シンレンタルサーバーを使っている方が今回のPHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619）について知っておきたいことは、大きく2つです。PHP本体の修正はサーバー会社が進めていること、そして利用者側では「自分のサイトがどのPHPのバージョンで動いているか」を確かめ、古いバージョンなら切り替える必要があることです。脆弱性そのものの説明はPHPの重大な脆弱性（CVE-2026-109618/109619）｜サイト運営者の準備と確認にまとめています。
この記事は、2026年10月22日8時30分時点で確認できた情報をもとにしています。シンレンタルサーバーの公式サイトは、この時点で運営会社（エックスサーバー株式会社）のメンテナンスのお知らせに切り替わっており、マニュアルのページも開けません。そのため、操作手順はメンテナンス前に公開されていた公式マニュアルの記載をもとに書いています。管理画面の再開後は、画面の名前や手順が変わっていないか、公式の案内もあわせてご確認ください。
公式に発表されていること（10月22日8時30分時点）
要点は、サイトの表示とメールはふだんどおり使えている一方で、公式サイトと管理画面は一時的に止まっている、ということです。シンレンタルサーバーの公式サイト（shin-server.jp）を開くと、エックスサーバー株式会社名義の「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」が表示されます。シンレンタルサーバーはエックスサーバー株式会社が運営しているサービスで、同じお知らせが同社の各サービスのサイトに出ています。
なお、このお知らせは会社全体のサービスに向けたもので、「シンレンタルサーバーでは何をした」とサービス名を挙げて書いたものではありません。シンレンタルサーバー単独のお知らせは、この時点では見つけられませんでした（公式サイトのお知らせ・障害メンテナンス情報のページ自体が開けない状態です）。以下は、このお知らせに書かれている内容です。
| 日時 | お知らせの内容 |
|---|---|
| 10月21日（水）16:00 | 予防的な安全対策として、公式サイト・管理画面などへのアクセスを一時停止。不正アクセスが起きたためではないと説明 |
| 10月22日（木）1:10 | 10月21日23時ごろに公開されたPHPの修正版をもとに対応を開始。公式の修正版があるPHP 8.2〜8.5から順に、利用者のサーバーへ修正を適用し始めた。修正版のない古いバージョンは、独自の修正を作り始めた |
| 10月22日（木）3:55 | PHP 8.2〜8.5の修正の適用を継続中。全サーバーへの適用には数時間かかる見込み。管理画面などは点検が終わったものから順に再開する予定 |
| 10月22日（木）6:45 | PHP 8.2〜8.5は、対象となるすべてのサーバーへの修正の適用が完了。古いバージョンは、一部で修正の準備ができ、確認が済んだものから順に適用を始めている |
8時30分の時点で、ページの最終更新は10月22日6時45分のままでした。お知らせでは、対応状況を2時間ごとを目安に知らせるとしています。最新情報はこのページと、エックスサーバーの公式Xアカウント（@xserverjp）で案内すると書かれています。
止まっているもの・動いているもの
お知らせによると、止まっているのは公式サイトや管理画面などの「手続き・設定のための画面」です。契約しているサーバーそのものは動き続けています。
| 区分 | 内容 |
|---|---|
| 使えないもの | 各種サービスサイト、アカウント管理画面、サーバーパネル、WEBメール、ファイルマネージャ、各種API、新規申し込み、契約更新・支払いなどの手続き、お問い合わせフォーム |
| ふだんどおり使えるもの | Webサイトの表示、メールソフトでのメールの送受信 |
| 問い合わせ | チャットとお問い合わせフォームは停止中。電話は平日9〜18時に受け付けているが、メンテナンス中は契約情報を見られないため具体的な案内はできないとしている |
利用者の作業は必要か
