お名前.com レンタルサーバーの利用者が、2026年10月のPHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619）に対してやることは、「コントロールパネルでPHPのバージョンを確かめ、7系以前なら8.2以上へ切り替えること」と「公式のお知らせで修正の適用を確かめること」の2つです。お名前.comは10月22日のお知らせで、今のPHPのバージョンのままセキュリティパッチを当てるので基本的にバージョンの変更は不要、ただし5系や7系ではバージョンの変更が必要なケースもある、と案内しています。PHPの修正版（8.5.12・8.4.27・8.3.36・8.2.35）は、日本時間の10月21日23時ごろに公開されました。
速報（2026年10月22日16時00分時点・当社調べ）
| PHPの脆弱性への対応 | 対応中（10月22日のお知らせで、セキュリティパッチの適用を「順次進めております」と案内） |
| 管理画面・ログイン | 一部停止（コントロールパネルのファイルマネージャーとWebメールが一時停止中。お名前.com Naviのログイン画面が開くことは確認。ログインはしていません） |
| サイト・サービスの表示 | 通常どおり（お知らせで「Webサイトの表示・メールの送受信：通常どおりご利用いただけます」）。ただし10月22日12時〜21時の緊急メンテナンスが16時00分時点で実施中で、終わるまでは収容ホストごとに数分〜数十分使えない時間がある |
| 確認した公式ページ | PHPの脆弱性への弊社対応について、緊急メンテナンス（10/22）、ファイルマネージャー・Webメール一時停止 |
状況は変わることがあります。最新の情報は公式ページでご確認ください。
この記事は、2026年10月22日16時00分時点で、お名前.comの公式サイトに掲載されている情報をもとにしています。お名前.comを運営するGMOインターネットは、10月21日夜からレンタルサーバーで緊急メンテナンスを行い、22日朝にはファイルマネージャーとWebメールの一時停止も告知しました。同じ22日には、これらはPHPの脆弱性への対応だと説明するお知らせも出ています。ただ、16時00分時点で、修正を適用し終えたというお知らせはまだありません。分かっていることと分かっていないことを分けて書きます。脆弱性そのものの解説はPHPの重大な脆弱性の解説記事、国内各社の動きは10月21日の国内の動きのまとめをご覧ください。
お名前.comが公式に発表していること（10月22日16時00分時点）
要点は、「10月21日19時から22日10時まで、レンタルサーバーの一部で緊急メンテナンスを行い、22日にはファイルマネージャーとWebメールを予防的に止めている。その後のお知らせで、これらはPHPの脆弱性への対応だと説明された」ということです。お名前.comのメンテナンス・障害情報の一覧から、10月21日以降に掲載されたレンタルサーバー関係のお知らせを確認しました。
お名前.com レンタルサーバーの緊急メンテナンス（10月21日19時〜22日10時）
10月21日に掲載された【緊急】[お名前.com レンタルサーバー] サーバーメンテナンス（2026/10/21）では、開始が10月21日19時、終了が10月22日10時とされています。対象は「レンタルサーバー ベーシック・RSプラン・AIホームページパック」と「共用サーバーSD / ホームページエディター」の利用者です。作業内容は「システムの保守作業」とだけ書かれ、影響は「一時的に接続できない、またはサービスをご利用いただけない状況が発生する可能性」、終了時間は前後する可能性があるとしています。
共用サーバーGSの緊急メンテナンス（10月21日23時〜22日9時）
旧プランの共用サーバーGSでも、【緊急】[共用サーバー GS] サーバーメンテナンス（2026-10-21）が出ています。時間は10月21日23時から22日9時、対象は全ての利用者で、作業内容はこちらも「システムの保守作業」です。開始時刻はPHPの修正版の公開予定時刻（23時）と同じですが、告知の中にPHPという言葉はありません。
ファイルマネージャーとWebメールの一時停止（10月22日）
10月22日には【重要】[お名前.com レンタルサーバー] ファイルマネージャーおよびWebメール機能の一時停止のお知らせが出ました。コントロールパネルのファイルマネージャー（ブラウザーでサーバーのファイルを操作する機能）とWebメールを「予防保守の観点から」一時的に止めており、再開の見通しが立ったら改めて知らせるとしています。その間は、メールソフトやFTPソフトで代用するよう案内しています。この告知にはPHPの脆弱性との関係は書かれていませんでしたが、同じ日の別のお知らせで、PHPの脆弱性への対応の一環だと説明されています。16時00分時点で、再開の案内はまだありません。サイトの表示やメールの送受信そのものが止まるという案内ではありません。
