ロリポップ！のPHP脆弱性対応とは、2026年10月21日に修正版が公開されたPHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619、通称「php2shell」）に対して、GMOペパボ株式会社のレンタルサーバー「ロリポップ！」がどう動いていて、利用者が何をすればよいか、という話です。結論から言うと、2026年10月22日8時30分時点で、ロリポップ！は修正版の公開前から予防のための緊急メンテナンスを続けており、公式サイトとユーザー専用ページ（契約者用の管理画面）は止まったままです。10月22日未明には「一部サーバーで運営されているサイトを一時的に停止する」と公式Xで告知しました。一方で、お客様のサーバーに修正版PHPを適用し終えたという告知は、まだ確認できていません。

この記事は、2026年10月22日8時30分時点のロリポップ！公式サイトの緊急メンテナンス画面、ロリポップ！公式X（@lolipopjp）、ロリポップ！ヘルプセンター、PHP公式のセキュリティアドバイザリをもとにしています。状況は時間単位で変わっているため、最新の情報は必ず公式の発表でご確認ください。脆弱性そのものの説明は、PHPの重大な脆弱性（CVE-2026-109618/109619）の解説記事にまとめています。この記事では、ロリポップ！でWordPressなどのサイトを運営している方が「いま何が起きていて、再開後に何をすればよいか」に絞って整理します。

ロリポップ！が公表していること（10月22日8時30分時点）

ロリポップ！の公式サイトは、10月22日8時30分時点で「緊急メンテナンス中」の画面になっていて、通常のお知らせページやマニュアルのページも開けません。そのため、ここではメンテナンス画面に書かれている内容と、公式Xの投稿をもとに時系列で整理します。

10月21日｜修正版の公開前に予防のメンテナンスを開始

公式サイトのメンテナンス画面には、「PHPの重大な脆弱性に関するセキュリティリリースが、2026年10月21日（水）23:00（日本時間）に公開されることが予告されました」「お客様の安全を最優先とし、修正版の公開に先立って予防措置としてメンテナンスを実施いたしております」と書かれています。実施日時は「2026年10月21日（水）※お知らせ掲載時点から順次」です。あわせて、IPA（情報処理推進機構）の注意喚起と、PHP公式サイトの告知へのリンクが置かれています。公式サイトには「【重要】PHPの脆弱性への予防措置に伴うメンテナンス実施のお知らせ」という題のお知らせも掲載されましたが、8時30分時点ではメンテナンス画面に切り替わっていて、本文を開けません。

10月21日21時43分｜公式Xで停止範囲を告知

公式Xは10月21日21時43分の投稿で、予防措置として「サービスサイト」「ユーザー専用ページ」「おさいぽ！の自動更新」「MCP・API」を順次停止していると告知しました。この投稿には「安全な運用に支障がある場合、予告なくお客様のサイトを停止（制限）する場合がございます」という注記も付いています。22時3分の続報では、「ロリポップ！FTP」と「旧Webメーラー」も、すでにメンテナンスのため停止していると補足されました。

10月22日3時5分｜一部サーバーのサイトを一時停止

修正版の公開から約4時間後の10月22日3時5分の投稿では、「修正版の適用が完了するまでの間にも攻撃を受けるおそれがあることから、お客様のサイトとデータを守ることを優先し、一部サーバーで運営されているサイトを一時的に停止いたします」と告知されました。対応状況は引き続き公式Xで知らせるとしています。どのサーバーが対象か、いつ再開するかは、8時30分時点で示されていません。

止まっているもの・動いているもの

メンテナンス画面の記載を表にまとめます。ロリポップ！レンタルサーバーについては、「引き続き利用できるもの」の一覧は画面に書かれていません。お客様のサイトについては、上の10月22日3時5分の告知のとおり、一部サーバーで止められています。

修正版PHPの適用については、まだ告知がない

10月22日8時30分時点で、ロリポップ！がお客様のサーバーに修正版PHP（8.5.12／8.4.27／8.3.36／8.2.35）を適用し終えたという告知は確認できませんでした。利用者に設定変更などの作業をお願いする告知も出ていません。3時5分の投稿に「修正版の適用が完了するまでの間」とあることから、適用の作業を進めている段階だと読み取れますが、どのバージョンにいつ適用されるかは公表されていません。ロリポップ！は過去にも、PHP 8.2〜8.4の細かい修正（パッチ）を自社で更新し、「PHP8.4のパッチバージョン更新実施のお知らせ」のような形で告知してきました。今回も、完了したら公式から知らせが出ると考えて、それを待つのが基本です。

