エックスサーバーのPHP脆弱性対応とは、2026年10月21日に公開されたPHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619）の修正を、エックスサーバー株式会社がお客様のサーバーへ順に適用している対応のことです。同社は10月22日6時45分時点の発表で、PHP 8.2〜8.5については対象となるすべてのサーバーへ修正パッチの適用を終えたとしています。一方、公式の修正版が出ない古いバージョン（8.1以前）は、同社独自の修正を検証が済んだものから順に当てている段階です。
この記事は、2026年10月22日8時30分時点のエックスサーバーのメンテナンスページの内容をもとに、エックスサーバーでWordPressサイトを運営している方が「自分で何を確認し、何をすればよいか」だけに絞って整理したものです。脆弱性そのものの内容はPHPの重大な脆弱性の解説記事、10月21日の管理画面停止の経緯はエックスサーバーの管理画面停止の解説記事にまとめているので、あわせてご覧ください。対応状況は時間とともに変わるため、最新の情報は必ず公式ページで確認してください。
エックスサーバーの公式発表で分かっていること（10月22日8時30分時点）
要点は、「サポート中のPHP（8.2〜8.5）を使っているサイトは、サーバー側の修正が終わっている」「8.1以前を使っているサイトは、まだ順番待ちの可能性がある」「公式サイトと管理画面は8時30分時点でまだ停止中」の3つです。メンテナンスページの更新を時系列で並べます。
時系列（メンテナンスページの更新内容）
| 日時 | エックスサーバーの発表内容 |
|---|---|
| 10月21日 16:00 | 予防的な安全対策として、公式サイト・アカウント管理画面・サーバーパネル・WEBメール・ファイルマネージャ・各種API・お問い合わせフォームなどを一時停止。お客様のサーバーには影響なし。不正アクセスによるものではないと明記 |
| 10月22日 1:10 | 10月21日23時頃に公開された修正版をもとに対応を開始。お客様のサーバーには、公式修正版があるPHP 8.2〜8.5から順に適用を開始。公式修正版がない古いバージョンは同社独自の修正を作成中（時間がかかる見込み） |
| 10月22日 3:55 | PHP 8.2〜8.5への適用を継続中（全サーバー完了まで数時間の見込み）。旧バージョンの修正パッチも並行して準備・検証。管理画面などは機能ごとに点検し、終わったものから順次再開 |
| 10月22日 6:45（最新） | PHP 8.2〜8.5について、対象となるすべてのサーバーへの修正パッチの適用が完了。旧バージョンは一部で修正パッチの準備が整い、検証・確認が済んだものから順次適用を開始。その他の旧バージョンも対応を継続 |
PHP 8.2〜8.5は修正パッチの適用が完了
6時45分の更新で、PHP 8.2・8.3・8.4・8.5を使っているサーバーへの修正は完了したと発表されました。これらのバージョンを選んでいるサイトは、利用者側でPHPを更新する操作は必要ありません。サーバー会社が本体の修正を当て、利用者はその上で動いているだけだからです。なお、8.2は2026年12月末でPHP公式のセキュリティ修正が終わる予定なので、今回を機に8.3以上へ上げる計画を立てておくと、年末にもう一度同じ作業をせずに済みます。
8.1以前（旧バージョン）は順次対応中
PHP 8.1以前には、PHP公式からの修正版が出ていません。エックスサーバーは独自の修正を作って当てると発表していますが、6時45分時点では「一部のバージョンで準備が整い、順次適用を開始」という段階で、すべてが終わったわけではありません。どのバージョンが終わってどれが残っているかは公表されていないため、8.1以前を使っているサイトは、サーバー側の対応を待つより、サポート中のバージョンへ切り替えるほうが確実です。切り替えの手順は後半で説明します。
管理画面の再開状況
10月22日8時30分時点で、公式サイト・アカウント管理画面・サーバーパネルは停止したままです（当初の再開見込みは「10月21日深夜〜10月22日未明」でした）。3時55分の更新では、機能ごとに点検を進め、終わったものから順に再開するとしています。再開のお知らせはメンテナンスページと公式Xアカウント（@xserverjp）で出るので、この2か所を見ます。サーバーパネルが使えない間も、WordPressの管理画面（/wp-admin/）は自分のサーバー上で動いているため、通常どおり開けます。