お知らせのよくある質問では、PHPの修正は会社側で順に適用するとしたうえで、「利用状況によっては、管理画面の再開後に利用者にも追加の対策をお願いする場合があり、その際は改めて案内する」と書かれています。8時30分の時点では、利用者に向けた具体的な作業のお願いはまだ出ていません。いますぐ慌てて何かを変える必要はありませんが、次の章から説明する「バージョンの確認」は先にしておくと、案内が出たときに迷わずに済みます。
今回の脆弱性とシンレンタルサーバーの関係
今回の弱点はPHPという、WordPressなどを動かしている土台のプログラムそのものにあります。PHP公式は、日本時間の10月21日23時ごろに修正版を公開しました（PHP公式の発表）。
修正版が出たバージョンと出ていないバージョン
公式の修正版は、PHP 8.5.12、8.4.27、8.3.36、8.2.35の4つです。8.1以前には公式の修正版は出ません。シンレンタルサーバーのマニュアル（メンテナンス前の公開内容）では、PHP 8.5／8.4／8.3／8.2／8.1／8.0と、7.4／7.3／7.2を選べると案内されていました（PHPのバージョンについて）。つまり、8.1以前を選んでいるサイトは、公式の修正版が届かないグループに入ります。
| 選んでいるバージョン | 修正の状況（10月22日6:45のお知らせより） | 利用者がやること |
|---|---|---|
| PHP 8.3〜8.5 | 公式の修正版があり、対象サーバーへの適用は完了 | バージョンを確認し、そのまま使ってよい |
| PHP 8.2 | 同上 | 当面はそのままでよいが、PHP 8.2は2026年末で公式サポートが終わるため、8.3以上への切り替えを計画する |
| PHP 8.1以前 | 公式の修正版はない。会社独自の修正を作成中で、一部から順に適用を開始 | 管理画面の再開後、8.3以上への切り替えを進める |
WordPressやプラグインの更新では直らない
WordPress本体やプラグインを最新にしても、今回の弱点は直りません。弱点がPHPそのものにあるためです。WordPressの更新はふだんどおり大切ですが、今回については「PHPのバージョン」を見る必要があります。
まずPHPのバージョンを確かめる
確認の方法は2つあります。管理画面が止まっているいまでも、WordPressのサイトならWordPressの管理画面から確かめられます。
WordPressの「サイトヘルス」で確認する
WordPressの管理画面にログインし、左のメニューの「ツール」から「サイトヘルス」を開きます。上部の「情報」タブを選び、「サーバー」の項目を開くと「PHPのバージョン」が表示されます。ここに「8.3.36」のように小数点以下まで出ていれば、修正版が当たっているかどうかも分かります。WordPressはサーバーの状態をそのまま読み取って表示しているため、サーバーパネルが使えない間の確認方法として便利です。
サーバーパネルの「PHP Ver.切替」で確認する（再開後）
管理画面が再開したあとは、サーバーパネルにログインし、「PHP Ver.切替」を開くと、ドメインごとにいま選んでいるバージョンが一覧で表示されます。複数のドメインを運用している場合は、ドメインごとに違うバージョンを選んでいることがあるので、すべての行を見てください。サーバーのPHPのバージョンは、サーバーパネルの「サーバー情報」でも確認できると公式マニュアルに書かれています（プログラム言語・コマンドパス）。
WordPress以外のサイトの場合
問い合わせフォームだけPHPで作っている、昔のCMSを使っている、といったサイトは、サイトヘルスのような画面がありません。この場合は管理画面の再開を待って「PHP Ver.切替」で確かめるか、サイトを作った制作会社に確認してください。PHPのバージョンの考え方はPHPのバージョンとは？初心者向けに更新の必要性と確認方法をやさしく解説でも説明しています。
PHP 8.1以前を使っている場合の考え方
8.1以前を使っている場合は、会社独自の修正を待ちつつ、8.3以上への切り替えを進めるのが基本です。独自の修正は一時的な手当てで、古いバージョンはこの先も同じような弱点が見つかったときに修正が届きにくいからです。
会社独自の修正を待つ間にできること
独自の修正の適用状況は、メンテナンスのお知らせで更新されています。待っている間は、サイトに使っているテーマやプラグインが新しいPHPに対応しているかを調べておくと、切り替えがスムーズです。WordPressのプラグインの一覧で、更新が長く止まっているものがないかを見ておくのも有効です。
