mixhostのPHP脆弱性対応とは、2026年10月21日に修正版が公開されたPHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619、通称「php2shell」）に対して、レンタルサーバー「mixhost」（アズポケット株式会社）がどう動いていて、利用者が何を確認すればよいか、という話です。結論から言うと、2026年10月22日8時20分時点で、mixhostは「ikサーバー全体の緊急メンテナンス（完了）」と「マイページの緊急メンテナンス（継続中）」の2件を公表していますが、PHPの脆弱性そのものに触れた告知や、お客様のサーバーに修正版PHPを適用したという告知は見当たりません。
この記事は、2026年10月22日8時20分時点のmixhostのお知らせ、mixhost Status（障害・メンテナンス情報）、mixhostヘルプセンター、PHP公式のセキュリティアドバイザリをもとにしています。状況は随時変わるため、最新の情報は必ず公式ページでご確認ください。脆弱性そのものの説明は、PHPの重大な脆弱性（CVE-2026-109618/109619）の解説記事にまとめています。この記事では、mixhostでWordPressサイトを運営している方が「自分のサーバーで何をすればよいか」に絞って整理します。
mixhostが公表していること（10月22日8時20分時点）
要点は、mixhostが10月21日に出したのは「サーバーの安定化のための緊急メンテナンス」と「マイページの予防的な一時停止」の2件で、どちらの告知にもPHPという言葉は出てこない、という点です。お客様のWebサイトの表示とメールは通常どおり使えるとされています。
ikサーバー全体の緊急メンテナンス（10月21日15時〜18時・完了）
mixhost Statusの「緊急メンテナンス – ikサーバー全て」によると、10月21日13時59分に「サーバー安定化のための緊急メンテナンス」が予告され、15時に開始、18時に「全ての対象サーバーで緊急メンテナンス作業が問題なく完了」と更新されています。対象はクラウドレンタルサーバーのik10001〜ik14002など24台で、作業中は最大30分程度サーバーに接続できない状態が発生するとされていました。目的は「サーバー安定化」とだけ書かれており、PHPの修正版が公開されたのは同日23時前なので、この作業が修正版の適用だったとは読み取れません。
マイページの緊急メンテナンス（10月21日22時10分〜未定・継続中）
10月21日付の「マイページ緊急メンテナンスのお知らせ」では、予防的なセキュリティ強化とシステムの安全対策のため、マイページへのアクセスを一時停止していると書かれています。期間は「2026年10月21日（水） 22:10 〜 未定」で、終了の見込みは示されていません。あわせて「本対応は不正アクセス等のインシデント発生によるものではございません」と明記されています。mixhost Statusでは同じ内容が22時42分に予定として掲載され、22時45分に「実施中」になっています。お知らせの本文は22時10分、ステータスページの掲載は22時45分と時刻が少し違いますが、どちらも公式の記載なのでそのまま併記します。
止まっているもの・動いているもの
| 区分 | 内容（公式告知の記載） |
|---|---|
| 使えないもの | マイページ（ログイン、ご契約内容の変更、お手続き、お問い合わせ） |
| 通常どおり使えるもの | ご利用中のサーバー、Webサイトの表示、メールの送受信 |
| 最新情報の確認先 | 障害・メンテナンス情報（help.mixhost.jp/service-status）、mixhost Status |
注意したいのは、問い合わせ窓口もマイページの中にあるため、停止中はサポートへの連絡ができないことです。急ぎの相談があっても、まずは公式ヘルプとステータスページで確認し、再開を待つことになります。
PHPの脆弱性に関する告知は見当たらない
10月22日8時20分時点で、mixhostのお知らせ一覧、ステータスページ、ヘルプセンターのいずれにも、今回のPHPの脆弱性に触れた告知や、修正版PHP（8.5.12／8.4.27／8.3.36／8.2.35）をお客様のサーバーに適用したという告知は見当たりません。利用者に何か作業をお願いする告知も出ていません。これは「対応していない」という意味ではなく、「一般向けに公表されていない」という意味です。この記事では、公表されていないことを推測で補わず、利用者が自分で確かめられる方法を次の章から説明します。
