エックスサーバーの管理画面停止とは、2026年10月21日（水）16時から、エックスサーバー株式会社が予防的な安全対策として、公式サイトや管理画面へのアクセスを一時的に止めている対応のことです。同社は、システムで使っているソフトウェアの脆弱性の詳細と修正版がこの日に公表される予定のため、より慎重に安全を確保する目的だと説明しています。不正アクセスが起きたためではなく、お客様が使っているサーバーへの影響もないとされています。

この記事は、2026年10月21日16時時点（10月22日1時10分の更新を追記）のエックスサーバーのメンテナンスページと、同じ日にPHPの開発チームやIPAが出した発表をもとにしています。対応状況は随時更新されるため、最新の情報は公式ページでご確認ください。エックスサーバーでWordPressサイトを運営している中小企業のWeb担当者に向けて、いま何が止まっていて何が動いているのか、再開後に何を確認すればよいのかを整理します。

10月22日1時10分の更新（追記）

エックスサーバーのメンテナンスページは10月22日1時10分に更新され、10月21日23時頃に公開された修正版をもとに対応を進めていると案内されました。お客様のサーバーについては、公式の修正版が出たPHPのバージョン（8.2〜8.5）から順に修正の適用を始め、公式の修正版がない古いバージョンには同社独自の修正を作っているとのことです。古いバージョンは対応までに時間がかかる見込みとされています。

公式サイトや管理画面は、この時点ではまだ停止中で、再開の見込みは2時間ごとを目安に知らせるとしています。また、利用状況によっては、管理画面の再開後に利用者にも追加の対策をお願いする場合があると書かれています。同じ日に公開されたPHPの修正版の内容は、PHPの重大な脆弱性の解説記事で整理しています。

エックスサーバーで何が起きたか

要点は、止まっているのは「エックスサーバー社のサイトと管理画面」で、「お客様のサーバー」は動いている、という点です。ホームページが見られなくなったわけでも、メールが届かなくなったわけでもありません。

停止の理由と「不正アクセスではない」という説明

メンテナンスページでは、同社のシステムで使っているソフトウェアについて、脆弱性の詳細と修正版が本日公表される予定だと書かれています。すでに予防的な対策は実施したうえで、さらに慎重を期すために、サービスサイトと管理画面へのアクセスを一時停止しているとのことです。あわせて「本対応は当社サービスに対する不正アクセスの発生に伴うものではございません」と明記され、公式Xアカウント（@xserverjp）でも同じ内容が告知されています。

停止しているもの・動いているもの

メンテナンスページに書かれている内容を、止まっているものと動いているものに分けると次のとおりです。

再開の見込みと最新情報の確認先

再開は10月21日深夜から22日未明の見込みとされています。ただし対応状況によって前後するとされているため、決め打ちせずに公式の更新を確認します。

開始日時と再開の見込み

開始は2026年10月21日（水）16時です。再開の見込みは、メンテナンスページでは「10月21日（水）深夜〜10月22日（木）未明」、公式Xでは「10月22日（木）未明」と案内されています。どちらも「対応状況により前後する場合がある」と添えられています。

確認するのはメンテナンスページと公式X

同社は、対応状況をメンテナンスページで随時更新し、公式Xでも知らせるとしています。SNSには憶測の投稿も流れやすいため、社内で共有するときは、この2か所の情報だけを使うと混乱を防げます。

同じ日に公開されたPHPの重大な脆弱性

同じ10月21日の23時には、WordPressなど多くのWebサイトの土台になっているプログラム言語「PHP」で、重大な脆弱性2件の修正版（8.5.12・8.4.27・8.3.36・8.2.35）が公開されました。エックスサーバーは1時10分の更新で、この修正版をもとに対応していると案内しています。以下は公開前に出ていた発表の内容です。

PHP公式の事前告知

PHPの開発チームは10月20日、重大なセキュリティリリースの事前告知を出しました。公開予定は2026年10月21日14時（UTC）、日本時間では同日23時です。修正されるのは2件の重大な脆弱性で、深刻度はどちらもCVSS v4.0で9.2とされています。影響を受けるバージョンと修正版の詳細は、リリースと同時に公表されます。また、詳細が先に知られたり、実際の悪用が確認されたりした場合は、予定より早く公開する可能性があるとしています。

