Bizメール＆ウェブのPHP脆弱性対応とは、2026年10月21日に修正版が公開されたPHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619、通称「php2shell」）が話題になる中で、NTTドコモビジネス株式会社（2025年7月にNTTコミュニケーションズ株式会社から社名変更）の法人向けレンタルサーバー「Bizメール＆ウェブ」がどう動いていて、利用者が何をすればよいか、という話です。結論から言うと、Bizメール＆ウェブは「セキュリティ上の脆弱性への予防的措置」として、10月21日22時から順次、すべての利用者のWebサービスを止めています。公式のお知らせでは、10月22日13時30分ごろから順次再開する予定で、設備ごとに順番に再開するため、利用者によっては最長21時30分ごろまでかかる可能性があるとされています。2026年10月22日16時00分に確認した時点では、この予定を書いた12時45分の追記のあとに新しい追記はなく、再開を終えたという告知もまだ出ていません。修正したPHPを入れ終えたという告知はまだありません。メールの送受信は使えますが、作業の間に最大5〜10分ほど使えなくなるとされています。

この記事は、2026年10月22日16時00分時点のNTTドコモビジネス お客さまサポートのお知らせと、同社のサービスページ、サポートサイトの「よくあるご質問」、PHP公式のセキュリティアドバイザリをもとにしています。状況は時間単位で変わっているので、最新の情報は必ず公式の発表で確かめてください。脆弱性そのものの説明はPHPの重大な脆弱性（CVE-2026-109618/109619）の解説記事に、10月21日に国内で起きたことの全体像はPHPの脆弱性で何が起きたかのまとめ記事にまとめています。ここでは、Bizメール＆ウェブでホームページやWordPressを運営している方が「いま何が起きていて、再開後に何をすればよいか」に絞って書きます。

NTTドコモビジネスが公表していること（10月22日16時00分時点）

公式のお知らせは、契約者向けの「NTTドコモビジネス お客さまサポート」に、サービスごとに掲載されています。Bizメール＆ウェブ ビジネス r3（ライト／ベーシック）と、上位サービスのBizメール＆ウェブ プレミアム r3の両方に、同じ趣旨のお知らせが出ています。

10月21日｜Webサービス一時停止のお知らせを掲載

お知らせの題は「【重要】セキュリティ上の脆弱性対応に伴うWebサービス一時停止のお知らせ」です。本文には、10月21日に「セキュリティ上の脆弱性が確認されたことを受け」、予防的措置として緊急メンテナンスを行うこと、そして「現時点で本サービスにおいて不正アクセス等の被害は確認されておりません」と書かれています。対象は「Webサービスをご利用のすべてのお客さま」、停止日時は「2026年10月21日（水）22:00以降順次」です。

10月21日21時15分｜メール関連の管理画面も停止

同じ日の21時15分には、「メールセキュリティ管理者用コントロールパネル」の一時停止のお知らせも出ました。プレミアム r3では、「メール監査アーカイブサービス コントロールパネル」と「オプションサービス管理者用コントロールパネル」も止まり、メール監査アーカイブで保留にしたメールの確認や操作ができなくなっています。どちらも停止は22時以降順次で、メールの送受信そのものは使えると明記されています。その後、10月22日10時20分の追記で、「メールセキュリティ管理者用コントロールパネル」と、プレミアム r3の「オプションサービス管理者用コントロールパネル」は10月22日5時30分ごろに再開したと発表されました。「メール監査アーカイブサービス コントロールパネル」は引き続き停止中です。

10月22日8時35分｜Webメールも使えないと追記

10月22日8時35分の追記で、停止期間中は同社が提供するWebメール「Active!mail」も使えないことが加わりました。あわせて「早期のサービス再開に向け、引き続き復旧に取り組んでまいります」とあります。再開見込みは「確認中」のままで、「判明次第、本お知らせを更新いたします」とされています。

10月22日12時45分｜13時30分ごろから順次再開の見込みと追記

10月22日12時45分の追記（プレミアム r3は12時50分）で、緊急メンテナンスは「現在も継続作業中」としたうえで、「本日（10月22日）13:30ごろより、順次システムの再開を予定」と発表されました。Webサービスは設備ごとに順番に再開するため、利用者によっては再開が最長21時30分ごろになる可能性があるとしています。あわせて、作業に伴い、停止期間中にメールの送受信も最大5〜10分ほど使えなくなると追記されています。いつ戻るかは設備によって違うので、13時30分を過ぎてすぐに開かなくても、21時30分ごろまでは様子を見るのが落ち着いた対応です。16時00分に確認した時点では、この追記のあとに新しい追記は出ていませんでした。