今回の脆弱性でmixhost利用者が押さえておくこと
共用のレンタルサーバーでは、PHP本体の更新はサーバー会社が行います。利用者ができるのは「どのバージョンのPHPを使うか」を選ぶことと、自分のサイトが今どのバージョンで動いているかを確かめることです。
修正版と、修正が出ないバージョン
PHP公式は10月21日、修正版として8.5.12、8.4.27、8.3.36、8.2.35を公開しました。8.1以前はPHPの開発チームからの更新対象外で、公式には「配布元によっては修正を取り込んだ版が提供される場合があるので提供元に確認するか、サポート中のバージョンへ上げてほしい」と書かれています。mixhostでは5.x系から8.5まで幅広いバージョンが選べますが、8.1以前を選んでいるサイトは、サーバー会社が独自に修正を当てたと告知しない限り、修正を受けられない前提で考えます。
| 使っているPHP | 修正版 | 利用者の考え方 |
|---|---|---|
| 8.5 | 8.5.12 | サーバー側で8.5.12以上になっているかを確認 |
| 8.4 | 8.4.27 | 同上（8.4.27以上） |
| 8.3 | 8.3.36 | 同上（8.3.36以上） |
| 8.2 | 8.2.35 | 同上。ただし8.2は2026年末でセキュリティ修正が終わる |
| 8.1以前（8.0、7.4、5.6など） | 公式の修正なし | 8.2以上、できれば8.3以上へ切り替える |
WordPressやプラグインの更新では直らない
今回の弱点はWordPressではなく、その土台であるPHP本体にあります。WordPress本体・テーマ・プラグインを最新にしても、この脆弱性はふさがりません。もちろんそれらの更新は別の理由で大切ですが、「WordPressを更新したから今回の件は済んだ」とは考えないでください。
設定でしのぐ方法は代わりにならない
PHP公式は、更新できない場合の一時しのぎとして、PHPの設定（メモリの上限や、アップロードの進み具合を記録する機能の停止など）をいくつか挙げていますが、同時に「攻撃の経路を減らすだけで、安全にはならない」と明記しています。共用サーバーでは利用者がサーバー全体の設定を変えられないことも多いため、この記事では設定変更での回避はおすすめしません。サーバー側の更新を待ちつつ、自分のサイトのバージョンを確認する方が確実です。
cPanelでPHPのバージョンを確認する
mixhostの管理画面はcPanel（シーパネル）です。公式ヘルプ「PHPのバージョンを確認する方法」に沿って、画面での確認と、実際に動いているバージョンの確認の2段階で見ます。
ステップ1｜cPanelにログインする（マイページを通らない方法）
cPanelへの入り方は2通りあります。公式ヘルプ「cPanelのログイン方法」によると、1つはマイページの「サービス」から対象アカウントを開き、左側の「cPanelにログイン」を押す方法。もう1つは、契約時に届いた「[mixhost] サーバーアカウント設定完了のお知らせ」というメールの「ログイン情報」欄にあるcPanelのログインURLに直接アクセスし、メールに書かれたユーザー名とパスワードでログインする方法です。マイページが停止している今は、後者のメールのURLから入ります。ヘルプにはスマートフォンでは正しく動作しない場合があると書かれているので、パソコンで操作してください。
ステップ2｜「MultiPHP マネージャー」で系統を見る
cPanelのホーム画面で「MultiPHP マネージャー」をクリックします。画面上部にシステム規定値のPHPバージョン、画面下部に各ドメインの右側にそのドメインで使われるPHPバージョンが表示されます。「inherit」と表示されている場合は、システム規定値を引き継いで動いている状態です。この画面で分かるのは「8.3」「8.4」といった系統です。ドメインが複数あるなら、すべての行を見ます。
ステップ3｜細かいバージョン番号を確かめる