利用者に追加の対策をお願いする場合がある
メンテナンスページの「よくあるご質問」には、利用状況によっては、管理画面の再開後にお客様にも追加の対策をお願いする場合があり、その際は改めて案内すると書かれています。8時30分時点で具体的な案内はまだ出ていません。再開後にメンテナンスページを読み直し、案内があればそれを最優先にしてください。
利用者がやることの全体像
共用のレンタルサーバーでは、PHP本体の修正はサーバー会社の仕事で、利用者が決められるのは「どのバージョンを使うか」だけです。今回の作業を、誰が・いつ・何をするかで整理すると次のようになります。
| やること | 誰がやるか | いつ |
|---|---|---|
| PHP本体への修正パッチの適用 | エックスサーバー | 8.2〜8.5は完了（10/22 6:45）。8.1以前は順次 |
| サイトが使っているPHPのバージョンを確認する | 利用者 | 今すぐ（WordPressのサイトヘルスなら管理画面の停止中でも可能） |
| 8.1以前なら、サポート中のバージョンへ切り替える | 利用者 | サーバーパネル再開後、バックアップを取ってから |
| 切り替え後に表示や問い合わせフォームを確認する | 利用者 | 切り替えた直後 |
| 公式から追加の案内が出たら従う | 利用者 | 再開後にメンテナンスページを読み直す |
WordPressやプラグインの更新では直らない
今回の弱点はPHP本体にあり、WordPressのプログラムが動き出す前の段階で狙われます。そのため、WordPress本体やプラグインを最新にしても、この脆弱性そのものは防げません。直すのはPHP本体の修正（サーバー会社の作業）と、修正の対象になるバージョンを選ぶこと（利用者の作業）の2つです。WordPressやプラグインの更新は、後述するとおり「PHPを上げたときに動かなくなるトラブルを減らす」ために行います。
サイトを止める必要はあるか
エックスサーバーの発表では、お客様のサーバーは稼働を続けながら安全対策を進めているとされ、利用者にサイトの停止を求める案内は出ていません。8.2〜8.5のサイトは修正が終わっているので、止める理由はありません。8.1以前のサイトで、どうしても心配な場合は、切り替えが終わるまでの間だけ一時的に非公開にする選択もありますが、営業への影響と比べて判断してください。
ステップ1〜3｜自分のサイトのPHPバージョンを確認する
最初にやるのは、自分のサイトがどのPHPで動いているかを知ることです。確認の場所は2つあり、サーバーパネルが止まっている今は、WordPressのサイトヘルスから先に見ます。
ステップ1｜WordPressの「サイトヘルス」で確認する（今すぐできる）
WordPressの管理画面にログインし、左メニューの「ツール」→「サイトヘルス」→上部の「情報」タブ→「サーバー」の項目を開くと、「PHPバージョン」の行に「8.3.36」のような番号が出ます。この番号が8.2.35・8.3.36・8.4.27・8.5.12以上なら、修正版のPHPで動いています。8.1.xや8.0.x、7.4.xのように8.1以前の番号なら、切り替えの対象です。サイトヘルスの「ステータス」タブに「PHPの更新が必要です」という表示が出ている場合も、古いPHPを使っているサインです。
ステップ2｜サーバーパネルの「PHP Ver.切替」で確認する（再開後）
サーバーパネルが再開したら、ログイン後のメニューにある「PHP Ver.切替」を開きます。ドメインごとに現在のバージョンが一覧で表示されるので、運用しているすべてのドメインの番号を控えておきます。エックスサーバー公式マニュアル「PHPのバージョンについて」によると、一覧ではPHP 8.5.xが「WordPress推奨バージョン」、8.2.x以前が「旧バージョン」と表記されています（記事作成時点では公式サイトが停止中のため、検索結果に表示されたマニュアルの内容で確認しています。再開後に原文をご確認ください）。
ステップ3｜複数のドメイン・サブドメインをすべて見る
エックスサーバーのPHPバージョンはドメイン単位で設定されるため、会社サイトは8.3でも、昔作った採用サイトやキャンペーン用のサブドメインが7.4のまま、ということがよくあります。本体サイトだけ確認して安心していたら、使っていないテスト用のサブドメインが古いPHPで残っていた、というのはよくある見落としです。サーバーパネルの「PHP Ver.切替」の一覧を上から下まで見て、使っていないドメインは削除するか、サポート中のバージョンに揃えます。
