WebARENAのPHP脆弱性対応とは、2026年10月21日に修正版が公開されたPHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619、通称「php2shell」）に対して、NTTPCコミュニケーションズ株式会社のサーバーサービス「WebARENA」がどう動いていて、利用者が何をすればよいか、という話です。結論から言うと、2026年10月22日18時から、共用サーバーの「WebARENA SuiteX」のうち2025年11月18日以前に開通した古いサーバー（選べるPHPが7.4以下のもの）では、ホームページの表示（http・https）が日本国内からも止められています。修正パッチを当てられない世代のため、「有効な対処が可能になるまで」の停止で、再開の時期は示されていません。PHP 8.3を使っている契約は10月22日中に修正版（8.3.36）へ更新され、表示は止まりません。あわせて、サイトマネージャーや契約管理画面などの管理画面も停止しています。メールの送受信とFTPは停止の対象に入っていません。
【10月23日 追記】この記事は10月22日の昼に公開したもので、公開時点では「サイト停止の告知は出ていません」と書いていました。その後、10月22日18時に古いSuiteXのWeb表示を止める告知が出たため、冒頭の結論、速報欄、「WebARENAが公表していること」の章、よくある質問を10月23日の時点で書き直しています。
| 速報（2026年10月23日13時時点・当社調べ） | |
|---|---|
| PHPの脆弱性への対応 | 対応中（PHP 8.3は10月22日中に修正版8.3.36へ更新。2025年11月19日以降に開通したサーバーのPHP 7.4は、10月23日以降に修正パッチ適用済みの7.4へ切り戻し。2025年11月18日以前に開通した古いサーバーは修正パッチを適用できないため、Web表示を停止） |
| 管理画面・ログイン | 停止中（10月22日18時以降。サイトマネージャー、メールマネージャー、Webマネージャー、MySQL5マネージャー、phpMyAdmin、Webメール（Denbun）、契約管理画面。SuiteX V2メールプレミアムのメールマネージャーとWebメールは利用可） |
| サイト・サービスの表示 | 古いSuiteX（2025年11月18日以前に開通・PHP 7.4以下）は日本国内からも表示停止、再開時期は未定。PHP 8.3のサーバーと、2025年11月19日以降に開通したサーバーは表示継続。メールの送受信とFTPは停止の対象外 |
| 確認した公式ページ | WebARENA「PHPの脆弱性に伴うWebサービスおよび契約管理画面の一部停止について」／NTTPC「セキュリティ対応に伴う緊急メンテナンスのお知らせ」／SuiteXのPHP脆弱性のお知らせ／NTTPCの災害・工事・故障情報 |
この記事は、2026年10月22日13時20分時点のWebARENAお客さまサポートのお知らせ、NTTPCの災害・工事・故障情報、WebARENAのオンラインマニュアルとよくある質問、PHP公式のセキュリティアドバイザリをもとにしています。（冒頭の結論と速報欄は10月22日16時05分に見直し、さらに10月22日18時の停止の告知を受けて、10月23日に「WebARENAが公表していること」の章とよくある質問を書き直しています）状況は時間単位で変わるため、最新の情報は必ず公式の発表でご確認ください。脆弱性そのものの説明はPHPの重大な脆弱性（CVE-2026-109618/109619）の解説記事に、国内のサーバー会社やサービスの動きは10月21日のまとめ記事に書いています。この記事では、WebARENAでWordPressなどのサイトを運営している方に向けて、「いま何が起きていて、自分は何を確かめればよいか」に絞って整理します。
WebARENAが公表していること（10月23日更新）
WebARENAの情報は、サービス紹介サイト（web.arena.ne.jp）の「お知らせ」、お客さまサポート（help.arena.ne.jp）の「お知らせ」、NTTPCの「災害・工事・故障情報」の3か所に分かれて出ています。10月22日18時の停止の告知はサービス紹介サイトの「お知らせ」とNTTPCのプレスリリースに、それ以前の対策はお客さまサポートと工事・故障情報に載っています。時系列で並べると次のとおりです。
10月21日19時｜SuiteXなどで海外からのアクセスを制限
