ConoHa WINGのPHP脆弱性対応とは、2026年10月21日に修正版が公開されたPHPの重大な脆弱性2件（CVE-2026-109618・CVE-2026-109619）について、ConoHa WING（GMOインターネットグループのレンタルサーバー）を使っているサイト運営者が、サーバー会社の対応を確認し、自分のサイトのPHPバージョンを整えることです。ConoHa WINGは10月21日19時から22日10時までの緊急メンテナンスを告知していますが、告知文にPHPや脆弱性という言葉はありません。
この記事は、2026年10月22日8時時点でConoHa WINGの公式ニュースとサポートページに掲載されている内容をもとにしています。メンテナンスはこの時点ではまだ終了予定時刻の前で、終了の告知や追記は出ていません。状況は変わるため、最新の情報は公式ページでご確認ください。脆弱性そのものの説明はPHPの重大な脆弱性（CVE-2026-109618/109619）の解説記事にまとめているので、この記事ではConoHa WINGの利用者が実際に手を動かす部分に絞って整理します。
ConoHa WINGが公式に発表していること（10月22日8時時点）
要点は3つです。緊急メンテナンスの告知は出ている、理由はPHPとは書かれていない、利用者に操作を求める案内は出ていない、の3点です。
10月21日付「【緊急メンテナンス】[ConoHa] サーバーメンテナンス」
ConoHa WINGのニュースページには、2026年10月21日付で【緊急メンテナンス】[ConoHa] サーバーメンテナンスが掲載されています。内容を公式の表記のまま整理すると次のとおりです。
| 項目 | 公式告知の内容 |
|---|---|
| 開始日時 | 2026年10月21日（水）19時00分 |
| 終了日時 | 2026年10月22日（木）10時00分（終了時間は前後する可能性あり） |
| 対象 | ConoHa WINGをご利用のお客様（一部サーバー） |
| 作業内容 | システムの保守作業 |
| 影響 | メンテナンス時間帯に、一時的に接続できない、またはサービスを利用できない事象が発生する可能性 |
| 利用者への依頼 | 特になし（理解と協力のお願いのみ） |
PHPの脆弱性との関係は告知に書かれていない
告知文に書かれている作業内容は「システムの保守作業」だけで、PHPという言葉も、脆弱性という言葉も出てきません。開始時刻の19時は、PHPの修正版が公開された日本時間23時の4時間前にあたり、同じ日にエックスサーバーやさくらインターネットも緊急の対応をしていたため、関連を推測する記事は複数あります。ただ、公式に理由が示されていない以上、この記事ではPHP対応だと断定しません。メンテナンスの理由をお客様に説明するときも「公式には保守作業としか書かれていない」と伝えるのが正確です。
修正版PHPが適用されたかは未公表
10月22日8時時点で、ConoHa WINGのニュースページとサポートページには、修正版のPHP（8.5.12、8.4.27、8.3.36、8.2.35）を適用したという告知は見つかりませんでした。CVE番号を含むお知らせもありません。適用されたかどうかは、メンテナンス終了後に公式の告知を待つか、後述するWordPressのサイトヘルスで実際のバージョン番号を見るのが確実です。
利用者に操作を求める案内はない
告知には、利用者が何かを設定し直す、といった依頼は書かれていません。共用のレンタルサーバーでは、PHP本体の更新はサーバー会社が行うもので、利用者が触れるのは「どの系列のPHPを使うか」の選択だけです。この構造はConoHa WINGも同じです。したがって利用者側でやることは、サーバー会社の対応を待ちつつ、自分のサイトが修正の対象外になる古い系列を使っていないかを確かめることになります。
この脆弱性で押さえておく4つの事実
手順に入る前に、判断に必要な事実だけを押さえます。詳しい経緯は上で紹介した解説記事に譲ります。
修正版は8.5.12・8.4.27・8.3.36・8.2.35
PHPの開発チームは日本時間10月21日の夜に修正版を公開しました。対象は8.5.12、8.4.27、8.3.36、8.2.35の4つです。公式は「完全な回避策はなく、更新だけが安全な選択」と明記しています。
8.1以前は公式の修正対象外
PHP 8.1以前（8.1、8.0、7.4など）は、すでにPHP本体のサポートが終わっているため、公式の修正版は出ていません。開発チームは、自分でPHPを組み立てる人向けに7.4・8.0・8.1の最小限の修正コードを公開していますが、レンタルサーバーの利用者が自分で適用できるものではありません。ConoHa WINGがこの修正を古い系列に取り込んだという告知も、10月22日8時時点では見つかっていません。
WordPressやプラグインの更新では直らない
今回の弱点はWordPressではなくPHP本体にあります。WordPress本体やテーマ、プラグインを最新にしても、この脆弱性は塞がりません。更新そのものは普段どおり大切ですが、今回の対応としては別物だと切り分けておきます。
