コアサーバー・XREAのPHP脆弱性対応(2026年10月)|利用者がやること

コアサーバー・XREAのPHP脆弱性対応(2026年10月)|利用者がやること

コアサーバー・XREAのPHP脆弱性対応とは、2026年10月21日に修正版が公開されたPHPの重大な脆弱性(CVE-2026-109618・CVE-2026-109619、通称「php2shell」)に対して、GMOデジロック株式会社が運営するレンタルサーバー「CORESERVER(コアサーバー)」と「XREA(エクスリア)」がどう動いていて、利用者が何をすればよいか、という話です。結論から言うと、両サービスは10月22日0時から全サーバーでメンテナンスを行い、2026年10月22日16時00分時点の告知では、この脆弱性への対応だと明記しています。コアサーバーV1プランとXREAは0時50分に完了し、PHP 7.4以上(7.4/8.0/8.1/8.2/8.3/8.4/8.5)で対応を済ませたとしています。コアサーバーV2プランは11時13分に完了し、提供中の全PHPバージョンで対応を済ませたとしています。どれも、該当するバージョンを使っている利用者は、PHPのバージョンの変更などは不要という案内です。ただし、コアサーバーV1プランとXREAで7.4より古いバージョン(7.3以前や5.x系)を選んでいるサイトは、この対応の範囲に入っていません。自分のサイトのバージョンを一度確かめておくと安心です。

速報(2026年10月22日16時00分時点・当社調べ)

PHPの脆弱性への対応完了(コアサーバーV1プラン・XREAは10月22日0時50分にPHP 7.4以上で対応。コアサーバーV2プランは11時13分に提供中の全バージョンで対応)
管理画面・ログイン入れる(停止の告知なし。コアサーバー・XREAのコントロールパネルのログイン画面が開くことを確認。ログインはしていません)。XREA・コアサーバーV1のWebメール(SquirrelMail)は1時35分〜11時48分にログインできない障害があり、解決済み
サイト・サービスの表示通常どおり(告知は「現在、正常にご利用いただけます」)
確認した公式ページコアサーバーV1、コアサーバーV2、XREA、Webメールの障害(いずれもバリュードメインのメンテナンス・障害情報)

状況は変わることがあります。最新の情報は公式ページでご確認ください。

この記事は、2026年10月22日16時00分時点のバリュードメインのメンテナンス・障害情報、コアサーバーとXREAのお知らせ、両サービスの公式マニュアル、PHP公式のセキュリティアドバイザリをもとにしています。状況は変わる可能性があるため、最新の情報は必ず公式の発表でご確認ください。脆弱性そのものの説明はPHPの重大な脆弱性(CVE-2026-109618/109619)の解説記事に、国内各社の動きは10月21日に何が起きたかのまとめ記事にまとめています。この記事では、コアサーバーやXREAでWordPressなどのサイトを運営している方が「自分のサーバーで何をすればよいか」に絞って整理します。

目次

コアサーバー・XREAが公表していること(10月22日16時00分時点)

ノートパソコンでサーバー会社のメンテナンス情報を確認する人
Photo by Simon Hattinga Verschure on Unsplash

要点は、10月22日0時から全サーバーでPHPの脆弱性への対応とサーバーソフトウェアの更新作業が行われ、作業中は10分ほどサイトがつながりにくくなる場合があった、ということです。告知は、運営会社のドメインサービス「バリュードメイン」のメンテナンス・障害情報のページに、サービスごとに出ています。コアサーバーとXREAの公式サイトのお知らせ一覧には、10月22日16時00分時点で今回の件の記事は載っていません。

10月22日0時|全サーバーで更新メンテナンスを開始

告知の掲載日は10月21日です。題は、9時40分の時点では「セキュリティおよびソフトウェア更新メンテナンス」でしたが、16時00分時点では「【PHP脆弱性:CVE-2026-109618/CVE-2026-109619】の対応」に変わっています。対象はコアサーバーV1プラン、コアサーバーV2プラン、XREAのそれぞれ「全サーバー」。作業内容は、PHPの脆弱性(CVE-2026-109618/CVE-2026-109619)への対応とサーバーソフトウェアの更新作業、影響は「作業に伴うサービス再起動の際、10分程度、Webサイトの閲覧等が繋がりにくくなる場合がございます」とされています。同じ時刻に、同じ会社のバリューサーバーとOneレンタルサーバーでも同じ対応が行われ、どちらも完了しています(Oneレンタルサーバーの告知では、PHP 8.0以上で対応)。

