CPIのPHP脆弱性対応とは、2026年10月21日に修正版が公開されたPHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619、通称「php2shell」）に対して、KDDIウェブコミュニケーションズのレンタルサーバー「CPI」がどう動いていて、利用者が何を確認すればよいか、という話です。結論から言うと、CPIは10月21日21時から「PHPの脆弱性対応によるサービスサイトおよび管理画面などの停止」を公式に告知していて、お客様のサーバー（Webサイトの表示とメール）は止めずに動かしたまま安全対策を進めるとしています。10月22日14時10分の更新では、修正版が出ているバージョンについて「急ぎ対応をおこなっております」と案内されましたが、16時05分時点で、修正版のPHPをお客様のサーバーに適用し終えたという告知はまだありません。
速報（2026年10月22日16時05分時点・当社調べ）
| ①PHPの脆弱性への対応 | 対応中（10月22日14時10分の更新で「対象PHPの最新パッチが提供されているバージョンについては、急ぎ対応をおこなっております」と案内。修正版がないバージョンの対策は今後案内予定。適用完了の告知はまだありません） |
| ②管理画面・ログイン | 入れない（コントロールパネル・マイページ・オンラインヘルプなどは停止中で、再開は未定。ウェブメールのRoundcubeは10月22日13時11分ごろ再開。16時05分時点でも公式の再開告知はありません。なお、マイページのログイン画面は外から開くと表示されました） |
| ③サイト・サービスの表示 | 通常どおり（Webサイトの表示とメールソフトでの送受信は通常どおりと案内） |
| ④確認した公式ページ | CPI「PHPの脆弱性対応によるサービスサイトおよび管理画面などの停止のお知らせ」（10月22日14時10分更新） |
状況は変わることがあります。最新の情報は公式ページでご確認ください。
この記事は、2026年10月22日15時50分時点でCPIの公式サイトに表示されている停止のお知らせ（最終更新は10月22日14時10分）と、CPIの公式マニュアル・過去のお知らせ、PHP公式のセキュリティアドバイザリをもとにしています。（冒頭の結論と速報欄は、10月22日16時05分に公式のお知らせを見直して更新しています）状況は随時変わるため、最新の情報は必ず公式ページで確認してください。脆弱性そのものの説明はPHPの重大な脆弱性（CVE-2026-109618/109619）の解説記事に、国内各社の動きは10月21日の国内の対応まとめにまとめています。ここでは、CPIでWordPressなどのサイトを運営している方が「自分のサーバーで何をすればよいか」に絞って整理します。
CPIが公表していること（10月22日15時50分時点）
要点は3つです。CPIは今回の件を「PHPの脆弱性の対応のため」とはっきり書いていること、止めているのはサービスサイトと管理画面などで、お客様のサーバーは止めていないこと、そして現時点で不正アクセスや脆弱性を悪用した攻撃は確認されていないこと、です。
停止のお知らせの中身
CPIの公式サイトは現在、どのページを開いても「PHPの脆弱性対応によるサービスサイトおよび管理画面などの停止のお知らせ」という案内が表示される状態です。本文には「当システムで使用しているソフトウェアにおけるPHPの脆弱性の対応のため、順次サービスサイトおよび管理画面を停止させていただきます」とあり、続けて「CPIサービスでは、現時点で不正アクセスや脆弱性を悪用しての攻撃は確認されておりません」と書かれています。停止作業の開始は2026年10月21日（水）21時から順次、再開の見込みは「未定」です。お知らせは10月22日14時10分に更新され、「対象PHPの最新パッチが提供されているバージョンについては、急ぎ対応をおこなっております」「最新パッチの提供がないバージョンについても、対策含め、この後情報更新してまいります」と追記されました。
止まっているもの・動いているもの
お知らせに挙がっている「メンテナンス中に使えないサイト・機能」と、通常どおり使えるものを表にまとめます。
| 区分 | 内容（公式告知の記載） |
|---|---|