IPAの注意喚起

IPA（情報処理推進機構）も10月21日に事前準備のお願いを出しています。IPAによると、CERT-EU（EUの機関向けのセキュリティ対応チーム）の注意喚起ではPHP 5以降が影響を受けるとされ、2件にはCVE-2026-109618とCVE-2026-109619が割り当てられています。IPAは、現時点で悪用された攻撃を確認しているわけではなく予防的な呼びかけだとしたうえで、PHPを使っているものの棚卸し、公式情報の確認、修正版をすぐ適用できる体制づくり、サポートが終わった古いPHPを使っていないかの確認を勧めています。

エックスサーバーの停止との関係

16時の告知ではソフトウェアの名前は書かれていませんでしたが、1時10分の更新で、PHPの修正版をもとに対応していることと、各PHPバージョンへの修正の適用が案内されました。エックスサーバーのお客様のサーバーでは稼働を続けながら安全対策が進められているとされており、1時10分の時点でも、サイト運営者がすぐに操作しなければならない、という案内は出ていません。

サイトの表示とメールへの影響

お客様のサイトとメールは、公式発表では通常どおり使えるとされています。ただし「メールソフトでの送受信」と「WEBメール」は扱いが違うので注意が必要です。

Webサイト・WordPress

Webサイトの表示は通常どおりです。WordPressの管理画面（/wp-admin/）はサイトと同じお客様のサーバー上で動いているため、エックスサーバー社の管理画面とは別物です。記事の更新など普段の作業は、基本的にはそのまま行えると考えられます。ただし、プラグインやテーマの大きな更新は、再開後に最新の案内を確認してからの方が安心です。

メール（メールソフトとWEBメールの違い）

OutlookやThunderbird、スマホのメールアプリなど、メールソフトでの送受信は通常どおり使えます。一方、ブラウザで使うWEBメールは停止中です。普段WEBメールだけでメールを読んでいる方は、再開までの間、メールソフトやスマホのアプリで確認するか、再開を待つことになります。

停止中にできないことと、困りやすい場面

サーバーパネルとアカウント管理画面が止まっているので、設定の変更や手続きはできません。数時間で再開する見込みですが、次のような作業を予定していた場合は、日程をずらしておきます。

契約更新・お支払い

契約更新や支払いの手続きも停止中です。期限が近いサーバーやドメインがある場合は、再開後に早めに手続きを済ませます。期限の扱いで不安があれば、再開後に公式の案内や問い合わせ窓口で確認してください。

ファイルの差し替え・設定の変更

ファイルマネージャが使えないため、ブラウザからのファイルのアップロードや差し替えはできません。PHPのバージョン切り替え、SSLの設定、ドメインやメールアカウントの追加といったサーバーパネルでの設定も、再開を待つ必要があります。

新規申し込み・サイトの公開作業

新規の申し込みもできないため、今夜サーバーを契約して新しいサイトを公開する予定だった場合は、翌日以降に組み直します。制作の現場では、公開日にサーバー側の手続きを残さないよう、契約と初期設定は数日前に済ませておくのが基本です。今回のような急なメンテナンスがあっても、公開日がずれずに済みます。

再開後にサイト運営者が確認すること

再開後にやることは、自分のサイトが古いPHPのまま動いていないかを確かめ、WordPressまわりを最新にしておくことです。共用のレンタルサーバーでは、PHP本体の更新はサーバー会社が行うのが一般的で、利用者側でできるのは「どのバージョンを使うか」を選ぶことです。

ステップ1｜エックスサーバーのお知らせを読み直す

再開したら、まずメンテナンスページとお知らせを読み直し、利用者側で必要な作業が案内されていないかを確認します。PHPの修正版への対応についても、案内が出たらその内容に従います。

ステップ2｜サイトのPHPバージョンを確認する

サーバーパネルの「PHP Ver.切替」で、ドメインごとに使っているPHPのバージョンを確認します。WordPressの管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」でも確認できます。複数のドメインを運用している場合は、すべてのドメインを見ます。