コアサーバーV1とXREAは0時50分に完了

コアサーバーV1プランの告知とXREAの告知には、どちらも「全対象サーバーにおけるメンテナンス作業は完了いたしました。現在、正常にご利用いただけます」と書かれ、完了は10月22日0時50分です。続けて「本メンテナンスにて、PHP 7.4 以上のバージョン(PHP 7.4 / 8.0 / 8.1 / 8.2 / 8.3 / 8.4 / 8.5)において脆弱性への対応を完了しております。該当バージョンをご利用のお客様は、PHPバージョンの変更等のご対応は必要ございません」と書かれています。7.4より古いバージョンについての記載はありません。

コアサーバーV2は11時13分に完了

コアサーバーV2プランの告知は、9時40分の時点では終了時刻が書かれていない「順次実施」の形でした。10月22日1時55分の進捗として、「全サーバーにおいて事前のセキュリティ保護措置および先行分のソフトウェア更新作業は完了し、正常に稼働しております」「残る一部の関連コンポーネントにつきましては、提供元からの更新プログラム配信にあわせて順次適用作業を実施いたします」と書かれていました。その後、告知は【完了】となり、作業は10月22日0時〜11時13分と書かれています。完了の報告では「本メンテナンスにて、提供中の全PHPバージョンにおいて脆弱性への対応を完了しております。お客様側でのPHPバージョンの変更等のご対応は必要ございません」としています。

サービスメンテナンスの時間状態(16時00分時点)利用者への影響(告知の記載)
コアサーバー V1プラン10月22日 0:00〜0:50完了(PHP 7.4以上で対応)再起動の際、10分程度つながりにくくなる場合あり
コアサーバー V2プラン10月22日 0:00〜11:13完了(提供中の全PHPバージョンで対応)同上
XREA10月22日 0:00〜0:50完了(PHP 7.4以上で対応)同上

告知でPHPの脆弱性への対応だと明記された

PHPの修正版が公開されたのは10月21日23時ごろ(日本時間)で、メンテナンスはその約1時間後に始まっています。9時40分の時点では、告知の本文に「PHP」も「脆弱性」も書かれていませんでしたが、その後の更新でCVE番号と対応したバージョンが明記されました。一方で、修正版のPHP(8.5.12/8.4.27/8.3.36/8.2.35)をそのまま入れたのか、サーバー会社が独自に修正を当てたのか、WordPressのサイトヘルスに出る番号が変わるのかは書かれていません。この記事では、書かれていないことを推測で補わず、利用者が自分で確かめられる方法を中心に説明します。

今回の脆弱性でコアサーバー・XREA利用者が押さえておくこと

共用のレンタルサーバーでは、PHP本体の更新はサーバー会社が行います。利用者にできるのは「どのバージョンのPHPを使うか」を選ぶことと、自分のサイトが今どのバージョンで動いているかを確かめることです。今回、コアサーバーとXREAはサーバー側で対応を済ませていますが、対応の範囲はバージョンで決まるため、この「選ぶ」部分が大事になります。

修正版と、修正が出ないバージョン

PHP公式は10月21日、修正版として8.5.12、8.4.27、8.3.36、8.2.35を公開しました。8.1以前はPHPの開発チームによる更新の対象外です。コアサーバーとXREAでは5.x系から8.5まで幅広いバージョンを選べますが、8.1以前を選んでいるサイトは、サーバー会社が独自に修正を当てたと告知しない限り、修正を受けられない前提で考えます。コアサーバーとXREAは、その独自の対応をしたと告知しています。V1プランとXREAは7.4以上、V2プランは提供中の全バージョンが対象です。