止まっているもの・動いているもの

お知らせの記載を表にまとめます。ホームページは見ることも更新することもできず、アクセスすると時間切れや「404 Not Found」などのエラーが出る、と書かれています。

今回のPHPの件への対応かどうかは、公式には書かれていない

お知らせには、どの脆弱性への対応なのかが書かれていません。停止が始まった22時は、PHPの修正版が公開される予定だった23時の1時間前で、時期は重なります。ただ、NTTドコモビジネスは「セキュリティ対応の詳細」について、新たなリスクを防ぐため公開しないことをセキュリティポリシーとしている、と明記しています。そのため、この記事では「今回のPHPの件への対応だ」とは言い切らず、PHPを使うサイトの持ち主として確かめておきたいことを書いていきます。

今回の脆弱性でBizメール＆ウェブ利用者が押さえておくこと

Bizメール＆ウェブのような共用のレンタルサーバーでは、PHP本体の更新はサーバー会社が行います。サービスページにも「当社がセキュリティ情報の収集を行い」「セキュリティ対策を実施します」とあります。利用者ができるのは、自分のサイトがどのバージョンで動いているかを確かめることと、選べる範囲でバージョンを選ぶことです。

修正版と、修正が出ないバージョン

PHP公式は10月21日、修正版として8.5.12、8.4.27、8.3.36、8.2.35を公開しました。8.1以前は、PHPの開発チームからの更新の対象外です。Bizメール＆ウェブ ビジネス r3で今使えるのは8.3系なので、見るべき番号は「8.3.36以上かどうか」です。

ビジネス r3で選べるのは今はPHP 8.3だけ

2025年5月28日の「PHP8.1提供終了のお知らせ」によると、2025年10月下旬以降、コントロールパネルで選べるPHPは8.3だけになり、8.1のまま残っていた環境は11月以降、NTTドコモビジネス側で順次8.3へ切り替える予定とされていました。ソフトウェアのバージョンのページ（2026年4月現在）も、PHPは「8.3系」で、8.1・7.4・5.6・5.5・5.4・4は提供終了と書いています。ほかのサーバーのように「8.4へ上げる」という選択肢は、2026年10月22日時点の公式情報では見当たりません。そのため、利用者の作業は「切り替え」よりも「確認」が中心になります。

WordPressやプラグインの更新では直らない

今回の弱点はWordPressではなく、その土台のPHP本体にあります。WordPress本体・テーマ・プラグインを最新にしても、この脆弱性はふさがりません。それらの更新は別の理由で大切ですが、「WordPressを更新したから今回の件は済んだ」とは考えないでください。

php.iniの設定でしのぐ方法は代わりにならない

PHP公式は、更新できない場合の一時しのぎとして、メモリの上限やアップロード関係の設定を変える方法を挙げていますが、同時に「安全にはならない」と書いています。Bizメール＆ウェブでは、CGIモードなら「~/www/php.ini」を編集して一部の設定を変えられますが、Moduleモードでは変更できず、記述した設定どおりに動く保証もないとFAQに書かれています。利用者が設定でしのぐより、サーバー側の更新を待って番号を確かめる方が確実です。

停止中にできること・できないこと

いまはホームページそのものが止まっているので、WordPressの管理画面にも入れません。手を動かせることは限られていますが、再開後にすぐ動けるよう準備はできます。

お客さまや社内への伝え方を決めておく

サイトが開かないと、「乗っ取られたのでは」と心配する声が出がちです。公式のお知らせは予防的な停止だと説明していて、不正アクセスの被害は確認されていないとしています。問い合わせがあれば、「サーバー会社が予防のために一時的に止めている」と伝え、電話やメールなど別の連絡手段を案内しておくと混乱が少なくて済みます。メールの送受信は使えるので、問い合わせはメールで受けられます。

Webメールの代わりにメールソフトやスマートフォンを使う

Active!mailが止まっている間も、メールソフト（OutlookやiPhoneのメールなど）に設定してあれば送受信できます。普段Webメールだけで読んでいる社員がいる場合は、設定済みのパソコンやスマートフォンで確認するよう声をかけておきます。急いで新しくメールソフトを設定する場合は、サポートサイトのよくあるご質問にある設定値を使います。