ステップ3｜サポートが続いているバージョンか判断する

PHPは、バージョンごとにセキュリティの修正が受けられる期間が決まっています。PHP公式のサポート期間の一覧によると、2026年10月時点の状況は次のとおりです。

8.1以前にはPHP公式の修正版が出ず、エックスサーバーも独自の修正には時間がかかる見込みとしているため、管理画面が再開したらサポート中のバージョンへの切り替えを検討します。8.2も今年末でサポートが終わるので、あわせて計画しておくとよいでしょう。切り替えると、古いテーマやプラグインが動かなくなることがあるため、バックアップを取ってから、テスト環境や表示確認ができる時間帯に行います。

ステップ4｜WordPress・テーマ・プラグインを更新する

PHPのバージョンを上げる前に、WordPress本体、テーマ、プラグインを最新にしておくと、新しいPHPで動かないトラブルを減らせます。長く更新が止まっているプラグインは、新しいPHPに対応していないことがあるので、代わりのプラグインを探すか、制作会社に相談します。WordPress本体の脆弱性対応の進め方は、WordPressの脆弱性CVE-2026-87902の解説記事でも紹介しています。

他のレンタルサーバーの動き

同じ日に、さくらインターネットもレンタルサーバとVPSで緊急メンテナンスを実施しています。さくらインターネットのお知らせによると、レンタルサーバ・マネージドサーバは10月21日13時頃から22日8時頃まで、VPSは21日15時頃から22日18時頃までで、一時的に接続できない場合があるとされています。お知らせのページには理由は書かれていません。他のサーバーを使っている方も、契約しているサーバー会社のお知らせを一度確認しておくと安心です。

よくある失敗と注意点

サーバー会社の大きなメンテナンスのあとは、便乗した詐欺や、慌てた設定変更によるトラブルが起きやすくなります。

サーバー会社を装ったメールのリンクを開いてしまう

「安全対策のため再ログインしてください」「契約の確認が必要です」といった、メンテナンスに便乗した偽メールが届くことがあります。お知らせはメールのリンクからではなく、ブックマークや検索から開いた公式サイトで確認し、ログイン情報はそこから入力します。

表示が崩れて、古いPHPに戻してしまう

PHPを上げたあとにサイトの一部が動かなくなると、元のバージョンに戻したくなります。ただ、サポートの終わったバージョンに戻すと、今回のような脆弱性の修正を受けられない状態が続きます。一時的に戻した場合でも、原因のテーマやプラグインを特定して直し、改めてバージョンを上げる段取りを決めておきます。

よくある質問

Q. エックスサーバーは不正アクセスを受けたのですか？

A. いいえ。同社は、今回の対応は不正アクセスの発生に伴うものではないと明記しています。ソフトウェアの脆弱性の公表に備えた予防的な対策です。

Q. 自分のホームページは見られなくなっていますか？

A. 公式発表では、お客様のサーバーへの影響はなく、Webサイトの表示は通常どおりとされています。止まっているのはエックスサーバー社のサイトと管理画面です。

Q. メールは届きますか？

A. メールソフトでの送受信は通常どおり使えます。ブラウザで使うWEBメールは停止中なので、再開まではメールソフトやスマホのアプリで確認してください。

Q. いつ再開しますか？

A. 10月21日深夜から22日未明の見込みです。対応状況で前後する場合があるため、メンテナンスページと公式Xで確認してください。

Q. 今のうちに自分で何か操作する必要はありますか？

A. 10月22日1時10分の時点で、利用者にすぐの操作を求める案内は出ていません（管理画面の再開後に追加の対策をお願いする場合があるとされています）。再開後にお知らせを読み直し、サイトのPHPのバージョンがサポート中のものかを確認しておくと安心です。

Q. 他のレンタルサーバーを使っていても関係ありますか？

A. PHPはレンタルサーバーの多くで使われているため、どのサーバーでも無関係ではありません。契約しているサーバー会社のお知らせを確認し、案内があればそれに従ってください。

THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。