ヘテムルのPHP脆弱性対応とは、GMOペパボ株式会社が運営するレンタルサーバー「ヘテムル（heteml）」が、2026年10月21日に予告されたPHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619）の修正版公開に備えて、サービスサイトやコントロールパネルなどを止めて行ったメンテナンスと、それに合わせたPHPの修正のことです。ヘテムルは「お客様の安全を最優先とし、修正版の公開に先立って予防措置として」実施すると説明しています。10月22日12時18分には、一部をのぞいてサービスを再開し、PHPへの対策を済ませたと公式に発表しました。
速報（2026年10月22日16時05分時点・当社調べ）
| ①PHPの脆弱性への対応 | 完了（10月22日12時18分の追記で、PHP 8系と7.4は公式の修正版を、それ以外のバージョンは公式の修正内容をもとにした独自修正を適用したと発表。すべてのバージョンでsession.upload_progressが無効に） |
| ②管理画面・ログイン | 入れる（12時18分の追記でコントロールパネルを再開。16時05分にログイン画面が開くことを外から確認） |
| ③サイト・サービスの表示 | 通常どおり（12時18分の追記で、お客様のサイトも閲覧できる状況と発表。おさいぽ！自動更新だけは復旧対応中） |
| ④確認した公式ページ | ヘテムル「【一部完了】【重要】PHPの脆弱性への予防措置に伴うメンテナンス実施のお知らせ」（10月22日13時20分追記）、ヘテムル公式サイト |
状況は変わることがあります。最新の情報は公式ページでご確認ください。
この記事は、2026年10月22日15時50分時点で確認できたヘテムルの公式発表（公式サイトのお知らせと公式X）をもとにしています。（冒頭の結論と速報欄は、10月22日16時05分に公式のお知らせを見直して更新しています）最初にまとめた9時45分の時点ではメンテナンス中でしたが、その後、12時18分の追記で、サイト表示や管理画面の再開と、PHPへの対策の内容が発表されました。分からないことは分からないと書いたうえで、ヘテムルでWordPressなどのサイトを運営している方が、再開後に何をどの順番で確認すればよいかを整理します。脆弱性そのものの解説はPHPの重大な脆弱性の解説記事、国内全体の動きは10月21日のまとめ記事をご覧ください。
ヘテムルが発表したこと（10月22日15時50分時点）
要点は、ヘテムルは「PHPの重大な脆弱性への予防措置」と理由をはっきり書いたうえで、サービスサイト・コントロールパネル・FTP・メールの一部を止めていた、ということです。10月22日12時18分には、一部をのぞいてこれらを再開し、PHPへの対策を済ませたと発表しています。
12時18分の追記：サイト表示と管理画面を再開
ヘテムルは、公式サイトのお知らせ「【一部完了】【重要】PHPの脆弱性への予防措置に伴うメンテナンス実施のお知らせ」に10月22日12時18分付けで追記し、一部をのぞいてサービスを再開したと発表しました。再開したのは、お客様のサイト表示、サービスサイト、コントロールパネル、heteml FTP、hetemailです。お客様のサイトも閲覧できる状況になっている、と書かれています。
対策の中身も示されました。PHP 8系と7.4には公式の修正版を当て、それ以外のバージョンには、公式の修正内容をもとにヘテムルが独自に修正を当てたとしています。あわせて、今回の対策のため、すべてのバージョンで一部の機能（session.upload_progress）が無効になっているとして、利用者に自分のサイトの動作確認と対応をお願いしています。古いPHPは今後の脆弱性で公式の修正が出ない可能性があるとして、新しいバージョンへの切り替えも勧めています。
12時18分の追記の時点で止まったままとされていたのは、おさいぽ！自動更新（13時ごろ復旧見込み）とphpMyAdmin（復旧対応中）の2つでした。その後の13時20分の追記でphpMyAdminも再開しました。16時05分時点でも、止まっているのはおさいぽ！自動更新（復旧対応中）だけで、13時20分のあとに新しい追記はありません。
メンテナンスページに書かれている内容
ヘテムルの公式サイト（heteml.jp）は、9時45分の時点では、どのページを開いても「システムメンテナンスのお知らせ」が表示される状態でした。そこには、PHPの重大な脆弱性の修正版が10月21日（水）23時（日本時間）に公開されると予告されたこと、IPA（情報処理推進機構）も事前準備を呼びかけていることが書かれ、IPAの注意喚起とPHP公式の告知へのリンクも載っています。コントロールパネルでの操作は、メンテナンス完了後に改めて行うようお願いしていました。
