KAGOYAのPHP脆弱性対応とは、2026年10月21日に修正版が公開されたPHPの重大な脆弱性2件（CVE-2026-109618・CVE-2026-109619）について、カゴヤ・ジャパンのレンタルサーバー（KAGOYA）を使っているサイト運営者が、サーバー会社の対応を確かめ、自分のサイトのPHPバージョンを整えることです。KAGOYAは10月21日のうちに公式のお知らせを出し、脆弱性の名前とCVE番号を明記したうえで、レンタルサーバープランのPHP 8.2〜8.5系を修正版へ順次更新する予定だと案内しています。10月22日10時35分の続報では、マネージド専用・共用・WordPress専用サーバープランの利用者に、当面の対策としてサイトの公開停止やアクセス制限を検討するよう呼びかけています。さらに10月22日14時15分からは、セキュリティ対策として、KAGOYA会員サイトや各種コントロールパネル、Webメール（Active!mail）の緊急メンテナンスが始まっています。

速報（2026年10月22日16時05分時点・当社調べ）

状況は変わることがあります。最新の情報は公式ページでご確認ください。

この記事は、2026年10月22日15時50分時点でKAGOYAの公式サイトとサポートサイトに掲載されている内容をもとにしています。（冒頭の結論と速報欄は、10月22日16時05分に公式のお知らせを見直して更新しています）この時点で、お知らせは10月22日10時35分の更新が最新で、修正版の適用が終わったという告知はまだ出ていません。状況は変わるため、最新の情報は公式ページで確認してください。脆弱性そのものの説明はPHPの重大な脆弱性（CVE-2026-109618/109619）の解説記事に、国内の各社の動きは2026年10月21日のPHP脆弱性まとめにまとめています。この記事では、KAGOYAの利用者が実際に手を動かす部分に絞って整理します。

KAGOYAが公式に発表していること（10月22日15時50分時点）

KAGOYAは、10月21日から【KAGOYA】PHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）に関する当社サービスへの影響についてを掲載しています。同じページに最初のお知らせと続報が並んでいるので、順に整理します。

最初のお知らせ：影響を調べていると案内

最初のお知らせでは、PHPの開発元から脆弱性が公表される予定であることを確認し、正式な情報と修正版を待ちながら影響を調べている、と書かれています。調査の対象として挙げられていたのは、レンタルサーバープラン、マネージド専用サーバープラン、共用サーバー（S12・S11・S・3G・旧共用サーバー）、WordPress専用サーバープランです。この時点では「詳細は公表されていない」として、影響の有無は示されていませんでした。

続報（10月21日18時20分更新）：8.2〜8.5系は順次更新

続報では、対応の方針が一部示されました。公式の表記をもとにまとめると次のとおりです。

調整中のプランについては、公開内容を確認したうえで影響の有無と方針を同じページで案内する、と書かれています。

続報（10月22日10時35分更新）：一部のプランに公開停止などの検討を呼びかけ

10月22日10時35分の更新では、レンタルサーバープラン（PHP 8.2系〜8.5系）について「修正版へのバージョンアップによる対応を調整しております」とされました。マネージド専用サーバープラン、共用サーバープラン、WordPress専用サーバープランは、恒久的な対応方針を引き続き調整中としたうえで、「暫定的なリスク低減策として、Webサイトの公開停止（メンテナンス画面への切り替え）、アクセス制限等をご検討ください」と書かれています。あわせて、現時点で今回の脆弱性を悪用した攻撃や情報漏えいなどの被害は確認されていない、としています。

修正版を適用したという告知はまだない

PHPの修正版（8.5.12、8.4.27、8.3.36、8.2.35）は日本時間の10月21日23時ごろに公開されました。ただ、10月22日16時05分時点でも、KAGOYAのお知らせ（最新は10時35分の更新）には「適用が終わった」「何時から作業する」といった案内はなく、レンタルサーバープランについても「対応を調整しております」という書き方にとどまっています。報道各社のまとめ（10月22日朝の時点）も、適用の告知はまだという状態を伝えていました。適用されたかどうかは、続報を待つか、後で説明する方法で実際のバージョン番号を見て確かめるのが確実です。