| 使えないもの | CPIサービスサイト、コントロールパネル（SV-Basic・ビジネス スタンダード・KWCメール）、セキュアファイルマネージャー（SV-Basic・ビジネス スタンダード）、ユーザーポータル（ACE01）、マイページ、Get a file、オンラインヘルプ |
| 再開したもの | Roundcube（ウェブメール）：10月22日13時11分ごろ再開 |
| 通常どおり使えるもの | お客様のご利用サーバー。Webサイトの表示と、メールソフトでの送受信 |
| 再開の見込み | 未定（お知らせのページで随時案内） |
ブラウザでメールを読む「Roundcube（ウェブメール）」は、10月22日13時11分ごろに再開しました。一方で、操作マニュアルなどの「オンラインヘルプ」は止まったままです。また、運営会社のKDDIウェブコミュニケーションズの企業サイトも、10月22日15時50分時点でメンテナンス中の表示（終了時刻未定）のままです。
修正版PHPは「急ぎ対応中」、完了の告知はまだない
お知らせには「お客さまのご利用サーバーについては、稼働を継続しながら、安全対策を進めてまいります」「PHP公式の公開情報に応じて、本ページにて随時、CPIでの最新情報をお知らせいたします」とあります。10月22日14時10分の更新で、修正版（8.5.12／8.4.27／8.3.36／8.2.35）が出ているバージョンについては「急ぎ対応をおこなっております」と書かれました。ただ、16時05分時点で、お客様のサーバーへの適用が終わったという告知や、いつ終わる見込みかの案内はありません。修正版が出ていない8.1以前については、対策を含めてこの後案内するとされています。利用者に何かの作業をお願いする記載はありません。この記事では推測で補わず、利用者が自分で確かめられる方法を次の章から説明します。
今回の脆弱性でCPI利用者が押さえておくこと
共用のレンタルサーバーでは、PHP本体の更新はサーバー会社が行います。利用者ができるのは「どのバージョンのPHPを使うか」を選ぶことと、自分のサイトが今どのバージョンで動いているかを確かめることです。
修正版と、修正が出ないバージョン
PHP公式は10月21日、修正版として8.5.12、8.4.27、8.3.36、8.2.35を公開しました。8.1以前はPHPの開発チームからの更新対象外です。CPIは2025年10月23日の「PHP8.1系セキュリティサポート終了のお知らせ」で、8.1系の公式サポートが2025年12月31日で終わったあとも利用状況をふまえて提供を続けると案内しています。つまりCPIでは8.1も選べますが、今回の修正は公式には出ていないので、CPIが独自に修正を当てたと告知しない限り、修正を受けられない前提で考えます。
| 使っているPHP | 修正版 | 利用者の考え方 |
|---|---|---|
| 8.4 | 8.4.27 | サーバー側で8.4.27以上になっているかを確認 |
| 8.3 | 8.3.36 | 同上（8.3.36以上） |
| 8.2 | 8.2.35 | 同上。ただし8.2は2026年末でセキュリティ修正が終わる |
| 8.1以前（8.0、7.4など） | 公式の修正なし | 8.2以上、できれば8.3以上へ切り替える |
WordPressやプラグインの更新では直らない
今回の弱点はWordPressではなく、その土台であるPHP本体にあります。WordPress本体・テーマ・プラグインを最新にしても、この脆弱性はふさがりません。もちろんそれらの更新は別の理由で大切ですが、「WordPressを更新したから今回の件は済んだ」とは考えないでください。
設定でしのぐ方法は代わりにならない
PHP公式は、更新できない場合の一時しのぎとしてPHPの設定変更をいくつか挙げていますが、同時に「攻撃の経路を減らすだけで、安全にはならない」と明記しています。CPIのマニュアルでも、.htaccessにPHPの設定（php_valueやphp_flag）を書くと500エラーになると注意書きがあります。設定で回避しようとするより、サーバー側の更新を待ちつつ、自分のサイトのバージョンを確認する方が確実です。
CPIのPHPは「.htaccess」でバージョンを選ぶ仕組み