工事・故障情報には、2026年10月21日19時から「海外からの一部アクセス制限のお知らせ」が、SuiteX、SuiteX V2c、SuiteS、メールホスティングの4つについて掲載されました。理由はどれも「脆弱性対応のため」です。SuiteXでは、対象のサーバーにあるWebページ（http・https）と、データベースの管理画面（MySQL5マネージャーとphpMyAdmin）への海外からのアクセスが制限されています。メールプレミアムのプランでは、メールマネージャーも対象です。SuiteSはすべてのサーバーのWebページ、メールホスティングはサイトマネージャーとメールマネージャーが対象です。どの告知にも「日本国内からのアクセスには影響ございません」と書かれています。
なお、工事・故障情報の告知そのものには「PHP」という言葉は出てきません。ただ、次に紹介するSuiteXのお知らせで、PHPの脆弱性への対策として「海外からのWebアクセス制限」が挙げられているので、同じ対応を指していると読めます。
10月21日｜SuiteX向けに「PHP脆弱性に関する対応について」を掲載
お客さまサポートには、「[2026/10/21]【SuiteX】PHP脆弱性に関する対応について（CVE-2026-109618、CVE-2026-109619）」というお知らせが掲載されました。PHPのセキュリティリリース予定を受けて対策を行っているとしたうえで、実施内容として次の2つが書かれています。
- 海外からのWebアクセス制限（2026年10月21日完了）
- PHPの一部機能（ファイルアップロード進捗管理機能）の無効化（2026年10月21日完了）
あわせて「その他の緩和策および今後の対応状況・お客さまへのお願い事項等については、本ページにて随時お知らせいたします」とあり、続報はこのページに載る形です。お知らせは10月22日にも更新されていますが、16時05分時点の本文は上の2点のままでした。10月22日の昼には「WebARENA技術サポート窓口へのお問い合わせ遅延のお詫び」も掲載され、SuiteXの問い合わせが混み合って回答が遅れていること、PHPの件の最新情報は上のお知らせのページで更新していくことが書かれています。
10月22日18時｜古いSuiteXのWebページ表示を停止（日本国内からも）
10月22日、WebARENAのサービス紹介サイトに「【重要】WebARENA SuiteX PHPの脆弱性に伴うWebサービスおよび契約管理画面の一部停止について」が、NTTPCからは「セキュリティ対応に伴う緊急メンテナンスのお知らせ」が出ました。それまでの「海外からのアクセス制限」から一歩進んで、日本国内からのWebアクセスも止める内容です。告知では、修正パッチを適用できないサーバーについて「有効な対処が可能になるまで」停止するとされていて、再開の日時は示されていません。NTTPCのプレスリリースでは、SuiteXとSuiteSのメンテナンスは10月22日17時30分開始とされ、この時点で脆弱性による被害やお客さまデータの漏えいは確認されていない、とも書かれています。
止まるかどうかは、契約しているサーバーの開通時期と、使っているPHPのバージョンで決まります。
| 使っているPHPと開通時期 | Webページの表示 | 告知の内容 |
|---|---|---|
| PHP 8.3 | 止まらない | 10月22日中に修正版の8.3.36へ更新 |
| PHP 7.4（2025年11月19日以降に開通したサーバー） | 止まらない | バージョンの変更で一部の表示が崩れる可能性あり。10月23日以降に、修正パッチを適用した7.4へ切り戻し |
| PHP 7.4／7.2／5.6／5.3／5.1（2025年11月18日以前に開通したサーバー） | 停止（10月22日18時以降、順次） | 修正パッチを適用できないため、有効な対処が可能になるまで停止。再開時期は未定 |
Webページのほかに、次の管理画面も止まっています。サイトマネージャー、メールマネージャー、Webマネージャー、MySQL5マネージャー、phpMyAdmin、Webメール（Denbun）、契約管理画面です（SuiteX V2 メールプレミアムのメールマネージャーとWebメールは使えます）。契約管理画面が止まるため、各種の手続きの方法は準備ができ次第あらためて案内するとされています。停止中の利用料金の減免は「検討中」です。
一方で、告知の停止一覧にメールの送受信は入っておらず、FTPによるファイル転送は「利用可能」と明記されています。当社でも10月23日の午後に、古いSuiteXのサーバー1台について確かめたところ、Webの80番・443番ポートは接続を拒否していましたが、メール（SMTP・POP・IMAPの各ポート）とFTPは応答していました。つまり「ホームページは見られないが、メールは届く」という状態です。お客様や取引先から「サイトが開かない」と連絡があったら、まずこの点を伝えると安心してもらえます。
