ペライチのPHP脆弱性への対応とは、2026年10月21日に修正版が公開されたPHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619、通称「php2shell」）と同じ夜に、ペライチが実施した緊急メンテナンスと、ペライチでページを公開している方が確認しておきたいことの話です。結論から言うと、ペライチは10月21日22時50分から22日0時15分まで、全サービスと公開ページを止めて「利用しているソフトウェアの脆弱性」への対応を行い、すでに復旧しています。公式発表では、現時点でこの脆弱性による被害は確認されていません。ペライチの利用者が自分でPHPを更新する必要はありませんが、停止中のお問い合わせの確認と、アカウントの守りを見直しておくと安心です。
速報（2026年10月22日16時00分時点・当社調べ）
| PHPの脆弱性への対応 | 公式の告知なし（PHPとは書かれていません。「利用しているソフトウェアの脆弱性」への緊急メンテナンスは10月22日0時15分に完了と発表） |
| 管理画面・ログイン | 入れる（ログイン画面が通常どおり開くことを確認。ログインはしていません） |
| サイト・サービスの表示 | 通常どおり（障害情報ページは「All Systems Operational」。全サービス復旧済みと発表） |
| 確認した公式ページ | ペライチ公式ニュース、ペライチの障害情報ページ |
状況は変わることがあります。最新の情報は公式ページでご確認ください。
この記事は、2026年10月22日16時00分時点のペライチ公式ニュース、ペライチの障害情報ページ、ペライチ公式ヘルプ、PHP公式のセキュリティ情報をもとにしています。状況は変わることがあるため、最新の情報は必ず公式ページでご確認ください。脆弱性そのものの説明はPHPの重大な脆弱性（CVE-2026-109618/109619）の解説記事に、10月21日に国内で何が起きたかは10月21日のまとめ記事にまとめています。
ペライチが公表していること（10月22日16時00分時点）
要点は、10月21日の夜に予告なしで全サービスを止め、翌22日0時15分に作業を終えた、ということです。ペライチは2026年8月1日から親会社のラクスル株式会社が運営しているため、発表の名義はラクスル株式会社になっています。公表は2か所に出ています。
10月21日22時47分｜障害情報ページでの停止の告知
最初の告知は、ペライチの障害情報ページに出ました。「利用しているソフトウェアに発見された脆弱性に対し、更新パッチの反映まで安全性を確保するため」システムを止めるという内容で、予定は10月21日22時50分から22日1時まで。メンテナンス中はペライチの全サービスが使えず、公開しているページも見られなくなると案内されていました。
10月22日｜「緊急メンテナンス実施のご報告」
10月22日には、公式ニュースのメンテナンス情報に「【完了】緊急メンテナンス実施のご報告（10/21〜10/22）」が掲載されました。実際の停止時間は10月21日22時50分から22日0時15分までで、予定より早く終わっています。緊急性が高いと判断したため、十分な事前告知をせずに実施したこと、現在はすべてのサービスが通常どおり使えること、ページが正しく表示されない場合はブラウザの再読み込みを試してほしいことが書かれています。
公式発表の要点を一覧で確認する
| 項目 | 公式発表の内容 |
|---|---|
| 理由 | 利用しているソフトウェアに脆弱性が発見されたため（ソフトウェア名は書かれていない） |
| 停止した時間 | 10月21日（水）22時50分〜10月22日（木）0時15分 |
| 止まった範囲 | ペライチの全サービス。お客様が公開しているページも閲覧できなかった |
| 被害 | 現時点で本脆弱性に起因する被害は確認されていない |
| 利用者へのお願い | 特別な操作の案内はなし。表示がおかしいときはブラウザの再読み込み |
| 問い合わせ先 | ペライチのサポート |
ペライチはPHPの脆弱性の影響を受けるのか
答えは「ペライチは、どのソフトウェアかを公表していない」です。ここは推測で決めつけず、分かっていることと分かっていないことを分けて見ていきます。
告知は「利用しているソフトウェア」とだけ書いている
ペライチの2つの告知には、「PHP」という言葉は出てきません。10月22日16時00分時点で、ペライチの公式ニュース、障害情報ページ、公式ヘルプのどこにも、PHPの脆弱性に触れた記事は見つかりませんでした。同じ日に停止したBASEのように「利用しているPHPに重大な脆弱性」と書いた会社もありますが、ペライチは対象のソフトウェアを明らかにしていません。
時間帯はPHPの修正版公開とほぼ重なる
