スターサーバーのPHP脆弱性対応とは、2026年10月21日に修正版が公開されたPHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619、通称「php2shell」）に対して、レンタルサーバー「スターサーバー」（現在のサービス名はスターレンタルサーバー）がどう動いていて、利用者が何をすればよいか、という話です。結論から言うと、2026年10月22日16時00分時点で、スターサーバーの公式サイト（star.ne.jp）には、運営会社のエックスサーバー株式会社による「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」が表示されています。PHP 8.2〜8.5には修正を当て終えたと発表され、9時30分からは管理画面（サーバーパネルなど）が順に再開しました。公式サイトそのものは止まったままで、10月22日中の再開予定です。お客様のサーバーとWebサイトの表示、メールソフトでの送受信は、停止中も通常どおり動いているとされています。

速報（2026年10月22日16時00分時点・当社調べ）

当社が上の時刻に公式ページを見て確かめた内容です（ログインはしていません）。状況は変わることがあるので、最新の情報は必ず公式ページでご確認ください。

この記事は、2026年10月22日16時00分時点で確認できた公式の発表とマニュアルをもとにしています。脆弱性そのものの説明はPHPの重大な脆弱性（CVE-2026-109618/109619）｜サイト運営者の準備と確認に、国内各社の動きは10月21日の国内まとめにまとめています。ここでは、スターサーバーを使ってホームページやWordPressのサイトを運営している方に向けて、公式に分かっていることと、再開した管理画面でやることを順番に整理します。状況は数時間ごとに変わるため、最新の情報は必ず公式の告知でご確認ください。

まず押さえておきたい前提：スターサーバーとエックスサーバーの関係

今回の告知を読むうえで大事なのは、スターサーバーが現在はエックスサーバー株式会社のサービスだという点です。そのため、スターサーバー専用のお知らせではなく、エックスサーバー株式会社が運営する各サービスに共通の告知が出ています。

2024年12月に「スターレンタルサーバー」へリニューアル

スターサーバーは、2024年12月19日に「スターレンタルサーバー」としてリニューアルされました。公式のお知らせでは、エックスサーバーの仕組みをもとにしたレンタルサーバーとして案内されています。同じ日に、それまでの「スターサーバー」は新規の申し込み受付を終え、契約管理の画面は「スターアカウント」という名前に変わりました。2024年12月より前から契約している方の中には、旧「スターサーバー」の管理画面を使っている方もいるため、後の手順では両方を分けて説明します。

2025年10月から運営はエックスサーバー株式会社

スターサーバーを運営していたネットオウル株式会社のサービスは、2025年10月1日付けでグループ会社のエックスサーバー株式会社に移されました。スタードメインの公式のお知らせとエックスサーバー株式会社の発表によると、対象にはスターレンタルサーバー、旧スターサーバー、スタードメインなどが含まれ、サービスの内容は変わらないとされています。今回の告知がエックスサーバー株式会社の名前で出ているのはこのためです。

公式が発表していること（10月22日16時00分時点）

要点は、「10月21日16時から公式サイトと管理画面を予防のために止めた。お客様のサーバーは動いている。PHP 8.2〜8.5には修正を当て終え、古いバージョンは順に対応中。管理画面は10月22日9時30分から順に再開」という内容です。star.ne.jpを開くと、エックスサーバー株式会社の共通の告知ページが表示されます。

10月21日16時｜公式サイトと管理画面を予防のため停止

告知によると、停止は2026年10月21日（水）16時に始まりました。理由は「弊社システムで使用しているソフトウェアについて、脆弱性の詳細と修正版が本日公表される予定」で、すでに予防の対策をしたうえで、より慎重に安全を確保するためとしています。また、この対応は同社のサービスへの不正アクセスが起きたためではないと明記しています。再開の見込みは当初「10月21日深夜〜10月22日未明」とされていましたが、実際の管理画面の再開は10月22日9時30分からになりました。