KAGOYA側でサーバーを止めるという案内はない

このお知らせには、KAGOYA側でサイトやメールを止めるといった案内はありません。10月22日14時15分から始まった管理画面などの緊急メンテナンスでも、契約中のサーバーやサービスは止めないと書かれています。レンタルサーバープランの利用者に何かの設定を求める文もありません。一方で、マネージド専用・共用・WordPress専用サーバープランの利用者には、10時35分の続報で、自分でサイトの公開停止やアクセス制限を検討するよう呼びかけています。共用のレンタルサーバーでは、PHP本体の更新はサーバー会社が行い、利用者が選べるのは「どの系列のPHPを使うか」だけです。KAGOYAも同じ仕組みなので、利用者がやることは、お知らせを追いながら自分のサイトの状態を確かめることが中心になります。

同じ時期に出ているKAGOYAのほかのお知らせ

PHPのお知らせのほかにも、管理画面や問い合わせ、申し込みに関わるお知らせが出ています。サポートに連絡する前に知っておくと、待ち時間に戸惑わずに済みます。

会員サイト・コントロールパネル・サポートサイトの緊急メンテナンス

10月22日付のActive!mail、KAGOYA会員サイト、および各種コントロールパネル メンテナンスのお知らせでは、セキュリティ対策として14時15分から緊急メンテナンスを行い、終了は未定と案内されています。対象はActive!mail（Webメール）、KAGOYA会員サイト、KAGOYA CLOUD VPSやKAGOYA FLEXなどの各種コントロールパネル、新規申し込みの画面です。メールサーバーは止まらないので、Outlookなどのメールソフトでの送受信は続けて使えます。契約中のサーバーやサービスも止まりません。続いて15時15分からは、サポートサイトも一時停止しています（終了は未定）。この記事で紹介しているサポートサイトのマニュアルは、再開するまで開けません。どちらも、不正アクセスや改ざんの被害は確認されていない中での予防的な措置とされています。

問い合わせが増えて回答に時間がかかっている

10月21日付のサポートセンターへのお問い合わせ状況についてでは、脆弱性の報道を受けて問い合わせが増え、電話がつながりにくく、メールの回答にも時間がかかっていると案内されています。あわせて「現時点で利用者に重大なセキュリティ上の事故や情報漏えいなどの被害は確認されていない」とも書かれています。

メール窓口のシステムの緊急メンテナンス

同じく10月21日付で出ていた「メール問合せ窓口の対応遅延について」のお知らせでは、KAGOYAが使っているメール対応システムで10月21日19時から緊急メンテナンスが行われ、緊急サポートを含むメールの問い合わせは回答が遅れる可能性があるとされていました。メンテナンスは10月22日早朝に終わる見込みとされていました。このお知らせは10月22日15時50分時点で公式サイトのお知らせ一覧から外れていて、終わったかどうかの案内は見当たりません。これは問い合わせ窓口の話で、利用者のサーバーやメールが止まるという案内ではありません。

Linuxの脆弱性で新規申し込みを一時停止（別件）

PHPとは別に、10月19日18時から、Linux（サーバーの土台になるソフト）の脆弱性CVE-2026-99999の影響を調べるため、レンタルサーバーやKAGOYA CLOUD VPSなどの新規申し込みを一時止めています（公式のお知らせ）。すでに使っているサービスは通常どおり使えると案内されています。後で触れる「新しいプランへの乗り換え」を考える場合は、この受付状況も確認が必要です。

KAGOYAのプランごとに使えるPHPのバージョン

KAGOYAは、いま申し込めるレンタルサーバー（ライト・ベーシック・ハイエンド）と、新規の申し込みを終えた古いプランとで、選べるPHPのバージョンが大きく違います。公式マニュアルのPHPバージョンの管理とサーバー情報をもとに、今回の件に関係するところを抜き出します。

レンタルサーバー（ライト・ベーシック・ハイエンド）の場合

今回の順次アップデートの対象になっているのがこのプランです。初期設定は8.5系か8.4系で、コントロールパネルから8.3系・8.2系・8.1系・7.4系にも切り替えられます。8.2系以上を使っていれば、KAGOYAの更新を待てばよい状態です。8.1系や7.4系を選んでいる場合は、公式の修正版がない系列なので、次の章の手順で8.2系以上へ切り替えることを考えます。

