リコーのITKeeper（アイティーキーパー）のWebホスティングでホームページを公開している方が、2026年10月のPHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619、通称「php2shell」）に対してやることは、「緊急メンテナンスの告知を読んで、自分の契約が対象だったかを確かめること」と「Web管理画面でPHPのバージョンを確かめ、今後の扱いをサポート窓口に問い合わせること」の2つです。リコージャパンの「リコー センターサービス」には、10月22日0時20分から10月23日15時35分まで、PHPの脆弱性への対応を目的としたWebホスティングサービスの緊急メンテナンスを行い、サービスを再開したという告知が出ています（10月26日17時30分更新）。作業内容は「PHP環境におけるセキュリティ上必要な設定変更」と「不正な通信を検知・遮断するセキュリティ対策の強化」などで、利用者へのお願いは書かれていません。一方で、公開されているサーバーの仕様と手引きでは、選べるPHPは7.2系が上限です。7.2はPHP公式の修正が出ていない古い版なので、長く使い続けるなら、今後の方針を窓口で確かめておくことをおすすめします。
| 速報（2026年11月11日時点・当社調べ） | |
|---|---|
| PHPの脆弱性への対応 | 対応のメンテナンスは終了（10月22日0時20分〜10月23日15時35分。PHP環境の設定変更、不正な通信の検知・遮断の強化、監視の強化と案内。修正版のPHPへの入れ替えやバージョンの変更については記載なし） |
| 管理画面・ログイン | 停止や再開についての個別の告知は見当たらず |
| サイト・サービスの表示 | 再開済み（メンテナンスは「サービス停止を伴う」と案内され、10月23日15時35分に再開。止まった範囲の内訳は書かれていない） |
| 確認した公式ページ | リコー センターサービス「Webホスティングサービス 緊急メンテナンスのご案内（10/22）」／Webサーバー仕様／メール&Webサービス Webホスティング ご利用の手引き（PDF） |
この記事は、2026年11月11日時点のリコー センターサービスのお知らせ、Webホスティングのよくある質問と仕様のページ、ご利用の手引き（第3.1版）、PHP公式のセキュリティアドバイザリをもとにしています。状況は変わることがあるため、最新の情報は必ず公式の発表でご確認ください。脆弱性そのものの説明はPHPの重大な脆弱性（CVE-2026-109618/109619）の解説記事に、国内のサーバー会社やサービスの動きは10月21日のまとめ記事に、弊社で管理しているサーバーの状況は弊社管理サーバーの対応状況に、今回の件の振り返りは総括の記事に書いています。この記事では、リコーのWebホスティングでWordPressなどのサイトを運営している方に向けて、「何が行われて、自分は何を確かめればよいか」に絞って整理します。
リコーが公表していること（11月11日時点）
リコーのインターネット関連サービス（プロバイダやホスティング）のお知らせは、「リコー センターサービス」のサイトにまとまっています。メンテナンス情報、障害情報、セキュリティ情報、その他のお知らせの4つの欄を11月11日に確認したところ、今回のPHPの脆弱性に関係するものは次の2件でした。
10月22日0時20分〜23日15時35分｜Webホスティングサービスの緊急メンテナンス
メンテナンス情報の欄に、10月22日付で「Webホスティングサービス 緊急メンテナンスのご案内（10/22）」が出ています（題名には「10/26 17:30更新」とあります）。作業の日時は10月22日（木）0時20分から10月23日（金）15時35分までで、「PHPの脆弱性対応を目的としたメンテナンス」と明記されています。作業の中身として挙げられているのは、次の4つです。
- PHP環境におけるセキュリティ上必要な設定変更
- 不正な通信を検知・遮断するセキュリティ対策の強化
- サーバーおよび通信状況の監視強化
- 対策実施後のサービス影響および動作状況の確認
