを与えてしまうためです。

番号が修正版より小さいときにやること

8.2以上の系列なのに、サイトヘルスの番号が表の修正版より小さい場合は、まず次の2点を確かめます。それでも変わらなければ、カラフルボックスに問い合わせるのが確実です。

表示が古いままになっていないか確かめる

キャッシュ系のプラグインや、ブラウザの表示が古いまま残っていることがあります。一度ログアウトして入り直す、別のブラウザで開く、といった方法で再確認します。

.htaccessに古い指定が残っていないか見る

公式マニュアル「PHPのバージョンを変更したが、phpinfoで反映されない」によると、public_htmlの.htaccessに「AddType application/x-httpd-ea-php56」のような古い指定が残っていると、MultiPHP マネージャーで選んだバージョンが反映されないことがあります。サーバー購入時に作られる.htaccessに書かれている場合があるので、心当たりがあれば確認します。.htaccessを触るのが初めてなら、自分で編集せずに次の問い合わせに進む方が安全です。

カラフルボックスのサポートに問い合わせる

公式の「カラフルボックス サポートFAQ」によると、お問い合わせフォーム（チケット）は24時間365日受け付けていて、サーバーの状況を確かめる必要がある技術的な質問はフォームで受けるとしています。サイトのURL、使っているドメイン、サイトヘルスに表示された番号を添えて問い合わせると、話が早く進みます。

7.4や8.1を使っている場合の考え方

今回の件については、カラフルボックスが古い系列にも対応済みと発表しているので、急いで切り替える必要はありません。ただ、8.1以前はPHP本体のサポートが終わった系列で、次に別の弱点が見つかったときに同じ対応が受けられるとは限りません。今回をきっかけに、落ち着いて切り替えの計画を立てておくのがおすすめです。

切り替え先の系列を決める

制作の現場では、2026年10月時点なら8.3を第一候補にしています。8.2は今年の12月31日でPHP本体のサポートが終わるため、これから切り替えるなら8.3か8.4にした方が、年末にもう一度作業せずに済みます。テーマやプラグインの対応状況が分からない場合は、まず8.2で動作を確かめてから8.3へ上げる二段階でも構いません。

切り替え前にバックアップを確認する

公式マニュアル「自動バックアップからの復元方法」によると、カラフルボックスは全プランで1日1回、ファイルとデータベースの過去14日分を自動で保存しています。復元はcPanelの「files」にある「JetBackup5」から行います。ただし日付は選べても時間は選べず、公式も「確実なデータ保全を保証するものではない」としているため、切り替え当日に記事や設定を変えているなら、自分でも控えを取っておきます。

簡単インストールで入れたWordPressは専用のバックアップを使う

同じマニュアルでは、簡単自動インストール（Installatron）で入れたWordPressは、Installatron側のバックアップ機能を使うよう案内されています。どちらで入れたか分からない場合は、バックアップ用のプラグインでファイルとデータベースを書き出しておけば十分です。あわせてWordPress本体・テーマ・プラグインを先に最新にしておくと、切り替え後の不具合が減ります。

MultiPHP マネージャーで切り替える

切り替えは「確認1」と同じ「MultiPHP マネージャー」で行います。変えたいドメインにチェックを入れ、「PHPバージョン」のプルダウンから系列を選んで「適用」をクリックします。設定完了のメッセージが出れば切り替えは終わりです。複数のドメインを運用している場合は、まず影響の小さいサイトで試してから本番サイトに進むと安心です。

切り替えたあとに確認すること

切り替え直後に表示が出ていても、特定の機能だけが止まっていることがあります。次の項目を一通り見ておくと、お客様から連絡が来る前に気づけます。

表示崩れと問い合わせフォーム

トップページと下層ページをPCとスマホの両方で開き、レイアウトの崩れや画像の欠けがないかを見ます。問い合わせフォームは実際にテスト送信し、受信メールが届くところまで確かめます。ネットショップや会員機能があるサイトは、ログインと購入の流れも試します。

管理画面の警告とサイトヘルスの番号

WordPressの管理画面に「Deprecated（非推奨）」などの警告が出ていないか、プラグイン一覧にエラーがないかを確認します。最後にサイトヘルスの「情報」タブで、PHPバージョンが新しい系列の修正版以上になっているかを見ます。

不具合が出たら一度戻して原因を探す

画面が真っ白になる、エラーが出る、フォームが送れない、といった場合は、同じ画面で元の系列に戻してから原因を探します。カラフルボックスの発表どおりなら元の系列でも今回の件は対策済みなので、慌てずに原因のテーマやプラグインを特定してから、改めて切り替える日を決めれば大丈夫です。