新規提供を終えた共用サーバー・マネージド専用サーバーの場合

公式マニュアルの表では、これらのプランで選べるPHPはいちばん新しくても8.1系です。PHPの開発元は8.1以前に修正版を出していないため、同じプランの中でバージョンを切り替えるだけでは修正版にたどり着けません。KAGOYAはこのプランの方針を「調整中」としているので、まずは同じお知らせページの続報を待ち、そのうえで後で説明する相談の段取りに進むのが現実的です。なお、10月22日10時35分の続報では、これらのプランの利用者に、当面の対策としてサイトの公開停止（メンテナンス画面への切り替え）やアクセス制限を検討するよう呼びかけています。

手順1｜コントロールパネルでPHPバージョンを確認する

ここからは、レンタルサーバー（ライト・ベーシック・ハイエンド）を例に、公式マニュアルに書かれているメニュー名どおりに進めます。古いプランでも、画面の名前はおおむね同じです。

コントロールパネルにログインする

KAGOYAのコントロールパネル（cp.kagoya.net）を開き、アカウント名とパスワードを入れてログインします。KAGOYAの会員サイト（契約や請求を見る画面）とは入り口が別なので、間違えないようにしてください。なお、10月22日14時15分からは各種コントロールパネルの緊急メンテナンスが行われていて、16時05分に外から開いたところ応答がありませんでした。再開の案内が出てから操作してください。

「サーバー情報」で今の状態を見る

公式マニュアルの表記で「コントロールパネル > Webサイト > サーバー情報」の画面を開くと、使っているサーバーの各種情報を確認できます。ここで、どのプランのサーバーか、PHPがどの系列かを控えておきます。

「PHPバージョン変更」の画面で現在のバージョンを見る

上部メニューの「Webサイト」から「PHP」を選び、「PHPバージョン変更」をクリックします（公式マニュアルの表記は「コントロールパネル > システム > Webサイト > PHP > PHPバージョン変更」）。画面に今のバージョンが表示され、プルダウンに切り替えられるバージョンが並びます。この画面を開いただけでは何も変わらないので、確認だけなら安心して開いて大丈夫です。

手順2｜WordPressのサイトヘルスで実際の番号を見る

コントロールパネルでは「8.3系」のように系列で表示されることがあります。修正版が入ったかどうかは、8.3.36のような細かい番号まで見ないと分かりません。WordPressのサイトなら、管理画面から確認できます。

「ツール」→「サイトヘルス」→「情報」を開く

WordPressの管理画面の左メニューから「ツール」→「サイトヘルス」を開き、上部の「情報」タブを選びます。項目の中から「サーバー」を開くと、「PHPバージョン」の欄に番号が表示されます。

修正済みかどうかの見分け方

表示された番号を次の表と見比べます。系列ごとに、この番号以上なら今回の修正が入っています。

8.2系以上を使っていて番号がまだ古い場合は、KAGOYAの作業を待っている段階です。数時間〜1日おいて、もう一度見てみてください。

手順3｜PHP 8.1以前を使っている場合の進め方

8.1系や7.4系を使っている場合は、プランによって取れる道が変わります。あわてて切り替えるより、先にバックアップを取ってから進めてください。

レンタルサーバーで8.1系・7.4系を選んでいる場合

同じ「PHPバージョン変更」の画面から8.2系以上に切り替えられます。今回の更新を待つ意味でも、長く使う意味でも、8.3系以上を選ぶのがおすすめです。ただし、古いテーマやプラグインは新しいPHPで動かないことがあるので、次の手順4でバックアップを取ってから切り替えます。PHPのバージョンを上げるときの基本はPHPバージョンの基礎の記事でも説明しています。