再開のお知らせを待ち、手元の情報をそろえておく

再開の知らせは、お客さまサポートのお知らせが更新される形で出る見込みです。同じサポートサイトにある「工事・故障情報通知サービス」に登録すると、登録したサービスの工事・故障情報をメールで受け取れます。あわせて、「ご利用内容のご案内」に書かれたコントロールパネルのURLと管理者IDが手元にあるか確かめておくと、再開後の確認がすぐ始められます。

再開後、コントロールパネルでPHPのバージョンを確認する

ここからは、Webサービスが再開したあとの手順です。画面の名前は、サポートサイトの「PHP8.1提供終了のお知らせ」と「よくあるご質問」に書かれているものに合わせています。詳しい手順書は「PHPのバージョンを確認・変更したい」から案内されている管理者マニュアル「4.1.2 PHPのバージョン」ですが、このオンラインマニュアル（bizmw.jp）は10月22日16時00分時点でも開けませんでした。

ステップ1｜コントロールパネルに管理者としてログインする

『ご利用内容のご案内』に書かれているコントロールパネルのURL（「https://bizmw-login.com/ユーザID(管理者用)/login」の形）をブラウザに入力し、管理者用のユーザーIDとパスワードでログインします。大きなメンテナンスの前後は、サーバー会社を名乗る偽のメールが届きやすくなります。メールのリンクからではなく、いつも使っている入口から入ってください。

ステップ2｜「アプリケーション」→［基本アプリ］を開く

コントロールパネルの左メニュー「アプリケーション」から［基本アプリ］をクリックします。「基本アプリ」の画面に、スクリプト言語の一覧があります。

ステップ3｜「PHP」の［設定］で「現在のバージョン」を見る

スクリプト言語欄の「PHP」の［設定］をクリックすると、「現在のバージョン」が表示されます。ここで8.3になっていることを確かめます。「バージョンの選択」から別のバージョンを選んで［変更］を押す仕組みもありますが、先に書いたとおり、ビジネス r3で今選べるのは8.3だけです。

ステップ4｜細かい番号はWordPressのサイトヘルスで確かめる

今回大事なのは「8.3.36以上かどうか」という細かい番号です。WordPressなら、管理画面の「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開き、「PHPバージョン」の行を見ます。ここには「8.3.36」のような番号まで表示されます。複数のWordPressを運営している場合は、サイトごとに見ます。番号が8.3.36より小さければ、サーバー側の更新はまだ反映されていないので、公式のお知らせを確認し、時間を置いてもう一度見ます。

WordPress以外のサイトは、phpinfoで確かめる方法もある

サポートサイトの「PHPバージョンのリビジョン部分を確認したい」では、コントロールパネルのファイルマネージャで「/www/htdocs」に「php_info.php」というファイルを作り、ブラウザで開いて「PHP Version」を見る方法が案内されています。同じページには、このページはサーバーの内部の情報まで表示し、第三者に悪用されるおそれがあるので、確認後は必ず削除するよう太字で書かれています。慣れていない方は、無理に作らず制作会社に確認してもらう方が安全です。

PHP 8.1以前の環境が残っている場合

ビジネス r3ではPHP 8.1以前の提供は終わっていますが、古い契約の環境や、プログラムの中で古いPHPを直接指定しているケースでは、8.1以前が残っている可能性があります。8.1以前には公式の修正が出ないので、ここは確実に確かめておきます。

CentOS7環境のお客さまは、サポートに確認する

サービスページには、「CentOS7環境をご利用のお客さま」向けに別のバージョン一覧（PDF）があり、そこにはPHP 8.1.13と5.4.16が載っています。今回のお知らせは、この環境のPHPをどう扱うかに触れていません。自分の契約がこの環境に当たるか分からない、または当たる場合は、再開後に契約者向けの問い合わせ窓口で、PHPの修正やr3環境への移行の予定を確かめてください。

定期実行タスクで古いPHPのパスを指定していないか

FAQの「PHPのプログラムを直接呼び出すと、コントロールパネルで設定しているバージョンと異なるPHPが動作します。」によると、サーバーの中でPHPを直接呼び出すときは、バージョンに合わせたフルパスを指定する必要があります。8.3なら「/usr/local/global-bin/php-8.3.cgi」です。コントロールパネルの「システム」にある定期実行タスクなどで「php-8.1.cgi」を指定している場合は、8.3用のパスに直すよう案内されています。自分で設定した覚えがなければ、作った制作会社に確認します。