CPIの共用サーバー（SV-Basic・ビジネス スタンダード）は、他社のように管理画面のボタンでPHPを切り替える方式ではありません。公式マニュアル「PHP」では、「.htaccess（エイチティーアクセス。フォルダごとにサーバーの動きを指定する設定ファイル）」に使いたいPHPのバージョンを書き、動かしたいフォルダに置く方法が案内されています。ここを知っておくと、確認も切り替えも迷いません。
書き方は「AddHandler x-httpd-php83 .php」の形
たとえばPHP 8.3を使う場合、.htaccessに「AddHandler x-httpd-php83 .php」と1行書きます。数字の部分が「8.3」のような系統を表していて、8.3.26か8.3.36かといった細かい番号までは指定しません。プランやサーバーごとに選べるバージョンと書き方は、マニュアルの「PHPバージョン一覧」の表に載っているので、書くときは必ず表の記述をそのまま写してください。
細かい番号の更新はCPI側で行われてきた
CPIはこれまでも、各系統の細かい番号をサーバー側で上げてきました。2025年10月23日の「PHP8.1・8.2・8.3系バージョンアップおよび8.4系追加のお知らせ」では、SV-Basicなどで8.3系を8.3.19から8.3.26へ、8.2系を8.2.28から8.2.29へ上げ、ビジネス スタンダードに8.4系（8.4.13）を追加したと告知しています。.htaccessには系統しか書かないので、こうした更新では利用者が書き換えなくても新しい番号で動く形です。今回の修正版も、CPIが適用すれば同じ流れになると考えられますが、実際に適用されたかどうかは、CPIの告知と次の章の確認方法で確かめてください。
何も書いていない場合とACE01の場合
.htaccessでバージョンを指定していない場合は、プランごとに決められた標準のバージョンで動きます。標準がどれかはプランや契約時期で違い、ビジネス スタンダードは2025年12月18日以降の申し込み分でサーバーの仕様が変わったとも告知されています。旧プランの「シェアードプラン ACE01」は、ウェブサーバーを移してPHPのバージョンを変える手続きの受付を2023年5月31日で終了しています。ACE01をお使いの方は、まず次の章の方法で今のバージョンを確かめ、8.1以前ならCPIの窓口が再開してから相談するのが確実です。
今のPHPバージョンを確認する
本来はコントロールパネルでも確認できますが、10月22日16時05分時点では管理画面が止まっています。そこで、停止中でも使える方法から順に紹介します。
ステップ1｜WordPressの「サイトヘルス」で見る
いちばん手軽なのはWordPressの管理画面です。「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開くと、「PHPバージョン」の行に「8.3.26」のような細かい番号まで表示されます。これはそのWordPressが実際に動いているPHPの番号なので、ここが8.3.36以上なら修正版で動いている、8.3.26などそれより小さければまだ修正前、と判断できます。WordPressを複数運営している場合は、サイトごとに見てください。
ステップ2｜FTPソフトで.htaccessの1行を見る
次に、どの系統を指定しているかを確かめます。FTPソフト（パソコンとサーバーの間でファイルをやり取りするソフト）でサーバーに接続し、公開フォルダ（html）とWordPressを入れたフォルダにある.htaccessをパソコンにダウンロードして、メモ帳などで開きます。「AddHandler x-httpd-php…」という行があれば、その数字が使っている系統です。行がなければ、そのフォルダは標準のバージョンで動いています。今回のお知らせではFTPでの接続は停止対象に挙がっていませんが、ブラウザ上でファイルを扱う「セキュアファイルマネージャー」は止まっているので、FTPソフトを使います。
ステップ3｜WordPress以外はphpversion()のファイルで見る
WordPressを使っていないフォームやページがある場合は、メモ帳で「<?php echo phpversion(); ?>」と1行だけ書いたファイルを、たとえば「check-ver-20261022.php」のような推測されにくい名前で保存し、確認したいフォルダにアップロードしてブラウザで開きます。表示された番号が、そのフォルダで実際に動いているPHPです。確認が終わったら、このファイルは必ず削除してください。置きっぱなしにすると、外からサーバーの情報を見られてしまいます。
