さくらのレンタルサーバのPHP脆弱性対応とは、2026年10月21日に修正版が公開されたPHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619、通称「php2shell」）について、さくらインターネットの告知で何が分かっていて、利用者が自分のサーバーで何を確認すればよいか、という話です。結論から言うと、2026年10月22日8時30分時点で、さくらインターネットは10月21日にレンタルサーバ・VPSの緊急メンテナンスを実施しましたが、その告知に理由の記載はなく、PHPの脆弱性に触れた公式のお知らせも、修正版PHPを適用したというお知らせも見つかっていません。

この記事は、2026年10月22日8時30分時点のさくらのサポート情報（カスタマーセンターからのお知らせ）、メンテナンス情報、公式マニュアル、PHP公式のセキュリティ情報をもとにしています。状況は随時変わるため、最新の情報は必ず公式ページでご確認ください。脆弱性そのものの説明はPHPの重大な脆弱性（CVE-2026-109618/109619）の解説記事にまとめています。ここでは、さくらのレンタルサーバでWordPressなどを動かしている方が「自分は何をすればよいか」に絞って整理します。

さくらインターネットが公表していること（10月22日8時30分時点）

要点は、10月20日から21日にかけて、レンタルサーバの一部のサーバーとVPSで緊急メンテナンスが行われたこと、そしてその告知には理由が書かれていないことです。順番に見ていきます。

10月20日掲載：レンタルサーバ・マネージドサーバの緊急メンテナンス

10月20日に掲載された「[緊急]さくらのレンタルサーバ・マネージドサーバの一部」では、作業内容は「再起動を伴うシステムメンテナンス」とされています。対象は一部のサーバー（www801〜www1900.sakura.ne.jp など、ホスト名の範囲で指定）で、作業中は数分から30分程度、Web・メール・FTPなどに接続できない時間が出ると案内されていました。

作業は2回に分かれていて、1回目の10月21日1時〜8時の作業は4時42分に完了。2回目は当初10月22日1時〜8時の予定でしたが、10月21日11時40分に「10月21日13時〜10月22日8時」へ前倒しされ、対象の範囲も一部広がりました。その後、10月21日22時30分に「本メンテナンスは完了いたしました」と追記されています。

10月21日掲載：レンタルサーバ・VPSの緊急メンテナンスのお知らせ

10月21日昼には、サポートサイトの重要なお知らせとして「さくらのレンタルサーバ・さくらのVPS 緊急メンテナンス実施のお知らせ」が出ました。期間はレンタルサーバ・マネージドサーバが10月21日13時〜10月22日8時頃、VPSが10月21日15時〜10月22日18時頃です。「一時的に接続できない、またはサービスを利用できない場合は、本メンテナンスの影響の可能性がある」とされ、利用者に特別な操作は求められていません。

VPSについては別のメンテナンス情報で、「障害によるデータの消失や長時間のサービス停止を未然に防止するため」のソフトウェアメンテナンスで、1台あたり1時間程度止まると説明されています。

同じ日に出たそのほかの一時停止

10月21日の夕方には、会員新規登録・会員ID検索・会員メニューのパスワード再発行の停止（10月21日22時30分〜10月22日3時）と、さくらのSSL・さくらのドメインの一部機能と新規申し込みの停止も告知されました。どちらも理由は書かれていません。

10月16日から：新規申し込みの受付停止（Linuxカーネルの脆弱性対応）

これとは別に、さくらのレンタルサーバ・マネージドサーバは10月16日から新規申し込みの受付を止めています。こちらははっきり理由が書かれていて、Linuxカーネル（サーバーの土台になっているOSの中心部分）の脆弱性CVE-2026-99999の影響調査と対応のため、とされています。会社としてのお知らせ（10月20日19時15分更新）でも、レンタルサーバが影響調査の対象に入っています。契約中のプランは通常どおり動いていると案内されています。