確認や作業の前にバックアップを取る

今回、利用者がPHPを切り替える場面は少ないはずですが、サーバー側の更新のあとに表示が崩れることはありえます。戻せる状態を作っておくのが基本です。Bizメール＆ウェブのバックアップは、ほかのレンタルサーバーと仕組みが少し違うので注意が要ります。

サーバー側の自動バックアップでできること

バックアップ機能のページによると、お客さまの領域内のファイルバックアップは1日1回で前日1日分、外部記憶装置へのバックアップは1週間ごとに1回で最大2週間分です。外部記憶装置からの復旧は有料で、NTTドコモビジネスへの依頼から約5営業日かかり、復元する時刻は選べません。

データベースは自分で書き出しておく

同じページには、データベース（MySQL、PostgreSQL）の復元はできないので、お客さまで定期的にデータを書き出してほしい、と書かれています。WordPressは記事や設定をデータベースに持っているので、ファイルだけ戻っても元どおりにはなりません。再開後、まずphpMyAdminやWordPressのバックアップ用プラグインで、データベースを書き出してパソコンに保存しておきます。

WordPressのプラグインでまとめて保存する

WordPressなら、バックアップ用プラグインでファイルとデータベースをまとめて保存するのが手軽です。サービスページでは、WordPressの使い方はサポートの対象外とされているので、普段から使い慣れているプラグインを選びます。再開直後はアクセスが集中しやすいので、保存はアクセスの少ない時間帯に行います。

再開後に確認すること

サイトが再開したら、表示が戻ったことだけで終わらせず、次の4点を見ておきます。

トップページと主要なページの表示

トップページ、問い合わせページ、記事ページ、会員向けのページなど、種類の違うページを一通り開きます。スマートフォンでも見ておきます。真っ白なページが出る場合は、FAQの「真っ白なページが表示される」に、コントロールパネルの［ファイル］から「www」ディレクトリのエラーログを確かめる手順があります。

WordPressの管理画面とサイトヘルス

管理画面にログインし、「ツール」→「サイトヘルス」でPHPの番号が8.3.36以上になったかと、「おすすめの改善」に新しい警告が増えていないかを見ます。投稿の下書き保存や画像のアップロードも一度試しておきます。

問い合わせフォームの送信テスト

フォームは、表示されていても送信で失敗することがあります。自分のアドレス宛てにテスト送信し、届くことまで確かめます。制作の現場では、サーバー側の更新のあとにいちばん遅れて気づかれやすいのがフォームの不具合です。ここは必ず見ておいてください。

見覚えのないファイルや管理者が増えていないか

公式には被害は確認されていないとされていますが、念のため、WordPressの「ユーザー」に知らない管理者がいないか、ファイルマネージャで見覚えのないファイルが増えていないかを見ておきます。気になるものがあっても、自分で消さずにそのままにして、制作会社や専門家に状況を伝えます。

よくある失敗と注意点

「404 Not Found」を自分のミスだと思い込む

お知らせには、停止中はアクセスすると時間切れや「404 Not Found」などが出ると書かれています。ファイルを消してしまったと勘違いして、FTPでアップロードし直したり設定を変えたりすると、再開後にかえって状況が分からなくなります。停止中は触らずに待つのがいちばん安全です。

慌てて別のサーバーへ引っ越す

サイトが止まると、急いで別のサーバーへ移したくなるかもしれません。ただ、移転にはドメインやメールの設定変更が伴い、法人のメールが止まるおそれもあります。サーバーの見直しは、今回の件が落ち着いてから、メールを含めて計画的に考える方が安全です。

コントロールパネルの「8.3」表示だけで安心する

系統が8.3でも、細かい番号が8.3.36未満であれば修正は入っていません。サービスページにも、セキュリティの修正は事前に検証してから当てるため、常に最新になるとは限らないとあります。サイトヘルスなどで細かい番号まで見て、まだなら日を置いてもう一度確かめます。

こんなときは制作会社やサーバー会社に相談する

次のような場合は、自分で進めずに相談した方が、結果として早く安全に済みます。Bizメール＆ウェブには契約者向けの問い合わせ窓口（お客さまサポートの「お問い合わせ」）があり、サイトの中身についてはサイトを作った制作会社や保守会社が頼りになります。

