販売者の方｜PHPの重大な脆弱性に関するご案内

販売者の方がやること

メンテナンス中は商品の販売ができず、新しい購入も発生しません。あわせて、皆さまご自身が運営しているサイトやツールの確認をお願いします。

使っているサービスを書き出す
セールスページ、会員サイト、ブログ、メルマガ配信、問い合わせフォームなど、使っているものと提供元を一覧にします。
提供元の対応状況を確認する
- レンタルサーバー → サーバー会社のお知らせ・サポート
- ブログサービス → 運営会社のお知らせ
- その他のツール → 各サービスの提供元
「利用者側でやるべきことがあるか」もあわせて確認してください。
PHPのバージョンを確認し、必要なら切り替える
確認方法はこちら。PHP 8.1以前を選んでいる場合は、8.2以上へ切り替えてください。切り替える前にバックアップを取り、切り替えた後にサイトの表示や動作を確認しましょう。
WordPress本体・テーマ・プラグインを最新にする
PHPを切り替えた後の不具合を防ぐためにも、最新の状態にしておくのがおすすめです。
更新した後に、被害がないか点検する
見覚えのないファイル、知らない管理者ユーザー、勝手に書き換えられたページがないか確認します。詳しくはこちら。
パスワード・APIキーの変更を検討する
今回の脆弱性では、サーバー内の情報を読み取られるおそれも指摘されています。サーバー、WordPress管理画面、データベースのパスワードや、外部サービスと連携するためのAPIキーの変更をご検討ください。
お客様への影響を確認し、必要に応じて連絡する
自社で作ったツール・ソフトウェア・会員サイトを提供している場合や、商品の中でサーバー・WordPressなどを案内している場合は、お客様側にも対応が必要なことがあります。確認の観点と連絡文の例はこちら。

ご自身でサーバーを管理している場合（VPSや専用サーバーなど）は、「サーバーを自分で管理している方」の手順もご確認ください。

VERSION CHECK

お使いのPHPが安全か、3ステップで判定

サイトで使っているPHPの「バージョン番号」を調べて入力するだけです。入力した番号はこのページの中だけで判定し、どこにも送信しません。

1
PHPバージョンを調べる管理画面で確認
2
バージョンを入力「判定する」を押す
3
結果を見る色で分かる

PHPのバージョン番号を調べる

お使いの環境に合わせて、どちらかの画面で確認してください。

WordPressの場合　管理画面の「ツール」→「サイトヘルス」→「情報」タブ →「サーバー」

レンタルサーバーの場合　管理画面の「PHP設定」「PHPバージョン切替」など（名前は会社ごとに違います）

主なレンタルサーバーの公式マニュアル（確認・変更の手順）

レンタルサーバー	確認する場所（管理画面）	公式マニュアル
エックスサーバー	サーバーパネル →「PHP Ver.切替」	PHPのバージョンについて
XServerビジネス	サーバーパネル →「PHP Ver.切替」	PHPのバージョンについて
シン・レンタルサーバー	サーバーパネル →「PHP Ver.切替」	PHPのバージョンについて
さくらのレンタルサーバ	サーバーコントロールパネル →「スクリプト設定」→「言語バージョン設定」	PHPのバージョンを変更したい
ロリポップ！	ユーザー専用ページ →「サーバーの管理・設定」→「PHP設定」	PHP設定
ConoHa WING	コントロールパネル →「WING」→「サイト管理」→「サイト設定」→「応用設定」→「PHP設定」	PHPの設定をする
mixhost	cPanel →「MultiPHP マネージャー」	PHPのバージョンを確認する方法
ColorfulBox	cPanel →「ソフトウェア」→「MultiPHP マネージャー」	PHPのバージョン変更方法
ヘテムル	コントロールパネル →「各種設定」→「PHP」	PHPバージョンの変更方法について
お名前.com レンタルサーバー	手順は公式ガイドをご確認ください	PHPのバージョンを切り替える
KAGOYA	手順は公式マニュアルをご確認ください（プランにより異なります）	PHPバージョンの変更

管理画面に「8.3」など系列までしか表示されない場合
細かい番号までは管理画面に出ないことがあります。その場合は、サーバー会社のお知らせで「今回の修正版（8.3.36など）が適用済みか」をご確認ください。
ドメインごとに設定が違うことがあります。複数のサイトをお持ちの場合は、すべてのドメインを確認してください。