古いSuiteXを使っていて、この停止の対象になった場合にできることは3つです。1つ目は、FTPが使えるうちにサイトのファイル一式を手元に保存しておくこと。2つ目は、復旧を待てないなら、別のサーバーにファイルを置いて、ドメインの向き先（ネームサーバーやAレコード）を切り替えること。ただし、WebARENAの契約管理画面も止まっているため、ドメインの設定をどこで変えられるかを先に確かめる必要があります。3つ目は、WebARENAのお知らせを追い、再開や移行の案内が出たらすぐ動けるようにしておくことです。
修正版PHPの適用状況（10月23日時点）
10月22日の昼の時点では、修正版のPHPを入れ終えたという告知はありませんでしたが、同日18時の告知で状況がはっきりしました。PHP 8.3は10月22日中に修正版の8.3.36へ更新され、2025年11月19日以降に開通したサーバーのPHP 7.4は、10月23日以降に修正パッチを適用した7.4へ切り戻されます。一方、2025年11月18日以前に開通した古いサーバーのPHP（7.4以下）には修正パッチを適用できないため、Web表示そのものを止める判断になりました。利用者に向けた具体的な作業のお願いは、10月23日の時点でも出ていません。10月21日に済ませた「海外からのアクセス制限」と「PHPの一部機能の無効化」は、修正版が入るまでの「つなぎの対策」で、PHP公式も設定でしのぐ方法は「安全にはならない」と明記しています。
VPS（Indigoなど）向けには、PHPについての告知は見当たらない
VPS（仮想専用サーバー。1台のサーバーを区切って、自分専用のサーバーとして使うサービス）の「WebARENA Indigo」「WebARENA IndigoPro」「WebARENA SuitePRO V4」については、13時20分時点でPHPの脆弱性についてのお知らせは見当たりませんでした。理由は次の章で書きますが、VPSではPHPを入れて管理するのが利用者側なので、共用サーバーとは事情が違います。
同じ時期に出ている、PHPとは別の2つのお知らせ
10月20日から21日にかけて、WebARENAとNTTPCからはPHPの件とは別のお知らせも出ています。時期が重なっているので混ざりやすいのですが、中身はそれぞれ別の話です。
10月21日｜Linuxの脆弱性でIndigoなどの新規申し込みを一時停止
WebARENAのサービスサイトには、10月21日付で「WebARENA Indigo／IndigoPro／SuitePROV4／Wasabi 新規お申し込み一時停止のお知らせ」が出ています。理由は「Linuxカーネルのネットワーク処理に関する脆弱性（CVE-2026-99999）」で、PHPではありません。止まっているのは新しい申し込みだけで、すでに使っている方は、インスタンス（仮想サーバー1台分）の利用や追加も含めて通常どおり使えると書かれています。再開時期は未定です。
10月20日｜メール配信の委託先で不正アクセス（連絡先メールアドレスの漏えいの可能性）
NTTPCは10月20日、各種サービスのメール配信に使っていたユミルリンク株式会社の「Cuenote FC」で不正アクセスがあったことを受け、連絡先メールアドレス等が漏えいした可能性があるとして注意を呼びかけています。こちらはPHPやWebARENAのサーバーとは関係のない、メール配信の委託先側の事故です。NTTPCは、送信元が分からないメールや心当たりのないメールの中のURLや添付ファイルに注意するよう求めています。
この件の影響で、工事・故障情報のページには「お客さまへの故障、工事情報メールの配信不可あるいは遅延が発生する場合がございます」という案内も出ています。つまり、PHPの件の続報がメールで届くとは限りません。今回はメールを待つのではなく、お客さまサポートのお知らせと工事・故障情報のページを自分で見に行くほうが確実です。また、「PHPの脆弱性対応のため、こちらからログインしてください」といったメールが届いても、メールのリンクは使わず、ブックマークや公式サイトから管理画面を開いてください。
共用サーバーとVPSで、PHPを直すのは誰か
WebARENAには、サーバー会社がPHPを管理する「共用サーバー」と、利用者がPHPを管理する「VPS」の両方があります。どちらを契約しているかで、やることが大きく変わります。
| 種類 | 主なサービス | PHP本体を新しくするのは | 利用者がやること |
|---|---|---|---|
| 共用サーバー | WebARENA SuiteX（SuiteX V1、V2/V2c スタンダード、メールプレミアム） | NTTPC | どのバージョンを使うか選ぶ・告知を確認する |
