2026年10月21日に修正版が公開されたPHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619、通称「php2shell」）について、ホームページ作成サービスの「ジンドゥー（Jimdo）」でサイトを運営している方が気になるのは、「自分のサイトは大丈夫か」「何か作業が必要か」の2点だと思います。結論から書くと、ジンドゥーは10月22日付で公式のお知らせを出しており、修正版を対象システムに適用したこと、不正アクセスやお客様情報の流出は現時点で確認されていないこと、利用者がPHPの更新などをする必要はないことを説明しています。
速報（2026年10月22日16時00分時点・当社調べ）
| PHPの脆弱性への対応 | 対応中（10月22日のお知らせで、修正版の適用と安全性の確認を進めていると発表。完了の発表はまだありません） |
| 管理画面・ログイン | 入れる（ログイン画面が通常どおり開くことを確認。ログインはしていません） |
| サイト・サービスの表示 | 通常どおり（Jimdo Statusは「All Systems Operational」、10月21日・22日とも障害の報告なし） |
| 確認した公式ページ | ジンドゥー公式のお知らせ、Jimdo Status |
状況は変わることがあります。最新の情報は公式ページでご確認ください。
この記事は、2026年10月22日16時00分時点のジンドゥー公式のお知らせ、ジンドゥーのサーバー状態確認ページ、ジンドゥーのサポートサイトをもとにまとめています。PHPの脆弱性そのものの説明はPHPの重大な脆弱性（CVE-2026-109618/109619）の解説記事に、国内各社の動きは10月21日に何が起きたかのまとめ記事にまとめています。ここでは、ジンドゥーの利用者が「いま何を確認すればよいか」に絞ります。
ジンドゥーが公式に発表していること（10月22日時点）
ジンドゥーは、公式サイトの「お知らせ」と「メンテナンス・障害情報」の両方に、「【重要】PHPのセキュリティ上の問題への対応について」という題のお知らせを10月22日付で掲載しました。内容を順に見ていきます。
公表された当日から調査と緊急の対策をした
お知らせによると、ジンドゥーはPHP側から問題が公表された10月21日に調査を始め、正式な修正版が出るまでの間も、攻撃を受ける危険を下げるための緊急対策を行ったとしています。具体的にどんな対策をしたかまでは書かれていません。
修正版を対象のシステムに適用し、安全性の確認を続けている
PHPの開発元が公開した修正版（8.5.12／8.4.27／8.3.36／8.2.35）についても、「対象システムへの適用を行い、安全性の確認を進めています」と書かれています。どのシステムが対象で、どのバージョンに更新したかは公表されていません。また、10月21日から追加の緊急セキュリティ対策を続けていて、今後も対策と確認を続けるとしています。
不正アクセスや情報の流出は「確認されていない」
お客様への影響については、「現時点の調査において、今回の問題を悪用した不正アクセスや、お客様情報の流出は確認されていません」とあります。あくまで「現時点の調査では」という書き方なので、続報が出たときは内容が変わる可能性があります。ときどき公式のお知らせを見に行くのが安心です。
利用者がPHPを更新する必要はない
お知らせの最後には、「今回の問題について、お客様ご自身でPHPの更新などを行っていただく必要はありません」と明記されています。レンタルサーバーでWordPressを動かしている場合とは違い、ジンドゥーを使っている方がPHPの設定を探して切り替える作業はありません。
10月21日〜22日にサービスは止まったのか
お知らせには、作業は「お客様のホームページの閲覧や編集などへの影響をできる限り抑えながら、慎重に実施しています」とあり、サービスを止めたという記載はありません。英語のサーバー状態確認ページ（Jimdo Status）も、10月22日16時00分の確認時点で「All Systems Operational（すべて正常に動作中）」の表示でした。10月21日〜22日の障害やメンテナンスの記録も、この時点では見当たりませんでした。
ジンドゥーとPHPの関係を整理する
「ジンドゥーはPHPで動いているのか」という疑問を持つ方もいると思います。公式の情報で分かる範囲を整理します。
運営の仕組みはサービス側がまとめて管理している
ジンドゥーは、サーバーの用意や更新をサービス側が引き受ける「クラウド型」のホームページ作成サービスです。お知らせで「対象システムへの適用」と書かれていることから、ジンドゥーの仕組みの一部にPHPが使われていたと読み取れますが、どの部分なのかは公表されていません。いずれにしても、更新作業はジンドゥー側の仕事です。
クリエイターでは利用者がPHPファイルを置けない
ジンドゥークリエイターのサポートサイトには、「安全性などの理由から、サーバーへの PHP （ASP / PERL）ファイルのアップロードは行えません」と書かれています（PHP ファイルのアップロード）。WordPressのように、利用者がPHPで動くテーマやプラグインを入れる仕組みではないので、「自分のサイトのPHPを更新し忘れていた」ということは起こりません。
日本での提供元はKDDIウェブコミュニケーションズ