今回大事なのは「8.3.36以上かどうか」のような細かい番号です。公式ヘルプでは、テキストエディタで「<?php echo phpversion(); ?>」と1行だけ書いたファイルをversion.phpなどの名前で保存し、確認したいドメインの公開フォルダにアップロードしてブラウザで開く方法が案内されています。表示された番号が、そのサイトで実際に動いているPHPのバージョンです。確認が終わったら、このファイルは必ず削除します。ヘルプにも注意がありますが、cPanelのTerminalやSSHで「php –version」と打って出る番号は、Webサイトの表示に使われているPHPとは別物なので、こちらを根拠にしないでください。
ステップ4｜WordPressのサイトヘルスでも見られる
ファイルを置くのが不安な方は、WordPressの管理画面から確認できます。「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開くと、「PHPバージョン」の行に「8.3.36」のような細かい番号まで表示されます。これはそのWordPressが実際に動いているPHPの番号なので、ステップ3と同じ意味で使えます。複数のWordPressを運営している場合は、サイトごとに見ます。
8.1以前なら、cPanelでPHPのバージョンを切り替える
確認した結果が8.1以前（8.0、7.4、7.3、5.6など）だった場合は、修正の対象外なので、8.2以上へ切り替えます。手順は公式ヘルプ「PHPのバージョン変更」のとおりで、契約しているプランによって画面が違います。切り替えの前に、次の章のバックアップを済ませておいてください。
現行プラン｜「MultiPHP マネージャー」でドメインごとに変える
cPanelのホーム画面で「MultiPHP マネージャー」を開き、変更したいドメインのチェックボックスにチェックを入れ、「PHPバージョン」のプルダウンから希望のバージョンを選んで「適用」をクリックします。変更が適用された旨のメッセージが出れば完了です。ヘルプの記載（2026年3月時点）では、ea-php56（5.6）からea-php85（8.5）までが選択肢にあり、利用できるバージョンは契約時期によって異なるとされています。
旧プラン｜「Select PHP Version」でアカウント全体を変える
cPanelに「MultiPHP マネージャー」が見当たらない場合は旧プランのサーバーです。ホーム画面の「Select PHP Version」をクリックし、「Current PHP version」の横のプルダウンから希望のバージョンを選びます。旧プランはドメインごとではなくアカウント全体で1つのバージョンになるため、同じアカウントで複数のサイトを運営している場合は、全サイトが一度に切り替わることを踏まえて作業します。
どのバージョンを選ぶか
mixhostの標準は8.5です。8.2は今年（2026年）12月末でセキュリティ修正が終わるため、これから切り替えるなら8.3以上をおすすめします。ただし、古いテーマやプラグインは新しいPHPで動かないことがあるので、いきなり8.5にせず、8.3か8.4で動作を確かめてから上げていくのが安全です。PHPのバージョンの考え方は、PHPのバージョンの基礎を解説した記事も参考にしてください。
切り替える前にバックアップを取る
PHPを切り替えると、まれに画面が真っ白になったり、500エラーが出たりします。戻せる状態を作ってから作業するのが基本です。mixhostの公式ヘルプ「WordPressのバックアップ方法について」では、次の3つの方法が案内されています。
JetBackup（サーバー側の自動バックアップ）
mixhostでは、cPanelの「JetBackup」からサーバー側の自動バックアップのファイルとデータベースを復元できます。何もしなくても取られているバックアップなので、まずはcPanelでJetBackupを開き、直近のバックアップがあることを目で確かめておきます。ただし復元は現在のデータを上書きする操作なので、実際に戻すときは対象（ファイルかデータベースか）を絞って行います。
WP ToolkitやSoftaculousでの手動バックアップ
cPanelの「WP Toolkit」からWordPressサイト単位でバックアップと復元ができます。Softaculous Apps InstallerでWordPressを入れた場合は、Softaculousの自動バックアップ・復元も使えます。切り替え直前に自分で1回取っておくと、「切り替え前の状態」がはっきりした形で残るので安心です。
プラグインでのバックアップはサポート対象外