メンテナンスは「サービス停止を伴う」と案内され、当初は再開の日時が未定とされていました。その後、10月23日15時35分にサービスを再開したと書き加えられています。ホームページの表示、FTP、Web管理画面のどれがどこまで止まったのかという内訳は書かれていません。PHPを修正版に入れ替えたのか、バージョンを変えたのかについても、記載はありません。
対象になったサービス
告知に挙げられている対象は、次の5つです。契約書や「設定情報確認書」に書かれているサービス名と照らし合わせてください。
| 告知に書かれている対象サービス |
|---|
| ITKeeper ホスティングサービス（スタートアップ、オーディナリー、ユースフル、パワーアップ、スーパーの各クラスII） |
| ITKeeper NETBegin BBパック Select ホスティング |
| ITKeeper NETBegin BBパック Next ホスティング |
| ITKeeper メール&Webサービス（Webホスティング10） |
| ITKeeper ネットワークセキュリティパック ホスティング |
お知らせに書かれていないこと
11月11日時点で、Webホスティングについて、修正版のPHPを入れたかどうか、利用者がPHPのバージョンを変える必要があるかどうか、被害が出ているかどうかを説明したお知らせは見当たりませんでした。セキュリティ情報の欄には、10月から11月にかけてWordPressやブラウザの脆弱性の注意喚起が並んでいますが、PHPそのものを題名にしたものはありません。障害情報の欄も、この期間はメール関係のものだけでした。「書かれていない」ことは「対応していない」という意味ではないので、気になる点は後で触れるサポート窓口で確かめるのが確実です。
10月22日｜クラウドサービス（Office 365・Azure）向けの別のご案内
その他のお知らせの欄には、10月22日付で「【クラウドサービス for Office 365・Azure】PHP脆弱性に関するご案内」も出ています。こちらはWebホスティングとは別のサービスの話で、Microsoft 365やAzureのサービスそのものは利用者の作業は不要、Azureの上で自社のWebシステムやWordPressを動かしている場合はPHPの影響を開発元や運用担当者に確かめてほしい、という内容です。Webホスティングを使っている方は、上の緊急メンテナンスの告知のほうを見てください。
リコーのWebホスティングとPHPのバージョン
今回の脆弱性はPHPの本体にあるので、「自分のサイトがどのPHPで動いているか」が出発点になります。リコーのWebホスティングでは、PHPのバージョンを利用者がWeb管理画面で選べます。ただし、選べる範囲には上限があります。
選べるPHPは7.2系まで
公開されているWebサーバー仕様のページ（2021年12月9日掲載）では、契約の区分ごとのPHPの版が次のように書かれています。ご利用の手引き（第3.1版）にも「いずれのサービスも、バージョンの上限は7.2.3です」とあります（手引きは「7.2.3」、仕様のページは「7.2.30」と書かれていますが、どちらも7.2系が上限という意味です）。
| 契約の区分 | 最初のPHP | 変更できる版 |
|---|---|---|
| メール&Webサービス | 7.2.30 | ― |
| メール&Webサービス（2020年8月31日以前に契約開始） | 5.3.3 | 7.2.30 |
| メール&Webサービス以外 | 5.1.6 | 5.3.3、7.2.30 |
11月11日時点で、これより新しい版（8系）を追加したという案内は見当たりませんでした。仕様のページが2021年のものなので、いまの実際の選択肢は、自分のWeb管理画面で確かめてください。
7.2には、PHP公式の修正が出ていない
PHP 7.2は、2020年11月にPHPの開発チームによる更新が終わった版です。今回の脆弱性では、修正版の8.5.12・8.4.27・8.3.36・8.2.35が公開され、事態の深刻さから7.4・8.0・8.1向けにも最小限の修正が特別に公開されましたが、7.2向けのものはありません。古い版の扱いはサーバー会社しだいで、リコーは今回、PHP環境の設定変更と不正な通信の遮断などで対応したと案内しています。どこまで手当てが済んでいるかは、告知からは読み取れません。