10月22日、PHPの脆弱性への対応だと説明
10月22日、【重要】[お名前.com レンタルサーバー] PHPの脆弱性への弊社対応についてが掲載されました。10月21日以降に案内している緊急サーバーメンテナンスと、ファイルマネージャー・Webメール機能の一時停止は「いずれも本件への対応として実施しているもの」と書かれています。対応状況は、サーバーへのセキュリティパッチの適用が「順次進めております」、ファイルマネージャー・Webメールは予防的に一時停止、Webサイトの表示・メールの送受信は「通常どおりご利用いただけます」です。利用者に向けては「現在ご利用中のPHPバージョンを維持したまま、弊社にてセキュリティパッチを適用いたします」としたうえで、基本的にバージョンの変更は不要、ただし「PHPバージョン5系や7系をご利用の場合、バージョンの変更が必要なケースもございます」と案内しています。どのバージョンで変更が必要になるかの細かい条件は書かれていません。
同じ22日には、【緊急】[お名前.com レンタルサーバー] サーバーメンテナンス（2026/10/22）も出ています。時間は10月22日12時から21時（前後する可能性あり）、対象はレンタルサーバー ベーシック・RSプラン・AIホームページパックと共用サーバーSD / ホームページエディターの利用者、作業内容は「システムの保守作業」です。収容ホストの再起動をともなうため、ホストごとに数分から数十分ほど、サーバーが使えない時間が出るとしています。
| 項目 | 10月22日16時00分時点の公式情報 |
|---|---|
| PHPの脆弱性に触れたお知らせ | 10月22日に掲載。緊急メンテナンスと機能の一時停止は、この対応の一環と説明 |
| 緊急メンテナンス | レンタルサーバー ベーシック・RSプラン・AIホームページパック・共用サーバーSDなどで10月21日19時〜22日10時。共用サーバーGSで10月21日23時〜22日9時。さらにレンタルサーバー ベーシック・RSプランなどで10月22日12時〜21時 |
| ファイルマネージャー・Webメール | 10月22日から予防的に一時停止。再開時期は未定。メールソフト・FTPソフトでの代用を案内 |
| 修正版のPHPを適用したか | セキュリティパッチを順次適用中。完了の発表はまだない |
| 利用者に作業が必要か | 基本的にバージョンの変更は不要。5系・7系は変更が必要なケースもある |
| PHPのバージョンを選ぶ場所 | コントロールパネルの「高度な設定」→「PHP」→「PHPバージョン」 |
デスクトップクラウドの不正アクセスは別の話
同じ時期に、お名前.comでは別のサービスで大きなお知らせが出ています。レンタルサーバーの話と混ざりやすいので、ここで分けておきます。
お名前.com デスクトップクラウドで起きたこと
GMOインターネットは10月21日、【重要】[お名前.com デスクトップクラウド]第三者による不正アクセスに関するお詫びとお知らせ（2026年10月21日 4:00時点）を出しました。10月20日に一部の利用者のサーバー環境で不正なプログラムが置かれたことを確認し、影響の可能性があるサーバーは26,739件、サーバー内の情報が閲覧された可能性があるとしています。被害の拡大を防ぐため、10月21日4時以降、デスクトップクラウドの全プランのサーバーを順に停止し、再開時期は決まり次第知らせるとしています。
レンタルサーバーとの違い
デスクトップクラウドは、レンタルサーバーとは別の仮想サーバーのサービスです。お知らせの中にPHPの脆弱性との関係は書かれておらず、対象も「お名前.com デスクトップクラウド 全プラン」です。レンタルサーバー ベーシック・RSプランなどの利用者が、このお知らせを理由にサイトを止めたりする必要はありません。デスクトップクラウドも契約している場合は、お知らせにあるとおり、サーバー内に保管していたIDやパスワードの変更と、便乗したフィッシングメールへの注意をしてください。
お名前.comはこれまで脆弱性にどう対応してきたか
過去のお知らせを見ると、お名前.comは脆弱性の対応をするとき、理由を書いた告知を出してきました。今回は、最初の告知では理由が書かれておらず、10月22日になってPHPの脆弱性への対応だと説明するお知らせが出ました。
サーバー側で直すときは「対応不要」と書いてきた