サーバー会社の更新と、利用者のバージョン選択は別
ConoHa WINGでは、PHPのバージョンをサーバー全体の初期設定とドメインごとの設定で選べます。サーバー会社が8.3系を8.3.36に更新しても、自分のドメインが8.1に固定されていれば、そのサイトは修正を受けられません。だから、利用者がやることは「自分のサイトがどの系列を使っているか」の確認になります。
手順1｜コントロールパネルでPHPバージョンを確認する
PHPバージョンの確認と切り替えは、ConoHa WINGのコントロールパネルの「PHP設定」で行います。メニューの名前は公式サポートページ「PHPの設定をする」の表記に合わせています。メンテナンス中はコントロールパネルにつながりにくいことがあるので、終了予定時刻のあとに試すのが無難です。
ステップ1｜コントロールパネルにログインし「WING」を開く
ConoHaのコントロールパネルにログインし、上部メニューの「WING」をクリックします。ConoHa VPSなど複数のサービスを契約している場合は、WINGに切り替わっていることを確認します。
ステップ2｜「サイト管理」→「サイト設定」→「応用設定」タブ
左メニューの「サイト管理」をクリックし、サイト管理画面の左メニューから「サイト設定」を開きます。上部のタブで「応用設定」を選び、「PHP設定」を開きます。複数のドメインを運用している場合は、画面上部で対象のドメインを切り替えてから確認します。
ステップ3｜「PHPバージョン」の表示を読む
「PHPバージョン」の欄に、いま使っている系列が表示されます。公式FAQによると、ConoHa WINGで選べるのは7.0から8.5までです。ここで見るのは「8.3」のような系列で、8.3.36のような細かい番号まではこの画面では分かりません。細かい番号は次の手順2で確認します。
| 表示されている系列 | 修正版の有無 | 利用者の対応 |
|---|---|---|
| 8.5 / 8.4 / 8.3 / 8.2 | 公式の修正版あり | サーバー会社の適用を待ち、サイトヘルスで番号を確認 |
| 8.1 / 8.0 / 7.x | 公式の修正版なし（サポート終了） | バックアップのうえ8.2以上へ切り替えを検討（手順4） |
ステップ4｜ドメインごとの設定も確認する
ConoHa WINGでは、初期状態ではサーバー全体の共通設定が使われ、ドメインごとに別のバージョンを設定するとそちらが優先されます。古いサイトを運用していると、そのドメインだけ7.4や8.0に固定されていることがあります。運用しているドメインを1つずつ切り替えて、すべて確認します。
手順2｜WordPressのサイトヘルスで実際の番号を確認する
修正版が入っているかどうかは、WordPressの管理画面にある「サイトヘルス」で、8.3.36のような細かい番号まで見るのが確実です。コントロールパネルより先に、こちらだけ見ても構いません。
ステップ1｜「ツール」→「サイトヘルス」→「情報」タブ
WordPressの管理画面（/wp-admin/）にログインし、左メニューの「ツール」から「サイトヘルス」を開きます。上部の「情報」タブをクリックします。
ステップ2｜「サーバー」の項目にある「PHPバージョン」を読む
「サーバー」の項目を開くと「PHPバージョン」の行に、8.3.36のような番号が表示されます。この番号が次の表の修正版以上なら、そのサイトは修正済みのPHPで動いています。番号が小さい場合は、サーバー会社の更新がまだか、古い系列を選んでいるかのどちらかです。
| 系列 | 修正済みとみなせる番号 | PHP本体のサポート期限 |
|---|---|---|
| 8.5 | 8.5.12以上 | 2029年12月31日 |
| 8.4 | 8.4.27以上 | 2028年12月31日 |
| 8.3 | 8.3.36以上 | 2027年12月31日 |
| 8.2 | 8.2.35以上 | 2026年12月31日 |
| 8.1以前 | 公式の修正版なし | 終了済み |
ステップ3｜「ステータス」タブの注意も読んでおく
「ステータス」タブに「サイトが古いバージョンのPHPを実行しています」という注意が出ていれば、WordPress側から見ても古い系列です。この表示がある場合は、手順4の切り替えを計画します。
手順3｜切り替える前にバックアップを取る
PHPの系列を変えると、古いテーマやプラグインが動かなくなることがあります。戻せる状態を先に作ってから切り替えます。ConoHa WINGには自動バックアップがあるので、まずその状態を確認し、必要なら自分でも控えを取ります。
ConoHa WINGの自動バックアップを確認する
公式サポートページ「自動バックアップからリストアする」によると、ConoHa WINGは過去14日分のバックアップを自動で取得しています。コントロールパネルの「WING」→「サーバー管理」→「自動バックアップ」で、Web・メール・データベース（DB）それぞれの復元ができます。WebとMailの復元で作られたファイルは24時間で削除され、1週間に5回以上復元すると一定期間の制限がかかるため、必要なときだけ使います。