ジンドゥーはドイツで生まれ、2007年にサービスを始めたホームページ作成サービスで、日本では株式会社KDDIウェブコミュニケーションズが提供しています。10月22日時点のジンドゥー公式サイトの特定商取引法に基づく表記でも、販売業者は同社と記載されています。なお、同社の会社サイトは10月22日9時台の確認時点で「メンテナンス中」の画面になっていて、16時00分にあらためて確認したときも同じ画面のままでした。画面に書かれた期間は「2026年10月21日(水) 現在 〜 2026年10月22日(木) 終了時刻未定」のままです。理由は書かれておらず、ジンドゥーのサービス自体が止まっているという意味ではありません。
サイト運営者が管理画面で確認しておきたいこと
PHPについて利用者がやることはありませんが、話題になったこの機会に、アカウントまわりの守りを見直しておくと安心です。メニュー名はジンドゥーのサポートサイトの表記に合わせています。
1. 2要素認証を有効にする
ジンドゥーは2026年6月22日に、ログイン時の確認を2段階にする機能（2要素認証）を追加しました。パスワードに加えて、登録メールアドレスに届く6桁の認証コードを入力する仕組みで、パスワードが他人に知られても勝手にログインされにくくなります。設定は、ジンドゥーアカウントにログインし、画面右上のアカウントアイコンから［アカウント設定］を開き、プロフィール画面の［2要素認証］で［2要素認証を有効にする］をクリックします。最後に表示されるバックアップコードは、メールとは別の場所に保存してください（クリエイターの手順／AI ビルダーの手順）。
2. パスワードを使い回していないか見直す
ほかのサービスと同じパスワードを使っている場合は、この機会に変えておきます。変更はアカウントアイコンの「アカウント設定」から、プロフィールタブ内の「パスワード変更」で行えます。ジンドゥーのパスワードは8文字以上で、英小文字・英大文字・数字・記号をすべて含める必要があります（ジンドゥーへのログインパスワードを変更する）。
3. 複数人で使っているアカウントの管理
ジンドゥーには、スタッフごとに別のログインを発行する仕組みはありません。複数人で管理する場合、サポートサイトでは個人のアカウントを共有するのではなく、共有用のジンドゥーアカウントを新しく作り、そこへホームページを移す方法を案内しています。担当者が辞めた・外注先との契約が終わったなど、管理するメンバーが変わったときはパスワードを変えるよう書かれています（ホームページを複数人で共同管理するためには）。なお、ホームページの移動ができるのはクリエイターだけで、AI ビルダーではできません。
4. 決済サービスなど外部との連携を確認する
クリエイターのショップでStripe（ストライプ）やPayPalを使っている場合、それぞれのサービスのアカウントもお店の大事な鍵です。Stripeとの連携は、クリエイターの編集画面の管理メニューから「ショップ ＞ 基本設定 ＞ 支払い方法」で確認できます。ジンドゥーのサポートサイトでも、Stripe側で2段階認証（SMSまたは認証アプリ）を設定するよう案内しています（ショップの支払い方法に Stripe を利用する）。使っていない決済方法や、Googleアナリティクスなどの外部サービスとの連携が残っていれば、整理しておくとよいでしょう。
5. ショップの注文に不自然なものがないか
ネットショップを開いている場合は、管理メニューの「ショップ ＞ 注文リスト」で、見覚えのない注文や支払い状況のおかしな注文がないかを確かめます（注文管理ガイド）。公式の発表では不正アクセスは確認されていないので、不安をあおる必要はありませんが、ふだんの見回りとして一度見ておくと安心です。
6. ブログのコメント・ゲストブックの確認
PHPの件とは別の話ですが、ジンドゥーは2026年7月8日に、クリエイターのブログコメントやゲストブックへの不適切な投稿について注意を呼びかけています。放置すると利用規約に触れ、一時的にホームページがブロックされる場合があるとしています。コメントを使っている場合は、対象のコメント欄やゲストブックで「内容管理」を「はい」にすると、承認したコメントだけが表示されるようになります（公式のお知らせ）。
7. ジンドゥーを名乗る不審なメールに注意する
大きなニュースのあとは、それに便乗した「セキュリティ対応のためログインしてください」といった偽メールが出回りやすくなります。メールのリンクからではなく、ブックマークや公式サイトからログインする習慣をつけておくと安全です。ジンドゥーの今回のお知らせでは、利用者に作業をお願いしていません。
お客様の情報やカード情報はどうなるのか
ネットショップや予約・問い合わせフォームを運営していると、「お客様の情報は大丈夫か」と聞かれることもあると思います。公式に書かれていることだけで整理します。
公式発表では流出は確認されていない
先ほどのとおり、ジンドゥーは10月22日のお知らせで、今回の問題を悪用した不正アクセスやお客様情報の流出は「現時点の調査において」確認されていないとしています。ここでいう「お客様」はジンドゥーの利用者のことで、ショップの購入者の情報について個別に書かれているわけではありません。
カード決済そのものは外部の決済サービスが処理している
クリエイターのサポートサイトには、「Jimdo ショップ自体には決済機能がない」と書かれています。クレジットカードでの支払いは、PayPalやStripeといった外部の決済サービスを通じて処理される仕組みです（ショップで利用できる支払い方法）。そのため、カード番号の扱いについては、各決済サービスの案内もあわせて確認するのが確実です。