緊急メンテナンスとPHPの関係は「公式には不明」

今回の緊急メンテナンスがPHPの脆弱性のためだったのかは、公式には説明されていません。報道でも書き方が分かれているので、ここでは断定しないでおきます。

報道ごとの書き方の違い

ITmedia NEWS（10月21日）は、さくらのレンタルサーバを緊急メンテに入ったサービスの1つとして挙げ、PHPの脆弱性の「影響とみられる」と推測の形で伝えています。日経クロステックはPHPの脆弱性を巡る動きとして、さくらインターネットが一部サービスの機能を停止したと報じました。一方、セキュリティ事案をまとめているpiyologは、作業内容が再起動を伴うシステムメンテナンスとされており、本件との関連は明らかになっていないと整理しています。また、上で紹介したLinuxカーネルの脆弱性対応と結びつけて伝える記事もあります。

修正版PHPが適用されたかどうかも、まだ公表されていない

時刻を並べると、レンタルサーバの緊急メンテが完了したのは10月21日22時30分で、PHPの修正版が公開されたのはその後の22時48分ごろです。つまり、今回のメンテナンスの中で修正版PHPが入ったとは、告知からは読み取れません。10月22日8時30分時点で、修正版PHP（8.2.35・8.3.36・8.4.27・8.5.12）をレンタルサーバに適用したというお知らせも見つかっていません。

ただし、レンタルサーバではPHP本体の入れ替えはサーバー会社の側で行うもので、お知らせを出さずに順次更新される場合もあります。「告知がない＝対応していない」ではありません。だからこそ、自分のサイトで実際に動いているPHPのバージョン番号を、細かいところまで確認しておくのが確実です。

この脆弱性で押さえておきたい3つのこと

詳しい中身は解説記事に譲り、さくらのレンタルサーバの利用者に関係する点だけ挙げます。

外から勝手にプログラムを動かされるおそれがある

PHP公式によると、2件とも、ログインしていない第三者がサーバー上で好きなプログラムを動かせてしまうおそれのある弱点です。危険度の目安（CVSS）は10点満点中9.2と、とても高い評価です。WordPressのプログラムが動き出す前の段階で狙われるため、WordPressやプラグインを最新にしても防げません。

修正版はPHP 8.2以上だけ

修正版は8.5.12・8.4.27・8.3.36・8.2.35の4つです。PHP 8.1以前には、公式の修正版は配られていません（8.1は2025年12月31日でセキュリティ対応の期間が終わっています）。

さくらは古いPHPを「予告なく提供終了」することがある

さくらのレンタルサーバのPHP提供ポリシーでは、サポートが終わったPHPも基本的には使い続けられるようにしています。ただし「セキュリティサポート終了後に重大な脆弱性が発見された場合、予告なく提供終了することがある」とも書かれていて、その場合はいちばん近い上のバージョンに自動で切り替えると案内されています。今回そうなると決まったわけではありませんが、8.1以前を使っている場合、ある日突然バージョンが変わってサイトの表示が崩れる、ということもありえます。先に自分で切り替えて確かめておくほうが安心です。

自分のサイトのPHPバージョンを確かめる

確認する場所は2つあります。「どのバージョンを選んでいるか」はコントロールパネル、「実際に動いている細かい番号」はWordPressのサイトヘルスで見るのが分かりやすいです。

ステップ1｜サーバーコントロールパネルにログインする

サーバーコントロールパネルにログインします。公式マニュアルでは、「初期ドメイン（○○.sakura.ne.jp）または追加したドメイン」とサーバーのパスワードでログインするよう案内されています。メールアドレスとメールパスワードで入るとメールの設定しか表示されないので注意してください。サーバーのパスワードが分からない、ログインできないときはさくらのレンタルサーバにログインできないときの記事も参考になります。

ステップ2｜「スクリプト設定」から「言語バージョン設定」を開く

公式マニュアル「PHPのバージョンを変更したい」のとおり、メニューの「スクリプト設定」にある「言語バージョン設定」をクリックします。ここに、いま選ばれているPHPのバージョンが表示されます。

ステップ3｜WordPressの「サイトヘルス」で細かい番号を見る

WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開くと、「PHPバージョン」の欄に「8.3.36」のような3つの数字の番号が出ます。今回はこの最後の数字が大事です。8.3系なら8.3.36以上、8.2系なら8.2.35以上になっていれば修正版です。それより小さい場合は、サーバー会社の更新がまだ反映されていないということなので、お知らせを確認しながら少し時間をおいて見直してください。