よくある失敗と、相談した方がよい場面

「対応不要」と言われていても、周辺で思わぬつまずきが起きることがあります。次のような状況なら、自分で進めずに相談した方が早く安全に終わります。

必要のない設定変更をしてしまう

ニュースを見て、php.iniの設定（cPanelの「MultiPHP INI Editor」）を変えようとする方がいます。PHP公式が一時しのぎとして挙げた設定は、更新が済んだサーバーでは必要ありませんし、公式も「これだけでは安全にならない」としています。カラフルボックスもphp.iniの編集はサポート対象外としているので、今回の件で触る必要はありません。

WAFを止めたまま忘れている

カラフルボックスのWAF（Webサイトへの攻撃をふるい分ける機能）は公式FAQによると標準で有効ですが、403エラーの対策で無効にしたままのサイトもあります。PHPの修正の代わりにはなりませんが、守りの一枚として、止めた理由がもう解消しているなら有効に戻しておきます。

サーバー会社を装ったメールに反応する

大きなメンテナンスの直後は、「安全対策のため再ログインしてください」といった便乗の偽メールが届くことがあります。カラフルボックスのお知らせは、メールのリンクからではなく、ブックマークや検索から開いた公式サイトとマイページの「障害・メンテナンス情報」で確認します。

相談した方がよい場面

サイトヘルスの番号が修正版より小さいままで理由が分からない。7.4や8.0から切り替えたいが、何年も更新していないテーマやプラグインを使っている。複数のドメインを運用していて、どれがどの系列か把握できていない。ネットショップや会員機能があり、止めると売上に直結する。このどれかに当てはまる場合は、カラフルボックスのサポートか、サイトを作った制作会社に相談することをおすすめします。サイトのURL、カラフルボックスであること、いまのPHPバージョンを伝えると、話が早く進みます。

よくある質問

Q. カラフルボックスの利用者は何かする必要がありますか？

A. 公式の完了告知では、PHPのバージョン変更は不要とされています。10月22日朝までに全サーバーで更新が終わっています。念のため、サイトヘルスでPHPの番号を一度見ておくと安心です。

Q. 10月22日の深夜にサイトが一瞬つながらなかったのはこの作業ですか？

A. 10月22日0時以降のメンテナンス告知では、各サーバーで10分程度、Webサイトの表示やメールが一時的に止まる場合があると案内されていました。その時間帯の短い停止であれば、この作業による可能性が高いです。

Q. PHP 7.4のままでも大丈夫ですか？

A. 今回の脆弱性については、カラフルボックスが7.4や8.0・8.1にも修正と保護措置を適用したと発表しています。ただし7.4はPHP本体のサポートが終わった系列なので、今後に備えて8.3などへの切り替えを計画しておくことをおすすめします。

Q. 修正版が入ったかどうかはどこで分かりますか？

A. WordPressの「ツール」→「サイトヘルス」→「情報」→「サーバー」にある「PHPバージョン」で確認できます。8.5.12、8.4.27、8.3.36、8.2.35以上なら修正版です。8.1以前は番号では判断できないため、公式の告知が根拠になります。

Q. WordPressとプラグインを最新にすれば防げますか？

A. いいえ。今回の弱点はPHP本体にあるため、WordPressやプラグインの更新では塞がりません。カラフルボックスの利用者の場合は、PHP本体の更新はサーバー側で済んでいます。WordPressの更新は、普段の安全対策として別に続けてください。

Q. カラフルボックスの告知はどこで確認できますか？

A. マイページ側の「障害・メンテナンス情報」です。今回の2本は「解決済み」の一覧に載っています。完了の告知は、10月22日付けで公式サイトの「お知らせ」にも掲載されています（10月22日16時00分時点で確認）。

参考にした情報

• カラフルボックス｜お知らせ「【重要】PHPの脆弱性に対するセキュリティアップデート完了のお知らせ（お客様でのバージョン変更作業は不要です）」（2026年10月22日）
• カラフルボックス｜障害・メンテナンス情報（解決済み）「PHPの脆弱性に対するセキュリティアップデート完了のお知らせ」「サーバーシステムおよびセキュリティメンテナンスのお知らせ」
• カラフルボックス サポートサイト｜PHPのバージョン変更方法
• カラフルボックス サポートサイト｜cPanelのログイン方法
• カラフルボックス サポートサイト｜PHPのバージョンを確認したいのですが
• カラフルボックス サポートサイト｜PHPのバージョンを変更したが、phpinfoで反映されない
• カラフルボックス サポートサイト｜ウェブプログラム関連の仕様一覧
• カラフルボックス サポートサイト｜自動バックアップからの復元方法
• カラフルボックス サポートサイト｜WAFは利用できますか？
• カラフルボックス サポートサイト｜カラフルボックス サポートFAQ
• PHP公式｜2026年10月21日のセキュリティリリース
• PHP公式｜サポート中のバージョン
• IPA｜【事前準備のお願い】PHPのセキュリティリリース公開予定について

THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。