ステップ4〜6｜8.1以前なら、切り替える前の準備
8.1以前を使っていた場合は、サポート中のバージョン（8.2以上、できれば8.3以上）へ切り替えます。ただし、古いテーマやプラグインが新しいPHPで動かないことがあるので、いきなり切り替えずに準備をしてから行います。
ステップ4｜バックアップを取る
エックスサーバーは全プランで、Webとメールのデータ、MySQLデータベース（WordPressの記事や設定が入っている保管庫）を1日1回、過去14日分まで自動でバックアップしています（公式の自動バックアップの案内。一部の古いサーバーでは7日分）。戻すときは、サーバーパネルの「自動バックアップの取得・復元」→「自動バックアップデータから復元」から、日付と対象を選びます。データベースは「MySQLバックアップ取得・復元」が別にあります（公式マニュアル「自動バックアップデータから復元」）。
自動バックアップがあっても、切り替え直前の状態を手元にも残しておくと安心です。WordPressの管理画面から使えるバックアップ用プラグイン（UpdraftPlusやAll-in-One WP Migrationなど）で、ファイルとデータベースをまとめて書き出し、自分のパソコンにダウンロードしておきます。サーバーパネルが使えない間でも、この手順なら今すぐできます。
ステップ5｜WordPress本体・テーマ・プラグインを最新にする
PHPを上げる前に、WordPress本体、使っているテーマ、プラグインをすべて最新にします。古いまま放置されていたプラグインは、新しいPHPに対応していないことがあります。プラグイン一覧で「最終更新が2年以上前」「検証済みのWordPressバージョンが古い」と表示されているものは要注意で、代わりのプラグインを探すか、本当に必要か見直します。更新したあとにサイトの表示が変わらないか、ここで一度確認しておくと、PHP切り替え後に不具合が出たときに原因の切り分けがしやすくなります。
ステップ6｜切り替える時間帯と、戻す判断を決めておく
切り替えは数分で反映されますが、表示が崩れたときにすぐ確認して戻せるよう、アクセスの少ない時間帯で、自分が画面の前にいられるときに行います。あわせて、「このページとこのフォームが動けばOK」「崩れたら一度戻して原因を調べる」という判断基準を先に決めておくと、慌てずに済みます。
ステップ7〜8｜「PHP Ver.切替」でバージョンを切り替える
準備ができたら、サーバーパネルで切り替えます。公式マニュアルに書かれている手順は次のとおりです。
ステップ7｜ドメインを選び、変更後のバージョンを設定する
サーバーパネルにログインし、「PHP Ver.切替」をクリックします。一覧から対象のドメインを探し、右側のペンのアイコン（編集）を押すと、現在のバージョンと「変更後のバージョン」の選択欄が出ます。変更後のバージョンを選び、「設定する」を押せば完了です（古いサーバーパネルでは、ボタン名が「バージョンを切り替える」になっています）。ドメインが複数ある場合は、ドメインごとに同じ操作を繰り返します。
ステップ8｜どのバージョンを選ぶか
選ぶ基準は、「PHP公式のセキュリティ修正が続いている期間」と「使っているテーマ・プラグインが対応しているか」の2つです。PHP公式のサポート期間と、エックスサーバーのマニュアルの表記をあわせると次のようになります。
| バージョン | PHP公式のセキュリティ修正 | 今回の修正 | 選び方の目安 |
|---|---|---|---|
| 8.5.x | 2029年12月末まで | エックスサーバー適用完了 | マニュアル上の「WordPress推奨バージョン」。新しいサイトや、テーマ・プラグインが最新ならこれ |
| 8.4.x | 2028年12月末まで | 適用完了 | 8.5で動かないプラグインがあるときの選択肢 |
| 8.3.x | 2027年12月末まで | 適用完了 | 多くのテーマ・プラグインが対応済みで、安定して使いやすい |
| 8.2.x | 2026年12月末まで | 適用完了 | 今回は安全だが、年末にまた切り替えが必要になる |
| 8.1以前 | 終了 | エックスサーバー独自の修正を順次 | 選ばない。使っていたら上のどれかへ |