WordPressやプラグインの更新では直らない
今回の弱点はPHP本体にあるので、WordPress本体やプラグインを最新にしても、この脆弱性は直りません。WordPressやプラグインの更新はそれ自体として大切ですが、PHPの確認とは別に考えてください。
自分のサイトのPHPバージョンを確かめる
手順は、ご利用の手引き（第3.1版）とよくある質問をもとにしています。画面の名前は手引きの表記に合わせました。手引きの画面とお使いの画面が違う場合は、お使いの画面を優先してください。
ステップ1｜Web管理画面を開く
Web管理画面の入口は、契約時に届く「設定情報確認書」の「管理画面ログイン情報」の欄に書かれています。よくある質問では、入口のページでFTPアカウント名を入れて「表示」を押すと管理画面が開く、と案内されています。ログインには、お客様のドメイン名とパスワードを使います。
ステップ2｜「ウェブサイトとドメイン」→「PHP設定」で見る
左のメニューの「ウェブサイトとドメイン」を押し、「PHP設定」のアイコンを押すと、いまのPHPのバージョンがプルダウン（選択欄）に表示されます。5.1や5.3になっていたら、かなり古い版のまま動いているということです。
ステップ3｜WordPressのサイトヘルスで細かい番号を見る
WordPressを使っている場合は、WordPressの管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」でも、実際に動いているPHPの番号が見られます。管理画面の表示とサイトヘルスの番号がずれていたら、フォルダごとの設定など、別の場所でバージョンが決まっている可能性があります。
7.2より古いときの切り替え手順
5.1や5.3のまま使っている場合は、7.2系へ上げられます（よくある質問「PHPバージョンを変更する方法」）。7.2も古い版であることに変わりはありませんが、5系のままよりは状況がよくなります。ただし、古いプログラムは新しい版で動かなくなることがあるので、次の順番で進めてください。
ステップ1｜切り替えの前にバックアップを取る
何かあったときに元に戻せるよう、先にサイトのバックアップを取ります。やり方は次の章で説明します。
ステップ2｜テーマとプラグインが対応しているか確かめる
WordPressのテーマやプラグイン、独自に作ったプログラムが、切り替え先のPHPで動くかを確かめます。制作会社に作ってもらったサイトなら、切り替える前にひと声かけておくと安心です。
ステップ3｜プルダウンで選んで「OK」か「適用」を押す
「ウェブサイトとドメイン」→「PHP設定」を開き、プルダウンから希望のバージョンを選んで、ページ下の「OK」か「適用」を押します。手引きでは、契約しているサービスや契約の時期によって選べるバージョンが違うと案内されています。WordPressで「PHP バージョン 5.6.20 以降が必要」と表示される場合も、WordPressの案内のページでは7.2.30へ変えるよう書かれています。
切り替える前にバックアップを取る
手引きには、機器の障害が起きたときはサーバーの設定を初期の状態まで戻すが、利用者が作ったアカウントやホームページのデータは保証しないので、定期的にバックアップを取ってほしい、と書かれています。PHPを切り替えるときに限らず、手元に控えを持っておくことをおすすめします。
Web管理画面の「バックアップマネージャ」
「ウェブサイトとドメイン」→「バックアップマネージャ」→「バックアップ」の順に進み、「ユーザファイルおよびデータベース」など必要なものに印を付けて実行します。「フル」と「増分」（前回からの変更分だけ）を選べますが、データベースはいつも全部が保存されます。作ったバックアップはサーバーの中に置かれるので、一覧のファイル名の右にあるボタンから、パソコンにも保存しておきましょう。手引きでもダウンロードしての保存を勧めています。
FTPでファイルを手元に保存する
FTPソフト（サーバーとパソコンの間でファイルをやり取りするソフト）で、公開しているフォルダの中身をまるごとパソコンに保存しておく方法もあります。バックアップマネージャと合わせて二重に持っておくと、どちらかが使えないときにも困りません。