一方で、PHPの開発チームが修正版（8.5.12・8.4.27・8.3.36・8.2.35）を公開したのは日本時間の10月21日22時48分ごろで、ペライチの告知（22時47分）や停止の開始（22時50分）とほぼ同じ時刻です。告知には「更新パッチの反映まで」とあり、修正版の公開に合わせて対応したと読むこともできますが、ペライチ自身はそう説明していません。関係があるかどうかは、公式の説明が出るまで「不明」と考えるのが正確です。
ペライチの利用者はPHPを選んだり更新したりしない
どちらにしても、利用者がやることは変わりません。公式ヘルプの「FTPについて」では、ペライチはホームページの作成と公開をまとめて提供するクラウド上のサービスで、利用者がPHPファイルなどを用意してサーバーに置く必要はないと説明されています。レンタルサーバーと違って、PHPのバージョンを選ぶ画面もありません。サーバー側のソフトウェアの更新はペライチの運営側が行うもので、利用者が修正版に切り替える作業はありません。
10月21日〜22日の停止で起きたこと
利用者側に関係するのは、約1時間25分のあいだ、ページの表示もお客様からの申し込みも止まっていたことです。夜遅い時間帯でしたが、念のため影響を確認しておきましょう。
公開ページが見られなかった
公式発表では、停止中は「お客様が公開されているページも閲覧できない状態」でした。独自ドメインで公開しているページも含めて、この時間にアクセスした人にはページが表示されなかったと考えられます。広告を出している場合は、この時間の広告費が無駄になっていないか、広告の管理画面で確認しておくとよいでしょう。
フォーム・予約・決済も使えなかった
「全サービスがご利用いただけない状態」とされているため、ページ上のお問い合わせフォーム、予約、ペライチ決済も、この時間は使えなかったと考えるのが自然です。お客様が送信ボタンを押したのにエラーになった、という可能性があります。停止中の送信がどう扱われたかは公式発表に書かれていないため、気になる場合はサポートに確認してください。
管理画面にも入れなかった
編集画面や管理画面も止まっていました。その時間に編集していたページがある場合は、保存されているかを開いて確かめてください。障害情報ページには、22日0時16分に「解決」と表示されています。
ペライチの管理画面で確認すること
公式発表で利用者に求められている操作はありませんが、停止が全サービスに及んだので、次の順番で一度確認しておくと安心です。画面の名前は公式ヘルプの表記に合わせています。
ステップ1｜公開ページが正しく表示されるか
自分のページをパソコンとスマートフォンの両方で開き、画像や文字、フォームが正しく表示されるかを見ます。表示が崩れているときは、公式の案内どおりブラウザの再読み込みを試し、それでも直らなければシークレットモード（閲覧履歴を残さない表示方法）でも確かめてください。手順は公式ヘルプ「ページの表示や動作が正常に行われない場合の対処方法」にあります。
ステップ2｜フォームのお問い合わせと通知メール
フォームから届いたお問い合わせは「フォーム管理画面」で確認できます（公式ヘルプ「フォームからの問い合わせはどこで確認できますか。」）。10月21日夜から22日朝にかけての受付を見て、通知メールが届いている件数と合っているかを確認します。ふだんより少ないと感じたら、テスト送信をして通知メールが届くかも試しておきましょう。
ステップ3｜予約と注文の状況
予約機能を使っている場合は、予約管理画面の「予約台帳」で、停止の前後に入った予約がそろっているかを見ます（「予約申し込みの確認方法」）。ペライチ決済で販売している場合は、上部メニューの「決済」から「注文管理」を開き、注文番号や注文ステータスにおかしなところがないかを確認します（「注文管理画面とは」）。
ステップ4｜アカウント情報の登録内容
右上の「アカウント情報」から「ご登録情報」を開き、お名前・メールアドレス・クレジットカード情報が自分の登録したままになっているかを見ます。あわせて「決済履歴」で、身に覚えのない支払いがないかも確認しておきましょう（「アカウント情報画面の確認方法」）。
ステップ5｜ワークスペースのメンバー
ワークスペース（複数人でページを共同編集・管理する機能）を使っている場合は、アカウントメニューの「ワークスペース設定」から「メンバー」を開き、知らない人が入っていないか、退職した人や契約が終わった制作会社が残っていないかを確認します（「メンバー一覧」）。この画面を操作できるのは、オーナーか管理者の役割を持つメンバーだけです。
確認の一覧表
| 確認すること | 開く画面 | 見るところ |
|---|---|---|
| ページの表示 | 公開ページ（パソコン・スマートフォン） | 画像・文字・フォームが崩れていないか |
| お問い合わせ | フォーム管理画面 | 10/21夜〜10/22朝の受付と通知メールの件数 |
| 予約 | 予約管理画面の「予約台帳」 | 停止前後の予約がそろっているか |
| 注文 | 「決済」→「注文管理」 | 注文ステータスに不自然なものがないか |
| 登録情報 | 「アカウント情報」→「ご登録情報」 | メールアドレス・カード情報・決済履歴 |