| VPS・クラウド | WebARENA Indigo、IndigoPro、SuitePRO V4 など | 利用者（または保守を頼んでいる会社） | OSやPHPの更新を自分で行う |
SuiteX（共用サーバー）は、NTTPCがPHPを入れ替える
SuiteXは1台のサーバーを多くの契約者で分け合う共用サーバーで、PHPの本体はNTTPCが用意しています。利用者が触れるのは、サイトマネージャー（SuiteXの管理画面）で「どのバージョンのPHPを使うか」を選ぶところまでです。WebARENAのよくある質問でも、共用サーバーなので用意されたバージョン以外には変えられないと説明されています。修正版への入れ替えはNTTPCの作業になるので、利用者はお知らせを待ち、自分が使っているバージョンを確かめておく、という流れになります。
Indigoなど（VPS）は、利用者がPHPを更新する
Indigo、IndigoPro、SuitePRO V4は、サーバーの管理権限が利用者に渡されるタイプです。WebARENAのよくある質問でも、仮想専用サーバーの管理権限をお客さまに渡すので自由に構築・運用できる、その代わりサーバーの知識とスキルが必要、と説明されています。PHPを自分で入れたなら、修正版への更新も自分の仕事です。サーバー会社の告知を待っていても、PHPは自動では直りません。VPSでの具体的な進め方は、後ろの章でまとめます。
今回の脆弱性で、WebARENAの利用者が押さえておくこと
脆弱性の中身は解説記事に譲り、ここではWebARENAの利用者が判断に使うポイントだけを並べます。
修正版の番号と、修正が出ないバージョン
PHP公式が10月21日（日本時間23時ごろ）に出した修正版は、8.5.12、8.4.27、8.3.36、8.2.35の4つです。この番号以上になっていれば、今回の2件は直っています。8.1以前（8.0、7.4、7.2、5.6など）は、PHP公式のサポートがすでに終わっているため、正式な修正版は出ていません。
| 使っているPHP | 修正版 | 考え方 |
|---|---|---|
| 8.5系 | 8.5.12 | 8.5.12以上なら対応済み |
| 8.4系 | 8.4.27 | 8.4.27以上なら対応済み |
| 8.3系 | 8.3.36 | 8.3.36以上なら対応済み |
| 8.2系 | 8.2.35 | 8.2.35以上なら対応済み |
| 8.1以前 | 正式な修正なし | 8.2以上へ移ることを考える |
WordPressやプラグインの更新では直らない
今回の弱点は、WordPressではなく、その土台で動いているPHP本体にあります。WordPress本体やプラグインを最新にしても、この2件は直りません。更新そのものは大切ですが、PHPの確認とは別の作業だと考えてください。
海外アクセス制限などの対策は「つなぎ」
海外からのアクセスを止めれば、海外から飛んでくる攻撃の多くは届かなくなります。ファイルアップロード進捗管理機能（PHPの設定名では「session.upload_progress」）の無効化は、PHP公式が示した一時しのぎの方法の1つです。ただ、PHP公式はこうした設定での対策を「安全にはならない」と書いていて、国内のセキュリティ会社からも、この機能を止めるだけでは防げないという指摘が出ています。日本国内からの攻撃は海外アクセス制限では止まりません。修正版が入るまでは「様子を見ながら待つ時間」と考えて、次の確認を進めておくと落ち着いて動けます。
SuiteXでPHPのバージョンを確認する
ここからは、SuiteXの利用者向けの手順です。メニュー名は、WebARENAのオンラインマニュアル「ホームページ～CGI・PHP・SSI」と「管理ツール～サイトマネージャー」の表記に合わせています。
ステップ1｜サイトマネージャーにログインする
ブラウザで「http://（ドメインまたはIPアドレス）:8080/」を開き、メニューから「サイトマネージャー」を選びます。先頭が「http」であること、ドメインの後ろに「:8080」を付けることに注意してください。認証の画面が出たら、サイト管理者のアカウント（admin）とパスワードを入れます。サイトマネージャーを使えるのはサイト管理者（admin）だけで、Webユーザーやメールユーザーのアカウントでは入れません。
ステップ2｜「インフォメーション」で収容サーバーを確かめる
サイトマネージャーの「インフォメーション」を開くと、自分のサイトが入っているサーバー（収容サーバー。「dc○○」のような名前）が分かります。工事・故障情報の告知には対象サーバーが「dc2～dc18」のように並んでいるので、自分が対象かどうかを照らし合わせるのに使います。お知らせを読むときや、サポートに問い合わせるときにも、この名前を控えておくと話が早く進みます。