どのバージョンに切り替えるか
シンレンタルサーバーのマニュアルでは、PHP 8.3がWordPressの推奨バージョンとして案内されていました。8.2は公式サポートが2026年末で終わるため、いまから切り替えるなら8.3以上が無難です。8.1や7.4から一気に新しくすると表示が崩れることがあるので、心配な場合はまず8.3にして様子を見る、という順番がおすすめです。
すぐに切り替えられない事情があるとき
古いプログラムが新しいPHPで動かないなど、すぐに切り替えられない事情がある場合は、無理に自分で直そうとせず、作った制作会社や保守会社に相談してください。そのうえで、会社独自の修正が当たっているかをお知らせで確かめ、切り替えの予定日を決めておくと安心です。
切り替える前にバックアップを取る
バージョンを切り替える前に、元に戻せる状態を作っておきます。PHPの切り替えだけでデータが消えることはふつうありませんが、表示が崩れたときに落ち着いて対処するための保険です。
ステップ1｜自動バックアップがあることを確かめる
シンレンタルサーバーには、サーバーのWeb・メールのデータとMySQLのデータベースを過去14日分保管する「自動バックアップ」の仕組みがあると公式マニュアルに書かれています。新サーバーパネルでは、Webとメールのデータは「自動バックアップの取得・復元」、データベースは「MySQLバックアップ取得・復元」のメニューから取り出したり戻したりできます（自動バックアップからのデータ復元、自動バックアップからのデータ取得）。
ステップ2｜手元にもバックアップを残す
自動バックアップに加えて、WordPressのバックアップ用プラグインやFTPソフトで、手元のパソコンにもデータを保存しておくと安心です。マニュアルにも、自動バックアップはデータの完全性を保証するものではないと書かれています。お問い合わせフォームの設定や、テーマを直接書き換えた部分がある場合は、その部分も含めて保存します。
ステップ3｜いまのバージョンを書き留める
切り替える前のバージョンを、ドメインごとにメモしておきます。不具合が出たときに「何から何へ変えたか」が分かると、制作会社に相談するときにも話が早く進みます。
サーバーパネルでPHPを切り替える手順
手順は公式マニュアルのとおり2段階です。管理画面が再開してから行ってください。画面は新サーバーパネルの場合の名前です（旧サーバーパネル向けのマニュアルも用意されています）。
ステップ1｜サーバーパネルで「PHP Ver.切替」を開く
サーバーパネルにログインし、メニューの「PHP Ver.切替」をクリックします。契約しているドメインの一覧と、それぞれのいまのバージョンが表示されます。
ステップ2｜変更したいドメインのペンアイコンを押す
変更したいドメインの右側にあるペンのアイコンをクリックすると、編集の画面になります。ここで「現在のバージョン」がメモと同じかを確かめます。
ステップ3｜「変更後のバージョン」を選んで「設定する」
「変更後のバージョン」から希望のバージョン（たとえばPHP 8.3.x）を選び、「設定する」をクリックします。ドメインが複数ある場合は、1つずつ切り替えて、その都度サイトを確認していくと、不具合が出たときに原因を絞り込みやすくなります。
切り替えたあとに確認すること
切り替えたら、すぐにサイトの主なページを開いて確かめます。制作の現場でも、PHPを上げたあとにまず見るのは「トップ」「よく見られるページ」「お問い合わせ」の3つです。
表示が崩れていないか
トップページ、よく見られるページ、ブログの記事ページを、パソコンとスマートフォンの両方で開きます。真っ白な画面、エラーの文字、レイアウトの崩れがないかを見ます。ブラウザに古い表示が残っていることがあるので、再読み込みしてから確認します。
お問い合わせフォームが届くか
フォームはPHPで動いていることが多く、見た目は正常でも送信だけ失敗することがあります。自分宛てにテスト送信し、送信完了の画面が出ること、通知のメールが届くことを確かめます。
WordPressの管理画面とサイトヘルス
WordPressの管理画面にログインできるか、記事の編集画面が開くかを確かめます。最後に「ツール」→「サイトヘルス」→「情報」→「サーバー」で、PHPのバージョンが選んだものに変わっているかを確認すれば完了です。