お客様に聞かれたときの答え方の例
お客様から問い合わせがあったときは、分かっていることだけを、出典を添えて伝えるのがいちばん誠実です。たとえば次のような書き方ができます。
当店のホームページは「ジンドゥー」というサービスで運営しています。ジンドゥーは10月22日に、PHPの問題への対応として修正版の適用を行ったこと、現時点の調査で不正アクセスやお客様情報の流出は確認されていないことを公表しています。また、クレジットカードでのお支払いは外部の決済サービスで処理されています。新しい情報が出た場合は、あらためてお知らせします。
「絶対に安全です」と言い切ったり、公式が出していない内容を付け足したりするのは避けます。あとで状況が変わったときに、説明を訂正しなければならなくなるためです。
PHPとは別の話：10月のWebメールの不具合
2026年10月には、PHPの件とは別に、ジンドゥーのWebメール（ブラウザでメールを読む機能）にログインできない不具合がありました。混同しないよう、分けて書いておきます。
10月12日〜13日：Webメールにログインできない不具合（復旧済み）
ジンドゥーのお知らせによると、10月12日13時ごろから、ジンドゥークリエイターのWebメールにログインできない状態になり、10月13日2時33分に完全に復旧しました。メールサービスの提供元であるRackspace社が対応したもので、その間もOutlookやスマートフォンのメールアプリなどからは送受信できたとされています。不正アクセスや情報流出についての記載はなく、PHPの脆弱性との関係も示されていません。英語のサーバー状態確認ページには、10月14日にも短時間のWebメールの不具合が記録されています（こちらも復旧済み）。
サポートに連絡したほうがよいとき
次のようなことがあれば、自分で判断せずにジンドゥーのサポートへ連絡してください。
連絡したほうがよい状況
- 覚えのないページや記事、リンクが追加されている
- ログインできない、または身に覚えのない認証コードのメールが届く
- ショップに不自然な注文が続けて入っている
- ホームページが表示されない、編集画面が開けない状態が続く
- お客様から「おかしなページに飛ばされた」と連絡があった
問い合わせの方法
ジンドゥーのサポートはメールのみで、電話窓口はありません。受付は平日の10時〜18時です。クリエイターの有料プランは、編集画面の「管理メニュー ＞ サポート」から［お問い合わせ］ボタンで専用フォームを開きます。AI ビルダーは、編集画面右下の「お困りですか？」から「メール」を選ぶか、ダッシュボードのコンパニオンチャットから問い合わせができます。クリエイターの無料プランや、ログインできない場合の連絡先はジンドゥーのお問い合わせページに載っています（AI ビルダーのサポートへのお問い合わせ）。いつ、どのページで、何が起きたかを具体的に書き、画面のスクリーンショットを添えると話が早く進みます。AI ビルダーのサポートページには、問い合わせが増えていて返信に時間がかかっているとの案内も出ています。
よくある質問
Q. ジンドゥーのサイトでPHPのバージョンを確認・変更する必要はありますか？
A. ありません。ジンドゥーは公式のお知らせで、利用者がPHPの更新などをする必要はないと明記しています。
Q. 10月21日〜22日にジンドゥーは止まっていましたか？
A. 公式のお知らせにサービスを止めたという記載はなく、サーバー状態確認ページにも10月21日〜22日の障害やメンテナンスの記録は見当たりませんでした（10月22日16時00分時点）。表示がおかしいと感じたら、まずサーバー状態確認ページと公式のお知らせを確認してください。
Q. ジンドゥーとは別に、WordPressのサイトも持っています。
A. レンタルサーバーで動かしているWordPressのサイトは、ジンドゥーとは事情が違います。サーバー会社の告知を確認し、PHPのバージョンが修正版になっているかを確かめてください。WordPressやプラグインを更新しても、今回の問題は直りません。詳しくはPHPの脆弱性の解説記事をご覧ください。
Q. 最新の情報はどこで確認すればよいですか？
A. ジンドゥー公式サイトのメンテナンス・障害情報と、英語のサーバー状態確認ページがいちばん確実です。SNSやまとめ記事には憶測が混ざることがあるので、お客様や社内への説明には公式の発表を使ってください。
参考にした公式ページ
- ジンドゥー「【重要】PHPのセキュリティ上の問題への対応について」（2026年10月22日）
- Jimdo Status（サーバー状態確認ページ、2026年10月22日16時00分確認）
- ジンドゥー「【復旧済み】ジンドゥーWebメールにログインができない」（2026年10月12日）
- ジンドゥー「【新機能】ジンドゥーアカウントのセキュリティがさらに進化します」
- ジンドゥークリエイターサポート「PHP ファイルのアップロード」
- ジンドゥークリエイターサポート「2要素認証を設定する方法」
- ジンドゥークリエイターサポート「ショップで利用できる支払い方法」
- ジンドゥー AI ビルダーサポート「ジンドゥー AI ビルダーのサポートへのお問い合わせ」
- ジンドゥー「特定商取引法に基づく表記」
- PHP公式 セキュリティアドバイザリ（2026年10月21日）
- IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
