※本記事はプロモーション（広告）を含みます。
レンタルサーバーは、サイトを置く場所を貸すだけのサービスではありません。
今回のPHPの重大な脆弱性（通称「php2shell」）では、PHP本体の修正を、サーバー会社が全サーバーに当てる作業が発生しました。しかも、PHP公式が修正を出していない古いバージョンにまで、修正を当ててくれた会社もありました。
結論から言うと、サーバーを選ぶときは、料金や容量だけでなく、脆弱性が出たときにサーバー会社が何をしてくれるかを見てください。
今回のPHP問題では、サーバー会社ごとに対応が違いました。非常時の安心感は、選ぶときの大事な基準になります。
この記事では、各社の公式発表で確認できた事実をもとに、その見方をまとめます。
各社の状況は、2026年10月22日の夜時点の公式発表にもとづいています。
その後に変わっている場合があるので、最新の情報は各社のお知らせで確認してください。
（発表の経過は速報の記事にまとめています）
共用レンタルサーバーのPHPは、利用者ではなくサーバー会社が直す
共用のレンタルサーバーでは、PHP本体の更新は、多くの場合サーバー会社の作業です。
※ WordPressの更新ボタンを押しても、PHPの脆弱性は直りません。
誰が何を担当するのか（役割分担）
| 項目 | サーバー会社 | サイト運営者（利用者） |
|---|---|---|
| PHP本体の修正 | 全サーバーへ適用する | 自分では直せない。公式の案内に従う |
| 選べるPHPのバージョン | 提供と終了を決める | 管理画面で選ぶ |
| WordPress本体・テーマ・プラグイン | 担当外 | 更新と、動作の互換性の確認 |
| バックアップ | 機能を用意している会社が多い | 取る。復元できるかを確かめる |
| 修正後のサイト表示・フォームの確認 | 担当外 | 自分で確認する |
契約の内容によって分担は変わります。VPSのように、サーバーを自分で管理する契約では、PHPの更新も利用者の作業になります。
今回、サポートが終わったPHPにも修正を当てた会社があった
PHP公式の修正版は、8.2以上にしかありません。
そのうえで、公式発表で確認できる範囲では、エックスサーバー・ConoHa WING・お名前.com レンタルサーバーが、公式のサポートが終わったバージョンにも修正を適用したと発表しています。
PHP公式が修正を出したのは、8.2以上だけ
今回の修正版は、8.5.12／8.4.27／8.3.36／8.2.35です。
PHP 8.1以下は2025年12月31日までに公式サポートが終わっており、公式の更新はありません。PHPの開発チームは、7.4・8.0・8.1向けにも最小限の修正を例外的に用意しましたが、これは自分でPHPをビルドしている人や、長期サポートの事業者向けです。
一般のレンタルサーバーの利用者が、自分で適用できるものではありません。
各社が公表した対応（2026年10月22日時点）
| サーバー会社 | 修正を当てたと公表したPHP | 利用者の作業 | 補足 |
|---|---|---|---|
| エックスサーバー | 5.6〜8.5（5.5以下は修正パッチを作成・検証中） | 5.6〜8.5なら、急いでバージョンを変える必要はない | サイトの表示とメールは止めずに作業。予防措置として、公式サイトと管理画面は21日16時から一時停止し、順次再開 |
| ConoHa WING | 提供中のすべてのバージョン（8.0〜8.5） | 不要 | 番号を変えずに修正を取り込む方式のため、サイトヘルスの表示番号が従来のままになる場合がある |
| お名前.com レンタルサーバー | 提供中のすべてのバージョン | 原則不要 | PHP 5系・7系は、バージョン変更が必要になることがある。表示番号は従来のままのことがある |
| さくらのレンタルサーバ | コントロールパネルで選べるすべてのバージョン | 緊急の作業は不要 | 21日23時〜22日6時30分に緊急メンテナンス（公式のメンテナンス情報）。サポート期間内の最新PHPへの移行を検討するよう呼びかけ |
| ロリポップ！ | 緊急メンテナンスを完了と発表（対象バージョンは当方では確認できず） | — | 一部のサーバーでサイトを一時停止し、順次再開 |
会社ごとに、発表の書き方や、予防のために止めた範囲が違います。表は「公式に何と発表したか」だけを書いており、会社どうしの優劣を決めるものではありません。
古いバージョンまで直すのは、簡単な作業ではない
エックスサーバーは、PHP 5.5以下について、修正パッチの作成と検証を続けていると発表しています。PHP公式が出していないバージョンは、会社が自分で修正を用意して、検証してから配ることになります。
当方の見方では、個人や小さな制作会社が、お客様のサーバーごとに同じことをするのは現実的ではありません。
正直、5系まで修正を用意して全サーバーに当てるのは、普通なかなかできません。ありがたい対応だと思います。
ただし、古いバージョンを直してくれたからといって、使い続けてよいわけではありません。
PHP 8.1以下は公式のサポートが終了しています。サポート中のバージョンへの移行は、別に進める必要があります（8.2も2026年12月31日で終了します。詳しくはPHP 8.2のサポート終了の記事）。
任せられるサーバーでも、サイト運営者の作業は残ります
PHPは事業者が直してくれても、サイトが正しく動いているかの確認は、サイト運営者の作業です。
マネージドな（事業者がサーバーの管理まで行う）契約であれば、インフラは事業者、動作確認は利用者が担当する、という分担になります。
- 動作確認
修正のあとで、サイトの表示、お問い合わせフォーム、予約・購入などの機能が動くかを自分で確かめる - 表示番号に注意