ステップ3｜「CGI管理 > PHPバージョンの切り替え」を開く
サイトマネージャーの「CGI管理」から「PHPバージョンの切り替え」へ進むと、いま選ばれているPHPのバージョンと、選べるバージョンが表示されます。初期値は契約した時期によって違うので、「たぶん新しいはず」と思い込まずに、ここで一度確かめておきます。
ステップ4｜.htaccessでバージョンを指定していないか確かめる
SuiteXでは、フォルダに置いた .htaccess（サーバーの動きをフォルダごとに変える設定ファイル）に「AddHandler application/x-httpd-php53 .php」のような行を書くと、そのフォルダだけ別のバージョンで動かせます。昔の制作会社がこの指定を入れたままになっていると、サイトマネージャーの表示とは違うバージョンで動いていることがあります。よくある質問でも、.htaccessに古いバージョンの指定があるとサイトマネージャーから正しく上げられない、と案内されています。FTPソフトでWordPressを置いたフォルダの .htaccess を開き、「AddHandler application/x-httpd-php」で始まる行がないか見ておきましょう。
ステップ5｜細かい番号はWordPressのサイトヘルスで見る
サイトマネージャーでは「8.3」のような大まかな番号しか分からないことがあります。修正版かどうかは「8.3.36」のような最後の数字まで見ないと判断できないので、WordPressの管理画面で確かめます。「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開くと、「PHPのバージョン」の欄に細かい番号が出ます。WordPress以外のサイトなら、phpinfo（PHPの設定を一覧表示する機能）を使う方法もありますが、確認用のファイルを置いたら必ず消してください。
SuiteXで選べるPHPのバージョンと、8.1以前の場合
WebARENAのよくある質問「PHPをバージョンアップしたい／切り替えたい。」には、SuiteXで選べるPHPのバージョンが、サーバーの開通時期ごとに載っています。ここが今回いちばん大事なところです。
| SuiteXの開通時期 | 選べるPHP | 今回の修正版との関係 |
|---|---|---|
| 2025年11月19日以降に開通 | CGIモード 7.4／8.3、モジュールモード 8.3 | 8.3を選べる。8.3.36が入ればそれで対応 |
| 2025年11月18日以前に開通 | CGIモード 5.1／5.3／5.6／7.2／7.4、モジュールモード 5.6 | どれも8.1以前で、公式の修正対象外 |
2025年11月19日以降に開通したSuiteXなら、8.3を選んでおく
新しいSuiteXでは8.3が選べます。いま7.4を選んでいる場合は、バックアップを取ったうえで8.3への切り替えを考えましょう。8.3を選んでいても、修正版（8.3.36以上）が入るまでは対応済みとは言えないので、WebARENAの告知とサイトヘルスの番号の両方で確かめます。なお、PHPの動かし方には「モジュールモード」と「CGIモード」があり、マニュアルでは一般的にモジュールタイプが使われると説明されています。どちらで動いているかによって、.htaccessの書き方や使える機能が少し違うので、切り替えるときはマニュアルの説明もあわせて読んでください。
2025年11月18日以前に開通したSuiteXは、自分では8.2以上にできない
古いSuiteXで選べるのは7.4までで、どれもPHP公式の修正が出ないバージョンです。サイトマネージャーでいちばん新しいものを選んでも、今回の修正版にはなりません。よくある質問には、古いSuiteXサーバーのアップデートは「2026年度以降に実施予定」で、時期は確定したら契約者に知らせると書かれています。10月22日18時の告知で、古いSuiteXは「修正パッチを適用できないため、有効な対処が可能になるまでWebアクセスを停止する」とされました。古いサーバーのPHPをどう直すか、いつ再開するかは、10月23日の時点でも示されていません。
このケースで利用者ができることは、慌てて何かをいじることではなく、次の3つです。まず、FTPが使えるうちにサイトのファイル一式を手元に保存すること（サイトマネージャーは止まっていますが、FTPは使えます）。次に、WebARENAのお知らせで、古いサーバーへの対応（再開の時期や、新しい環境への移行の案内など）が出ないかを追うこと。そして、停止が長引くと困るサイトなら、別のサーバーへ一時的に移す段取り（ファイルの移設と、ドメインの向き先の変更）を制作会社や保守会社と相談しておくことです。サイトが古いPHPでしか動かない作りになっている場合は、移行の前にサイト側の手直しが必要になることもあるので、早めに制作会社や保守会社にも状況を伝えておくと安心です。