2026年4月30日の【緊急】[お名前.com レンタルサーバー] 脆弱性対応に伴うサーバーメンテナンス（2026/04/30）では、Linuxカーネル（サーバーのOSの中心部分）の脆弱性に対応する緊急メンテナンスを行い、脆弱性の番号と概要を載せたうえで「お客様側でのご対応は不要です」と書いています。サーバー会社が直せるものは、こうして作業と完了をまとめて知らせる形でした。
利用者に作業が必要なときは「お願い」を出してきた
2026年9月25日のWordPressの脆弱性（CVE-2026-87902）に関するご注意とアップデートのお願いでは、WordPressの対象バージョンと修正版を示し、自動更新を切っている利用者に手動での更新を求めています。PHPのバージョン選びのように利用者が決める部分は、利用者側の作業として案内される可能性があります。
PHPの新しいバージョンは順に追加されている
お名前.com レンタルサーバーでは、2026年2月12日にPHP 8.5の提供開始が告知され、新しく申し込んだサーバーの初期のバージョンは8.5になっています。ただし、以前から使っているサーバーは、契約した当時のバージョンが選ばれたままのことがあります。2024年3月のRSプランのPHPバージョンアップのお知らせのように、同じ系列の中の細かい更新（8.2.4から8.2.15など）はサーバー会社がまとめて行い、どの系列（8.2・8.3など）を使うかは利用者が選ぶ、という分担です。
自分のサイトのPHPバージョンを確かめる
まずは、いま使っているPHPのバージョンを確かめます。コントロールパネルでは系列（8.3など）、WordPressのサイトヘルスでは細かい番号（8.3.36など）まで分かります。
ステップ1｜コントロールパネルにログインする
公式ガイドのログイン手順によると、契約管理画面の「お名前.com Navi」にログインし、「レンタルサーバー」にマウスを合わせて「利用レンタルサーバー 一覧」を開き、契約の右側「コントロールパネル」欄の「ログイン」を押します。AIホームページパックの場合は「AIホームページパック」→「利用AIホームページパック 一覧」です。
ステップ2｜「高度な設定」→「PHP」で今のバージョンを見る
公式ガイド「PHPのバージョンを切り替える」のとおり、左メニューの「高度な設定」から「PHP」を開くと、「PHPバージョン」の欄に今の設定が表示されます。8.2・8.3・8.4・8.5のどれかなら、サーバー会社が修正版を入れれば対象になる系列です。8.1以前（8.1・8.0・7.4など）なら、次の章の切り替えを検討します。お名前.comは、5系や7系ではバージョンの変更が必要なケースもあるとしています。
ステップ3｜WordPressのサイトヘルスで細かい番号を見る
WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開くと、「PHPバージョン」に「8.3.36」のような番号が出ます。修正版は8.5.12・8.4.27・8.3.36・8.2.35なので、それぞれの系列でこの番号以上なら、修正版が入っていると考えやすくなります。番号が下のままなら、まだ反映されていない可能性があります。メンテナンス明けに改めて見て、それでも変わらなければ公式のお知らせを待つか、サポートに確認します。なお、サーバー会社が独自の修正を入れる場合は番号が変わらないこともあるため、最終的な判断はお知らせで行います。
| 今のバージョン | 状況 | 利用者がやること |
|---|---|---|
| 8.5・8.4・8.3 | 公式の修正版がある系列 | お知らせで適用の完了を確認し、サイトヘルスの番号を見る |
| 8.2 | 公式の修正版はあるが、PHP公式のサポートが2026年12月31日で終わる | 適用を確認したうえで、年内に8.3以上へ移る計画を立てる |
| 8.1・8.0・7.4など | PHP公式の修正版が出ない。お名前.comは今のバージョンのままパッチを当てるとしているが、5系・7系は変更が必要なケースもあると案内 | お知らせを確認し、7系以前ならバックアップを取って8.2以上（できれば8.3以上）へ切り替える |
8.1以前を使っているときの切り替え手順
PHP 8.1以前には、PHP公式の修正版が出ません。お名前.comは今のバージョンのままパッチを当てるとしていますが、5系や7系では「バージョンの変更が必要なケースもございます」としています。7系以前を使っている場合や、8.0・8.1でPHP公式のサポートが終わっていることが気になる場合は、8.2以上（できれば8.3以上）への切り替えを進めます。WordPressの本体やプラグインを最新にしても、PHPそのものの弱点は直りません。
ステップ1｜切り替えの前にバックアップを取る