ステップ4｜管理画面の再開後はコントロールパネルでも確かめる
SV-Basicとビジネス スタンダードでは、コントロールパネルにログインして【Home】＞【バージョン・ポート番号】を開くと、契約しているサーバーのOSや各プログラムのバージョンを確認できます（公式マニュアル「バージョン・ポート番号の確認」）。PHPの設定値は【Home】＞【パス・モジュール情報】で見られます。サーバー側で提供している番号が修正版になっているかは、再開後にここで確かめると安心です。
8.1以前なら、.htaccessで8.2以上へ切り替える
確認した結果が8.1以前（8.0、7.4など）だった場合は、修正の対象外なので、8.2以上へ切り替えます。CPIでは.htaccessの1行を書き換えるだけで切り替えられるので、戻すのも簡単です。作業の前に、次の章のバックアップを済ませておいてください。
手順1｜元の.htaccessを別名で保存しておく
ダウンロードした.htaccessをコピーし、「htaccess-20261022-before.txt」のような名前でパソコンに保管します。何かあったときは、これをそのままアップロードし直せば元に戻ります。WordPressの.htaccessには、ページのURLを整える設定なども書かれているので、ほかの行は消さずに残します。
手順2｜AddHandlerの行を書き換えるか、追記する
すでに「AddHandler x-httpd-php74 .php」のような行があれば、その行だけを、マニュアルの「PHPバージョン一覧」に載っている8.3などの記述に書き換えます。行がなければ、ファイルの先頭に1行追記します。文字コードや改行が変わらないよう、メモ帳よりもVS Codeなどのテキストエディタの方が安全です。
手順3｜アップロードしてサイトヘルスで確かめる
書き換えた.htaccessを元の場所にアップロード（上書き）し、WordPressのサイトヘルスでPHPバージョンが変わったことを確かめます。サブフォルダに別の.htaccessがあり、そこにも古いバージョンが書かれていると、そのフォルダだけ古いまま動くので、フォルダごとに見ておきます。
どのバージョンを選ぶか
8.2は2026年12月末でセキュリティ修正が終わるため、これから切り替えるなら8.3以上をおすすめします。ビジネス スタンダードでは8.4も選べます。ただ、古いテーマやプラグインは新しいPHPで動かないことがあるので、いきなり大きく上げず、8.3で動作を確かめてから上げていくのが安全です。PHPのバージョンの考え方はPHPのバージョンの基礎を解説した記事も参考にしてください。
切り替える前にバックアップを取る
PHPを切り替えると、まれに画面が真っ白になったり、500エラーが出たりします。戻せる状態を作ってから作業するのが基本です。
SmartReleaseの自動バックアップを確かめる
SV-Basicなどで使える「SmartRelease（スマートリリース）」には、Webのファイルとデータベースを毎日自動でバックアップする機能があります（公式の操作マニュアル）。ただし、マニュアルでは復元するとお客様のWeb領域全体が上書きされると説明されていて、操作もSmartReleaseの管理画面から行うため、管理画面が止まっている今は使えません。再開後に、直近のバックアップがあるかを確認しておくとよいでしょう。
今すぐできるのはFTPでの手元保存
管理画面の停止中でも、FTPソフトでWordPressのフォルダ一式（とくにwp-contentフォルダと.htaccess、wp-config.php）をパソコンにダウンロードしておけます。今回の切り替えは.htaccessの1行だけなので、少なくとも元の.htaccessを残しておけば、表示が崩れてもすぐ戻せます。
データベースはWordPressの機能やプラグインで
記事や設定が入っているデータベースは、ふだんはコントロールパネル経由で書き出しますが、停止中は使えません。WordPressのバックアップ用プラグインを入れている場合は、それで一度書き出しておきます。新しくプラグインを入れるのが不安な場合は、PHPの切り替えは.htaccessの書き換えだけでデータベースには手を入れないことをふまえ、元の.htaccessを確実に残したうえで進めても構いません。