切り替えの手順（8.3が選べる場合）
マニュアルの手順は、サイトマネージャーの「CGI管理 > PHPバージョンの切り替え」で使いたいバージョンを選び、「設定」ボタンを押すだけです。フォルダごとに変えたい場合は .htaccess を使います。切り替えは数分で終わりますが、サイトが表示されなくなる可能性もゼロではないので、次の章のバックアップを先に済ませてから行ってください。
切り替える前にバックアップを取る
PHPを切り替えると、古いテーマやプラグインがエラーを出すことがあります。元に戻せるように、作業の前にバックアップを取っておきます。
SuiteXのバックアップオプション（有料）
SuiteXには、サーバー側でWebやメールのデータを保存する「バックアップオプション」があります。申し込みは「契約内容変更サービス」からで、SuiteX V2なら即時開通、SuiteX V1は5営業日程度かかると案内されています。保存の頻度は毎日（7世代のバックアップを契約している場合のみ）・毎週・毎月から選ぶ形で、時間帯は指定できません。いまから申し込んでも直前の状態がすぐ保存されるとは限らないので、切り替えの直前には次の方法で手元にも保存しておくのが確実です。
ファイルとデータベースを手元に保存する
WordPressのサイトは、「ファイル（テーマ・プラグイン・画像など）」と「データベース（記事や設定）」の2つでできています。ファイルはFTPソフトでWordPressのフォルダごとパソコンにダウンロードし、データベースはSuiteXの「高機能データベースのコントロールパネル」（MySQL5マネージャーとphpMyAdmin）から書き出します。いまは海外からのアクセスが制限されているので、作業は日本国内のネット回線から行ってください。
WordPressのバックアップ用プラグインを使う
FTPやデータベースの操作に慣れていない場合は、WordPressのバックアップ用プラグインで、ファイルとデータベースをまとめて書き出す方法が手軽です。保存したデータはサーバーの中に置きっぱなしにせず、パソコンや別のクラウドに移しておきます。サーバーに何かあったときに、サーバーの中のバックアップごと使えなくなるのを避けるためです。
切り替えたあとに確認すること
PHPを切り替えたら、次の順番で確かめます。時間にすると10分から20分ほどです。
トップページと主なページの表示
トップページ、お知らせ一覧、記事ページ、会社概要など、よく見られるページをパソコンとスマホで開きます。真っ白な画面や「重大なエラー」の表示、レイアウトの崩れがないかを見てください。ブラウザに古い表示が残っていることがあるので、再読み込みしてから確かめます。
WordPressの管理画面とサイトヘルスの番号
管理画面にログインできるか、記事の編集画面が開けるかを確かめ、もう一度サイトヘルスでPHPのバージョンを見ます。サイトマネージャーで選んだバージョンになっていなければ、ステップ4の .htaccess の指定が残っている可能性があります。
問い合わせフォームとメール送信
問い合わせフォームから実際にテスト送信し、自動返信と管理者あてのメールが届くかを確かめます。PHPの切り替えでいちばん気づきにくいのがフォームの不具合です。お問い合わせが止まったまま数日たっていた、ということがないように、ここは必ず試してください。
エラーが出たときの戻し方
表示が崩れたり、エラーが出たりした場合は、サイトマネージャーで元のバージョンに戻せば、多くの場合は元の表示に戻ります。そのうえで、エラーの原因になっているテーマやプラグインを直すか、新しいものに替えてから、あらためて切り替えます。サイトマネージャーの「最新ログ表示」からWebエラーログを見ると、どのファイルでエラーが出ているかの手がかりになります。
Indigoなど、VPSを使っている場合
VPSでは、PHPの更新は利用者の作業です。ここでは、作業の順番だけを整理します。実際のコマンドは、使っているOS（Ubuntu、AlmaLinuxなど）やPHPの入れ方によって違います。
いま動いているPHPの番号を確かめる
サーバーにSSH（サーバーに遠隔でログインする仕組み）で入り、「php -v」で番号を確かめます。ただ、コマンドで見えるPHPと、Webサイトを動かしているPHP（PHP-FPMやApacheのモジュール）が別のことがあるので、WordPressならサイトヘルスの番号もあわせて見てください。