10月22日1時10分｜修正版をもとに対応を開始

10月21日23時ごろにPHPの修正版が公開されたあと、1時10分の更新で、公式の修正版が出たPHP 8.2〜8.5から順にお客様のサーバーへ修正を当て始めたと発表しました。公式の修正版が出ない古いバージョンについては、同社独自の修正（パッチ＝プログラムの弱い部分をふさぐための差し替え）を作り始めていて、こちらは時間がかかる見込みとしています。

10月22日6時45分｜PHP 8.2〜8.5は適用完了

3時55分の更新で「全サーバーへの適用完了まで数時間かかる見込み」とした後、6時45分の更新で「PHP 8.2〜8.5について、対象となるすべてのサーバーへの修正パッチの適用が完了しました」と発表しました。古いバージョンについては、一部で修正の準備が整い、検証が済んだものから順に当て始めた段階で、残りも対応を続けているとしています。

10月22日9時30分｜管理画面を順に再開

9時30分の更新で、一部のサービスを除いてアカウント管理画面と各種機能の提供を再開したと発表しました。ただし、一部の機能は引き続きメンテナンス中です。公式サイトは止まったままで、10月22日中に再開する予定としています。公式サイトが開けない間は、告知ページの下にある「ログイン・新規お申し込みはこちら」の一覧から入る形になっていて、ここにスターレンタルサーバーの「ログイン」と「サーバーパネル」のリンクも載っています。その後の13時15分の更新は、シンクラウドの管理画面の再開についての追記で、スターレンタルサーバーに関わる内容は変わっていません。16時00分に確認した時点でも、star.ne.jpは告知ページのままで、ログイン画面（secure.netowl.jp）は外から開ける状態でした。

止まっているもの・動いているもの

告知に書かれている範囲を表にまとめます。サイトそのものは止まっていないので、「サイトが見られない」という不安は基本的に要りません。

スターサーバーに絞ったPHPの告知は見当たらない

正直にお伝えすると、16時00分時点で、スターレンタルサーバーのサーバーに絞ってPHPの修正状況を説明した個別の告知は確認できていません。star.ne.jpに表示されているのは、エックスサーバー、スタードメインなどの公式サイトと同じ共通の告知ページで、PHPの修正については「お客様のご利用サーバー」「対象となるすべてのサーバー」という書き方です。告知ページのログイン一覧にはスターレンタルサーバーも載っているので、同じ対応の範囲に入っていると読むのが自然ですが、サービス名を挙げて書かれているわけではありません。公式サイトが再開したら、スターサーバーのお知らせ欄に個別の案内が出ていないかを確認してください。

今回の脆弱性でスターサーバー利用者が押さえておくこと

PHPの本体を直すのはサーバー会社の仕事です。利用者にできるのは、自分のサイトがどのバージョンのPHPで動いているかを確かめ、古すぎる場合に切り替えることです。詳しい中身は脆弱性の解説記事をご覧ください。

修正版が出たバージョンと、出ないバージョン

PHP公式は10月21日、修正版として8.5.12、8.4.27、8.3.36、8.2.35を公開しました。8.1以前は公式の更新対象から外れていて、正式な修正版は出ていません（公式は簡易的な修正をソースコードで公開しているのみです）。スターサーバー側は、古いバージョンには独自の修正を順に当てているとしていますが、長い目で見れば8.1以前を使い続けるのはおすすめできません。

WordPressやプラグインの更新では直らない

今回の弱点はWordPressではなく、その土台のPHPにあります。WordPress本体やプラグインを最新にしても、今回の件は直りません。更新そのものは大事ですが、「WordPressを更新したから大丈夫」とはならない点に注意してください。

今すぐ利用者がやることは多くない

告知では、今の時点で利用者に作業は求めていません。PHP本体の修正はサーバー会社が当てています。利用者がやるのは、自分のサイトのPHPのバージョンを確かめ、8.1以前なら切り替えを考えることくらいです。慌てて別のサーバーへ引っ越したり、よく分からない設定を触ったりするより、次の章から順に確認していくのが落ち着いた進め方です。

サーバーパネルに入る前にできること

サーバーパネルは再開したばかりで、一部の機能はまだメンテナンス中です。混み合っていてつながりにくいときも、サイトの表示とWordPressの管理画面は普段どおり使えるはずです。先にできることを3つ挙げます。