切り替えたあとに確認すること
書き換えは一瞬で終わりますが、サイトの動きは自分で確かめる必要があります。最低限、次の4点を見ます。
トップページと主要なページの表示
トップページ、問い合わせページ、記事ページ、ログインが必要なページなど、種類の違うページを一通り開きます。スマホでも1回見ておくと、レイアウトの崩れに気づきやすくなります。
WordPressの管理画面とサイトヘルス
管理画面にログインし、「ツール」→「サイトヘルス」で新しいPHPバージョンになっていることと、「おすすめの改善」に新しい警告が増えていないことを見ます。投稿の下書き保存や画像のアップロードも一度試しておきます。
問い合わせフォームの送信テスト
フォームは、表示されていても送信で失敗することがあります。自分のアドレス宛てにテスト送信し、届くことまで確認します。制作の現場では、PHPの切り替えでいちばん後から発覚しやすいのがフォームの不具合なので、ここは必ず見ます。
エラーが出たときの戻し方
真っ白な画面や500エラーが出た場合は、保管しておいた元の.htaccessをアップロードし直し、表示が戻ることを確かめます。そのうえで、原因になっているテーマやプラグインを特定し、更新や入れ替えをしてから改めて上げ直します。戻したままにすると修正を受けられない状態が続くため、戻すのはあくまで一時的な措置と考えてください。
他のレンタルサーバーとの違い
同じ10月21日には、ほかのレンタルサーバー会社も相次いで予防的な停止や緊急メンテナンスを行いました。CPIの特徴は、告知の中で理由を「PHPの脆弱性の対応のため」とはっきり書き、PHP公式とIPAの発表へのリンクも載せている点です。
| 会社 | 10月21日の対応（公式発表） | お客様のサイト |
|---|---|---|
| CPI | 21時から順次、サービスサイト・管理画面・ウェブメール・オンラインヘルプなどを停止（再開未定。ウェブメールは10月22日13時11分ごろ再開） | 表示・メールソフトでの送受信は通常どおり |
| エックスサーバー | 16時から公式サイト・管理画面等を予防的に一時停止 | 表示・メールソフトでの送受信は通常どおり |
| さくらインターネット | 13時頃からレンタルサーバ等、15時頃からVPSで緊急メンテナンス | 一時的に接続できない場合あり |
エックスサーバーの停止の詳しい内容はエックスサーバーの管理画面停止（10/21）の記事にまとめています。どの会社でも「お客様のサーバーへ修正版PHPをいつ適用したか」が出るまでには時間がかかることがあるので、告知を待つだけでなく、自分のサイトのバージョンを自分で確かめる姿勢が大切です。
よくある失敗と注意点
管理画面の停止を「サイトが落ちた」と勘違いする
止まっているのはCPIのサービスサイトと管理画面などで、お客様のサイトやメールソフトでの送受信は動いています。社内で「ホームページが止まったのでは」と心配の声が出たら、公式告知の「Webサイトの表示やメールソフトでの送受信は、通常どおりご利用いただけます」という記載を共有してください。
CPIを装ったメールのリンクからログインしてしまう
サーバー会社の緊急メンテナンスの直後は、「安全対策のため再ログインしてください」といった便乗の偽メールが届きやすくなります。管理画面へは、メールのリンクからではなく、ブックマークや契約時の書類に書かれたURLから入ります。そもそも今は管理画面が止まっているので、「今すぐログインを」と急かすメールは疑ってかかってください。
.htaccessの系統だけを見て安心する
.htaccessに「php83」と書いてあっても、サーバー側の細かい番号が8.3.36未満なら、修正はまだ入っていません。サイトヘルスやphpversion()のファイルで細かい番号まで見て判断します。修正版になっていなければ、CPIの告知を待ち、日を置いてもう一度確認します。
.htaccessの他の行まで消してしまう
書き換えるのはPHPのバージョンを指定する1行だけです。WordPressのURL設定や転送の設定まで消すと、記事ページが開けなくなることがあります。作業は営業時間を避け、アクセスの少ない時間帯に、確認の時間も含めて30分ほど確保して行うと落ち着いて対処できます。