停止が長引き、仕事に影響が出ている

予約や問い合わせを受けるサイトが止まっている場合は、まずSNSや電話など別の窓口を案内しておきます。なお、10月22日11時30分には「お問い合わせ対応の遅延について」が掲載され、フォーム・メール・電話とも回答に時間がかかっているとされています。再開の見込みはお知らせの更新で確かめ、再開が告知されたのに自分のサイトだけ表示されない場合は、Bizメール＆ウェブの窓口へ問い合わせます。

再開後に表示が崩れ、原因が分からない

古いテーマや独自に作られた部分が新しいPHPに合っていないことが多く、プログラムの修正が必要になります。エラーログの内容と、いつから崩れたかをメモして制作会社に伝えてください。FAQにも、PHP 8系に切り替えたあとに出るエラーの例が載っています。

自分の環境が8.1以前か8.3か分からない

契約が古い、管理者IDが分からない、といった場合は、無理に調べずに窓口へ問い合わせます。「お客さま番号」の確認方法もFAQに載っています。制作会社に頼む場合は、契約しているサービス名（ビジネス r3かプレミアム r3か、それ以外か）を伝えると話が早く進みます。

よくある質問

Q. Bizメール＆ウェブは不正アクセスを受けたのですか？

A. 10月22日16時00分時点の公式のお知らせは「予防的措置」としての停止で、「現時点で本サービスにおいて不正アクセス等の被害は確認されておりません」と書かれています。

Q. 今回の停止はPHPの脆弱性への対応ですか？

A. お知らせには脆弱性の名前が書かれておらず、詳細は公開しない方針と明記されています。時期はPHPの修正版の公開と重なりますが、公式に「PHPの件」とは書かれていません。

Q. メールは使えますか？

A. メールの送受信は使えるとされています。ただし、12時45分の追記で、作業の間に最大5〜10分ほど使えなくなるとされました。Webメール「Active!mail」と、プレミアム r3のメール監査アーカイブの管理画面は停止中です（メールセキュリティ管理者用コントロールパネルは10月22日5時30分ごろ再開）。メールソフトやスマートフォンに設定してあれば、そちらで読めます。

Q. 利用者が自分でPHPを切り替える必要はありますか？

A. 10月22日16時00分時点で、利用者に作業をお願いする告知は出ていません。ビジネス r3で選べるのは8.3だけなので、再開後にコントロールパネルとサイトヘルスで、8.3.36以上になっているかを確かめるのが中心です。

Q. WordPressとプラグインを最新にすれば大丈夫ですか？

A. いいえ。今回の弱点はPHP本体にあるため、WordPressやプラグインの更新では直りません。更新そのものは大切ですが、PHPの番号の確認とは別の話です。

Q. 最新の情報はどこで確認すればよいですか？

A. NTTドコモビジネス お客さまサポートの、契約しているサービスのページにある「お知らせ」です。ビジネス r3はこちら、プレミアム r3はこちらです。個人の投稿やまとめには憶測が混ざりやすいので、社内やお客さまへの共有には公式の発表を使います。

参考にした公式ページ

• NTTドコモビジネス お客さまサポート「【重要】セキュリティ上の脆弱性対応に伴うWebサービス一時停止のお知らせ」（ビジネス r3、2026年10月21日掲載・22日12時45分追記）
• 同「【重要】セキュリティ上の脆弱性対応に伴う『メールセキュリティ管理者用コントロールパネル』一時停止のお知らせ」（2026年10月21日21時15分、22日10時20分追記）
• 同「お問い合わせ対応の遅延について」（2026年10月22日11時30分）
• 同 プレミアム r3「【重要】セキュリティ上の脆弱性対応に伴うWebサービス一時停止のお知らせ」
• 同 プレミアム r3「メール監査アーカイブサービス コントロールパネル」「オプションサービス管理者用コントロールパネル」一時停止のお知らせ
• 同「PHP8.1提供終了のお知らせ」（2025年5月28日）
• 同 よくあるご質問「PHPのバージョンを確認・変更したい」
• 同 よくあるご質問「PHPバージョンのリビジョン部分を確認したい」
• NTTドコモビジネス「Bizメール＆ウェブ ビジネス ソフトウェアのバージョン」（2026年4月現在）
• NTTドコモビジネス「Bizメール＆ウェブ ビジネス バックアップ」
• PHP公式 セキュリティアドバイザリ（2026年10月21日）
• IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）

THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。