| メンバー | 「ワークスペース設定」→「メンバー」 | 不要なメンバーが残っていないか |
アカウントを守るために見直したい設定
今回の停止とは直接関係なく、ふだんからやっておきたい守りの設定です。大きな脆弱性のニュースが出たときは、それに便乗した偽メールも増えやすいので、この機会に見直しておくと安心です。
二段階認証（ワンタイムパスワードログイン）をオンにする
ペライチには、ログインのときにメールアドレスとパスワードに加えて、メールで届く使い捨ての確認番号を入力する二段階認証があります。設定は右上の「アカウント情報」から「ご登録情報」を開き、「利用する」を選ぶだけです。初期設定は「利用しない」なので、まだの方はオンにしておきましょう（「二段階認証（ワンタイムパスワードログイン）の設定方法」）。なお、定期便の管理ツール「Board」はこの設定の対象外で、「決済Lite」は別に設定があります。
パスワードとログイン方法を確認する
ペライチのログイン方法は、メールアドレス、Facebookアカウント、Googleアカウント、ラクスルアカウントの4種類です（「ログイン認証の変更方法」）。メールアドレスでログインしている方は、ほかのサービスと同じパスワードを使い回していないかを確認し、必要なら「ご登録情報」のパスワードの「変更」から新しいものにします。GoogleやFacebookでログインしている方は、そちらのアカウント側の二段階認証を確認してください。
ワークスペースのメンバーと権限を整理する
ワークスペースでは、メンバーごとに役割を付けたり、グループごとに「決済管理」などの権限を分けたりできます（「権限について」）。ページを直すだけの人に決済まわりの権限が付いていないかを見直し、不要になったメンバーは、メンバー一覧の「…」から「削除」で外します（「メンバーの削除方法」）。削除したメンバーはワークスペースにログインできなくなります。
外部サービスとのつながりを見直す
ペライチは、Googleアナリティクスやサーチコンソール、SNS、PayPalなどの外部サービスとつなげられます。公式ヘルプには、つながっているサービスを一覧で確認する画面の説明は見当たらなかったため、使っている連携をひとつずつ思い出し、相手のサービス側でも、使っていない連携やログイン許可が残っていないかを確認するのが確実です。注文情報の外部連携（ヤマトB2クラウド・ネクストエンジン向け）は、ファイルをダウンロードして取り込む方式と説明されています。
お客様の情報やカード情報について
ここは公式に書かれていることだけを伝えるのが大切です。10月22日16時00分時点で、ペライチは「現時点で本脆弱性に起因する被害は確認されておりません」と発表しています。お客様の個人情報やカード情報が漏れたという発表は出ていません。
公式に書かれていること・書かれていないこと
今回の発表には、お客様の情報やカード情報について個別の説明はありません。また、ペライチ決済で入力されたカード番号をどこでどう扱っているかを説明した公式ヘルプも、今回は見つけられませんでした。「カード情報は安全です」と言い切れる材料はないため、お客様に伝えるときも公式発表の範囲にとどめましょう。ペライチは情報セキュリティの国際規格ISO/IEC 27001の認証を取得していると公式ヘルプ「セキュリティチェックについて」で案内しています。
お客様に聞かれたときの伝え方
お客様から「ニュースを見たけれど大丈夫？」と聞かれたら、次のように事実だけを伝えるのがおすすめです。
当店のホームページは「ペライチ」というサービスで運営しています。ペライチでは10月21日22時50分から22日0時15分まで、ソフトウェアの脆弱性への対応のため緊急メンテナンスが行われ、この間はページやフォームをご利用いただけませんでした。運営会社の発表では、現時点でこの脆弱性による被害は確認されていないとのことです。新しい情報が出ましたら、あらためてお知らせします。
停止中にフォームや予約が送れなかったかもしれないお客様には、「その時間に送信された方は、お手数ですがもう一度お送りください」と添えると親切です。
カードの明細について聞かれたとき
ペライチ決済でカード払いをしたお客様の明細には、お店の名前ではなく「ペライチ決済」「ST＊ペライチ」などと表示されることがあります（「ペライチ決済：クレジットカード明細書上の請求名」）。今回のニュースで明細を見直したお客様から「知らない請求がある」と問い合わせが来たときは、この表示名を伝えると話が早く進みます。請求名は「カード請求時（明細）の名義の設定方法」の手順で自分のお店の名前にしておくこともできます。
10月のほかの公式発表（PHPとは別の話）
今回の件とは別に、ペライチで事故の発表がなかったかも確認しました。結論として、2026年10月にペライチが公表した、不正アクセスなどの別の事故は見当たりません。
10月は緊急メンテナンスの発表だけ
公式ニュースの一覧で、10月に出ているのは今回の緊急メンテナンスの報告だけです。障害情報ページも、10月8日から20日まで「No incidents reported（障害の報告なし）」となっています。ほかのホームページ作成サービスで10月に起きた事故とは、混同しないようにしてください。