公式Xでの告知（21時50分・22時）
公式Xアカウント（@heteml）は、10月21日21時50分に「【重要】メンテナンスのお知らせ」を投稿し、サービスサイト・コントロールパネル・おさいぽ！自動更新を順次停止していると知らせました。続いて22時には、heteml FTPとhetemailも、すでにメンテナンスのため停止していると追加で告知しています。
9時45分の時点で止まっていたものと、12時18分の追記での状況をまとめると次のとおりです。
| 対象 | 9時45分時点 | 12時18分・13時20分の追記 |
|---|---|---|
| サービスサイト（heteml.jp） | 順次停止（メンテナンス表示） | 再開 |
| コントロールパネル | 順次停止。操作は完了後にとの案内 | 再開 |
| おさいぽ！自動更新 | 順次停止 | 停止中（復旧対応中） |
| heteml FTP（ブラウザでファイルを扱う機能） | 緊急メンテナンスで停止 | 再開 |
| hetemail（ブラウザで読むメール） | 緊急メンテナンスで停止 | 再開 |
| phpMyAdmin | 案内なし | 12時18分は停止中、13時20分に再開 |
| お客様のサイト | 安全な運用に支障があると判断した場合、予告なく停止（制限）する場合がある | 閲覧できる状況 |
まだ発表されていないこと
15時50分時点で、次の点はヘテムルの公式発表では確認できませんでした。各サーバーで実際に何番のPHP（たとえば8.3.36）になったか、おさいぽ！自動更新がいつ戻るか、の2点です。再開したことと、どのバージョンにどう対策したかは、12時18分の追記で示されています。続報は公式サイトのお知らせと公式Xで確認してください。運営会社のGMOペパボのニュースページには、15時50分時点でもこの件の発表は見当たりませんでした。
お客様のサイトは止まっていたのか
公式発表には「予告なくサイトを停止（制限）する場合がある」とだけ書かれていて、実際にどのサーバーのサイトを止めたかは公表されていません。一方で、利用者からは「サイトが表示されない」という報告が多く出ていました。12時18分の追記では「お客様のサイトについても閲覧できる状況になっています」とされています。
公式の説明は「予告なく停止（制限）する場合がある」
メンテナンスページと21時50分の投稿のどちらにも、安全な運用に支障があると判断した場合は、お客様のサイトを保護するために予告なく停止（制限）する場合があると書かれています。攻撃を受けやすい状態のサイトを公開し続けるより、いったん止めて修正を当てるほうを選ぶ、という方針と読めます。サイトが見えなくなっていても、利用者のサイトが攻撃されたという意味ではありません。
SNSで報告されている状況（公式発表ではありません）
X（旧Twitter）では、10月22日の早朝から朝にかけて、ヘテムルに置いているサイトが「502 Bad Gateway」と表示されて見られないという投稿が多く出ていました。PHPを使っていないHTMLだけのページも同じ表示になったという声もあります。また、一部のサーバーでは夜中のうちにPHPが8.3.36に上がったという報告もあります。いずれも利用者の観測で、ヘテムルの発表ではありません。ヘテムルは12時18分の追記で、お客様のサイトも閲覧できる状況になったと発表しています。まだ表示されない場合は、ブラウザで再読み込みしたうえで、ヘテムルの障害情報に新しいお知らせが出ていないかを確認してください。
今回のPHP脆弱性のおさらい
今回の脆弱性は、WordPressなど多くのサイトの土台になっているプログラム言語「PHP」そのものの欠陥です。悪用されると、外から送られたデータでサーバー上のプログラムを勝手に動かされるおそれがあり、深刻度はどちらも10点満点中9.2とされています。PHPの開発チームは10月21日の23時ごろ、修正版の8.5.12・8.4.27・8.3.36・8.2.35を公開しました。8.1以前には通常の修正版は出ておらず、PHPの開発チームは、自分でPHPを組み立てる人向けに7.4・8.0・8.1用の最小限の修正だけを公開しています。
欠陥はPHP本体にあるため、WordPress本体やプラグインを最新にしても、この脆弱性は直りません。共用のレンタルサーバーでPHP本体を入れ替えるのはサーバー会社の役目で、利用者ができるのは「どのバージョンのPHPを使うか」を選ぶことです。ヘテムルの場合も、修正版への入れ替えはヘテムル側の作業になります。詳しくはPHPの重大な脆弱性の解説記事で整理しています。
ヘテムルで使えるPHPのバージョン（サーバー番号で違います）