共用サーバー・マネージド専用サーバーを使っている場合

マニュアル上は8.2系以上を選べないため、利用者の操作だけでは解決できません。まずKAGOYAのお知らせページで、このプランの方針が出るのを待ちます。それまでの間は、KAGOYAが呼びかけているとおり、サイトの公開停止やアクセス制限を検討します。どのページを止めるか、問い合わせフォームをどうするかは、制作会社や保守会社と相談して決めると安心です。続報が出ないまま日がたつ場合は、サポートに「今のプランで修正の予定はあるか」「今の契約のまま新しいレンタルサーバーへ移る方法はあるか」を問い合わせるとよいでしょう。新しいプランへの乗り換えは、サイトの引っ越し作業になるため、制作会社や保守会社とも相談して日程を決めるのが安全です。

WordPress専用サーバーを使っている場合

WordPress専用サーバーは、PHPバージョン管理のマニュアルに載っておらず、今回のお知らせでも「調整中」です。10時35分の続報では、このプランの利用者にもサイトの公開停止やアクセス制限の検討を呼びかけています。サイトヘルスで今の番号を控え、KAGOYAの続報を待ってください。分からない点はサポートに問い合わせるのが確実です。

手順4｜切り替える前にバックアップを取る

PHPのバージョンを変えると、まれにサイトが表示されなくなることがあります。元に戻せるように、切り替えの前に必ず控えを取っておきます。

KAGOYAのバックアップサービスを使う

KAGOYAには、契約中のサーバーとは別のサーバーにデータを保存するバックアップサービスがあります。無料の「Lite」では、ファイルとデータベースのバックアップをそれぞれ1つずつ（プランによってはどちらか1つ）、1世代・10GBまで使えます。はじめて使う場合は「コントロールパネル > バックアップサービス > セットアップ」で準備し、「バックアップサービス」→「スケジュール」で登録します。登録したスケジュールは「今すぐバックアップ」で手動でも実行できます。WordPress専用サーバーでは、ファイルとデータベースの2つのスケジュールが最初から登録されています。

手元にも控えを残しておく

バックアップサービスに加えて、FTPソフトでサイトのファイル一式を、phpMyAdminやWordPressのバックアップ用プラグインでデータベースをパソコンに保存しておくと、より安心です。Liteは1世代しか残らないので、切り替え直前に取った控えがいちばん大切な1つになります。

手順5｜PHPバージョンを切り替える

バックアップが取れたら、公式マニュアルのPHPバージョン変更の手順で切り替えます。

「変更するバージョン」を選んで「次へ」

上部メニューの「Webサイト」→「PHP」→「PHPバージョン変更」を開き、「変更するバージョン」のプルダウンから使いたいバージョンを選んで「次へ」をクリックします。

確認画面でチェックを入れて「バージョン変更」

確認画面の注意事項を読み、確認のチェックを入れて「バージョン変更」をクリックします。少し時間がかかることがあるので、画面が最後まで表示されるのを待ちます。「バージョンが変更されました」と出れば完了です。

切り替えのときにWebサーバーが5秒ほど止まる

公式マニュアルには、バージョン変更のときにWebサーバーが5秒ほど止まると書かれています。アクセスが少ない時間帯に作業すると安心です。コントロールパネルで変えたPHPの設定（PHP設定変更の内容）は引き継がれます。

手順6｜切り替えた後に確認すること

表のページと管理画面が開くか

トップページ、よく見られるページ、お問い合わせフォーム、WordPressの管理画面を順に開きます。真っ白な画面や「重大なエラー」の表示が出ないかを見ます。フォームは実際にテスト送信して、メールが届くかまで確かめると確実です。

エラーログに新しいエラーが出ていないか

KAGOYAでは、上部メニューの「Webサイト」→「ログサービス」→「エラーログ」から、過去5日間の最新100件のエラーを見られます（公式マニュアル）。切り替えの直後からエラーが急に増えていないかを確認し、必要なら保存しておきます。

うまく動かないときは元のバージョンに戻す

表示が崩れたり、エラーが出たりしたときは、同じ「PHPバージョン変更」の画面で元のバージョンに戻せます。そのうえで、テーマやプラグインを更新するか、制作会社に相談してから改めて切り替えます。8.1以前に戻した場合は修正版がない状態に戻るので、長く放置しないことが大切です。