自分でも控えを取っておくと安心な場面
自動バックアップは「前日までの状態」に戻すものなので、当日に記事を書いたり設定を変えたりしているなら、切り替え直前の控えがあると戻しやすくなります。バックアップ用のプラグインでファイルとデータベースを書き出す、またはファイルマネージャーやFTPでテーマフォルダとwp-config.phpを手元に保存しておく、のどちらかで十分です。
WordPress本体・テーマ・プラグインを先に最新にする
切り替えで起きるトラブルの多くは、古いテーマやプラグインが新しいPHPに対応していないことが原因です。先にWordPress本体・テーマ・プラグインを最新にしておくと、切り替え後の不具合が減ります。何年も更新が止まっているプラグインがあれば、代わりを探すか、使っていなければ停止しておきます。
手順4｜8.1以前なら8.2以上へ切り替える
8.1以前を使っているサイトは、サーバー会社が古い系列に修正を入れたと告知しない限り、脆弱性が残ったままになります。バックアップを取ったうえで、サポート中の系列に切り替えます。
ステップ1｜どの系列にするか決める
制作の現場では、2026年10月時点なら8.3を第一候補にしています。8.2は今年の12月31日でPHP本体のサポートが終わるため、いま切り替えるなら8.2を飛ばして8.3か8.4にした方が、年末にもう一度作業せずに済みます。使っているテーマやプラグインの対応状況が分からない場合は、まず8.2で動作を確かめてから8.3へ上げる二段階でも構いません。
ステップ2｜「PHP設定」で「編集」から系列を選び「保存」
手順1と同じ「サイト管理」→「サイト設定」→「応用設定」→「PHP設定」を開き、「PHPバージョン」の右にある鉛筆の「編集」アイコンをクリックします。プルダウンから系列を選び、「保存」を押します。ドメインごとに変更すると、公式サポートページの説明では、.htaccessに「AddHandler」で始まる行が自動で追加されます。この行を消すと設定が食い違うので、手で消さないようにします。
ステップ3｜切り替え後すぐに表示を確認する
保存したら、別のタブでサイトのトップページ、記事ページ、問い合わせフォームのページを開きます。WordPressの管理画面にもログインし直し、サイトヘルスの「情報」タブでPHPバージョンが新しい系列になっているかを確かめます。
ステップ4｜不具合が出たら一度戻し、原因を切り分ける
画面が真っ白になる、エラーが表示される、問い合わせフォームが送れない、といった不具合が出たら、同じ画面で元の系列に戻してから原因を探します。戻した状態は脆弱性が残ったままなので、放置せず、原因のプラグインやテーマを特定して直し、改めて切り替える日を決めておきます。
切り替えたあとに確認すること
切り替え直後に表示が出ていても、特定の機能だけが止まっていることがあります。次の項目を一通り確認しておくと、お客様から連絡が来る前に気づけます。
表示崩れ・画像・問い合わせフォーム
トップページと下層ページをPCとスマホの両方で開き、レイアウトの崩れや画像の欠けがないかを見ます。問い合わせフォームは実際にテスト送信し、受信メールが届くことまで確かめます。EC機能や会員機能があるサイトは、ログインと購入の流れも試します。
管理画面の警告とプラグインの動作
WordPressの管理画面上部に「非推奨」や「Deprecated」といった警告が出ていないか、プラグイン一覧でエラー表示がないかを確認します。警告だけで動いている場合も、そのプラグインは次の更新で止まる可能性があるため、作者の更新状況を見ておきます。
サイトヘルスのPHPバージョンを再確認
最後にもう一度サイトヘルスの「情報」タブを開き、PHPバージョンが上の表の修正版以上になっているかを見ます。系列は新しいのに番号が修正版より小さい場合は、サーバー会社の更新がまだ反映されていない状態なので、公式の告知を待ちます。
WAFを有効にしておく（修正の代わりにはならない）
ConoHa WINGにはWAF（Webサイトへの攻撃をふるい分ける機能）が標準で付いています。公式サポートページ「WAFの設定をする」によると、「サイト管理」→「サイトセキュリティ」→「WAF」タブで「利用設定」をONにすると有効になります。攻撃の一部をふるい分ける助けにはなりますが、PHP本体の修正の代わりにはならない点は押さえておきます。
よくある失敗と、相談した方がよい場面
急いで作業すると、かえってサイトを止めてしまうことがあります。次のような状況なら、自分で進めずに相談した方が早く安全に終わります。
メンテナンス中に設定を触ってしまう
告知の時間帯はコントロールパネルやサイトにつながりにくいことがあります。保存したつもりで反映されていない、途中で切れて設定が中途半端になる、といったことを避けるため、PHPの切り替えは終了予定時刻のあと、公式の告知を見てから行います。