メニュー名は2026年10月22日時点の各社公式マニュアルによるものです。管理画面の変更で名前が変わる場合があります。

8.3.30

系列（大きな区分）細かい番号

判定には最後の番号まで必要です。「8.3」だけでは判定できません。
「(64bit)」などの後ろの文字は入力しなくてかまいません。

一番多い間違い：系列を見ずに数字の大きさだけで比べる

修正版の番号は系列（最初の2つの数字）ごとに違います。ほかの系列の修正版と比べても判定できません。

間違った判断

8.4.20＞8.3.36

「修正版の8.3.36より数字が大きいから大丈夫」

× 誤り

正しい判断

8.4.20＜8.4.27

同じ8.4系列の修正版は8.4.27。20は27より小さいので

更新が必要

比べ方：①最初の2つの数字（例：8.4）で系列を確認 → ②一覧表で同じ系列の行を探す → ③最後の番号どうしを比べる（一覧表はこちら）

バージョンを入力して「判定する」

PHPのバージョン番号

番号が手元にない方は、例で試せます：

※OSに付属するPHPは、修正済みでも番号が変わらない場合があります。その場合は提供元の更新情報をご確認ください。

結果を確認

まだ判定していません

左にバージョンを入力してください

結果は、下の3色のいずれかで表示されます。

緑：修正済みこのままで大丈夫です。念のため更新後の点検を。
赤：更新が必要修正版に更新、または8.2以上に切り替えてください。
黄：要確認入力の形が違う、またはテスト版などです。

系列ごとの修正版の一覧

系列	この番号以上なら修正済み	状態
PHP 8.5	8.5.12	サポート中
PHP 8.4	8.4.27	サポート中
PHP 8.3	8.3.36	サポート中
PHP 8.2	8.2.35	2026年12月31日でサポート終了
PHP 8.1以前	公式の修正版なし	8.2以上への切り替えが必要

出典：PHP公式セキュリティ情報

HOW TO CHECK

PHPのバージョンを確認する方法

お使いの環境に合わせて、いずれかの方法で確認してください。

WORDPRESS

WordPressの管理画面で確認

WordPressの管理画面にログイン
「ツール」→「サイトヘルス」を開く
「情報」タブ →「サーバー」を開く
「PHPバージョン」の欄を確認

参考：WordPress公式「今すぐPHPを更新」

RENTAL SERVER

レンタルサーバーの管理画面で確認

サーバー会社の管理画面にログイン
「PHP設定」「PHPバージョン切替」などのメニューを開く
サイト（ドメイン）ごとに選ばれているバージョンを確認
8.1以前なら、8.2以上に切り替える

最新の修正版がいつ適用されるかは、各社のお知らせをご確認ください。

SELF-MANAGED

サーバーを自分で管理している方

コマンドで確認できます。

# コマンドラインのPHP
php -v
# OSのパッケージ（例）
dpkg -l | grep php    # Debian/Ubuntu
rpm -qa | grep php    # RHEL/Alma系

Webで使われているPHP（PHP-FPMなど）が、コマンドのPHPと違うことがあります。更新した後は、PHP-FPMやWebサーバーの再起動も必要です。

確認用に phpinfo() を表示するページを作った場合は、確認が終わったらすぐに削除してください。サーバーの情報が外部から見えてしまいます。

サーバーを管理している方向け：すぐに更新できない場合の一時的な緩和策

PHP開発チームは、次の設定で一部の攻撃経路を減らせるとしていますが、安全になるわけではありません。更新までのつなぎとしてのみお使いください。

設定	対象	注意点
`session.upload_progress.enabled=0`	CVE-2026-109619	php.iniかFPMプールの設定で行い、すべてのPHPワーカーを再起動する。`ini_set()`や`.user.ini`では効果がない
`memory_limit=-1`	CVE-2026-109618	アプリ側で上書きできない形（`php_admin_value`など）で設定する。メモリを使い切るリスクがあるため、コンテナやcgroupで上限を設ける
`post_max_size` を小さくする	CVE-2026-109618	アップロード不要なら8M、必要なら32M。`upload_max_filesize`はそれより小さくする
`fatal_error_backtraces=0`	CVE-2026-109619	PHP 8.5のみ。確認されている経路の1つだけを防ぐ

出典：PHP公式セキュリティ情報（2026年10月21日）

AFTER PATCHING

更新した後に、被害がないか点検する

修正版の公開前から攻撃が観測されていたため、更新した後も被害がないかの確認をおすすめします。セキュリティ企業Aikidoは、2026年6月までさかのぼって確認するよう勧めています。