使っているPHPPHP公式の修正版コアサーバー・XREAの対応(告知)利用者の考え方
8.5・8.4・8.38.5.12・8.4.27・8.3.36対応済み変更は不要
8.28.2.35対応済み変更は不要。ただし8.2は2026年12月末でセキュリティ修正が終わるので、年内に8.3以上へ
8.1・8.0・7.4公式の修正なしV1・V2・XREAとも対応済み今回の件での変更は不要。ただしPHP公式のサポートは終わっているので、計画的に8.3以上へ
7.3以前(5.x系など)公式の修正なしV2は「全バージョン」で対応済み。V1・XREAは対応の範囲外V1・XREAでは8.3以上へ切り替える。V2も計画的に8.3以上へ

初期設定のPHPは7.4のまま

コアサーバー・バリューサーバー・XREAは2026年2月18日にPHP 8.4と8.5に対応しましたが、そのときのお知らせには「デフォルトはPHP7.4のままとなり、変更は手動となります」と書かれています。コアサーバーのサーバー仕様でも、V1・V2ともPHPは「7.4」が標準で、ほかのバージョンは選んで使う形です。つまり、契約してから一度もPHPの設定を触っていないサイトは、7.4で動いている可能性があります。今回の件では7.4も対応済みとされていますが、7.4はPHP公式のサポートが終わったバージョンです。これを機に、自分のサイトのバージョンを確かめておくことをおすすめします。

WordPressやプラグインの更新では直らない

今回の弱点はWordPressではなく、その土台であるPHP本体にあります。WordPress本体・テーマ・プラグインを最新にしても、この脆弱性はふさがりません。それらの更新は別の理由で大切ですが、「WordPressを更新したから今回の件は済んだ」とは考えないでください。また、PHP公式が挙げている設定での一時しのぎも、公式自身が「安全にはならない」と書いています。共用サーバーでは、バージョンを確かめて修正版に乗せるのがいちばん確実です。

自分のサイトのPHPバージョンを確かめる

パソコンでサーバーのコントロールパネルを操作する様子
Photo by Gorilla ROI Data Connector on Unsplash

確認は「コントロールパネルで設定を見る」と「WordPressで実際の番号を見る」の2段階で行います。コアサーバーはV1プランとV2プランで画面がまったく違い、XREAはコアサーバーV1プランとほぼ同じ画面です。自分の契約がどちらか分からない場合は、ログイン後の画面の左メニューに「サイト設定」があればV1プランかXREA、「ウェブ」があればV2プランと考えてください。

ステップ1|コントロールパネルにログインする

コアサーバーはマニュアル「コントロールパネルにログイン」のとおり、コアサーバーのログインページ(cp.coreserver.jp)から入るか、バリュードメインにログインして「サーバー設定」から入ります。XREAはXREAのログインページ(cp.xrea.com)から入ります。メンテナンスの直後は「再ログインしてください」といった便乗の偽メールが届きやすい時期です。メールのリンクではなく、ブックマークや公式サイトの「ログイン」から入ってください。

ステップ2(V1・XREA)|「サイト設定」でドメインごとのバージョンを見る

コアサーバーV1プランとXREAでは、PHPのバージョンはドメインごとに設定します。左メニューの「サイト設定」を開くと、設定済みのドメインが並び、それぞれのPHPのバージョンを確認できます。ここで分かるのは「7.4」「8.3」といった系統です。ドメインやサブドメインが複数あるなら、すべての行を見ます。

ステップ2(V2)|「標準PHPバージョン」と「ドメイン別PHPバージョン」を両方見る

コアサーバーV2プランには、サーバー全体の設定と、ドメインごとの設定の2つがあります。全体の設定は左メニューの「ウェブ」→「標準PHPバージョン」、ドメインごとの設定は左メニューの「ドメイン」→ 対象のドメイン →「ドメイン別PHPバージョン」で見られます。マニュアル「PHPのバージョン変更(ドメイン別)」によると、ドメイン別を7.4以外にしている場合はドメイン別の設定が優先され、ドメイン別が7.4の場合は標準PHPバージョンの設定が使われます。少しややこしいので、両方の画面を見て、実際にどちらが効いているかを次のステップで確かめます。

ステップ3|WordPressのサイトヘルスで細かい番号を見る

細かい番号も見ておくと安心です。WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」タブ →「サーバー」を開くと、「PHPバージョン」の行に「8.3.36」のような番号まで表示されます。これはそのWordPressが実際に動いているPHPの番号なので、コントロールパネルの表示と食い違っていたら、こちらを正と考えます。複数のWordPressを運営している場合は、サイトごとに見ます。WordPress以外のサイトは、制作会社に確認してもらうのが確実です。