困ったときと、相談したほうがよい場面
不具合が出ても、多くの場合は元のバージョンに戻せば表示は元に戻ります。ただし、戻したままにすると古いバージョンの弱点が残るので、原因を直して改めて切り替える段取りが必要です。
画面が真っ白になった・エラーが出た
同じ「PHP Ver.切替」で、メモしておいた元のバージョンに戻します。表示が戻ったら、原因になっていそうなテーマやプラグインを、新しいPHPに対応した版へ更新できないか調べます。それでも直らない場合や、サイトに入れなくなった場合は、無理に操作を重ねずに相談するほうが安全です。
制作会社や保守会社に任せたほうがよい場面
次のような場合は、作った制作会社や保守を頼んでいる会社に相談するのがおすすめです。PHP 7.4以前を使っていて、数年間テーマやプラグインを更新していない場合。会員サイトや予約システムなど、独自のプログラムが入っている場合。サーバーパネルにログインする情報が分からない場合。いずれも、切り替えたあとの修正に専門的な作業が必要になりやすいケースです。
サーバー会社への問い合わせ
メンテナンス中は、チャットとお問い合わせフォームが使えず、電話でも契約情報を見られないため具体的な回答はできないとされています。本件についてはお知らせのページと公式Xで確認してほしい、と案内されています。サーバー会社への個別の問い合わせは、管理画面の再開後にするのが現実的です。
エックスサーバーを使っている方へ
同じ運営会社のエックスサーバーについては、管理画面の停止の経緯と、再開後に確認することをエックスサーバーの管理画面停止（10/21）｜PHP脆弱性とサイト運営者の確認点にまとめています。両方のサービスを使っている場合は、それぞれのサーバーパネルでバージョンを確かめてください。
よくある質問
Q. サイトは止まっていますか？
A. お知らせでは、Webサイトの表示とメールソフトでの送受信はふだんどおり使えるとしています。止まっているのは公式サイトや管理画面、WEBメールなどです。
Q. 自分でPHPを更新する必要はありますか？
A. PHP本体の修正はサーバー会社が適用しています。利用者がやるのは、どのバージョンを選んでいるかの確認と、8.1以前なら新しいバージョンへの切り替えです。追加の対策が必要な場合は、管理画面の再開後に改めて案内するとされています。
Q. PHP 8.2〜8.5を使っていれば、もう安心ですか？
A. 10月22日6時45分のお知らせで、8.2〜8.5は対象のすべてのサーバーへの修正の適用が完了したとされています。サイトヘルスでバージョンの数字を確かめておくと確実です。8.2は2026年末で公式サポートが終わるので、早めに8.3以上へ移る計画を立てておきましょう。
Q. いつ管理画面は再開しますか？
A. 当初の見込みは10月21日深夜〜22日未明でしたが、8時30分の時点ではまだ再開していません。点検が終わった機能から順に再開するとされているので、公式のお知らせを確認してください。
Q. 不正アクセスがあったのですか？
A. お知らせでは、今回の停止は不正アクセスが起きたためではなく、より慎重に安全を確保するための予防的な対応だと説明されています。
Q. 戻したバージョンのまま使い続けてもいいですか？
A. 一時的に戻すのはやむを得ませんが、8.1以前のまま使い続けるのはおすすめしません。原因になったテーマやプラグインを直して、改めて8.3以上へ切り替える日を決めておきましょう。
参考にした情報
- シンレンタルサーバー公式サイト（10月22日時点はメンテナンスのお知らせを表示）
- シンレンタルサーバー マニュアル「PHPのバージョンについて」
- シンレンタルサーバー マニュアル「自動バックアップからのデータ復元」
- シンレンタルサーバー マニュアル「自動バックアップからのデータ取得」
- PHP公式の発表（2026年10月21日）
- IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」
マニュアルのページは、10月22日8時30分時点ではメンテナンス中のため開けません。再開後に内容が更新されている場合は、公式の最新の記載を優先してください。
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