今回の脆弱性でロリポップ！利用者が押さえておくこと

ロリポップ！のような共用のレンタルサーバーでは、PHP本体の更新はサーバー会社が行います。利用者ができるのは「どのバージョンのPHPを使うか」を選ぶことと、自分のサイトが今どのバージョンで動いているかを確かめることです。いまはユーザー専用ページが止まっているので、実際の確認と切り替えは再開後になります。

修正版と、修正が出ないバージョン

PHP公式は10月21日、修正版として8.5.12、8.4.27、8.3.36、8.2.35を公開しました。8.1以前はPHPの開発チームからの更新の対象外です。ロリポップ！が8.1以前に独自の修正を当てるかどうかは、8時30分時点で公表されていません。そのため、8.1以前を使っているサイトは、修正を受けられない前提で8.2以上への切り替えを考えます。

WordPressやプラグインの更新では直らない

今回の弱点はWordPressではなく、その土台であるPHP本体にあります。WordPress本体・テーマ・プラグインを最新にしても、この脆弱性はふさがりません。それらの更新は別の理由で大切ですが、「WordPressを更新したから今回の件は済んだ」とは考えないでください。

設定でしのぐ方法は代わりにならない

PHP公式は、更新できない場合の一時しのぎとして、PHPの設定（メモリの上限や、アップロードの進み具合を記録する機能の停止など）を挙げていますが、同時に「安全にはならない」と明記しています。公式の説明では、こうした設定はサーバー側の設定ファイルで行う必要があるものも含まれていて、共用サーバーの利用者が変えられる範囲でどこまで効くかははっきりしません。ロリポップ！の利用者は、設定での回避を考えるより、サーバー側の更新を待ってバージョンを確かめる方が確実です。

メンテナンス中にできること・できないこと

いまは管理画面に入れないため、利用者が手を動かせることは限られています。慌てて何かをするより、再開後にすぐ動ける準備をしておく方が役に立ちます。

自分のサイトが表示されているかを確かめる

まず、自分のサイトをブラウザで開いてみます。普段どおり表示されていれば、少なくとも3時5分の告知で止められた「一部サーバー」には入っていない可能性が高いです。表示されない場合は、自分のサイトの不具合ではなく、ロリポップ！による一時停止の可能性があります。どちらの場合も、自分でファイルを消したり設定をいじったりせず、公式Xの続報を待ちます。社内やお客様から問い合わせがあれば、「サーバー会社が予防のために一時的に止めている」と、公式の投稿を添えて伝えると混乱が少なくて済みます。

WordPressの管理画面に入れるなら、サイトヘルスで番号を控える

サイトが表示されていて、WordPressの管理画面にもログインできるなら、「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開き、「PHPバージョン」の行を見ます。ここには「8.3.36」のような細かい番号まで表示されます。これはそのWordPressが実際に動いているPHPの番号です。今の番号を控えておくと、再開後に修正版へ変わったかどうかを比べられます。複数のWordPressを運営している場合は、サイトごとに見ます。

ユーザー専用ページの再開を待つ

PHPのバージョンを切り替える画面は、ユーザー専用ページの中にあります。8.1以前を使っていると分かっても、いまは切り替えられません。再開の知らせは公式Xで出る見込みなので、通知をオンにしておくと気づきやすくなります。ヘルプセンター（support.lolipop.jp）は8時30分時点で開けるので、手順の予習にはこちらが使えます。

再開後、ユーザー専用ページでPHPのバージョンを確認・変更する

ここからは、ユーザー専用ページが再開したあとの手順です。ロリポップ！のヘルプセンターの記事「PHPのバージョン変更方法を教えてください」と「WordPressのサイトヘルスで『Authorizationヘッダーがありません』と表示されます」に書かれている画面の名前に沿って説明します。