自分のサイトが表示されているかを確かめる

パソコンとスマートフォンで、トップページと問い合わせページを開いてみてください。告知どおりならサイトは表示されます。もし表示されない、白い画面になる、見覚えのないページに飛ばされる、といった症状があれば、今回のメンテナンスとは別の原因も考えられるので、記事の後半の「制作会社やサーバー会社に相談する」の章を見てください。

WordPressのサイトヘルスでPHPのバージョンを控える

WordPressの管理画面にログインし、左のメニューの「ツール」→「サイトヘルス」を開き、上の「情報」タブを選びます。「サーバー」の項目を開くと「PHPバージョン」が表示されます。ここに出ている番号（例：8.3.○○）をメモしておくと、サーバーパネルで確認するときの判断が早くなります。サーバー会社が独自にパッチを当てている場合、ここの番号が公式の修正版の番号と一致しないこともあるので、番号だけで安全かどうかを決めつけず、最終的にはスターサーバーの告知で判断してください。

WordPressの管理画面からバックアップを取っておく

PHPを切り替える予定があるなら、先にバックアップ用のプラグインでサイト一式を手元のパソコンに保存しておくと安心です。サーバー側のバックアップ機能は、サーバーパネルの再開直後で使えない機能が残っている可能性もあるため、WordPressの中で完結する方法を先に済ませておきます。

サーバーパネルでPHPのバージョンを確認・変更する

サーバーパネルに入れたら、まず今のPHPのバージョンを確認します。ここではスターレンタルサーバーの公式マニュアル「PHPのバージョンについて」に沿って説明します。メニュー名はマニュアルの表記どおりです。

ステップ1｜スターアカウントからサーバーパネルに入る

契約管理の画面（スターアカウント）にログインし、使っているサーバーの「サーバーパネル」に入ります。普段は公式サイトの「ログイン」から入りますが、公式サイトが止まっている間は、star.ne.jpに表示されている告知ページの下の「ログイン・新規お申し込みはこちら」から、スターレンタルサーバーの「ログイン」または「サーバーパネル」を選びます。16時00分時点で、このリンク先はsecure.netowl.jpのアドレスでした。ログインの前に、ブラウザのアドレス欄がこの公式の告知ページから移った先になっているかを確かめてください。こうした騒ぎの最中は、サーバー会社を装ったメールが出回りやすくなります。

ステップ2｜「PHP Ver.切替」を開く

サーバーパネルのメニューから「PHP Ver.切替」をクリックします。ドメインごとに、いま設定されているPHPのバージョンが表示されます。複数のドメインを置いている場合は、ひとつずつ確認してください。

ステップ3｜8.1以前なら、ペンアイコンから変更する

変更したいドメインの右側にあるペンアイコン（編集）をクリックし、「変更後のバージョン」から希望のバージョンを選んで「設定する」をクリックします。設定はドメイン単位なので、同じサーバーにある別のサイトには影響しません。

ステップ4｜どのバージョンを選ぶか

公式マニュアルでは、PHP 8.5、8.4、8.3が「WordPress推奨バージョン」、8.2以前は旧バージョンとして扱われています。古いバージョンからいきなり8.5へ上げると、古いテーマやプラグインが動かなくなることがあります。制作の現場では、まず8.3へ上げて様子を見て、問題がなければ段階的に上げる進め方をよく取ります。PHPのバージョンの考え方はPHPのバージョンの基本の記事も参考にしてください。

旧「スターサーバー」の管理画面を使っている場合

2024年12月のリニューアルより前の「スターサーバー」を使い続けている場合、画面の名前が違います。旧マニュアルでは、「サーバー管理ツール」にログインし、「ホームページ」→「PHPバージョン設定」で対象のドメインを選び、「PHPバージョン設定(確認)」→「PHPバージョン設定(確定)」の順で切り替える手順になっています。旧サービスでは2023年6月にPHP 8.2が追加されていますが、8.3以上が選べるかどうかは画面でご確認ください。8.2より新しいものが選べない場合は、スターレンタルサーバーへの移行も含めてサポートに相談するのがよいと思います。