WordPressのバックアップ用プラグインを使ってもかまいませんが、公式ヘルプにはプラグインの使用方法はサポート対象外と書かれています。困ったときにmixhostに聞けないことを前提に、JetBackupかWP Toolkitを主にしておく方が無難です。
切り替えたあとに確認すること
切り替えは画面上では一瞬で終わりますが、サイトの動きは自分で確かめる必要があります。最低限、次の4点を見ます。
トップページと主要なページの表示
トップページ、問い合わせページ、記事ページ、ログインが必要なページなど、種類の違うページを一通り開きます。mixhostはLiteSpeed Cacheが使われていることが多いので、古い表示が残っていると感じたら、公式ヘルプ「LiteSpeed Cacheのキャッシュ削除方法」に沿ってキャッシュを消してから見直します。
WordPressの管理画面とサイトヘルス
管理画面にログインし、「ツール」→「サイトヘルス」で新しいPHPバージョンになっていることと、「おすすめの改善」に新しい警告が増えていないことを見ます。投稿の下書き保存やメディアのアップロードも一度試しておきます。
問い合わせフォームの送信テスト
フォームは、表示されていても送信で失敗することがあります。自分のアドレス宛てにテスト送信し、届くことまで確認します。制作の現場では、PHPの切り替えでいちばん後から発覚しやすいのがフォームの不具合なので、ここは必ず見ます。
エラーが出たときの戻し方
真っ白な画面や500エラーが出た場合は、まず同じ手順でPHPのバージョンを元に戻し、表示が復旧することを確かめます。そのうえで、原因になっているテーマやプラグインを特定し、更新や入れ替えをしてから改めて上げ直します。mixhostの公式ヘルプ「WordPressで500エラーが発生する、または空白のページが表示される場合の対処法」も参考になります。戻したままにすると修正を受けられない状態が続くため、戻すのはあくまで一時的な措置と考えてください。
他のレンタルサーバーとの違い
同じ10月21日に、他のレンタルサーバー会社も相次いで予防的な停止や緊急メンテナンスを行いました。mixhostの告知は「マイページの停止」に絞られていて、お客様のサーバーを止める内容ではない点が特徴です。
| 会社 | 10月21日の対応（公式発表） | お客様のサイト |
|---|---|---|
| mixhost | 15時〜18時にikサーバー全体で安定化の緊急メンテナンス（完了）。22時10分からマイページを予防的に停止（終了未定） | 表示・メールは通常どおり |
| エックスサーバー | 16時から公式サイト・管理画面等を予防的に一時停止 | 表示・メールソフトでの送受信は通常どおり |
| さくらインターネット | 13時頃からレンタルサーバ等、15時頃からVPSで緊急メンテナンス | 一時的に接続できない場合あり |
エックスサーバーの停止の詳しい内容は、エックスサーバーの管理画面停止（10/21）の記事にまとめています。どの会社も「利用者のサーバーへ修正版PHPをいつ適用したか」までは告知していないことが多いので、サーバー会社の告知を待つだけでなく、自分のサイトのバージョンを自分で確かめる姿勢が大切です。
よくある失敗と注意点
マイページの停止を「サイトが落ちた」と勘違いする
止まっているのはmixhostの契約管理画面（マイページ）で、お客様のサイトやメールは動いています。社内で「サイトが見られないのでは」と不安の声が出たら、公式告知の「ご利用中のサーバーには影響がない」という記載を共有してください。
mixhostを装ったメールのリンクからログインしてしまう
サーバー会社の緊急メンテナンスの直後は、「安全対策のため再ログインしてください」といった便乗の偽メールが届きやすくなります。cPanelやマイページへは、メールのリンクからではなく、ブックマークや契約時のメールに書かれたURLから入り、ログイン情報はそこで入力します。
「MultiPHP マネージャー」の表示だけで安心する
系統が8.3でも、細かい番号が8.3.36未満であれば修正は入っていません。phpversion()を書いたファイルか、WordPressのサイトヘルスで細かい番号まで見て、修正版以上になっているかを確認します。まだ修正版になっていなければ、サーバー側の更新を待ち、日を置いてもう一度確認します。
切り替え作業を営業時間のど真ん中に行う
不具合が出たときに落ち着いて戻せるよう、アクセスの少ない時間帯に、バックアップと確認の時間を含めて30分から1時間ほど確保して行います。複数サイトを持っている場合は、影響の小さいサイトから順番に切り替えます。