ステップ1｜ユーザー専用ページにログインする

ロリポップ！の公式サイトにブックマークしているURL、または公式サイト上部の「ユーザー専用ページ」からログインします。再開直後は、「メンテナンスが終わったので再ログインを」といった便乗の偽メールが出回りやすい時期です。メールのリンクからではなく、いつも使っている入口から入ってください。

ステップ2｜「サーバーの管理・設定」→「PHP設定」を開く

ログインしたら、メニューの「サーバーの管理・設定」から「PHP設定」を開きます。ドメインごとに、今使っているPHPのバージョンが表示されます。ここで分かるのは「8.3」「8.4」といった系統と、「（モジュール版）」が付いているかどうかです。ドメインやサブドメインが複数あるなら、すべての行を見ます。

ステップ3｜細かい番号はサイトヘルスで確かめる

今回大事なのは「8.3.36以上かどうか」のような細かい番号です。WordPressなら、先ほどと同じく「ツール」→「サイトヘルス」→「情報」→「サーバー」の「PHPバージョン」を見ます。WordPress以外のサイトでは、制作会社に確認してもらうのが確実です。番号が修正版より小さいままなら、サーバー側の更新がまだ反映されていないので、公式の告知を確認し、時間を置いてもう一度見ます。

ステップ4｜8.1以前なら、バージョンを選んで「変更」を押す

8.1以前を使っていた場合は、次の章のバックアップを済ませてから切り替えます。「PHP設定」の画面で対象ドメインのPHPバージョンを選び、「変更」をクリックします。ヘルプセンターによると、設定の反映には5〜10分ほどかかります。反映を待たずに表示を確かめると、古いバージョンのままに見えることがあるので、少し時間を置いてから確認します。

「モジュール版」と「CGI版」はどちらを選ぶか

ロリポップ！の「PHP設定」では、同じバージョンでも「（モジュール版）」が付いたものと付かないもの（CGI版）が選べる場合があります。どちらもPHPの動かし方の違いで、ヘルプセンターではWordPressの「サイトヘルス」で出る警告の解消にモジュール版を勧めています。一方で、モジュール版ではユーザー専用ページからphp.ini（PHPの細かい設定）を変更できない、CGI版とは一部の動作が異なる、という注意も書かれています。今回の目的はバージョンを上げることなので、迷ったら今と同じ方式のまま、バージョンの数字だけを上げるのが無難です。

どのバージョンを選ぶか

8.2は2026年12月末でセキュリティ修正が終わるため、これから切り替えるなら8.3以上をおすすめします。ただし、古いテーマやプラグインは新しいPHPで動かないことがあるので、いきなり最新にせず、8.3か8.4で動作を確かめてから上げていくのが安全です。なお、ヘルプセンターの「PHPバージョン変更について気をつけることはありますか」によると、7.1以下は今使っていれば引き続き使えますが、新しく選び直すことはできません。一度上げたら7.1以下には戻せない点も覚えておきます。PHPのバージョンの考え方は、PHPのバージョンの基礎を解説した記事も参考にしてください。

切り替える前にバックアップを取る

PHPを切り替えると、まれに画面が真っ白になったり、500エラー（サーバー内部のエラー）が出たりします。戻せる状態を作ってから作業するのが基本です。ロリポップ！で使える方法を3つ紹介します。

バックアップオプション（有料のサーバー側バックアップ）

ロリポップ！には、利用者が頻度などを指定してバックアップを取り、いつでも戻せる「バックアップオプション」があります。ヘルプセンターの「バックアップオプションはWordPressのバックアップに利用できますか」では、WordPressはWebサーバーのファイルとデータベースの両方でできているため、両方が同じ時刻にバックアップされるようにスケジュールを設定し、戻すときも同じ時刻のデータを使うよう案内されています。すでに契約している方は、再開後にユーザー専用ページで直近のバックアップがあることを確かめておきます。

サーバー会社の定期バックアップは「最後の手段」と考える

ロリポップ！はデータの保全のために定期的なバックアップを行っているとしていますが、利用者が好きなときに自由に使えるものではありません。オプションを使っていない場合の復旧は、ヘルプセンターに別の案内があります。PHPの切り替えのような自分で行う作業の前には、自分の手でもバックアップを取っておく方が安心です。