切り替える前にバックアップを取る

PHPの切り替え自体は数クリックで終わり、元に戻すこともできます。それでも、表示が崩れたときに確実に戻せるよう、切り替え前にバックアップを取っておくのが基本です。

サーバーパネルの自動バックアップ

スターレンタルサーバーには、サーバー上のデータを毎日自動で保存する「自動バックアップ」があり、公式マニュアルではWeb・メールのデータとMySQLデータベース（WordPressの記事などが入っている保管庫）を過去14日分持っていると案内されています。復元はサーバーパネルの「自動バックアップの取得・復元」と「MySQLバックアップ取得・復元」から行います。ただし、プランによっては使えないため、契約中のプランで使えるかをマニュアルで確認してください。また、復元すると今のデータが上書きされ、バックアップの日より後に作ったファイルは消えるので、使うのは最後の手段と考えます。

WordPressのプラグインで手元に保存する

いちばん手軽なのは、WordPressのバックアップ用プラグインでファイルとデータベースをまとめて書き出し、パソコンに保存しておく方法です。サーバー側のバックアップが使えないプランでも使え、サーバー会社の都合に左右されません。保存したファイルは、どこに置いたかを社内で共有しておきます。

切り替えたあとに確認すること

切り替えたら、その日のうちに次の4点を確認します。順番に見ていけば15分ほどで終わります。

トップページと主要なページの表示

トップページ、サービス紹介、お知らせ一覧、記事ページなど、よく見られるページをパソコンとスマートフォンの両方で開きます。文字化け、レイアウトの崩れ、画面の上部に英語のエラー文（Warning、Deprecatedなど）が出ていないかを見てください。

WordPressの管理画面とサイトヘルス

WordPressにログインできるか、記事の編集画面が開けるかを確かめます。そのうえで「ツール」→「サイトヘルス」→「情報」→「サーバー」を開き、PHPのバージョンが切り替えたものになっているかを確認します。

問い合わせフォームの送信テスト

問い合わせフォームから実際に1通送り、自動返信メールと管理者あてのメールの両方が届くかを確認します。PHPの切り替えでいちばん気づきにくいのが、このフォームの不具合です。

エラーが出たときの戻し方

表示が崩れたり、真っ白になったりしたら、同じ「PHP Ver.切替」で元のバージョンに戻します。いったん戻してから、どのテーマやプラグインが原因かを調べ、更新や入れ替えをしてから改めて上げ直します。ただし8.1以前に戻した状態は長く続けないようにしてください。

よくある失敗と注意点

こうした緊急のメンテナンスのときに起きやすい失敗を挙げておきます。どれも落ち着いて手順を踏めば避けられます。

管理画面の停止を「乗っ取られた」と思い込む

10月21日夕方から管理画面に入れなかったのは、予防のためにサーバー会社が止めていたからです。公式も、不正アクセスが起きたための停止ではないと明記しています。パスワードを何度も試したり、慌てて解約したりする必要はありません。

サーバー会社を装ったメールのリンクからログインする

「緊急のPHP更新が必要です」「アカウントを確認してください」といったメールが届いても、本文のリンクは押さず、ブックマークや、公式サイト（停止中は公式サイトに出ている告知ページ）からたどってログインしてください。今回の告知では、利用者への追加の対策が必要なときは改めて案内するとしています。メールだけで急かしてくる案内は、まず疑ってかかるのが安全です。

番号だけを見て安心する、または不安になる

「PHP Ver.切替」に出るのは「8.3」のような大まかな番号で、修正が当たっているかまでは分かりません。サイトヘルスの細かい番号も、サーバー会社が独自にパッチを当てた場合は公式の修正版の番号と違うことがあります。修正が済んだかどうかは、サーバー会社の告知で判断するのが確実です。

こんなときは制作会社やサーバー会社に相談する

ほとんどのサイトは、告知を待ってPHPのバージョンを確認すれば済みます。ただし、次のような場合は自分だけで抱えず、早めに相談したほうが結果的に早く片づきます。

PHPを上げると表示が崩れて、原因が分からない

古いテーマを独自に改造している、更新が止まったプラグインを使っている、といったサイトは、PHPを上げると動かなくなることがあります。サイトを作った制作会社や、保守を頼んでいる会社に、「PHPを8.3以上にしたい」と伝えて相談してください。