データベースはphpMyAdminで書き出す
WordPressの記事や設定は、ファイルではなくデータベースに入っています。「ウェブサイトとドメイン」→「データベース」→「phpMyAdmin」から、データベースの中身をファイルに書き出して保存できます。phpMyAdminの使い方はリコーのサポートの対象外とされているので、不安なときは制作会社や保守会社に頼んでください。
切り替えたあとに確認すること
トップページと主なページの表示
トップページ、会社案内、問い合わせのページなど、よく見られるページをパソコンとスマートフォンの両方で開きます。真っ白になる、エラーの文字が出る、レイアウトが崩れる、といったことがないかを見てください。
WordPressの管理画面とサイトヘルスの番号
WordPressの管理画面にログインでき、記事の編集画面が開くかを確かめます。あわせてサイトヘルスで、PHPの番号が切り替え先のものになっているかを見ておきます。
問い合わせフォームとメール送信
問い合わせフォームから自分宛てに一度送ってみて、送信の完了画面が出るか、通知メールと自動返信メールが届くかを確かめます。フォームは、PHPの切り替えで止まっていても気づきにくい場所です。
エラーが出たときの戻し方
表示がおかしくなったときは、同じ「PHP設定」の画面で元のバージョンに戻せば、多くの場合は元どおりになります。それでも直らないときは、バックアップマネージャの一覧から、戻したい日のバックアップを選んで復元します。復元すると、バックアップを取ったあとに追加したアカウントやファイルは消えるので注意してください。
長く使い続けるなら考えておくこと
サポート窓口に、PHPの今後を問い合わせる
今回の対応で自分のサイトのPHPに何が行われたのか、8系が使えるようになる予定はあるのか、は利用者側からは分かりません。緊急メンテナンスの告知に書かれている窓口は、リコープロバイダ サポートダイヤル（0120-060-799、月曜日〜日曜日の9時〜21時）です。問い合わせフォームはリコー センターサービスのお問い合わせにあります。契約の変更などの手続きは、最寄りの事業所が窓口と案内されています。問い合わせるときは、契約しているサービス名とドメイン名、いまのPHPのバージョンを手元に用意しておくと話が早く進みます。
8.2以上が使えるサーバーへの移設も選択肢に入れる
WordPressなどのPHPで動くサイトを長く使うなら、PHPの開発チームの更新が続いている版（2026年11月時点では8.2以上）を使える環境に置いておくのが基本です。リコーの回答を聞いたうえで、いまの契約のまま使い続けるか、ホームページだけ別のサーバーへ移すかを決めると、判断がぶれません。メールも同じ契約で使っている場合は、移設するとメールの設定にも関わるので、制作会社や保守会社と一緒に計画を立ててください。
よくある失敗と注意点
緊急メンテナンスが終わったから、すべて直ったと思い込む
告知に書かれているのは、設定の変更と不正な通信の遮断などの対策です。修正版のPHPに入れ替えたとは書かれていません。メンテナンスが終わったことと、自分のサイトのPHPが今後も安心して使える状態かどうかは、分けて考えてください。
サイトが見られなかった原因を取り違える
10月22日0時20分から23日15時35分の間にホームページが見られなかったのなら、緊急メンテナンスによる停止の可能性が高いです。攻撃を受けたと決めつけて慌てる前に、まず告知の日時と照らし合わせてください。メンテナンスのあとも表示がおかしい場合は、制作会社や保守会社に確認を頼みましょう。
リコーを名乗るメールのリンクからログインする
大きな脆弱性が話題になると、サーバー会社を装ったメールが出回りやすくなります。リコー センターサービスにも、なりすましメール（フィッシングメール）の注意喚起が載っています。メールの中のリンクからではなく、設定情報確認書に書かれた入口やブックマークから管理画面を開くようにしてください。
こんなときは、サーバー会社や制作会社に相談する
自分の契約にどんな対応がされたのか知りたい
告知には対象のサービス名と作業の中身しか書かれていないので、自分のサイトのPHPについて詳しく知りたいときは、リコーのサポート窓口に聞くのがいちばん確かです。