お名前.com レンタルサーバーには、Webデータ・メールの受信データ・データベースを14日間無料で保存する自動バックアップ機能があります。ただ、Webデータを戻すときはサーバー内の別フォルダに復元され、24時間で自動削除されるなど、ボタン1つで元どおりになる仕組みではありません。また、10月22日時点ではファイルマネージャーが止まっているため、復元したファイルの取り出しもFTPソフトで行うことになります。切り替えの直前に、WordPressのバックアップ用プラグインやFTPソフトで、ファイルとデータベースを自分のパソコンにも保存しておくと安心です。
ステップ2｜テーマとプラグインの対応を確かめる
公式ガイドには、WordPressの一部のテーマについて注意が書かれています。BuryBury、Ocean、One、Petit、SunsetはPHP 8.0・8.1・8.2では使えず7.4を使うよう案内されており、THE THORは8.0〜8.2で警告が表示されるため最新版への更新を勧めています。これらのテーマで7.4のまま使っている場合は、テーマの更新や変更も合わせて考える必要があります。プラグインも、配布ページで対応しているPHPのバージョンを確かめておきます。
ステップ3｜「PHPバージョン」の「変更」を押す
コントロールパネルの左メニュー「高度な設定」→「PHP」を開き、「PHPバージョン」の右側にある「変更」を押します。
ステップ4｜バージョンを選んで「変更する」を押す
プルダウンから切り替えたいバージョンを選び、注意事項を読んでチェックボックスにチェックを入れ、「変更する」を押します。「PHPのバージョンを変更しました！」と表示されたら完了です。
ステップ5｜同じサーバーの全ドメインに反映されることを知っておく
公式ガイドには「PHPのバージョンはサーバー単位での切り替え」と書かれており、そのサーバーに設定している全てのドメインに反映されます。会社のサイトと採用サイト、キャンペーンサイトなどを1つのサーバーに同居させている場合は、全部のサイトを確認の対象に入れます。古いサイトだけ動かなくなることがあるため、その場合は古いサイトの改修か別サーバーへの移設を検討します。
切り替えたあとに確認すること
切り替えのあとは、見た目だけでなく、フォームやログインなどの「動く部分」まで確かめます。制作の現場では、表示は問題ないのに問い合わせフォームのメールだけ届かなくなっていた、というケースをよく見かけます。
表示と管理画面を確かめる
トップページと主なページを、パソコンとスマートフォンの両方で開きます。白い画面や「重大なエラー」の表示が出ていないか、WordPressの管理画面にログインできるか、投稿の編集画面が開くかを見ます。最後にサイトヘルスでPHPのバージョンが変わっていることも確かめます。
フォームとメールを確かめる
問い合わせフォームから実際に送信し、自動返信と管理者あてのメールの両方が届くかを確かめます。予約やネットショップの機能があれば、注文や予約の手前まで進めてみます。
不具合が出たときの戻し方
表示が崩れたときは、同じ画面で一時的に元のバージョンへ戻すことができます。ただ、8.1以前に戻したままにすると修正版のない状態が続くため、原因のテーマやプラグインを特定して直し、改めて切り替える日を決めておきます。
メンテナンス明けに見ておくこと
最初の緊急メンテナンスは10月22日10時に終わる予定でした（前後する可能性ありと告知）が、16時00分時点で、告知に完了や結果の追記はありません。さらに10月22日12時〜21時の緊急メンテナンスが、16時00分時点で実施中です（21時に終わる予定）。終わったら、次の順に確かめます。
お知らせの更新と追加を確かめる
お名前.comのお知らせとメンテナンス・障害情報で、緊急メンテナンスの告知が更新されていないか、PHPに関する新しいお知らせが出ていないかを見ます。利用者に作業を求める内容があれば、それに従います。
同じ日の別のメンテナンスと混同しない
RSプランでは、10月22日0時〜23時59分に一部のサーバーで定期のサーバーメンテナンスも予定されています。こちらは10月8日から掲載されている収容サーバーの移し替えで、対象者にはIPアドレスとホスト名の変更がメールで案内されます。PHPの話とは別なので、メールが届いた人はその案内に沿って作業してください。
修正までの間にできる補助の対策
コントロールパネルの「セキュリティ」→「WAF」で、不正なアクセスを検知して防ぐWAF（Webアプリケーションファイアウォール）をドメインごとに有効にできます。ただし、今回の弱点をこれで防げるとはお名前.comは案内していません。PHP公式も、設定の変更で攻撃の経路を減らす方法は「安全にはならない」としています。補助として考え、本命はPHPの修正版です。
よくある失敗と注意点
緊急メンテナンスがあったから直ったと思い込む