ヘテムルは、契約している「Webサーバー番号」によって選べるPHPのバージョンが違います。公式ヘルプセンターの「PHPバージョンの変更方法について」によると、内容は次のとおりです。記事を書いた10月22日朝はヘルプセンターがメンテナンス中で開けなかったため、2025年10月時点の写し（Internet Archiveに保存されたもの）で確認しました。その後に新しいバージョンが追加されている可能性があるので、コントロールパネルの選択肢で確かめてください。
| Webサーバー番号 | モジュール版 | CGI版 | PHP公式の通常の修正版があるもの |
|---|---|---|---|
| users5XX・users7XX・users8XX | 8.3 | 8.3・8.2・8.1・8.0・7.4 | 8.3・8.2 |
| users2XX | 8.3 | 8.3・8.2・8.1・8.0・7.4・7.3・7.1・5.6 | 8.3・8.2 |
| users0XX・users3XX | 7.4 | 7.4・7.3・7.1・5.6 | なし |
「モジュール版」と「CGI版」は、PHPをサーバーで動かす方式の違いです。ふだんの利用ではどちらでもサイトは動きますが、ヘテムルではphp.iniでの細かな設定はCGI版でしかできないなど、使える機能に差があります。迷ったら、今の方式のままバージョンだけを上げるのが無難です。
サーバー番号の確かめ方
Webサーバー番号は、コントロールパネルにログインした画面の右上に表示されています。「users5XX」のように、users の後に3けたの数字が続く形です。コントロールパネルは12時18分に再開しているので、最初に見ておきます。
users0XX・users3XXの場合
この2つのサーバーでは、選べるPHPが7.4までです。7.4は、PHP公式の通常の修正版の対象外です。ヘテムルの「PHP8の利用方法を教えてください」では、PHP8を使うにはリニューアル環境への「プラン変更」が必要で、コントロールパネルのメニュー「プラン変更」から手続きできると案内されています。12時18分の追記では、7.4にも公式の修正を当て、それより古いバージョンにも独自の修正を当てたとされています。ただし、ヘテムル自身が「古いバージョンのPHPには、今後も新たな脆弱性への公式な修正が提供されない可能性があります」と書いているとおり、次の脆弱性でも同じように修正を受けられるとは限りません。
メンテナンス明けにやること（6つのステップ）
12時18分にサイト表示、コントロールパネル、FTPが、13時20分にphpMyAdminが再開したので、上から順に確認します。
ステップ1｜ヘテムルのお知らせを読み直す
公式サイトは再開しているので、まずお知らせ（インフォメーション・メンテナンス情報・障害情報）と公式Xを読み直します。12時18分の追記には、どのPHPにどう対策したかと、すべてのバージョンで一部の機能（session.upload_progress）が無効になったことが書かれています。この先も追記が出たら、この記事よりそちらを優先してください。
ステップ2｜WordPressのサイトヘルスで今のPHPを確かめる
WordPressの管理画面にログインし、「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開くと、「PHP バージョン」の欄に今動いているバージョンが表示されます。8.3.36・8.2.35のように、修正版の番号以上になっていれば、PHP本体の入れ替えは済んでいます。8.3.35以下のままなら、まだ修正が届いていない可能性があります。8.1以前は番号では修正の有無を見分けにくいので、ヘテムルの発表を目安にしつつ、新しいバージョンへの切り替えを考えます。複数のサイトを運営している場合は、サイトごとに見ます。
ステップ3｜コントロールパネルの「PHP」で設定を確かめる
コントロールパネルにログインし、「各種設定」の「PHP」を開くと、ドメインごとに選んでいるPHPのバージョンが一覧で見られます。サブドメインやテスト用のドメインも含め、すべての行を確認します。WordPress以外に、問い合わせフォームや予約システムなどPHPで動くものを置いているドメインも忘れずに見ておきます。
ステップ4｜切り替える前にバックアップを取る
PHPのバージョンを上げると、古いテーマやプラグインが動かなくなることがあるので、切り替えの前にバックアップを取ります。ヘテムルの「WordPressのバックアップ方法」では、WordPressのデータはWebサーバー（画像・テーマ・プラグイン）とデータベース（記事・ユーザー情報）の2か所にあり、両方の保存が必要だと説明されています。方法は次の3つです。
| 方法 | 内容 | 注意点 |
|---|---|---|