バックアップを取らずに切り替える
自動バックアップがあるからと当日の変更分を控えずに切り替えると、戻したときに当日の作業が消えます。切り替えは、記事の更新や設定変更をしていない時間帯に、控えを取ってから行います。
サーバー会社を装ったメールに反応する
大きなメンテナンスの直後は、「安全対策のため再ログインしてください」といった便乗の偽メールが届くことがあります。ConoHaのお知らせは、メールのリンクではなく、ブックマークや検索から開いた公式サイトとコントロールパネルのお知らせで確認します。
相談した方がよい場面
次のどれかに当てはまる場合は、ConoHaのサポート窓口か、サイトを作った制作会社に相談することをおすすめします。切り替えたら画面が真っ白になり戻し方が分からない。何年も更新していないテーマやプラグインを使っている。複数のドメインやサイトを運用していて、どれがどの設定か把握できていない。EC機能や会員機能があり、止めると売上に直結する。この4つです。制作会社に頼む場合は、サイトのURL、ConoHa WINGであること、いまのPHPバージョン、いつから表示がおかしいかを伝えると、話が早く進みます。
他のレンタルサーバーの10月21日の動き
同じ日に、エックスサーバーとさくらインターネットも予防的な対応や緊急メンテナンスを行っています。エックスサーバーについてはエックスサーバーの管理画面停止（10/21）の記事で詳しく整理しています。複数のサーバーを使い分けている方は、それぞれの公式のお知らせを確認してください。
| 会社 | 10月21日の対応（公式告知） | 告知にPHPの記載 |
|---|---|---|
| ConoHa WING | 21日19時〜22日10時に一部サーバーで緊急メンテナンス（システムの保守作業） | なし |
| エックスサーバー | 21日16時から公式サイト・管理画面を予防的に一時停止。お客様のサーバーは稼働 | ソフトウェア名は非公表 |
| さくらインターネット | 21日13時頃からレンタルサーバ等、15時頃からVPSで緊急メンテナンス | なし |
よくある質問
Q. ConoHa WINGの緊急メンテナンスはPHPの脆弱性が理由ですか？
A. 公式の告知には「システムの保守作業」とだけ書かれていて、PHPや脆弱性という言葉はありません。10月22日8時時点では理由は公表されていないため、この記事では断定していません。
Q. 利用者が今やらなければならない操作はありますか？
A. 10月22日8時時点で、ConoHa WINGから利用者に操作を求める案内は出ていません。やっておくとよいのは、自分のサイトのPHPバージョンを確認し、8.1以前なら切り替えを計画することです。
Q. 修正版のPHPは自分で入れる必要がありますか？
A. いいえ。共用サーバーではPHP本体の更新はサーバー会社が行います。利用者ができるのは、コントロールパネルの「PHP設定」でどの系列を使うかを選ぶことだけです。
Q. 修正版が入ったかどうかはどこで分かりますか？
A. WordPressの管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」にある「PHPバージョン」で、8.3.36のような番号を見ます。8.5.12、8.4.27、8.3.36、8.2.35以上なら修正済みです。
Q. PHP 7.4や8.0のままでも大丈夫ですか？
A. 8.1以前には公式の修正版がありません。サーバー会社が古い系列に修正を入れたと告知しない限り脆弱性は残るので、バックアップを取ったうえで8.2以上、できれば8.3以上への切り替えを計画してください。
Q. WordPressとプラグインを最新にすれば防げますか？
A. いいえ。今回の弱点はPHP本体にあるため、WordPressやプラグインの更新では塞がりません。更新自体は切り替え時のトラブルを減らすために役立ちます。
Q. メンテナンスの終了はどこで確認できますか？
A. ConoHa WINGのニュースページと、コントロールパネルのお知らせです。終了時間は前後する可能性があると告知されているので、10時を過ぎてもつながりにくい場合は少し待ってから再度確認してください。
参考にした情報
- ConoHa WING｜【緊急メンテナンス】[ConoHa] サーバーメンテナンス（2026年10月21日）
- ConoHa WINGサポート｜PHPの設定をする
- ConoHa WINGサポート｜PHPのバージョンを教えてください（FAQ）
- ConoHa WINGサポート｜自動バックアップからリストアする
- ConoHa WINGサポート｜WAFの設定をする
- PHP公式｜2026年10月21日のセキュリティリリース
- PHP公式｜サポート中のバージョン
- IPA｜【事前準備のお願い】PHPのセキュリティリリース公開予定について
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