7.4や8.0から一気に8.5へ上げると、古いテーマで不具合が出やすくなります。制作の現場では、まず8.3に上げて動作を確認し、問題がなければ後日8.4や8.5へ進める、という2段階にすることが多いです。バージョンの違いや切り替えの基本は、PHPのバージョンの基礎を解説した記事でも紹介しています。
ステップ9〜11｜切り替え後に確認すること
切り替えたら、サイトが正しく動いているかを自分の目で確かめます。見るのは、表示・管理画面・問い合わせの3点です。
ステップ9｜主要ページ・管理画面・問い合わせフォームを試す
トップページ、サービス紹介や料金などの主要ページ、ブログ記事を1本、スマートフォンでも開いて表示を確認します。次にWordPressの管理画面にログインし、記事の編集画面が開くかを見ます。最後に問い合わせフォームから実際に1件送信し、自分宛てのメールが届くところまで確認します。見た目は問題ないのにフォームのメールだけ届かなくなる、という不具合は見落としやすいので、ここは省略しないでください。
ステップ10｜サイトヘルスでバージョンが変わったか再確認する
再び「ツール」→「サイトヘルス」→「情報」→「サーバー」を開き、PHPバージョンの番号が選んだバージョン（例: 8.3.36）になっているかを確認します。番号が変わっていなければ、数分待ってから再読み込みします。それでも変わらない場合は、別のドメインを切り替えていないか、サーバーパネルの一覧を見直します。
ステップ11｜表示が崩れたときの戻し方と、その後にやること
画面が真っ白になる、エラー文が出る、レイアウトが崩れる、といった場合は、同じ「PHP Ver.切替」で元のバージョンを選び直せば戻せます。ただし、戻したままにすると今回の弱点が残り続けます。戻したあとは、WordPressの「プラグイン」でひとつずつ停止して原因を探す、テーマを一時的に標準テーマに切り替えて確認する、といった方法で原因を特定し、直したうえで改めて切り替える日を決めてください。自分で原因が分からないときは、次の章の「相談したほうがいい場面」に進みます。
修正パッチが当たったかを自分で確かめる方法
エックスサーバーからの完了発表に加えて、自分のサイトでも確かめたい場合は、サイトヘルスに表示されるバージョン番号を見ます。
番号の末尾が修正版以上になっているか
PHP公式の修正版は8.2.35・8.3.36・8.4.27・8.5.12です。サイトヘルスの「PHPバージョン」がこれらと同じか新しい番号なら、修正版で動いていると判断できます。6時45分の発表で8.2〜8.5は適用完了とされているため、この時点でまだ古い番号（例: 8.3.35）のままなら、しばらく時間をおいて再確認し、それでも変わらなければ再開後のサポート窓口に問い合わせます。
8.1以前は番号では判断できない
8.1以前に当てられるのはエックスサーバー独自の修正なので、バージョン番号が変わらないまま修正だけ入る可能性があります。番号を見ても適用済みかどうかは分かりません。この点からも、8.1以前のサイトは「待つ」より「サポート中のバージョンへ切り替える」ほうが、自分で確認できる分だけ確実です。
制作会社や保守会社に相談したほうがいい場面
ここまでの手順は、WordPressの管理画面とサーバーパネルを触れる方なら自分で進められます。ただ、次のような場合は、無理に進めず、サイトを作った制作会社や保守を任せている会社に相談したほうが早く、安全です。
切り替えで表示が崩れ、原因が分からない
プラグインを止めても直らない、テーマを変えると見た目が完全に変わってしまうので試せない、という場合は、テーマの中のプログラムが古いPHPの書き方のままになっていることがあります。これは管理画面からは直せないため、制作会社に「PHPを8.3に上げると、このページがこうなる」と具体的に伝えて相談します。
自作のプログラムや古い予約・見積もりの仕組みがある
WordPressとは別に、独自に作られた問い合わせフォームや予約システム、見積もり計算のページがある場合、それらはテーマやプラグインの更新では対応できません。制作時の担当者や保守会社に、新しいPHPで動くかの確認と修正を依頼します。
8.1以前から動かせない事情がある
古いプラグインがどうしても必要で8.1以前から上げられない場合は、エックスサーバーの独自修正の適用を待つしかありませんが、その間は弱点が残ります。代わりのプラグインへの移行や、そのページだけ作り直すなど、根本の解決には制作会社の手が必要になることが多いので、早めに相談してください。
保守契約がある場合は、範囲を先に確認する