こんなときは制作会社やサーバー会社に相談する
次のような場合は、自分で進めずに相談した方が結果的に早く安全です。10月22日16時05分時点ではCPIのマイページやオンラインヘルプも止まっているので、再開を待って問い合わせるか、サイトを作った制作会社に相談します。
PHPを上げると表示が崩れて、原因が分からない
古いテーマや独自に作られた部分が原因のことが多く、コードの修正が必要になります。元の.htaccessに戻してサイトを復旧させたうえで、制作会社にエラーの内容と戻したバージョンを伝えてください。
FTPの接続情報が分からない、ACE01で切り替え方が分からない
FTPの接続情報が見つからない場合や、ACE01などで.htaccessでの切り替えができるか分からない場合は、無理に試さず、管理画面の再開後にCPIへ問い合わせるか、管理を任せている会社に確認します。
見覚えのないファイルやエラーが増えている
修正版が入る前に攻撃を受けていないかが気になる場合は、サーバー上の見覚えのないファイル、不審な管理者ユーザー、急に増えた500エラーなどを確かめます。自分で判断がつかないときは、何も消さずに制作会社やセキュリティの専門家に状況を伝えてください。
よくある質問
Q. CPIは不正アクセスを受けたのですか？
A. 公式のお知らせには「CPIサービスでは、現時点で不正アクセスや脆弱性を悪用しての攻撃は確認されておりません」と書かれています。今回の停止は、PHPの脆弱性に対応するためのものです。
Q. CPIのサーバーには修正版PHPが入っていますか？
A. 10月22日14時10分の更新で、修正版が出ているバージョンは「急ぎ対応をおこなっております」とされましたが、16時05分時点で、適用が終わったという告知はまだありません。自分のサイトについては、WordPressのサイトヘルスかphpversion()のファイルで細かい番号を見て、8.4.27／8.3.36／8.2.35以上になっているかで判断できます。
Q. コントロールパネルが使えない間に、PHPのバージョンは変えられますか？
A. CPIの共用サーバーは.htaccessでバージョンを指定する仕組みなので、FTPソフトで.htaccessを書き換えれば切り替えられます。書き方はマニュアルの「PHPバージョン一覧」に従いますが、オンラインヘルプも止まっているため、記述に自信がなければ再開を待ってから作業してください。
Q. PHP 7.4や8.1のまま使っています。どうすればよいですか？
A. 8.1以前はPHP公式の修正対象外です。元の.htaccessを保管したうえで、8.3以上の記述に書き換え、表示とフォームを確認してください。動かない場合は元に戻し、原因のテーマやプラグインを直してから再挑戦します。
Q. WordPressとプラグインを最新にすれば大丈夫ですか？
A. いいえ。今回の弱点はPHP本体にあるため、WordPressやプラグインの更新では直りません。更新そのものは大切ですが、PHPのバージョン確認とは別の話です。
Q. 最新の情報はどこで確認すればよいですか？
A. 停止中はCPIの公式サイトのお知らせページが唯一の公式の案内先です。お知らせに「本ページにて、随時お知らせいたします」とあるので、ここを定期的に見てください。SNSの投稿は憶測が混ざりやすいので、社内での共有にはこのページの内容を使ってください。
参考にした公式ページ
- CPI「PHPの脆弱性対応によるサービスサイトおよび管理画面などの停止のお知らせ」（2026年10月22日14時10分更新）
- CPI操作マニュアル「PHP」
- CPI操作マニュアル「バージョン・ポート番号の確認」
- CPI「PHP8.1・8.2・8.3系バージョンアップおよび8.4系追加のお知らせ」（2025年10月23日）
- CPI「PHP8.1系セキュリティサポート終了のお知らせ」（2025年10月23日）
- CPI「シェアードプラン ACE01」バージョン変更受付終了のお知らせ
- PHP公式「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日）
- IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