見覚えのないファイルや管理者ユーザーが増えている

WordPressのユーザー一覧に知らない管理者がいる、サイトに見覚えのないページや外国語の文章が出る、といった症状は、乗っ取りの可能性があります。スターレンタルサーバーには、不正アクセスを受けたときの対応方法をまとめた公式のよくある質問があるので、それに沿って進め、あわせてサポートや制作会社に相談してください。

旧「スターサーバー」で新しいPHPが選べない

旧サービスの画面で8.2より新しいバージョンが選べない場合、サーバーの移行が必要になることがあります。移行は手順が多いので、サポートの回答を待つか、制作会社に相談するのが安全です。16時00分時点では問い合わせフォームとチャットがまだ止まっていて、電話でも具体的な案内ができないとされているため、問い合わせは窓口が再開してからにするのがよいでしょう。

よくある質問

Q. スターサーバーは不正アクセスを受けたのですか？

A. いいえ。公式の告知では、今回の停止は予防のための安全対策で、同社のサービスへの不正アクセスが起きたためではないと明記されています。

Q. スターサーバーのサーバーには修正版のPHPが入っていますか？

A. star.ne.jpに表示されている共通の告知では、10月22日6時45分時点でPHP 8.2〜8.5は対象のすべてのサーバーに修正パッチを当て終えたとしています。古いバージョンは順に適用中です。スターサーバーに絞った個別の告知は、16時00分時点では確認できていません。

Q. 利用者が何か作業をしないといけませんか？

A. 今の時点では求められていません。ただし告知には、利用状況によっては管理画面の再開後に追加の対策をお願いする場合があると書かれています。しばらくは、サーバーパネルやスターアカウントのお知らせと、登録メールアドレスあての案内を確認してください。

Q. PHP 7.4や8.0のまま使っています。どうすればよいですか？

A. 8.1以前にはPHP公式の修正版が出ていません。スターサーバー側で独自の修正を進めているとはいえ、バックアップを取ってから、サーバーパネルの「PHP Ver.切替」で8.3以上へ切り替えることをおすすめします。

Q. WordPressとプラグインを最新にすれば大丈夫ですか？

A. いいえ。今回の弱点はPHP本体にあるため、WordPressやプラグインの更新では直りません。更新は大切ですが、PHPのバージョンの確認とは別の話です。

Q. 最新の情報はどこで確認すればよいですか？

A. 告知ページは、対応状況をエックスサーバー公式X（@xserverjp）でも知らせるとしています。スターサーバーの公式サイトが再開したら、サポートサイトの「お知らせ」も確認してください。個人の投稿やまとめには推測が混ざりやすいので、社内やお客様に共有するときは公式の発表を使います。

参考にした公式ページ

• スターレンタルサーバー公式サイト（「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」を表示中、最終更新2026年10月22日13時15分、同日16時00分確認）
• エックスサーバー公式X「メンテナンス状況について」（2026年10月22日1時10分ごろ）
• エックスサーバー公式X「メンテナンス状況について②」（2026年10月22日3時55分ごろ）
• スターレンタルサーバー マニュアル「PHPのバージョンについて」
• 旧スターサーバー マニュアル「PHPバージョン設定」
• スターレンタルサーバー マニュアル「自動バックアップからのデータ復元」
• スターレンタルサーバー マニュアル「データベース自動バックアップからの復元」
• スターレンタルサーバー よくある質問「運用しているWebサイトが不正アクセスされました。対応方法を教えてください。」
• スターレンタルサーバーからのお知らせ（2024年12月のリニューアル）
• スタードメインからのお知らせ（2025年10月1日付けのエックスサーバー株式会社への移管）
• エックスサーバー株式会社「グループ会社のサービスおよび事業の弊社への移管に関するお知らせ」
• PHP公式 セキュリティリリース（2026年10月21日）
• IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）

関連記事：エックスサーバーの管理画面停止（10/21）｜PHP脆弱性とサイト運営者の確認点

THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。