FOR EVERYONE

サイトの見た目で分かること

見覚えのないページや記事が増えていないか
サイトを開くと別のサイトに飛ばされないか
WordPressなどに知らない管理者ユーザーがいないか
サーバー会社から警告メールが届いていないか

FILES

ファイルの確認

見覚えのないPHPファイルが増えていないか
最近、勝手に更新されたファイルがないか
アップロード用のフォルダにPHPファイルが置かれていないか

LOGS（管理者向け）

ログの確認

ファイル送信形式（multipart）のリクエストの後に、メモリ上限のエラーや500エラーが続いていないか
異常に長い、または崩れた PHPSESSID のCookieが返されていないか
原因不明のPHPワーカーの再起動や、不審な外部への通信がないか

少しでも不審な点があれば、サーバー会社や制作会社にご相談ください。被害の調査に必要になるため、ログは消さずに保管しておいてください。

FOR YOUR CUSTOMERS

お客様への影響を確認し、必要に応じてご連絡する

販売している商品の内容によっては、販売者の皆さまのサーバーだけでなく、購入されたお客様の環境にも今回の脆弱性が関係します。次の3つに当てはまるものがないかご確認ください。

CASE 1

自社で作ったツール・ソフトウェア・会員サイトを提供している

PHPで動くツールやスクリプト、WordPressテーマ・プラグインを配布している
自社で運営する会員サイト・ダウンロードページ・ツールの管理画面がある

確認すること：自社サーバーのPHPを更新したうえで、お客様のサーバーで動かすものは、お客様側でもPHPの更新が必要になります。

CASE 2

特定のサービスを推奨・紹介している

商品の中で、特定のレンタルサーバー・ブログサービス・ツールを推奨している
設定手順やマニュアルで、特定のPHPバージョンを指定している

確認すること：推奨先の公式のお知らせと、マニュアルの記載が修正版（8.2以上）と合っているか。古いバージョンを指定している場合は記載の見直しを。

CASE 3

商品の内容で、お客様がWordPressなどを使っている

ブログ・アフィリエイトサイト・ホームページの作り方を教える商品
購入者がレンタルサーバーを契約し、自分でサイトを立ち上げる前提の商品

確認すること：お客様ご自身でPHPの確認・更新が必要です。手順が分からない方も多いため、ご案内をおすすめします。

お客様への連絡文の例

【】の部分を書き換えてお使いください。不要な段落は削除してください。偽メールと誤解されないよう、メール内でパスワードの入力を求めたり、ログイン画面へのリンクを置いたりすることは避けてください。

件名：【重要】PHPの脆弱性に関する当社サービスの対応状況のお知らせ

件名：【重要】PHPの脆弱性に関する当社サービスの対応状況のお知らせ

【お客様名】様

いつも【商品名・サービス名】をご利用いただき、ありがとうございます。
【販売者名】です。

2026年10月21日、Webサイトで広く使われているプログラム言語「PHP」に、
外部からサーバーを乗っ取られるおそれのある重大な脆弱性が公表されました。
これを受けた当社の対応状況をお知らせします。

■ 当社の対応
・【会員サイト／ツール管理画面／ダウンロードページ】のPHPを、
　【〇月〇日】に修正版へ更新しました。
・更新後に点検を行い、【現時点で不正な変更や情報漏えいは確認されておりません。】

■ お客様にお願いしたいこと
【配布しているツール・プラグイン名】をお客様ご自身のサーバーでお使いの場合は、
そのサーバーのPHPも更新が必要です。
　・PHP 8.2以上の修正版（8.5.12／8.4.27／8.3.36／8.2.35 以降）へ更新してください
　・PHP 8.1以前をお使いの場合は、8.2以上への切り替えをお願いします
　・切り替えの前に、サイトのバックアップを取っておくと安心です
PHPの確認・切り替えの方法は、ご契約中のレンタルサーバーのマニュアルをご覧ください。

【当社ツールの最新版：バージョン〇〇（PHP 8.2以上で動作を確認済み）】

■ ご注意ください
この件に便乗した偽メールが出回るおそれがあります。
当社からメールで、パスワードやカード情報の入力をお願いすることはありません。

【署名】

件名：【重要】PHPの脆弱性について（サイトをお持ちの方へ確認のお願い）

件名：【重要】PHPの脆弱性について（サイトをお持ちの方へ確認のお願い）

【お客様名】様

いつも【商品名】をご活用いただき、ありがとうございます。
【販売者名】です。

2026年10月21日、Webサイトで広く使われているプログラム言語「PHP」に、
外部からサーバーを乗っ取られるおそれのある重大な脆弱性が公表されました。
【商品名】の内容に沿ってWordPressなどでサイトを作られている方は、
お手数ですが、次の点をご確認ください。

