PHPに重大な脆弱性、レンタルサーバー各社が管理画面を止めて対策中 — リフォーム店のホームページと問い合わせフォームで今日確かめること

昨日（10月21日）の夜、PHPに重大な脆弱性が2つ見つかり、修正版が出ました。PHPは、多くのホームページや「お問い合わせフォーム」を裏で動かしている仕組みです。これを受けて、エックスサーバーやロリポップなどのレンタルサーバー各社は、公式サイトや管理画面を止めて対策を進めています。この記事では、公式の発表をもとに、何が起きたか、自社のホームページと問い合わせフォームは大丈夫か、そして今日なにを確かめるかを整理します。

何が起きたのですか？

直答: 10月21日、PHPの開発チームが、認証なしで外から任意のプログラムを動かされるおそれがある脆弱性2件（CVE-2026-109618・CVE-2026-109619）と、それを直した修正版（8.5.12・8.4.27・8.3.36・8.2.35）を公表しました。開発チームは、Webのリクエストを受けるすべてのPHPが対象だとして、すぐに更新するよう呼びかけています。

経緯を時間の順に並べると、次のとおりです。

• 10月20日: PHPの開発チームが「10月21日に重大なセキュリティ修正を出す」と予告。2件とも深刻度（CVSS v4.0）は9.2とされました
• 10月21日: IPA（情報処理推進機構）が「事前準備のお願い」を掲載。この時点では、この脆弱性を悪用した攻撃をIPAが確認しているわけではないとしたうえで、公開後すぐに直せるよう準備を呼びかけました
• 10月21日 16:00: エックスサーバーが、公式サイトや管理画面などを予防的に一時停止
• 10月21日 23:00ごろ（日本時間）: PHPの修正版と、脆弱性の内容が公表される
• 10月22日 6:45時点: エックスサーバーが、PHP 8.2〜8.5について対象のすべてのサーバーに修正を適用し終えたと発表

うちの問い合わせフォーム（contact.phpなど）は大丈夫ですか？

直答: 今回の問題は、フォームの作り方ではなく、サーバーに入っているPHPそのものにあります。開発チームの告知では、条件によっては、ホームページ側のプログラムが動く前の段階で攻撃が始まりうるとされています。大事なのは、サーバーのPHPが修正版になっているかです。

ホームページの「お問い合わせ」から送ると、お客様の名前や電話番号が店のメールに届く仕組みの多くは、PHPで動いています。WordPressで作ったホームページも、PHPで動いています。

PHPの開発チームの告知によると、対象はWebのリクエストを受けるPHPすべてで、PHP-FPM・Apacheのmod_php・php-cgi・FrankenPHP・LiteSpeedといった動かし方が挙がっています。なかでもmod_phpの場合が最も危険で、ログインなしで送られた1回のリクエストで、ホームページ側のプログラムが動く前に攻撃が起こせることが実際に示されたとしています。

つまり、「うちのフォームは制作会社がきちんと作ったから大丈夫」とは言えません。一方で、レンタルサーバーで出しているホームページなら、PHPを直すのは基本的にサーバー会社の側です。自分でプログラムを書き換える必要は、ふつうはありません。

レンタルサーバー各社は、どう対応していますか？

直答: エックスサーバーは10月21日16:00から公式サイト・サーバーパネル・WEBメール・ファイルマネージャなどを止め、お客様のサーバーには修正版の公開前から緩和策を含む対策を順次適用しています。ロリポップ・ヘテムルも、修正版の公開に先立って予防のメンテナンスに入っています。

エックスサーバーの「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」（最終更新 10月22日6:45）の内容をまとめると、次のとおりです。

なお、メンテナンス中は電話サポートでもお客様の情報を参照できないため、具体的な案内はできないとしています。最新の状況は、お知らせのページと公式Xアカウント（@xserverjp）で知らせるとのことです。

GMOペパボのロリポップとヘテムルも、修正版の公開に先立って予防のメンテナンスに入り、サービスサイトやユーザー専用ページ（コントロールパネル）などを止めています。ヘテムルは、安全な運用に支障があると判断した場合、お客様のサイトを予告なく停止（制限）することがあるとしています。

今日、何を確かめればいいですか？

直答: まず自社のホームページがどこのサーバーにあるかを確かめ、そのサーバー会社のお知らせを読みます。次に、問い合わせフォームからテストで1通送って、店のメールに届くかを見ます。管理画面が再開したら、PHPのバージョンと、サーバー会社からの追加のお願いを確かめます。

次の順番で進めると迷いません。

1. ホームページのサーバー会社を確かめる: サーバーの契約メールや、毎年の更新料の請求を探します。制作会社に任せている店は、「うちのホームページはどこのサーバーで、PHPを使っていますか」と聞くのが確実です
2. そのサーバー会社のお知らせを読む: 公式サイトが止まっていても、止まっている画面そのものにお知らせが載っていることがあります（エックスサーバー・ロリポップ・ヘテムルはそうでした）
3. 問い合わせフォームからテスト送信する: 店の名前で1通送り、いつものメールアドレスに届くかを見ます。届かないときは、サーバー会社か制作会社に連絡します
4. 管理画面が再開したら、PHPのバージョンを見る: 開発チームは、PHP 8.1以前には開発チームからの更新がもう出ないとしています（今回は重大さを考えて、7.4・8.0・8.1向けに最小限の修正を例外的に出しています）。IPAも、サポートが終わった古いPHPを使い続けているWebサイトが見受けられると注意しています。古いままなら、制作会社かサーバー会社に相談します
5. サーバー会社から追加のお願いが来ていないか見る: エックスサーバーは、利用状況によっては管理画面の再開後にお客様にも追加の対策をお願いする場合があるとしています