サポートや制作会社に相談したほうがいい場面

次のような場合は、ひとりで抱えず早めに相談してください。KAGOYAのサポートは今、問い合わせが集中しているので、まずはサポートサイトのマニュアルとお知らせを確認し、それでも分からない点をお問い合わせ窓口に送ると、やり取りが短く済みます。

• 共用サーバーやマネージド専用サーバーで、8.2系以上を選べない
• PHPを切り替えたらサイトが表示されなくなり、元に戻しても直らない
• 自分のサイトがどのプランで動いているのか、コントロールパネルに入れず確かめられない
• サイトの制作会社がすでに連絡のつかない状態で、テーマやプラグインの中身が分からない
• エラーログに見覚えのないエラーが急に増えている

なお、WordPress本体やプラグインを最新にしても、今回の脆弱性はふさがりません。弱点がPHPそのものにあるためです。とはいえ、更新しておくとPHPの切り替えでつまずきにくくなるので、あわせて進めておく価値はあります。

よくある質問

Q. KAGOYAはPHPの脆弱性を公式に認めていますか？

A. はい。10月21日付のお知らせで、CVE-2026-109618とCVE-2026-109619の番号を挙げて、当社サービスへの影響として案内しています。

Q. 修正版のPHPはもう入っていますか？

A. 10月22日16時05分時点で、適用が終わったという告知は見つかりませんでした。レンタルサーバープランの8.2〜8.5系は、10時35分の続報で「修正版へのバージョンアップによる対応を調整しております」とされています。実際の番号はWordPressのサイトヘルスで確かめられます。

Q. 利用者が今すぐやらなければならない操作はありますか？

A. レンタルサーバープランの利用者には、操作を求める案内は出ていません。マネージド専用・共用・WordPress専用サーバープランの利用者には、10時35分の続報で、サイトの公開停止やアクセス制限を検討するよう呼びかけています。どのプランでもやっておくとよいのは、自分のサイトのPHPバージョンを確認し、8.1以前ならバックアップを取って切り替えを計画することです。

Q. 共用サーバーS12でPHP 8.1を使っています。どうすればいいですか？

A. 公式マニュアル上、このプランで選べるのは8.1系までです。KAGOYAは方針を調整中とし、当面はサイトの公開停止やアクセス制限を検討するよう呼びかけています。制作会社と相談しながら当面の対策を決めたうえで、お知らせの続報を待ち、出ない場合はサポートに修正の予定や移行の方法を問い合わせてください。

Q. WordPressとプラグインを最新にすれば防げますか？

A. いいえ。弱点はPHP本体にあるため、WordPressやプラグインの更新では防げません。PHPを修正版にする必要があります。

Q. 続報はどこで確認できますか？

A. KAGOYAのお知らせページの同じ記事に追記されると案内されています。お知らせ一覧もあわせて見ておくと見落としがありません。

参考にした情報

• KAGOYA｜PHPの脆弱性（CVE-2026-109618 / CVE-2026-109619）に関する当社サービスへの影響について（2026年10月22日10時35分更新）
• KAGOYA｜Active!mail、KAGOYA会員サイト、および各種コントロールパネル メンテナンスのお知らせ（2026年10月22日14時15分〜）
• KAGOYA｜サポートサイト メンテナンスのお知らせ（2026年10月22日15時15分〜）
• KAGOYA｜サポートセンターへのお問い合わせ状況について（2026年10月21日）
• KAGOYA｜メール問合せ窓口の対応遅延について（2026年10月21日。15時50分時点で掲載終了）
• KAGOYA｜Linuxカーネルの脆弱性（CVE-2026-99999）に関する新規お申し込み受付停止のお知らせ（2026年10月19日）
• KAGOYAサポート｜PHPバージョンの管理
• KAGOYAサポート｜PHPバージョンの変更
• KAGOYAサポート｜サーバー情報
• KAGOYAサポート｜バックアップサービス
• KAGOYAサポート｜エラーログ
• PHP公式｜2026年10月21日のセキュリティリリース
• IPA｜【事前準備のお願い】PHPのセキュリティリリース公開予定について
• Webセキュリティ診断センター｜レンタルサーバーのPHP脆弱性対応状況（10月22日更新）

THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。