■ 確認していただきたいこと
1. ご契約中のレンタルサーバーで、サイトのPHPバージョンを確認する
　・8.2以上の修正版（8.5.12／8.4.27／8.3.36／8.2.35 以降）なら対応済みです
　・8.1以前の場合は、8.2以上へ切り替えてください
　・切り替えの前に、サイトのバックアップを取っておくと安心です
2. WordPress本体・テーマ・プラグインを最新の状態にする
　※WordPress公式は「WordPress本体の更新は不要、PHPの更新が必要」と案内しています
3. 見覚えのない記事・ページ・管理者ユーザーが増えていないか確認する

確認方法は、各レンタルサーバーのお知らせ・マニュアルをご覧ください。
【教材内で推奨している〇〇サーバーの場合：管理画面の「〇〇」→「〇〇」から確認できます】

■ ご注意ください
この件に便乗した偽メールが出回るおそれがあります。
当社からメールで、パスワードやカード情報の入力をお願いすることはありません。
サーバー会社を名乗るメールが届いた場合も、メール内のリンクは開かず、
ブックマークや公式サイトからログインしてください。

【署名】

商品や配布物の状況に合わせて、内容は適宜調整してください。お客様の数が多い場合は、メルマガ配信システムでの一斉送信もご検討ください。

PROVIDERS

主なサービス提供元の対応情報

2026年10月22日早朝時点で確認できた情報です。最新の状況は、各社の公式ページで必ずご確認ください。

提供元	確認できた内容	公式ページ
ロリポップ！	PHPの脆弱性への予防措置としてメンテナンスを実施すると告知	お知らせ
さくらインターネット	さくらのクラウド「データベースアプライアンス」のWeb UI機能（phpMyAdminなど）の提供を10月21日から停止。再開は未定	お知らせ
エックスサーバー	今回の件に関する個別のお知らせは、調べた範囲では見つかりませんでした。ニュース一覧をご確認ください	ニュース一覧
Google Cloud	Google Cloud自体は影響を受けない。ただし、利用者がGoogle Cloud上で動かしているPHPは更新が必要	ブログ
Cloudflare	WAF（Webアプリケーションファイアウォール）による防御策を公開	ブログ

報道によると、さくらインターネットのほか、Cygames、pixivなども緊急メンテナンスを発表しました（日経クロステック）。

REFERENCES

参考資料

このページは、以下の公式発表や専門機関・セキュリティ企業の情報をもとに作成しています。

公式発表・公的機関

Security advisory: Critical remote code execution vulnerabilities, update nowPHP公式。修正版、影響範囲、一時的な緩和策（英語）
【事前準備のお願い】PHPのセキュリティリリース公開予定について情報処理推進機構（IPA）
Critical Vulnerabilities in PHPCERT-EU（EUのセキュリティ対応組織、英語）
php2shell vulnerabilitiesオランダ国家サイバーセキュリティセンター。影響を受ける製品の一覧など（英語）
Today's PHP security releasePHP Foundation（英語）
PHP の重大なセキュリティリリースWordPress公式（日本語訳）。WordPressの更新は不要、PHPの更新が必要
Critical security issue affecting PHP英国国家サイバーセキュリティセンター（NCSC、英語）

発見者・セキュリティ企業の解説

PHP2Shell（Wiz Research）発見者による技術解説（英語）
php2shell（Calif）発見者による経緯の解説（英語）
PHPの重大な脆弱性「php2shell」GMO Flatt Security（日本語）
PHP2Shell: Critical PHP RCESansec。悪用状況と影響するアプリ（英語）
How to fix PHP RCEAikido。更新後の点検ポイント（英語）

FAQ

よくある質問

WordPressを最新にすれば大丈夫ですか？

いいえ、WordPressを最新にするだけでは防げません。必要なのは「PHP」の更新です。

WordPress公式は、今回の脆弱性について次のように発表しています（WordPress公式（日本語訳））。

今回の脆弱性はWordPressに固有のものではなく、PHPで動くアプリケーションを置いているすべてのサーバーが影響を受ける
この問題のためにWordPressを更新する必要はなく、WordPressの更新も予定していない
深刻度が高いため、サイトの所有者はすぐにPHPを更新すること