こんなときは制作会社やサーバー会社に相談する
次のような場合は、自分で進めずに相談した方が結果的に早く安全です。mixhostの問い合わせ窓口はマイページの中にあり、10月22日8時20分時点では停止中なので、再開後に連絡するか、サイトを作った制作会社に相談します。
PHPを上げると表示が崩れて、原因が分からない
古いテーマや独自に作られた部分が原因のことが多く、コードの修正が必要になります。元のバージョンに戻してサイトを復旧させたうえで、制作会社にエラーの内容と戻したバージョンを伝えてください。
cPanelのログイン情報が分からない
契約時のメールが見つからず、マイページも停止している場合は、cPanelに入れません。社内で契約時の担当者やメールを探し、見つからなければマイページ再開後にmixhostへ問い合わせます。
見覚えのないファイルやエラーが増えている
修正版が入る前に攻撃を受けていないかが気になる場合は、サーバー上の見覚えのないファイル、不審な管理者ユーザー、急に増えた500エラーなどを確かめます。自分で判断がつかないときは、何も消さずに制作会社やセキュリティの専門家に状況を伝えてください。
よくある質問
Q. mixhostは不正アクセスを受けたのですか？
A. いいえ。公式のお知らせには「本対応は不正アクセス等のインシデント発生によるものではございません」と明記されています。予防的なセキュリティ強化のためのマイページ停止です。
Q. mixhostのサーバーには修正版PHPが入っていますか？
A. 2026年10月22日8時20分時点で、適用したという公式の告知は見当たりません。自分のサイトについては、phpversion()を書いたファイルかWordPressのサイトヘルスで細かいバージョン番号を見て、8.5.12／8.4.27／8.3.36／8.2.35以上になっているかで判断できます。
Q. マイページが止まっていても、cPanelは使えますか？
A. 公式ヘルプによると、契約時のメール「[mixhost] サーバーアカウント設定完了のお知らせ」に書かれたコントロールパネルのURLから直接ログインできます。マイページ経由の「cPanelにログイン」は、マイページ再開までは使えません。
Q. PHP 7.4や8.0のまま使っています。どうすればよいですか？
A. 8.1以前はPHP公式の修正対象外です。バックアップを取ったうえで、cPanelの「MultiPHP マネージャー」（旧プランは「Select PHP Version」）で8.3以上に切り替え、表示とフォームを確認してください。動かない場合は元に戻し、原因のテーマやプラグインを直してから再挑戦します。
Q. WordPressとプラグインを最新にすれば大丈夫ですか？
A. いいえ。今回の弱点はPHP本体にあるため、WordPressやプラグインの更新では直りません。更新そのものは大切ですが、PHPのバージョン確認とは別の話です。
Q. 自分のサイトは静的なHTMLだけです。関係ありますか？
A. PHPを一切使っていないサイトなら、今回の脆弱性の直接の対象ではありません。ただし、問い合わせフォームなどにPHPが使われていることは多いので、サーバー上に.phpのファイルがないかを確認しておくと安心です。
Q. 最新の情報はどこで確認すればよいですか？
A. mixhostのお知らせ、障害・メンテナンス情報、mixhost Statusの3か所です。SNSの投稿は憶測が混ざりやすいので、社内共有にはこの3か所の情報を使ってください。
参考にした公式ページ
- mixhost「マイページ緊急メンテナンスのお知らせ」（2026年10月21日）
- mixhost Status「緊急メンテナンス」（マイページ）
- mixhost Status「緊急メンテナンス – ikサーバー全て」
- mixhostヘルプ「PHPのバージョン変更」
- mixhostヘルプ「PHPのバージョンを確認する方法」
- mixhostヘルプ「cPanelのログイン方法」
- mixhostヘルプ「WordPressのバックアップ方法について」
- PHP公式「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日）
- IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