WordPressのプラグインで手元に保存する

バックアップオプションを使っていない場合は、WordPressのバックアップ用プラグインで、ファイルとデータベースをまとめてパソコンに保存しておきます。WordPressの管理画面に入れればできるので、ユーザー専用ページの再開を待たずに準備できます。プラグインの使い方はロリポップ！のサポートの対象外なので、普段から使い慣れているものを選びます。

切り替えたあとに確認すること

切り替えの操作は画面上ではすぐ終わりますが、サイトの動きは自分で確かめる必要があります。反映まで5〜10分ほど待ってから、次の4点を見ます。

トップページと主要なページの表示

トップページ、問い合わせページ、記事ページ、ログインが必要なページなど、種類の違うページを一通り開きます。ハイスピードプランなどでキャッシュ（表示を速くするための一時保存）を使っている場合は、古い表示が残っていることがあるので、キャッシュを消してから見直します。

WordPressの管理画面とサイトヘルス

管理画面にログインし、「ツール」→「サイトヘルス」で新しいPHPのバージョンになっていることと、「おすすめの改善」に新しい警告が増えていないことを確かめます。投稿の下書き保存や画像のアップロードも一度試しておきます。

問い合わせフォームの送信テスト

フォームは、表示されていても送信で失敗することがあります。自分のアドレス宛てにテスト送信し、届くことまで確認します。制作の現場では、PHPを切り替えたあと、いちばん遅れて気づかれやすいのがフォームの不具合です。ここは必ず見ておいてください。

エラーが出たときの戻し方

真っ白な画面や500エラーが出た場合は、まず同じ「PHP設定」の画面で元のバージョンに戻し、表示が回復することを確かめます。ヘルプセンターでは、PHPのバージョンを変えたあとの「データベース接続確立エラー」や、WordPressが表示できなくなった場合の確認先も案内されています。ただし、7.1以下に戻すことはできないので、7.1以下から上げる場合は特にバックアップを確実に取っておきます。戻したままにすると修正を受けられない状態が続くため、戻すのはあくまで一時的な措置と考え、原因のテーマやプラグインを直してから上げ直します。

他のレンタルサーバーとの違い

同じ10月21日には、他のレンタルサーバー会社も予防的な停止や緊急メンテナンスを行いました。ロリポップ！は、管理画面などの停止に加えて、修正版の公開後に「一部サーバーのサイトの一時停止」まで踏み込んだ点が特徴です。

エックスサーバーの停止の詳しい内容は、エックスサーバーの管理画面停止（10/21）の記事にまとめています。サイトまで止めるかどうかは会社によって判断が分かれましたが、どの会社でも、最後に自分のサイトのPHPのバージョンを確かめるのは利用者自身です。

よくある失敗と注意点

サイトの停止を「乗っ取られた」と思い込む

サイトが表示されなくなっても、ロリポップ！の公式告知は「お客様のサイトとデータを守るため」の予防的な停止だと説明しています。この時点で不正アクセスを受けたという発表はありません。焦ってファイルを消したり、別のサーバーへ急いで移したりすると、かえって状況が分からなくなります。

ロリポップ！を装ったメールのリンクからログインしてしまう

大きなメンテナンスの前後は、「安全対策のためパスワードを再設定してください」といった便乗の偽メールが届きやすくなります。ユーザー専用ページへは、ブックマークや公式サイトから入り、メールのリンクは使わないようにします。

「PHP設定」の表示だけで安心する

系統が8.3でも、細かい番号が8.3.36未満であれば修正は入っていません。サイトヘルスで細かい番号まで見て、修正版以上になっているかを確認します。まだ修正版になっていなければ、サーバー側の更新を待ち、日を置いてもう一度確認します。

再開直後の混み合う時間に切り替えを急ぐ

再開直後は管理画面が混み合い、操作が重くなることがあります。不具合が出たときに落ち着いて戻せるよう、アクセスの少ない時間帯に、バックアップと確認の時間を含めて30分から1時間ほど確保して行います。複数サイトを持っている場合は、影響の小さいサイトから順番に切り替えます。