参考｜4月の「なりすましメール」の件
時期は違いますが、2026年4月17日には「弊社ドメインを装った不審メールにご注意ください」という発表がありました。メール送信の仕組みの認証情報が不正に使われ、ペライチのアドレス（noreply@peraichi.com）を送信元にした英語の偽メールが主に海外へ送られたという内容です。発表では、サーバーやデータベースへの不正アクセスは伴わず、個人情報の流出は確認されていないとされています。今回のPHPの件とは別の話です。
サポートに相談したほうがよいとき
次のような場合は、ひとりで抱え込まずにペライチのサポートへ問い合わせてください。窓口は公式ヘルプ「お問い合わせ方法」から開けるお問い合わせフォームで、対応時間は平日10時から18時です。
相談したほうがよい場面
- 再読み込みやシークレットモードを試しても、ページの表示がおかしいままになっている
- 停止の前後で、フォームや予約、注文の記録が欠けているように見える
- 登録したメールアドレスやパスワードが勝手に変わっている、知らないメンバーが増えている
- 決済履歴に身に覚えのない支払いがある
- ログインできなくなった（ログインできない場合は、登録したメールアドレスから support@peraichi.co.jp へ連絡するよう案内されています）
問い合わせるときに伝えること
公式ヘルプでは、ペライチに登録したメールアドレスから送ること、エラー画面のスクリーンショットを付けること、対象ページのURLを正確に書くこと、すでに試したことを時系列で書くことが勧められています。「10月21日の緊急メンテナンスのあとから」と時期を書き添えると、話が早く進みます。
ペライチ以外でもサイトを動かしている場合
ペライチのページとは別に、レンタルサーバーでWordPressのブログやネットショップを動かしている場合は、話が変わります。そちらはPHPの修正版になっているかを、利用者自身で確認する必要があります。
レンタルサーバーのPHPは修正版になっているか
修正版は8.5.12・8.4.27・8.3.36・8.2.35です。PHP 8.1以前には公式の修正版が出ていないため、8.2以上への切り替えを検討してください。WordPressやプラグインを最新にしても、PHP本体の弱点は直りません。確認の手順はPHPの脆弱性の解説記事、エックスサーバーの動きはエックスサーバーの管理画面停止の記事にまとめています。
サービスの選び方で、やることが変わる
サイト制作の現場では、今回のような大きな脆弱性のときに「運営会社がまとめて直すサービス」と「自分でPHPを選んで更新するサーバー」の違いがはっきり出ます。ペライチのようなサービスは、利用者の作業が少ない代わりに、止めるタイミングを自分では選べません。どちらが合うかは、更新を任せられる人がいるか、止まったときに困る仕組みがあるかで決まります。詳しくはホームページ作成サービス比較の記事も参考にしてください。
よくある質問
Q. ペライチの緊急メンテナンスはPHPの脆弱性のためですか？
A. 公式発表は「利用しているソフトウェアに脆弱性が発見されたため」としか書いておらず、10月22日16時00分時点ではPHPかどうかは公表されていません。時間帯はPHPの修正版公開とほぼ重なっています。
Q. ペライチの利用者がPHPを更新する必要はありますか？
A. ありません。ペライチは利用者がPHPファイルを置いたりPHPのバージョンを選んだりするサービスではなく、サーバー側の更新は運営側が行います。
Q. お客様の個人情報やカード情報は漏れていませんか？
A. ペライチは「現時点で本脆弱性に起因する被害は確認されておりません」と発表しています。情報が漏れたという発表は出ていません。新しい発表が出る可能性もあるため、公式ニュースを確認してください。
Q. 停止中にお客様が送ったフォームはどうなりますか？
A. 停止中は全サービスが使えなかったため、送信できなかった可能性があります。扱いは公式発表に書かれていないので、フォーム管理画面で受付を確認し、気になる場合はサポートに問い合わせてください。
Q. 二段階認証はどこで設定しますか？
A. 右上の「アカウント情報」から「ご登録情報」を開き、ワンタイムパスワードを「利用する」にします。初期設定は「利用しない」です。
Q. ペライチの運営会社は変わったのですか？
A. 2026年8月1日に株式会社ペライチが親会社のラクスル株式会社と合併し、現在はラクスル株式会社が運営しています。公式発表では、サービス内容や公開中のページ、独自ドメインはそのまま続くとされています。
この記事は2026年10月22日16時00分時点の情報です。ペライチから新しいお知らせが出た場合は、公式ニュースと障害情報ページの内容を優先してください。
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