| バックアップオプション（有料） | コントロールパネルのメニュー「バックアップオプション」から管理画面へ。Webサイトとデータベースを「今すぐバックアップする」で保存できる | 実行から24時間は次のバックアップができない |
| WordPressのプラグイン | ヘテムルのマニュアルではBackWPupを使う手順を紹介。Webとデータベースの両方を保存し、パソコンにダウンロードできる | プラグインの使い方はヘテムルのサポート対象外 |
| 自動バックアップのデータ取得 | ヘテムルが毎日取っている控えを「データ取得お申込み」で取り寄せる（Web・メールは7日間、データベースは14日間保持） | 1回5,500円の手数料。支払い確認後48時間以内に設置 |
制作の現場では、プラグインで取ったバックアップを必ずパソコンにもダウンロードしておきます。サーバーの中にしか控えがないと、サーバー側の不具合と一緒に失うことがあるためです。
ステップ5｜PHPのバージョンを切り替える
ヘテムルの手順は3つです。コントロールパネルにログインして「各種設定」の「PHP」をクリックし、切り替えたいドメインの行でPHPのバージョンをプルダウンから選び、［変更する］ボタンを押します。反映までは5分から10分ほどかかるとされています。時間をおいても変わらない場合は、ヘルプセンターの「PHPバージョン変更しても反映されないので対応方法を教えて」を確認します。
ステップ6｜切り替えたあとに表示と動作を確かめる
反映を待ってから、トップページ、よく見られるページ、問い合わせフォームの送信、WordPressの管理画面へのログイン、記事の下書き保存までを一通り試します。もう一度サイトヘルスを開き、PHPのバージョンが変わったことも確かめます。スマホでの表示も見ておくと安心です。おかしな点があれば、どのページで何が起きたかをメモしておくと、原因を探すときに役立ちます。
PHP 8.1以前を使っている場合
8.1・8.0・7.4などを選んでいるサイトにも、12時18分の追記によれば、ヘテムルが今回の対策を当てています。ただし、この対策ですべてのバージョンの一部の機能（session.upload_progress。ファイルを送るときの進み具合を知らせる仕組み）が無効になっているので、ファイルのアップロードがあるフォームや管理画面を中心に動作を確かめてください。また、ヘテムル自身が書いているとおり、古いPHPは今後の脆弱性で公式の修正を受けられない可能性があります。今回の対策で終わりにせず、サポートが続いているバージョンへの切り替えを進めます。
切り替え先は8.3がおすすめ
ヘテムルで選べる中では、8.3と8.2がPHP公式のサポートが続いているバージョンです。PHP公式のサポート期間では、8.2のセキュリティ修正は2026年12月31日で終わり、8.3は2027年12月31日まで続きます。8.2に上げてもあと2か月ほどで再び切り替えが必要になるので、テーマやプラグインが対応していれば8.3を選ぶほうが手間が少なく済みます。
新しいPHPでエラーが出たとき
ヘテムルの「PHPのバージョン変更でサイトがエラーになりました。」では、WordPressやEC-CUBEは本体を最新に更新して確認すること、自作のPHPプログラムはエラー内容を見て書き直すこと、すぐに直せない場合はいったん選べる古いバージョンに戻して動作を確かめることが案内されています。ただし今回は、古いバージョンに戻すと修正が届かない状態に戻ります。戻すのは原因を調べる間だけにとどめ、直す段取りを先に決めておきます。
よくある失敗と注意点
大きなメンテナンスの前後は、慌てた操作や便乗した詐欺でトラブルが起きやすくなります。次の3つは避けておきます。
メンテナンス中にFTPソフトで設定を触る
「.htaccessでサイトを止めよう」「php.iniを書き換えよう」と、FTPソフトでファイルを直接触りたくなるかもしれません。ヘテムルはメンテナンス中、コントロールパネルでの操作はメンテナンス完了後に、と案内していました。サーバー会社が作業している最中に設定を変えると、再開後に原因の分からない不具合を招くことがあるので、待つのが無難です。再開後にFTPでファイルを確かめたいときは、ヘテムルのFTPアカウントの確認方法も参考にしてください。
エラーが出たまま古いPHPに戻して放っておく
新しいPHPで表示が崩れると、元に戻して安心してしまいがちです。サポートが終わったバージョンのままでは、今回のような欠陥の修正を受けられません。いつまでに、誰が、何を直して上げ直すのかを決めておきます。
サーバー会社を装ったメールのリンクを開く
「緊急対応のため再ログインしてください」「契約の確認が必要です」といった偽のメールが届くことがあります。お知らせはメールのリンクからではなく、ブックマークや検索から開いたヘテムルの公式サイトで確認し、ログインもそこから行います。