4番目でPHPのバージョンを上げるときは、ホームページの作りによっては表示が変わることもあるので、制作会社がいる店は自分で切り替える前に一声かけておくと安心です。

サーバー会社を名乗るメールには、どう備えればいいですか？

直答: 「メンテナンスが終わったので再ログインしてください」「PHPの更新手続きが必要です」のような連絡が来ても、メールのリンクからは入らず、ブックマークや自分で検索した公式サイトから管理画面を開きます。

今回は、レンタルサーバーを使っている多くの店に、本物のお知らせがまとめて届く時期です。本物と同じ話題の偽メールが混ざっても、見分けにくくなります。店の中で、次の2つを決めておくと、あわてずに済みます。

• ログインはブックマークから: サーバーの管理画面やWEBメールには、メールのリンクから入りません
• 支払いの話は契約画面で確かめる: 「契約が止まります」「更新料が未払いです」といった連絡は、自分で開いた管理画面の契約・支払いの欄で確かめます

お客様に聞かれたら、どう答えればいいですか？

直答: 自分から知らせて回る必要はありません。お客様から「ニュースで見たけど、そちらのホームページは大丈夫？」と聞かれたら、サーバー会社が対策を進めていることと、急ぎの用件は電話で受けることを伝えれば十分です。

今回の脆弱性で、お客様が問い合わせフォームに入れた情報が漏れたといった発表は、ここまで挙げた公式の発表の中にはありません。たとえば次のように答えると、不安を広げずに済みます。

• 「ホームページを置いているサーバーの会社が、すぐに対策をしています。今のところ、ホームページは普段どおり見られます」
• 「急ぎのご用件は、お電話でも受けています。フォームで送っていただいて返事がないときは、お手数ですがお電話ください」

ホームページの問い合わせフォームが止まったときに備えて、ホームページの見えやすい場所に電話番号を出しておくことも、この機会に見直しておくとよいでしょう。

まとめ

• 10月21日、PHPに重大な脆弱性2件（CVE-2026-109618・CVE-2026-109619）が公表され、修正版8.5.12・8.4.27・8.3.36・8.2.35が出た
• 問題はフォームの作り方ではなく、サーバーのPHPそのもの。レンタルサーバーなら、直すのは基本的にサーバー会社の側
• エックスサーバーは管理画面を止めて対策中。お客様のホームページの表示とメールソフトでの送受信は通常どおりで、PHP 8.2〜8.5は修正の適用を終えたと発表
• 今日は、サーバー会社のお知らせを読む・フォームからテスト送信する。管理画面が戻ったらPHPのバージョンと追加のお願いを確かめる
• サーバー会社を名乗るメールは、リンクから入らず、ブックマークから確かめる

まずは今日、自社のホームページの問い合わせフォームから、テストで1通送ってみるところから始めてみてください。

フォームが止まっても、電話で受けた問い合わせはリフォラクのお問い合わせメモに残せます。お客様・用件・次の予定を1画面で記録し、あとで対応が要るものはホームの「対応待ち」に載るので、チームの誰が受けても抜けにくくなります。記録は対応履歴から顧客名や電話番号で探せ、iPhone・iPad・Android・パソコン、どれでも同じ記録を見られます（電話を受けたら1画面で記録するには？）。iPhone・iPadはApp Store、AndroidはGoogle Playから入れられ、パソコンはそのまま登録して使えます。

※本記事は2026年10月22日時点でPHPの開発チーム、IPA、各レンタルサーバー会社が公表している情報をもとに、実務の考え方を整理したものです。各社の対応状況は随時更新されています。最新の情報は契約しているサーバー会社のお知らせで確かめ、個別の設定は制作会社やサーバー会社に問い合わせてください。

参考

• PHP「Security advisory: Critical remote code execution vulnerabilities, update now」（英語・2026年10月21日）
• PHP「Upcoming Critical PHP Security Release」（英語・2026年10月20日）
• IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）
• エックスサーバー「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」（2026年10月21日掲載・10月22日6:45更新／メンテナンス中は公式サイトのトップに表示）
• ロリポップ！「緊急メンテナンス中」（2026年10月21日／メンテナンス中はお知らせページに表示）
• ヘテムル「システムメンテナンスのお知らせ」（2026年10月22日確認／メンテナンス中はお知らせページに表示）

見積・請求・入金・原価を、案件ひとつに。

リフォラクは、現役のリフォーム店経営者が自分の店で使うために作った、リフォーム店専用の業務サービスです。面倒な導入手続きはなく、今日はじめて、今日から使えます。

無料ではじめる Android の方は Google Play から

登録から2か月無料（支払いの設定は不要）・続けるときは月額9,900円（税込）・初期費用0円・いつでも解約OK
iPhone・iPad・Android・パソコン、どれでも。同じアカウントで使えます

AppleおよびAppleロゴは米国およびその他の国で登録されたApple Inc.の商標です。App StoreはApple Inc.のサービスマークです。Google PlayはGoogle LLCの商標です。