PHPを上げると表示が崩れ、原因が分からない
古いテーマやプラグイン、独自のプログラムが新しい版に対応していないことが多いです。元のバージョンに戻してから、サイトを作った制作会社や保守会社に見てもらってください。
見覚えのないファイルや管理者ユーザーが増えている
サーバーの中に知らないファイルがある、WordPressに覚えのない管理者が増えている、といったときは、乗っ取りの可能性があります。自分で消して済ませず、バックアップを取ったうえで、すぐに専門の会社に相談してください。
無料の点検自分のサイトが大丈夫か判断しにくいときは、外から見える範囲を無料で点検します。パスワードをお預かりする必要はありません。
無料診断について見るよくある質問
Q. リコーのサーバーが不正アクセスを受けたのですか？
A. 11月11日時点で、リコーのWebホスティングが今回のPHPの脆弱性で被害を受けたというお知らせは見当たりません。10月22日からの緊急メンテナンスは、「PHPの脆弱性対応を目的とした」ものと案内されています。
Q. 利用者が今すぐやらなければいけない作業はありますか？
A. 告知には、利用者へのお願いは書かれていません。そのうえで、サイトの表示とフォームが正常に動いているかを確かめ、バックアップを手元に保存し、Web管理画面でPHPのバージョンを確かめておくことをおすすめします。
Q. PHPを8.2以上にできますか？
A. 公開されている仕様のページと手引きでは、選べるPHPは7.2系が上限です。11月11日時点で、8系を追加したという案内は見当たりませんでした。今後の予定は、リコーのサポート窓口に確かめてください。
Q. 10月22日に急にホームページが見られなくなりました。攻撃を受けたのですか？
A. 10月22日0時20分から23日15時35分の間なら、緊急メンテナンスによるサービスの停止の可能性が高いです。サービスは10月23日15時35分に再開しています。それ以降も表示されない、エラーが出るという場合は、制作会社や保守会社、リコーのサポート窓口に確認を頼んでください。
Q. WordPressとプラグインを最新にすれば大丈夫ですか？
A. いいえ。今回の弱点はPHP本体にあるので、WordPressやプラグインの更新では直りません。PHPの確認とは別に考えてください。
Q. 最新の情報はどこで確認すればよいですか？
A. リコー センターサービスのサイトの「メンテナンス情報」と「その他お知らせ」の欄です。個人の投稿やまとめには憶測が混ざりやすいので、社内やお客様への共有には公式のお知らせを使ってください。
参考にした公式ページ
- リコー センターサービス「【10/26 17:30更新】Webホスティングサービス 緊急メンテナンスのご案内（10/22）」（2026年10月22日）
- リコー センターサービス「【クラウドサービス for Office 365・Azure】PHP脆弱性に関するご案内」（2026年10月22日）
- リコー センターサービス「Webサーバー仕様」（2021年12月9日）
- ITKeeper メール&Webサービス Webホスティング ご利用の手引き（第3.1版・PDF）
- リコー センターサービス よくあるご質問「PHPバージョンを変更する方法」
- リコー センターサービス よくあるご質問「Webサービスの管理画面へのアクセスはどのようにすればよいでしょうか？」
- リコー センターサービス「WordPressを利用したい」
- リコー センターサービス「セキュリティ情報」
- PHP公式 セキュリティアドバイザリ（2026年10月21日）
- IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
「うちのホームページは大丈夫かな」と気になった方へ。
THREE D PLUS では、ホームページの外から見える範囲を無料で点検しています。PHPやWordPressのバージョンが外から見えていないか、管理画面の入口が守られているか、SSLの期限が近くないか、といった点を確かめて、結果を専門用語なしでお伝えします。サーバーや管理画面のパスワードをお預かりする必要はありません。