お名前.comは10月22日のお知らせで、セキュリティパッチの適用は「順次進めております」としていて、16時00分時点で適用を終えたとは書かれていません。また、5系や7系ではバージョンの変更が必要なケースもあるとしています。メンテナンスがあったことだけで、自分のサイトが直ったと決めつけないようにします。
php.iniの書き換えで済ませようとする
コントロールパネルには「php.ini編集」の機能もありますが、PHP公式は設定による回避策を「安全にはならない」としています。設定を誤るとサイト全体が動かなくなることもあるため、慣れていない場合は触らず、バージョンの確認と切り替えを優先します。
自分で判断しにくいときは相談を
次のような場合は、作業の前に相談したほうが安全です。古いテーマや独自に作ったPHPのプログラムを使っている、1つのサーバーに複数のサイトを置いている、切り替えたら表示が崩れた、管理画面に入れなくなった、などです。お名前.comへの問い合わせはお問い合わせ窓口から行えます。サイトを制作会社に作ってもらった場合や保守契約がある場合は、その会社にPHPのバージョンと切り替えの段取りを確認します。
よくある質問
Q. 10月21日夜の緊急メンテナンスはPHPの対応ですか？
A. はい。10月22日のお知らせで、10月21日以降の緊急サーバーメンテナンスとファイルマネージャー・Webメールの一時停止は、いずれもPHPの脆弱性への対応だと説明されました。16時00分時点では、パッチの適用を順次進めている段階です。続報のお知らせを確認してください。
Q. 利用者が何かする必要はありますか？
A. お知らせでは、今のPHPのバージョンのままお名前.comがセキュリティパッチを当てるので、基本的にバージョンの変更は不要としています。ただし、5系や7系を使っている場合はバージョンの変更が必要なケースもあるとしているので、7系以前なら8.2以上（できれば8.3以上）への切り替えを考えます。8.2以上なら、お知らせで適用の完了を確かめます。
Q. WordPressとプラグインを最新にすれば大丈夫ですか？
A. 今回の弱点はPHPそのものにあるため、WordPressやプラグインの更新では直りません。WordPressの更新は別の理由で大切なので続けたうえで、PHPの修正版が入っているかを確かめます。
Q. デスクトップクラウドの不正アクセスとPHPの脆弱性は関係がありますか？
A. デスクトップクラウドのお知らせにPHPとの関係は書かれていません。レンタルサーバーとは別のサービスで、レンタルサーバーの利用者が同じ対応をする必要はありません。
Q. PHPのバージョンはどれを選べばよいですか？
A. テーマとプラグインが対応していれば、8.3以上を選ぶと次の切り替えまでの期間に余裕があります。8.2はPHP公式のサポートが2026年12月31日で終わります。選び方はPHPバージョンの基礎を解説した記事も参考にしてください。
Q. 共用サーバーSDやGSを使っています。手順は同じですか？
A. この記事の画面の手順は、レンタルサーバー ベーシック・RSプラン・AIホームページパック向けの公式ガイドに沿っています。共用サーバーSDなど旧プランは管理画面が異なるため、各プランのガイドで「PHPバージョン変更」の場所を確かめてください。
まとめ
お名前.com レンタルサーバーは、10月21日19時から緊急メンテナンスを行い、22日にはファイルマネージャーとWebメールも予防的に止めています。22日のお知らせで、これらはPHPの脆弱性への対応だと説明され、セキュリティパッチを順次当てていること、サイトの表示とメールの送受信は通常どおりであることが案内されました。22日16時00分時点で、適用を終えたという発表はまだありません。利用者が今できるのは、コントロールパネルの「高度な設定」→「PHP」でバージョンを確かめ、7系以前ならバックアップを取って8.2以上（できれば8.3以上）へ切り替えること、そしてメンテナンス明けにお知らせとサイトヘルスで反映を確かめることです。他のサーバー会社の対応は、エックスサーバーの管理画面停止の記事や国内の動きのまとめで整理しています。
出典：PHPの脆弱性への弊社対応について（10/22）／お名前.com レンタルサーバー 緊急メンテナンス（10/22）／お名前.com レンタルサーバー 緊急メンテナンス（10/21）／ファイルマネージャー・Webメール一時停止（10/22）／共用サーバーGS 緊急メンテナンス（10/21）／デスクトップクラウド 不正アクセスのお知らせ／PHPのバージョンを切り替える（公式ガイド）／自動バックアップ機能について（公式ガイド）／PHP公式のセキュリティ勧告／PHPのサポート期間。最新の情報はお名前.comの公式サイトでご確認ください。
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