WordPress以外のサイトで確かめたいとき

WordPressを使っていない場合は、PHPの情報を表示するだけの小さなファイルを置いて確かめる方法もあります。ただ、そのファイルはサーバーの内部情報をそのまま見せてしまうので、確認したらすぐ消してください。慣れていなければ、制作会社や保守の担当者に確認してもらうほうが安全です。

切り替える前にバックアップを取る

PHPのバージョンを変えると、古いテーマやプラグインが動かなくなることがあります。元に戻せるように、切り替えの前にバックアップを取っておきます。さくらのサーバー側でも毎日バックアップは取られていますが、公式マニュアルによると、これは障害対応のためのもので、利用者の操作ミスでの復元には使えません。

方法1｜「バックアップ&ステージング」でスナップショットを取る

スタンダード以上のプランとマネージドサーバでは、無料のバックアップ&ステージングが使えます。コントロールパネルの「Webサイト/データ」→「バックアップ」→「Snapup」と進み、サイトを登録してから「スナップショットを追加、作成する」→「本番サーバから取得」で、WordPressのファイルとデータベースをまとめて保存できます（手順はWordPressのスナップショットを作成したい）。初めて使う場合は、先に「利用開始」の操作が必要です。ライトプランとお試し期間中は使えません。

方法2｜FTPとphpMyAdminで手元に保存する

もう1つは、FTPソフト（サーバーとパソコンの間でファイルをやりとりするソフト）でファイル一式をダウンロードし、phpMyAdmin（データベースを画面から操作する道具）で記事データの入ったデータベースを書き出す方法です。公式マニュアルも、WordPressはファイルだけでは不完全で、データベースの書き出しも必要だとしています。バックアップ&ステージングを使える場合でも、手元に1つ持っておくと解約や操作ミスのときに助かります。

心配ならステージングで先に試す

古いテーマや独自に作り込んだサイトで不安な場合は、バックアップ&ステージングの「ステージングサーバー」（本番そっくりの試し用の環境）にコピーして、先に新しいPHPで動くか試す手もあります。ただし公式の注意書きどおり、ステージングはレンタルサーバとは別の環境なので、PHPの動きが本番と少し違うことがあります。また作成から90日で自動的に消えます。

PHPのバージョンを切り替える手順

PHP 8.1以前を使っている場合や、8.2以上でもより新しい系統へ上げたい場合の手順です。公式マニュアルでは、設定はすぐに反映され、問題があれば古いバージョンを選び直せば元に戻せるとされています。

ステップ1｜使っているテーマ・プラグインの対応状況を見る

切り替える前に、WordPress本体・テーマ・プラグインを最新にし、配布元のページで「PHP 8.2以上に対応しているか」を見ておきます。長く更新されていないプラグインは、新しいPHPで止まることが多い部分です。

ステップ2｜「言語バージョン設定」でバージョンを選んで保存する

「スクリプト設定」→「言語バージョン設定」で、PHPのバージョンの項目から新しいバージョンを選び、「保存する」をクリックします。選べるバージョンはサーバーによって違うので、画面に出ているものから8.2以上を選んでください。いきなり一番新しいものにせず、まず8.3や8.2など、テーマやプラグインが対応をうたっている系統を選ぶのが無難です。

ステップ3｜「モジュール」のチェックを確認する

スタンダード以上のプランでは、バージョンを選ぶときに「モジュール」にチェックを入れると、モジュールモード（PHPをより速く動かす動き方）になります。ライトプランは使えません。これまでモジュールモードだった場合は、切り替え後も同じ状態になっているか見ておくと、表示速度の変化に戸惑わずに済みます。

ステップ4｜「現在のバージョン」が変わったか確かめる

保存後、画面の現在のバージョンが選んだものに変わっていれば完了です。続けてWordPressのサイトヘルスでも番号を確認します。

切り替えたあとに確認すること

切り替えたら、すぐに次の点を見ておきます。公式マニュアルも、変更後はサイトの表示や投稿などの動作確認をするよう案内しています。

トップと主なページがパソコン・スマホで表示されるか

トップページ、よく見られるページ、問い合わせページを、パソコンとスマートフォンの両方で開きます。真っ白になる、エラーの文字が出る、レイアウトが崩れるといった変化がないかを見ます。