ConoHa WINGとお名前.comは、番号を変えずに修正を取り込む方式と発表しています。サイトヘルスの番号が古くても、未対応とは限りません - 古いPHPは移行を考える
お名前.comは、PHP 5系・7系はバージョン変更が必要になることがあるとしています - バックアップ
取っているだけでなく、復元できることを確かめる - WordPressとプラグインの更新
PHPの更新とは別に、通常どおり行う
サーバー会社を選ぶときの5つの確認点
今回の件から言える確認点は、次の5つです。料金の安さと、対応の速さの関係は、今回の発表からは判断できません。そのため、価格以外の点を、公式の情報で確かめてください。
- 脆弱性が出たとき、公式に時刻つきで告知しているか。今回は、エックスサーバーが作業の時系列を、ConoHa WINGが終報まで出していました
- 古いPHPバージョンも修正の対象か、発表されているか。対象かどうかは、各社の発表で書き方が違います
- 利用者の作業が要るかを、はっきり書いているか。「不要」「原則不要」「バージョン変更が必要な場合がある」のように、書き方に差がありました
- 予防のために止める範囲と時間を説明しているか。今回は、公式サイトや管理画面、一部のサーバーが一時停止した会社がありました
- バックアップと復元の機能、問い合わせの窓口があるか。いざというとき、自分で復元できる手段と、相談できる先が必要です
レンタルサーバーは、場所を借りるだけじゃありません。今回のように、面倒な作業を代わりにやってくれる会社を選んでください。
当方が使っている・保守しているサーバー
当サイトの公開先は、ConoHa WINGです。当方が保守しているさくらのサイトでは、PHPが修正版の8.3.36になっていることを確認しました。エックスサーバーは、公式が作業の時系列を公表しています。
サーバーの契約を見直す場合の例は、エックスサーバー、さくらのレンタルサーバ、ConoHa WINGです。これらのリンクは広告です。広告提携のないお名前.com レンタルサーバーとロリポップ！も、公式発表をもとに、同じ基準で上の表に載せています。
緊急のときに頼れるよう、保守契約は事前に結んでおいてください
これはちょっと強めに言っておきます。
今後、緊急の対応を当方に依頼する可能性があるサイトは、事前に保守契約を結んでいただくことを、原則必須としています。
今回のような脆弱性の対応では、公式発表の監視、サーバーの環境確認、修正後の動作確認が必要になります。
どのくらいかかるかは、事前には分かりません。
保守しているサイトの中には、やることが少ないサイトも多かったのですが、
そうでないサイトも、公式発表の監視や、サーバー側の制限で作業が思うように進まないなど、大変なケースもありました。
スポットでの緊急対応も、もちろん承ります。ただし、順番は保守契約のあるサイトが先です。費用も、保守契約を結んでいるほうが、多くの場合、安く、安全になります。
保守の費用が負担なら、静的サイト化もおすすめです
毎月の保守が負担に感じる場合は、静的サイト化をおすすめします。ページを表示するたびにPHPを動かす必要がない構成なので、今回のようなPHPの脆弱性の影響を受けにくくなります。
ただし、どのみちサーバーの契約は必要です。元のWordPressを同じサーバーで公開したままだと、攻撃経路が残ります。お問い合わせフォームなど、別の仕組みが必要になるものもあります。費用は個別のお見積りです（料金ページ。詳しくは速報の記事の静的サイト化の節）。
今後を考えると、保守は今のうちに。または静的サイト化の検討を
ここは当方の見方です。今回は、公式の修正版が出る前から、攻撃の試みがありました（速報の記事）。AIの普及で、脆弱性の調査や悪用は、今後さらに速く、自動的になっていくと考えています。「何かあってから探す」「あとで考える」では、間に合わなくなりやすいと思います。
ですから、保守に今のうちに入るか、保守が要らない構成（静的サイト化など）を検討してください。どちらも決めないまま、そのまま運用を続けることだけは、おすすめできません。
強めに書いているのは、不安をあおりたいからではありません。普通の言い方では、伝わりにくいと感じてきたからです。
今回のような特別対応は今回限りとしていること、スポット対応の費用と順番は、「保守契約のないサイトの緊急対応は今回限りです」の記事にまとめています。
契約しているサーバーのPHPのバージョンや、サーバー会社の発表の確認、修正後のサイトの動作確認も、保守のご相談として承っています。お問い合わせフォームからご連絡ください。料金の目安は料金ページにあります。なお、フォームにパスワードは書かないでください。
よくある質問
レンタルサーバーなら、PHPの脆弱性は何もしなくていいですか？
いいえ。
PHP本体の修正は、多くの場合サーバー会社が行いますが、修正後のサイトの動作確認、WordPressやプラグインの更新、バックアップは、サイト運営者の作業です。
サイトヘルスのPHPバージョンが、修正版の番号になっていません。未対応ですか？
一概には言えません。
ConoHa WINGとお名前.comは、番号を変えずに修正を取り込む方式と発表しています。ご利用のサーバー会社の公式のお知らせで確認してください。
安いサーバーは、脆弱性への対応が遅いのですか？
今回の公式発表からは、料金と対応の速さの関係は判断できません。料金ではなく、上の5つの確認点で、各社の発表を確かめましょう。
参考にした公式情報
Service
同じことでお困りでしたら
記事のとおりに進めるのが難しいときは、次のご相談で承っています。
- 修正・トラブル対応表示が崩れた、エラーが出る、フォームが届かない。原因を調査し、直せる形でご報告・修正します。
- 月額保守・管理WordPress本体・プラグインの更新、稼働の確認、軽微な修正、毎月のご報告まで。月々の定額で任せられます。
どれにあたるか分からないときは、ホームページの自己点検リストで、いまの状態からお確かめいただけます。