7.3以前なら、PHPのバージョンを切り替える

確認した結果が、コアサーバーV1プランやXREAで7.3以前(7.3、5.6など)だった場合は、今回の対応の範囲外なので8.2以上へ切り替えます。7.4〜8.1は今回の件では対応済みとされていますが、PHP公式のサポートが終わったバージョンなので、時間を取れるときに8.3以上へ切り替える計画を立てておきます。切り替えの前には、次の章のバックアップを必ず済ませておいてください。

V1・XREA|「設定変更」から選んで「サイト設定を変更する」

コアサーバーV1プランのマニュアルとXREAのマニュアルの手順は同じです。左メニューの「サイト設定」を開き、切り替えたいドメインの右にある「設定変更」アイコンをクリックします。開いた画面でPHPのバージョンを選び、「サイト設定を変更する」をクリックします。完了の表示が出たら右上の「×」で閉じ、一覧に新しいバージョンが表示されていることを確かめます。ドメインごとの設定なので、複数のドメインがあれば1つずつ行います。

V2|ドメインごとに変える(「ドメイン別PHPバージョン」→「セーブ」)

特定のドメインだけ変えたい場合は、左メニューの「ドメイン」から対象のドメインをクリックし、「ドメイン別PHPバージョン」を開きます。プルダウンでバージョンを選んで「セーブ」をクリックし、「PHP versions saved」と表示されたら完了です。マニュアルには、ドメイン別では選べない一部のバージョンがあり、それらは全体設定の「標準PHPバージョン」でしか使えないとも書かれています。

V2|サーバー全体を変える(「標準PHPバージョン」→「Set as current」)

全体の設定は、左メニューの「ウェブ」→「標準PHPバージョン」で、今のバージョンをクリックするとプルダウンが出るので選び、「Set as current」をクリックします。「選択したバージョン (current)」と表示されたら完了です。マニュアル「PHPのバージョン変更(全体設定)」には、標準PHPバージョンを使うときの手順として「あらかじめドメイン別PHPバージョンを7.4に設定し、標準PHPバージョンをnativeに変更してください。その後、標準PHPバージョンをご希望のものへ変更いただくと設定が反映されます」という注意があります。全体の設定は同じサーバー内のすべてのドメインに効くので、複数のサイトを置いている場合は、全サイトが一度に切り替わることを踏まえて作業します。

どのバージョンを選ぶか

8.2は2026年12月末でセキュリティ修正が終わるため、これから切り替えるなら8.3以上をおすすめします。ただし、7.4から一気に8.5まで上げると、古いテーマやプラグインが動かないことがあります。まず8.3で動作を確かめ、問題がなければ8.4以上へ上げていく、という段階を踏むのが安全です。PHPのバージョンの考え方は、PHPのバージョンの基礎を解説した記事も参考にしてください。

切り替える前にバックアップを取る

データのバックアップを保存する外付けドライブとノートパソコン
Photo by Markus Spiske on Unsplash

PHPを切り替えると、まれに画面が真っ白になったり、500エラー(サーバー内部のエラー)が出たりします。戻せる状態を作ってから作業するのが基本です。WordPressは「ファイル」と「データベース」の2つでできているので、両方を同じタイミングで残しておきます。

V1・XREA|データベースは「DBバックアップ」で残す

コアサーバーV1プランとXREAのマニュアル「データベースのバックアップ」(コアサーバー/XREA)によると、左メニューの「データベース」で対象のデータベースの右にある「DBバックアップ」アイコンをクリックし、「バックアップ作成」を押すと、サーバー直下の「_db_dump」フォルダに保存されます。FTPソフトでパソコンにダウンロードしておくと安心です。ファイルの方は、FTPソフトでサイトのフォルダごとパソコンにコピーしておきます。

V1・XREA|「無料バックアップ」は戻すための仕組み

「サイト設定」の左サブメニューには「無料バックアップ」があります。マニュアルによると、日付と復元したいディレクトリを指定して申請すると、サーバーに保存されているバックアップデータが「/_backup_restore_」に置かれ、それをFTPソフトなどで元の場所へ移す仕組みです。設置までは5〜10分ほどかかります。好きなときに取れるものではないので、切り替えの直前の状態は、上の方法で自分でも残しておきます。