OSやリポジトリの更新を待ち、入れたら再起動する
PHPをOSの標準パッケージや外部のリポジトリ（ソフトの配布元）から入れている場合は、その配布元が修正版を出したタイミングで更新します。配布元によっては、PHP公式の修正版をそのままの番号で出すのではなく、古い番号のまま修正だけを取り込むこともあるので、配布元のセキュリティ情報で確かめるのが確実です。更新したら、PHP-FPMやWebサーバー（Apacheなど）を再起動しないと、古いPHPが動き続けます。
8.1以前を使っているなら、移行の計画を立てる
VPSで8.1以前を使っている場合は、PHP公式の修正版がないので、8.2以上への入れ替えを計画します。OSそのものが古く、新しいPHPが入らないこともあります。その場合は、新しいOSのサーバーを用意してサイトを移す作業になるので、自分で手に負えないと感じたら、早めにサーバーに詳しい会社へ相談してください。修正版を入れるまでの間は、PHP公式が示している一時しのぎの設定もありますが、PHP公式自身が「安全にはならない」としている点は変わりません。
よくある失敗と注意点
サイトが見られない原因を取り違える
10月21日19時からは海外からのアクセス制限、10月22日18時からは古いSuiteXのWeb表示の停止と、見られなくなる理由が2段階で増えています。海外から開かないだけなら、日本国内からは見られるかどうかを確かめます。国内からも開かない場合は、サイトが壊れたり攻撃を受けたりしたのではなく、WebARENA側の停止である可能性が高いです。自分のサーバーが古いSuiteX（2025年11月18日以前に開通）かどうかと、WebARENAのお知らせを確かめてから、お客様や社内に説明してください。
サイトマネージャーの表示だけで安心する
「8.3を選んでいるから大丈夫」とは限りません。修正版かどうかは最後の数字で決まりますし、.htaccessで別のバージョンが指定されていることもあります。サイトヘルスの番号まで見て、初めて「対応済み」と言えます。
WebARENAを名乗るメールのリンクからログインする
連絡先メールアドレスの漏えいの可能性が公表されている今は、それに便乗したメールが届くことも考えられます。管理画面へは、メールのリンクではなく、ブックマークや公式サイトから入るようにしてください。
こんなときは、サーバー会社や制作会社に相談する
次のような場合は、ひとりで抱え込まずに相談したほうが早く安全に片づきます。WebARENAへの問い合わせ方法は、お客さまサポート（help.arena.ne.jp）から確認してください。10月22日の時点で、SuiteXの技術サポート窓口は問い合わせが混み合い、回答が通常より遅れていると案内されています。
古いSuiteXで、今後の対応がはっきりしない
2025年11月18日以前に開通したSuiteXで、PHPを8.2以上にできない場合です。WebARENAの今後の対応予定を、収容サーバー名を添えて問い合わせてください。あわせて、サイトが新しいPHPで動くかどうかを、制作会社や保守会社に確かめてもらうと、移行が必要になったときに慌てずに済みます。
PHPを上げると表示が崩れ、原因が分からない
古いテーマや、更新が止まったプラグインが原因のことが多いです。いったん元のバージョンに戻してサイトを動かしたまま、制作会社に原因を調べてもらいましょう。
見覚えのないファイルや管理者ユーザーが増えている
サーバーの中に覚えのないPHPファイルがある、WordPressに知らない管理者が増えている、サイトが勝手に別のページへ飛ぶ、といった様子があれば、すでに入り込まれている可能性があります。ファイルを消したりパスワードを変えたりする前に、いまの状態を保存し、サーバー会社と専門の会社に相談してください。証拠が残っていたほうが、原因と被害の範囲を調べやすくなります。
よくある質問
Q. WebARENAが不正アクセスを受けたのですか？
A. 10月22日13時20分時点で、WebARENAのサーバーが今回のPHPの脆弱性で被害を受けたという公表は見当たりません。海外アクセスの制限などは、修正版が入るまでの予防の対策として案内されています。メールアドレスの漏えいの可能性は、メール配信の委託先（ユミルリンク株式会社の「Cuenote FC」）で起きた別の事故です。
Q. SuiteXには修正版のPHPが入っていますか？
A. PHP 8.3のサーバーには、10月22日中に修正版の8.3.36が入ったと告知されています。2025年11月19日以降に開通したサーバーのPHP 7.4は、10月23日以降に修正パッチを適用した7.4へ切り戻されます。古いサーバーのPHP 7.4以下には修正版が入らないため、Web表示が止められています。自分のサイトが8.3なら、サイトヘルスの番号が8.3.36以上かどうかで確かめられます。