管理画面へのログインと投稿の保存ができるか

WordPressにログインし、下書きを1つ保存してみます。画像のアップロードも試しておくと安心です。

問い合わせフォームのメールが届くか

フォームから自分宛てにテスト送信して、受付のメールと自動返信が届くか確認します。表示は問題ないのにメールだけ止まっている、というのは気づきにくい不具合です。

よくある失敗と困ったときの対処

制作の現場で、PHPを切り替えたときによく起きることをまとめます。

画面が真っ白になった・エラーが出た

まずは「言語バージョン設定」で元のバージョンに戻せば、表示は戻ります。ただ、8.1以前に戻した状態は今回の脆弱性の修正が入っていない状態です。戻したままにせず、止まる原因になったテーマやプラグインを特定して、更新・入れ替えをしてから改めて切り替えてください。

コントロールパネルに設定項目が出ない

メールアドレスでログインしていると、メールの設定しか表示されません。いったんログアウトし、初期ドメインとサーバーパスワードでログインし直してください。

番号が修正版より小さいまま

選んでいる系統が8.2以上なのに番号が古いままなら、利用者の側で直せることはありません。さくらインターネットのお知らせやメンテナンス・障害情報を確認し、更新を待ちます。気になる場合はサポートに問い合わせてください。

自分で判断しにくいときは相談を

次のような場合は、無理に自分で進めず、サイトを作った制作会社や保守の担当者、またはさくらインターネットのサポートに相談するのがおすすめです。

• PHP 8.1以前で、長く更新していない独自のテーマやシステムを使っている
• 予約や会員機能など、止まると困る仕組みがPHPで動いている
• サイトに見覚えのないページやファイルが増えている、急にエラーが続くなど、普段と違う動きがある
• サーバーのパスワードが分からず、コントロールパネルに入れない

相談するときは、ドメイン名、コントロールパネルに出ているPHPのバージョン、サイトヘルスに出ている細かい番号、使っているテーマ名を伝えると話が早く進みます。

よくある質問

Q. 10月21日の緊急メンテナンスはPHPの脆弱性のためですか？

A. 公式の告知には理由が書かれておらず、10月22日8時30分時点では分かりません。作業内容は「再起動を伴うシステムメンテナンス」とされています。報道でも見方が分かれています。

Q. さくらのレンタルサーバのPHPは修正版になっていますか？

A. 10月22日8時30分時点で、修正版を適用したという公式のお知らせは見つかっていません。WordPressのサイトヘルスで番号を見て、8.2.35・8.3.36・8.4.27・8.5.12以上かを確認するのが確実です。

Q. 利用者が何か操作しないといけませんか？

A. 緊急メンテナンスの告知では、特別な操作は求められていません。ただ、PHP 8.1以前を選んでいる場合は修正版がないため、8.2以上への切り替えを検討してください。

Q. WordPressとプラグインを最新にすれば大丈夫ですか？

A. いいえ。今回の弱点はPHP本体にあるので、WordPressやプラグインの更新では直りません。PHPが修正版になっている必要があります。WordPressを最新にしておくことは、PHPを切り替えるときの不具合を減らすのに役立ちます。

Q. ライトプランでもPHPのバージョンは変えられますか？

A. はい。公式マニュアルでは、ライトプランも「言語バージョン設定」でバージョンを選べます（CGIモードのみ）。ただしバックアップ&ステージングは使えないので、FTPで手元にバックアップを取ってから切り替えてください。

Q. VPSを使っている場合はどうなりますか？

A. さくらのVPSは、サーバーの中のOSやPHPを利用者が自分で管理するサービスです。VPSの中で動いているPHPは、利用者自身が修正版へ更新する必要があります。10月21日〜22日のVPSのメンテナンスは、VPSを載せている機械（ホストサーバー）側のソフトウェアメンテナンスとされていて、VPSの中のPHPが更新されるとは書かれていません。

この記事は2026年10月22日8時30分時点の情報です。さくらインターネットから新しいお知らせが出た場合は、公式ページの内容を優先してください。PHPのバージョンの基本はPHPバージョンの解説記事、エックスサーバーの動きはエックスサーバーの管理画面停止の記事にまとめています。

THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。