PHP（ピーエイチピー）に見つかった2件の重大な脆弱性について、エックスサーバー、さくらのレンタルサーバ、ロリポップ！、ConoHa WING（コノハウィング）、コアサーバーの5社は、PHP本体の修正をサーバー会社側で当てました（エックスサーバーのPHP 5.1〜5.5だけは、23日17時時点で対象サーバーの過半数まで）。契約者が自分でPHPを直す作業は要りません。
一方、CPI（シーピーアイ）で8.1以下のPHPを使う契約者（古いプランは全員）と、カゴヤの共用・WordPress（ワードプレス）専用サーバーは、契約者に設定の変更やサイトの公開停止を検討するよう求めています。修正が終わるまで契約者のサイトを止めたと公表しているのは、7社のうちロリポップです。
各社の公式発表を2026年10月24日未明に確認しました。エックスサーバーは23日17時までの経過、カゴヤは23日18時17分時点の表です。エックスサーバー、CPI、カゴヤは、同じページで随時更新するとしています。
7社の対応状況の一覧
今回の2件は、PHP公式が10月21日に修正版（8.2.35、8.3.36、8.4.27、8.5.12）を出したものです。認証なしで外からサーバー上のプログラムを動かされるおそれがあり、共用のレンタルサーバーではPHP本体を直せるのはサーバー会社だけです。
| 会社 | PHPの修正 | 契約者の作業 |
|---|---|---|
| エックスサーバー | 5.6〜8.5は全サーバーで完了。5.1〜5.5は過半数 | 急いだ変更は不要 |
| さくらのレンタルサーバ | 選べる全バージョン（8.3〜5.2）で完了 | 緊急の作業なし |
| ロリポップ！ | 5.3〜8.5の全バージョンで完了 | サイトの動作確認 |
| ConoHa WING | 5.6〜8.5の全バージョンで完了 | 変更は不要 |
| コアサーバー・XREA（エクスリア） | 提供中の全バージョンで完了 | サイトの動作確認 |
| CPI | 8.2・8.3・8.4を修正版に更新 | ほかは設定変更を検討 |
| カゴヤ | レンタルサーバーは7.4・8.1〜8.5を更新 | 共用などは公開停止を検討 |
国内シェア1位をうたうエックスサーバーは、23日更新の公式発表で、PHP 5.6〜8.5を全サーバーで修正し終えたとしています。5.6〜8.1はバージョンを変えずに対策し、8.2〜8.5は同じ系列の修正版に更新しました。5.1〜5.5は、対象サーバーの過半数で修正が済んだ段階です。
21日16時から止めていた管理画面は22日9時30分から順に戻し、23日の表ではWEBメールや新規申し込みまで「再開」です。ただ、再開後にアクセスが集中し、サーバーパネルが表示されない、または表示に時間がかかる状態が23日も続いていました。
契約者の対応が要る2社
CPIは、修正版が出ている8.2・8.3・8.4には修正を当てました。一方、8.1以下のPHPには今回のパッチが当たっていません。Gシリーズ、ZZ（ダブルゼット）シリーズ、ACE01といった古いプランは、使えるPHPがすべてこれにあたります。CPIはこうした契約者に、php.ini（ピーエイチピーアイエヌアイ）で次の設定に変える緩和策を検討するよう案内しています。
post_max_size を小さい値に（個別に設定しているなら最大32Mが目安）
upload_max_filesize を post_max_size より小さい値に
session.upload_progress.enabled = Off
ただしPHP公式は、こうした設定は特定の攻撃の道筋を減らすだけで、安全にはならず、完全な解決は更新だけだとしています。CPIの注記では、memory_limit の値はPHP 4.x以下では効きません。
SV（エスブイ）-Basic（ベーシック）は8.2・8.3、ビジネス スタンダードは8.2〜8.4が修正済みで、CPIはこれらの版へ切り替える方法も案内しています。php.iniの書き換えは、CPIのサポートの対象外です。「ゲットアファイル（Get a file）」とセキュアファイルマネージャーは、再開が10月30日以降になる見込みです。
カゴヤは、レンタルサーバープランのPHPを修正版に更新しました。ただし共用・マネージド専用・WordPress専用サーバーは、23日18時17分の時点でも恒久的な対応を調整中で、暫定策としてサイトの公開停止やアクセス制限を検討するよう求めています。管理画面も大半が止まったままです。
サイトを止めたロリポップ
ロリポップは22日3時9分ごろから13時ごろまで、一部のサーバーで契約者のサイトの表示を止めました。緩和策だけでは防ぎきれないおそれがあり、狙ったとみられるアクセスも確認していたことを理由に挙げています。停止はサーバー単位で、PHPを使っていないサイトも止まりました。
エックスサーバー、ConoHa WING、CPI、カゴヤは、作業中も契約者のサーバーは止めず、サイトの表示やメールの送受信は通常どおりとしていました。
ロリポップはパッチに合わせて、すべてのPHPで、アップロード中のファイルの進み具合をPHPで追う機能を無効にしました。CPIが緩和策に挙げた設定の最後の1行と同じものです。
修正済みかの確かめ方
「表示が8.5.12になっていないから、うちのサーバーはまだ直っていない」とは限りません。
ConoHa WINGは、使っているバージョンのまま修正だけを取り込んだため、WordPressの「サイトヘルス」などでは修正版の番号ではなく、8.5.11のような元の番号が出る場合があるとしています。エックスサーバーも5.6〜8.1はバージョンを変えずに対策しました。
コアサーバーやXREAを運営するGMO（ジーエムオー）デジロックも、phpinfo()（ピーエイチピーインフォ）に出る番号が変わらない場合があると案内しています。CPIは、管理画面に出るPHPのバージョンがまだ最新に更新されていないと注記しています。直ったかどうかは、番号ではなく自分の会社の公式発表の文言で確かめるのが確実です。
公式発表で「完了」を確かめたら、次はバージョンです。PHP公式のサポートは8.1以下ですでに終わっており、8.2も2026年12月31日まで、8.3は2027年12月31日までです。今回はサーバー会社が古い版にも修正を当てましたが、ロリポップ、さくら、コアサーバーは、サポートが終わった版を使い続けると今後の脆弱性で守れなくなる恐れがあるとして、新しい版への切り替えを勧めています。VPS（ブイピーエス）のように自分でPHPを入れている契約は別で、エックスサーバーとさくらは、修正版への更新を契約者自身でするよう案内しています。
問い合わせ窓口の混雑
修正が終わっても、窓口はまだ混んでいます。ロリポップは23日、問い合わせの返信が通常より遅れていると告知しました。カゴヤは、PHPに関する問い合わせには個別に答えるのが難しいとして、公式ページで案内する方針です。
さくらのレンタルサーバは、この件の緊急メンテナンスを23日までにすべて終えました。検索候補に並ぶ「さくらのレンタルサーバ 不正アクセス」は、8月に公表された別の事件です。
自分の会社が7社のどの行にいるかが分かれば、待つだけでいいのか、設定を変えるのか、サイトを確かめるのかが決まります。
Googleで「おかあさんのおうち」の新着を優先表示する
災害・道路・住まいの新しい記事がGoogleのトップニュースに出やすくなります。ボタン1回で登録できます。
コメント