Q. 利用者が今すぐやらなければいけない作業はありますか？
A. SuiteXについては、WebARENAから利用者への作業のお願いは10月23日の時点でも出ていません。ただ、古いサーバーのサイトは表示が止まっているので、FTPでファイル一式を手元に保存し、長引いた場合に別のサーバーへ移すかどうかを決めておくことをおすすめします。PHP 8.3の方は、サイトの表示とフォームが正常か確かめておけば十分です。VPSの方は、自分でPHPを更新する必要があります。
Q. PHP 7.4のまま使っています。どうすればよいですか？
A. 7.4はPHP公式の修正の対象外です。2025年11月19日以降に開通した新しいSuiteXなら表示は止まらず、WebARENA側で修正パッチを適用した7.4へ切り戻されますが、バックアップを取ったうえで8.3へ切り替えておくほうが安心です。古いSuiteXで8.3が選べない場合は、10月22日18時からWeb表示が止まっています。FTPでファイルを保存し、WebARENAの今後の案内を確認しながら、別サーバーへの移設も含めて制作会社や保守会社に相談してください。
Q. 急にホームページが表示されなくなりました。攻撃を受けたのですか？
A. 10月22日18時以降に表示されなくなったのなら、WebARENAが古いSuiteXのWeb表示を止めた影響である可能性が高いです。NTTPCは、この時点で脆弱性による被害やデータの漏えいは確認していないと発表しています。メールの送受信とFTPは止まっていないので、取引先には「ホームページだけ一時的に見られない」と伝えてください。再開の時期は未定なので、長引く場合は別のサーバーへ一時的に移すことも選択肢になります。
Q. WordPressとプラグインを最新にすれば大丈夫ですか？
A. いいえ。今回の弱点はPHP本体にあるので、WordPressやプラグインの更新では直りません。PHPの確認とは別に考えてください。
Q. 最新の情報はどこで確認すればよいですか？
A. SuiteXのPHPの件は、お客さまサポートの「PHP脆弱性に関する対応について」のページと、NTTPCの工事・故障情報です。故障・工事情報のメールは遅れることがあると案内されているので、メールを待たずにページを見に行くのが確実です。個人の投稿やまとめには憶測が混ざりやすいので、社内やお客様への共有には公式の発表を使ってください。
参考にした公式ページ
- WebARENA「【重要】WebARENA SuiteX PHPの脆弱性に伴うWebサービスおよび契約管理画面の一部停止について」（2026年10月22日）
- NTTPC「セキュリティ対応に伴う緊急メンテナンスのお知らせ」（2026年10月22日18時）
- WebARENAお客さまサポート「[2026/10/21]【SuiteX】PHP脆弱性に関する対応について（CVE-2026-109618、CVE-2026-109619）」
- NTTPC 災害・工事・故障情報（WebARENA。SuiteX・SuiteX V2c・SuiteS・メールホスティングの「海外からの一部アクセス制限のお知らせ」2026年10月21日19時〜）
- WebARENAお客さまサポート「[2026/10/22]【SuiteX】WebARENA技術サポート窓口へのお問い合わせ遅延のお詫び」
- WebARENAよくある質問「PHPをバージョンアップしたい／切り替えたい。」
- WebARENAオンラインマニュアル「ホームページ～CGI・PHP・SSI」
- WebARENAオンラインマニュアル「管理ツール～サイトマネージャー」
- WebARENAよくある質問「サイトマネージャーでphpバージョンをアップすることができません」
- WebARENAよくある質問「ホストサーバー（所属サーバー/収容サーバー）を確認したい。」
- WebARENAよくある質問「バックアップオプションの申し込み方法は？」
- WebARENAよくある質問「PHPバージョンやメール送信数などSuiteXの仕様が利用目的に合いません」
- WebARENA「WebARENA Indigo／IndigoPro／SuitePROV4／Wasabi 新規お申し込み一時停止のお知らせ」（2026年10月21日）
- NTTPC「ユミルリンク株式会社で発生した不正アクセスに伴うメールアドレス等の漏えいの可能性について」（2026年10月20日）
- PHP公式 セキュリティアドバイザリ（2026年10月21日）
- IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