制作会社や専門家に相談したほうがよい場面
サイトヘルスとコントロールパネルを見て、修正版の番号になっていればひと安心です。次のような場合は、一人で抱えずに、サイトを作った制作会社やヘテムルのサポートに相談するのがおすすめです。
- users0XX・users3XXのサーバーで、プラン変更が必要になりそうなとき
- 長く更新していないテーマやプラグイン、自作のPHPプログラム（問い合わせフォームや予約の仕組みなど）を使っていて、新しいPHPで動くか分からないとき
- PHPを上げたらエラーが出て、原因が分からないとき
- 見覚えのないファイルや管理者ユーザーが増えている、サイトに知らないページやリンクが出るなど、書き換えられた気配があるとき
最後のケースは、PHPの切り替えより先に、サイトを止めて状態を保ったまま調べることが大切です。慌ててファイルを消すと、何が起きたかを確かめられなくなります。
よくある質問
Q. ヘテムルのサーバーは攻撃を受けたのですか？
A. ヘテムルは今回のメンテナンスを、PHPの修正版公開に先立つ「予防措置」と説明しています。10月22日15時50分時点で、ヘテムルが攻撃を受けたという発表はありません。
Q. 自分のサイトが502エラーで見られませんでした。何かすべきですか？
A. ヘテムルは12時18分の追記で、お客様のサイトも閲覧できる状況になったと発表しています。表示が戻っていれば、この記事の手順でPHPのバージョンと動作を確認してください。まだ表示されない場合は、ブラウザで再読み込みし、ヘテムルの障害情報に新しいお知らせが出ていないかを確かめたうえで、ヘテムルのサポートか制作会社に相談してください。
Q. メンテナンスはいつ終わりますか？
A. 12時18分の追記で、サイト表示やコントロールパネルなどは再開したと発表されました。phpMyAdminも13時20分に再開し、16時05分時点で止まっているのはおさいぽ！自動更新（復旧対応中）だけです。最新の状況はヘテムルの公式サイトと公式X（@heteml）で確認してください。
Q. WordPressとプラグインを最新にすれば大丈夫ですか？
A. いいえ。今回の欠陥はPHP本体にあるので、WordPressやプラグインの更新では直りません。ただし、新しいPHPで動かないトラブルを減らすために、PHPを上げる前に最新にしておくことは役に立ちます。
Q. 自分でPHPを更新する必要はありますか？
A. PHP本体の入れ替えはヘテムルが行います。利用者がするのは、サイトヘルスとコントロールパネルで今のバージョンを確かめ、8.1以前を選んでいる場合に8.2以上（できれば8.3）へ切り替えることです。今回の対策で、すべてのバージョンで一部の機能（session.upload_progress）が無効になっているので、動作の確認もあわせて行います。
Q. HTMLだけのサイトでも関係ありますか？
A. PHPを使っていないページそのものは、今回の欠陥の影響を受けにくいと考えられます。ただ、サーバー側でまとめて止めている場合は表示されないことがあります。同じサーバーにWordPressやフォームを置いていないかもあわせて確認してください。
この記事で参照した情報
いずれも2026年10月22日15時50分時点で確認したものです。ヘテムルのヘルプセンターは、記事を書いた朝の時点でメンテナンス中で開けなかったため、Internet Archiveに保存された写しで内容を確かめ、リンクは公式ページのURLを載せています。最新の情報は公式サイトでご確認ください。
- ヘテムル「【一部完了】【重要】PHPの脆弱性への予防措置に伴うメンテナンス実施のお知らせ」（10月22日12時18分・13時20分追記）
- ヘテムル公式サイト
- ヘテムル公式X「【重要】メンテナンスのお知らせ」（10月21日21時50分）
- ヘテムル公式X heteml FTP・hetemail停止の告知（10月21日22時）
- ヘテムル「PHPバージョンの変更方法について」
- ヘテムル「PHP8の利用方法を教えてください」
- ヘテムル「PHPのバージョン変更でサイトがエラーになりました。」
- ヘテムル「WordPressのバックアップ方法」
- ヘテムル「自動バックアップのデータ取得について」
- PHP公式 セキュリティリリース（10月21日）
- IPA「PHPのセキュリティリリース公開予定について」
- PHP公式 サポート中のバージョン
エックスサーバーの対応はエックスサーバーの管理画面停止の記事、他のレンタルサーバーの動きは10月21日のまとめ記事で紹介しています。
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