V2|自動バックアップ(JetBackup)とアプリインストールのバックアップ

V2プランでは、左メニューの「ツール」→「バックアップ・復旧」→「バックアップ・復旧ソフトウェアを開く」から、自動バックアップのデータで復元できます(マニュアル)。コントロールパネルのアプリインストール(Installatron)でWordPressを入れた場合は、「ツール」→「バックアップ」→「マイ・アプリ」から、サイトごとに手動バックアップが取れます(マニュアル)。マニュアルには「自動バックアップは確実なデータ保全を保証するものではございません」とあるので、切り替えの前には手動でも1つ取っておきます。

WordPressのプラグインで手元に保存する

サーバーの操作に慣れていない場合は、WordPressのバックアップ用プラグインで、ファイルとデータベースをまとめてパソコンに保存する方法もあります。コアサーバーのマニュアルにもAll-in-One WP MigrationやDuplicatorの使い方が載っています。普段から使い慣れているものを選び、保存したファイルが開けることまで確かめておきます。

切り替えたあとに確認すること

パソコンの前でチェックリストを確認する担当者
Photo by Lukas Blazek on Unsplash

切り替えの操作は画面上ではすぐ終わりますが、サイトの動きは自分で確かめる必要があります。少し時間を置いてから、次の4点を見ます。

トップページと主要なページの表示

トップページ、問い合わせページ、記事ページ、ログインが必要なページなど、種類の違うページを一通り開きます。表示を速くするためのキャッシュ(一時保存)を使っている場合は、古い表示が残っていることがあるので、キャッシュを消してから見直します。

WordPressの管理画面とサイトヘルス

管理画面にログインし、「ツール」→「サイトヘルス」で新しいPHPのバージョン(細かい番号まで)になっていることと、「おすすめの改善」に新しい警告が増えていないことを確かめます。投稿の下書き保存や画像のアップロードも一度試しておきます。

問い合わせフォームの送信テスト

フォームは、表示されていても送信で失敗することがあります。自分のアドレス宛てにテスト送信し、届くことまで確認します。制作の現場では、PHPを切り替えたあと、いちばん遅れて気づかれやすいのがフォームの不具合です。特に7.4から上げた場合は、ここを必ず見ておいてください。

エラーが出たときの戻し方

真っ白な画面や500エラーが出た場合は、まず同じ画面で元のバージョンに戻し、表示が回復することを確かめます。そのうえで、原因になっているテーマやプラグインを特定し、更新や差し替えをしてから改めて上げ直します。7.3以前に戻したままにすると、V1プランやXREAでは今回の対応の範囲外の状態が続くため、戻すのはあくまで一時的な措置と考えてください。

よくある失敗と注意点

「メンテナンス完了」の表示だけで安心する

V1プランとXREAの告知では、PHP 7.4以上で対応を完了したと書かれています。裏を返すと、7.3以前のような古いバージョンを選んでいるサイトは、この対応の範囲に入っていません。告知の「完了」と、自分のサイトのバージョンの確認は別のものと考えます。

V2で全体の設定だけ上げて、ドメイン別の設定を見落とす

V2プランでは、ドメイン別PHPバージョンを7.4以外(たとえば8.0)にしていると、そちらが優先されます。標準PHPバージョンを8.3に上げたのに、ドメイン別で8.0を指定したままだと、そのドメインは8.0のままです。切り替えたあとは、必ずサイトヘルスで実際の番号を見て確かめます。

サーバー会社を装ったメールのリンクからログインしてしまう

大きなメンテナンスの前後は、「安全対策のためパスワードを再設定してください」といった便乗の偽メールが届きやすくなります。コントロールパネルやバリュードメインへは、ブックマークや公式サイトから入り、メールのリンクは使わないようにします。

昔作って放置しているサイトを忘れる

コアサーバーやXREAは料金が手ごろなこともあり、キャンペーンページや昔のブログ、テスト用のWordPressなどを同じサーバーに置いたままにしているケースがよくあります。こうしたサイトほど初期設定の7.4のまま動いていることが多いので、コントロールパネルのドメイン一覧を上から見て、使っていないサイトも含めて確認します。不要なサイトは、バックアップを取ったうえで公開を止めることも検討します。