WordPressとPHPの関係は「アプリ」と「それを動かす土台」です。今回は土台の欠陥なので、上に載っているWordPressをいくら新しくしても、土台が古いままでは攻撃を受けます。発見者のWizは、最新版のWordPressで、ログインなしにサーバー上でプログラムを動かせることを実証しています（Wiz Research）。

やること	今回の脆弱性への効果	補足
PHPを修正版に更新 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35	◎ 必須。これで防げる	8.1以前は公式の修正版がないため、8.2以上へ切り替える
ホスティング会社の対応を確認	○ 重要	会社側でPHPの更新やWAF（攻撃を遮断する仕組み）を導入している場合がある。お知らせに従う
WordPress本体の更新	× これだけでは防げない	ほかの脆弱性対策や、PHPを切り替えた後に正しく動かすために、最新にしておくことは推奨
テーマ・プラグインの更新	× これだけでは防げない	新しいPHPに対応していないと、切り替え後に表示が崩れることがあるため、事前に更新する
セキュリティ系プラグインの導入	△ 期待できない	攻撃はWordPressのプログラムが動く前の段階で起きるため、WordPress内の対策では止めにくい（PHP公式）

WordPressサイトでの手順

PHPのバージョンを確認する：管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」。レンタルサーバーの管理画面でも確認できます。
ホスティング会社のお知らせを確認する：すでに会社側で対応済みの場合もあります。
バックアップを取る：ファイルとデータベースの両方を保存します。
WordPress本体・テーマ・プラグインを最新にする：PHPを切り替えた後の不具合を防ぐためです。
PHPを切り替える：8.1以前なら8.2以上へ切り替えます。WordPressのバージョンごとの対応PHPはWordPress公式の対応表で確認できます（例：WordPress 7.0・7.1はPHP 7.4〜8.5に対応）。
表示と動作を確認する：トップページ、記事、フォーム、管理画面へのログインなど。
改ざんがないか点検する：知らない管理者ユーザーや見覚えのないファイルがないか確認します。不審な点があればWordPress公式「サイトがハッキングされた」FAQを参考にしてください。

古いPHPで、すぐに更新できない場合
ご自身でサーバーを管理している場合、WordPress公式は「新しいPHPへの更新を準備するあいだ、サーバーをオフラインにすることも検討してください」と案内しています。英国国家サイバーセキュリティセンター（NCSC）も、すぐに対策できない場合はシステムをオフラインにするよう勧めています（NCSC（英語））。

WordPress公式の関連情報：Critical PHP Security Release（英語原文）／今すぐPHPを更新しましょう

無料ブログを使っています。何かする必要はありますか？

サーバーの管理は運営会社が行うため、基本的に運営会社が対応します。運営会社からのお知らせを確認し、案内があればそれに従ってください。

PHP 7.4を使っています。どうすればよいですか？

PHP 8.1以前には、PHP開発チームからの公式な修正版は出ません。PHP 8.2以上への切り替えが必要です。切り替える前に、サイトが新しいバージョンで動くか（テーマやプラグインが対応しているか）をご確認ください。

このページはPHPで動いていますか？

いいえ。このページはPHPを使わない静的なHTMLファイルなので、今回の脆弱性の影響を受けません。外部への送信を行わない設定にしており、バージョン判定もお使いのブラウザの中だけで行っています。

販売者の方へ

販売者の方がやること

使っているサービスを書き出す

提供元の対応状況を確認する

PHPのバージョンを確認し、必要なら切り替える

WordPress本体・テーマ・プラグインを最新にする

更新した後に、被害がないか点検する

パスワード・APIキーの変更を検討する

お客様への影響を確認し、必要に応じて連絡する

お使いのPHPが安全か、3ステップで判定

PHPのバージョン番号を調べる

一番多い間違い：系列を見ずに数字の大きさだけで比べる

バージョンを入力して「判定する」

結果を確認

左にバージョンを入力してください

PHPのバージョンを確認する方法

WordPressの管理画面で確認

レンタルサーバーの管理画面で確認

サーバーを自分で管理している方

サーバーを管理している方向け：すぐに更新できない場合の一時的な緩和策

更新した後に、被害がないか点検する

サイトの見た目で分かること

ファイルの確認

ログの確認

お客様への影響を確認し、必要に応じてご連絡する

自社で作ったツール・ソフトウェア・会員サイトを提供している

特定のサービスを推奨・紹介している

商品の内容で、お客様がWordPressなどを使っている

お客様への連絡文の例

主なサービス提供元の対応情報

参考資料

公式発表・公的機関

発見者・セキュリティ企業の解説

よくある質問