保守契約を結んでいる場合、PHPのバージョン切り替えや動作確認が契約の範囲に入っているかを先に確認します。入っていれば今回の対応を依頼し、入っていなければ、今回だけ別途お願いするか、自分で進めるかを決めます。
よくある失敗と注意点
サーバー会社の大きな対応のあとは、便乗した偽メールや、慌てた操作によるトラブルが起きやすくなります。
エックスサーバーを装ったメールのリンクから操作する
「安全対策のため再ログインしてください」「PHPの更新を完了してください」といったメールが届いても、メールの中のリンクは開かず、ブックマークや検索から公式サイトを開いて確認します。今回のメンテナンス中、エックスサーバーの案内はメンテナンスページと公式Xだけで出ています。
SNSの情報で設定を触ってしまう
公開前後には「この設定を変えれば防げる」といった情報が出回りましたが、PHPの開発に関わる人やセキュリティ会社からは、設定の変更だけでは防ぎきれないという指摘が出ています。php.iniの設定を自己判断で変えると、サイトが動かなくなる原因にもなります。やることは、サポート中のバージョンを選ぶことと、公式の案内に従うことに絞ります。
古いバージョンに戻したままにする
切り替え後に不具合が出て7.4や8.0に戻すと、弱点が残った状態が続きます。一時的に戻すのはやむを得ませんが、原因を直して改めて上げる日を決め、カレンダーに入れておきます。
よくある質問
Q. エックスサーバーの修正はもう終わっていますか？
A. 2026年10月22日6時45分の発表で、PHP 8.2〜8.5を使っているすべてのサーバーへの修正パッチの適用は完了したとされています。8.1以前は、同社独自の修正を検証が済んだものから順に当てている段階です。
Q. 自分のサイトが8.3なら、何もしなくていいですか？
A. PHPの更新操作は必要ありません。サイトヘルスで番号が8.3.36以上になっているかを確認し、サーバーパネルの再開後にメンテナンスページで追加の案内が出ていないかを読み直してください。
Q. 8.1以前を使っています。すぐ切り替えるべきですか？
A. サーバーパネルが再開したら、バックアップとWordPress・プラグインの更新を済ませたうえで、早めにサポート中のバージョン（8.3以上が目安）へ切り替えることをおすすめします。切り替え後は表示とフォームの動作確認をしてください。
Q. サーバーパネルが使えない間にできることはありますか？
A. WordPressの管理画面は使えるので、サイトヘルスでのバージョン確認、プラグインでのバックアップ、WordPress本体・テーマ・プラグインの更新は今すぐできます。バージョンの切り替えだけは再開を待ちます。
Q. WordPressを最新にすれば安全になりますか？
A. なりません。今回の弱点はPHP本体にあるため、WordPressやプラグインの更新では防げません。PHP本体の修正（サーバー会社の作業）と、修正の対象になるバージョンを選ぶこと（利用者の作業）が対策です。
Q. 切り替えたら表示が崩れました。どうすればいいですか？
A. 「PHP Ver.切替」で一度元のバージョンに戻し、プラグインをひとつずつ止める、テーマを標準テーマに切り替えるなどで原因を探します。分からない場合は、どのページがどうなったかを具体的に伝えて、制作会社や保守会社に相談してください。
Q. 問い合わせ窓口はいつ使えますか？
A. 8時30分時点で、チャットとお問い合わせフォームは停止中です。電話は平日9時〜18時に受け付けていますが、メンテナンス中はお客様の情報を参照できないため、具体的な案内はできないとされています。再開後に改めて問い合わせてください。
参考にした情報（2026年10月22日8時30分時点）
- エックスサーバー「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」（最終更新 10月22日6:45）
- エックスサーバー公式Xアカウント（@xserverjp）
- エックスサーバー マニュアル「PHPのバージョンについて」
- エックスサーバー「自動バックアップ」・マニュアル「自動バックアップデータから復元」
- PHP公式 修正版の公開のお知らせ（英語）・サポート中のバージョン一覧（英語）
- IPA（情報処理推進機構）の注意喚起
エックスサーバーの公式サイトとマニュアルは、この記事の作成時点でメンテナンス中のため直接開けない場合があります。再開後に原文をご確認ください。
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