こんなときは制作会社やサーバー会社に相談する

次のような場合は、自分で進めずに相談した方が、結果として早く安全に済みます。サーバーそのものの質問は、バリュードメインのお問い合わせフォームやライブチャットが窓口です。サイトの中身の不具合は、サイトを作った制作会社や保守会社に相談します。

PHPを上げると表示が崩れて、原因が分からない

7.4のころに作られたテーマや独自の機能は、8.x系でそのまま動かないことがあり、プログラムの修正が必要になります。元のバージョンに戻してサイトを復旧させたうえで、制作会社にエラーの内容と戻したバージョンを伝えてください。

V2の「標準PHPバージョン」と「ドメイン別」の関係が分からない

2つの設定のどちらが効いているかで迷ったら、無理に触らず、今の設定画面の内容とサイトヘルスの番号を控えて、サーバー会社か制作会社に確認します。全体の設定を変えると同じサーバー内の全サイトに影響するため、迷いながら操作するのは避けます。

見覚えのないファイルや管理者ユーザーが増えている

修正版が入る前に攻撃を受けていないかが気になる場合は、見覚えのないファイル、知らない管理者ユーザー、急に増えたエラーなどを確かめます。自分で判断がつかないときは、何も消さずに制作会社やセキュリティの専門家へ状況を伝えてください。

よくある質問

Q. コアサーバーやXREAは不正アクセスを受けたのですか?

A. 10月22日16時00分時点で、そのような発表はありません。出ているのは、PHPの脆弱性への対応とセキュリティ向上のための更新メンテナンスの告知です。なお、XREA・コアサーバーV1・バリューサーバーでは、1時35分〜11時48分にWebメール(SquirrelMail)にログインできない障害があり、解決済みです。

Q. コアサーバー・XREAのサーバーには修正版PHPが入っていますか?

A. 告知では、コアサーバーV1プランとXREAはPHP 7.4以上、V2プランは提供中の全バージョンで、脆弱性への対応を完了したとしています。修正版の番号(8.5.12/8.4.27/8.3.36/8.2.35)をそのまま入れたかどうかは書かれていないため、サイトヘルスの番号が修正版より小さくても、それだけで未対応とは言い切れません。

Q. 利用者が何か作業をする必要はありますか?

A. 告知では、対象のバージョンを使っている利用者は「PHPバージョンの変更等のご対応は必要ございません」とされています。ただし、コアサーバーV1プランとXREAで7.3以前を使っているサイトは対応の範囲外なので、8.2以上への切り替えが必要です。

Q. 契約してからPHPの設定を触ったことがありません。大丈夫ですか?

A. 初期設定は7.4なので、7.4のまま動いている可能性があります。この記事の「自分のサイトのPHPバージョンを確かめる」の手順で確認し、7.4は今回の件では対応済みとされていますが、PHP公式のサポートが終わったバージョンなので、バックアップを取ったうえで8.3以上への切り替えを計画してください。

Q. WordPressとプラグインを最新にすれば大丈夫ですか?

A. いいえ。今回の弱点はPHP本体にあるため、WordPressやプラグインの更新では直りません。更新そのものは大切ですが、PHPのバージョンの確認とは別の話です。

Q. 最新の情報はどこで確認すればよいですか?

A. 今回の告知はバリュードメインのメンテナンス・障害情報に出ています。あわせてコアサーバー・XREAの公式サイトの「お知らせ」も確認してください。個人の投稿やまとめには憶測が混ざりやすいので、社内やお客様への共有には公式の発表を使います。

参考にした公式ページ

THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。

GAME デザインバトル(名刺・ロゴ・Webサイト) 2つのデザインから好きなほうを選ぶだけ。10戦であなたの「目利き一致率」がわかります。デザイナーの方は自分の作品でエントリーも受付中です。 遊んでみる
コアサーバー・XREAのPHP脆弱性対応(2026年10月)|利用者がやること
最新情報をチェックしよう!

LET’S CONTACT

お問い合わせ

デザインと発信の力で、お客様の強みや想いを形にし、
成果につながるコンテンツを制作します。
「うちの場合はどうなる?」という段階からでも、どうぞお気軽にご相談ください。