こんなときは制作会社やサーバー会社に相談する

次のような場合は、自分で進めずに相談した方が、結果として早く安全に済みます。ロリポップ！の問い合わせ窓口はユーザー専用ページの再開後に使えるようになる見込みなので、急ぎのときはサイトを作った制作会社や保守会社に連絡します。

サイトの停止が長く続き、仕事に影響が出ている

予約や問い合わせを受けるサイトが止まっている場合は、まず電話やSNSなど別の連絡手段を案内しておきます。再開の見込みは公式Xの続報で確認し、再開後もしばらく止まったままなら、ロリポップ！へ問い合わせます。

PHPを上げると表示が崩れて、原因が分からない

古いテーマや独自に作られた部分が原因のことが多く、プログラムの修正が必要になります。元のバージョンに戻してサイトを復旧させたうえで、制作会社にエラーの内容と戻したバージョンを伝えてください。

見覚えのないファイルや管理者ユーザーが増えている

修正版が入る前に攻撃を受けていないかが気になる場合は、見覚えのないファイル、知らない管理者ユーザー、急に増えたエラーなどを確かめます。自分で判断がつかないときは、何も消さずに制作会社やセキュリティの専門家へ状況を伝えてください。

よくある質問

Q. ロリポップ！は不正アクセスを受けたのですか？

A. 10月22日8時30分時点の公式告知は、修正版の公開に先立つ「予防措置」と、修正版の適用が終わるまで「お客様のサイトとデータを守る」ための一時停止だと説明しています。不正アクセスを受けたという発表はありません。

Q. ロリポップ！のサーバーには修正版PHPが入っていますか？

A. 10月22日8時30分時点で、適用が完了したという公式の告知は確認できませんでした。公式Xは「修正版の適用が完了するまでの間」サイトを一部停止するとしているので、完了の告知を待ちます。自分のサイトについては、WordPressのサイトヘルスで細かい番号を見て、8.5.12／8.4.27／8.3.36／8.2.35以上になっているかで判断できます。

Q. 自分のサイトが止められているかどうかは、どこで分かりますか？

A. 対象のサーバーの一覧は8時30分時点で公表されていません。まずはブラウザで自分のサイトを開いて確かめ、表示されない場合は公式Xの続報を確認してください。

Q. PHP 7.4や8.0のまま使っています。どうすればよいですか？

A. 8.1以前はPHP公式の修正の対象外で、ロリポップ！からも独自に修正するという告知は出ていません。ユーザー専用ページの再開後、バックアップを取ったうえで「サーバーの管理・設定」→「PHP設定」から8.3以上へ切り替え、表示とフォームを確認してください。動かない場合は一度戻し、原因のテーマやプラグインを直してから上げ直します。

Q. WordPressとプラグインを最新にすれば大丈夫ですか？

A. いいえ。今回の弱点はPHP本体にあるため、WordPressやプラグインの更新では直りません。更新そのものは大切ですが、PHPのバージョンの確認とは別の話です。

Q. 最新の情報はどこで確認すればよいですか？

A. いまは公式サイトがメンテナンス中のため、ロリポップ！公式X（@lolipopjp）がいちばん早い情報源です。再開後は公式サイトの「お知らせ」「メンテナンス情報」も確認してください。個人の投稿やまとめには憶測が混ざりやすいので、社内やお客様への共有には公式の発表を使います。

参考にした公式ページ

• ロリポップ！公式サイト（緊急メンテナンス中の表示、2026年10月22日8時30分確認）
• ロリポップ！公式X「【重要】メンテナンスのお知らせ」（2026年10月21日21時43分）
• ロリポップ！公式X「【メンテナンス状況のお知らせ】」（2026年10月22日3時5分）
• ロリポップ！ヘルプセンター「PHPのバージョン変更方法を教えてください」
• ロリポップ！ヘルプセンター「PHPバージョン変更について気をつけることはありますか」
• ロリポップ！ヘルプセンター「WordPressのサイトヘルスで『Authorizationヘッダーがありません』と表示されます」
• ロリポップ！ヘルプセンター「バックアップオプションはWordPressのバックアップに利用できますか」
• PHP公式 セキュリティアドバイザリ（2026年10月21日）
• IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）

THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。