Blog

2026年10月のPHPの脆弱性問題を通じて、ホスティング会社の危機管理について考える機会がありました。サーバーを選ぶときには、料金、表示速度、容量、管理画面の使いやすさなどを確認します。今回、そこに加えて重く見るべきだと感じたのが、重大な問題が起きたときの対応です。

個人的に、今回のエックスサーバーの対応は高く評価しています。修正版の公開前から緩和策を講じ、顧客サイトを稼働させながら修正を進めたこと。古いPHPも利用者の設定した系列を維持して対応し、その経過を説明したことが理由です。

今回の脆弱性と、比較するときの前提

IPAは10月22日、PHPの脆弱性「CVE-2026-109618」「CVE-2026-109619」への対策を呼びかけました。この組み合わせは「PHP2shell」と呼ばれ、悪用されると遠隔から任意のコードを実行される可能性があるとされています。IPAの注意喚起

こうしたときに分けて見る必要があるのは、利用者が公開しているWebサイトと、事業者の公式サイト・管理画面です。管理画面がメンテナンス中でも、利用者のサイトは表示できる場合があります。反対に、管理機能の停止とは別に、顧客のWebサービス自体を止める対応もあります。

「サーバーが止まった」「復旧した」という言葉だけでは、その違いが伝わりません。何を止め、何を動かし続けたのか。修正の完了と管理機能の再開が、それぞれいつだったのか。この区別を置いて比較することが大切だと思います。

XSERVERが公表した対応の流れ

XSERVERの公表内容では、利用者向けレンタルサーバーは稼働を継続しながら、次のように対応が進められました。

対応経過のお知らせでは、修正版公開後に順次対応したことが確認できます。ここで重要なのは、10月22日早朝にすべてのPHPへの対応が終わったわけではない、という点です。古い系列まで含めた完了は26日でした。

また、XSERVERは21日16時から公式サイトや管理画面などへのアクセスを一時停止しましたが、顧客サーバーは稼働を継続し、Webサイトの表示やメールソフトでの送受信に影響はなかったと説明しています。停止対象と再開状況

私が評価したいのは、修正版が出るまでの間にも、リスクを下げるために動いていたことです。緩和策の実施と修正の完了は、それぞれ別の段階です。先行して緩和策を講じ、その後、PHPの系列ごとに修正を進めた。この進め方には危機管理の力を感じました。

4社の対応を比較する

各社の公表内容を、修正の経過、顧客サイトと管理機能への影響、利用者側の作業に分けて整理しました。

WebARENAは、まだサービス全体が復旧したわけではない

WebARENAは、10月29日の発表で旧環境の各種コントロールパネルを30日16時30分頃、契約管理画面を11月第1週に再開する予定と案内しています。10月30日朝の確認時点でも、これらの管理機能の停止は続いています。顧客Webの再開を、サービス全体の復旧とは呼べません。公式の再開見込み

また、公式FAQには、PHPの系列変更後に500エラーやフォームの不具合、WordPressの非表示が起こる場合があり、利用者側で確認・修正が必要との案内があります。Webサーバーの再開は、各顧客サイトの正常稼働を確認したという意味ではありません。SSL証明書の更新も管理画面の停止で行えず、代替手段を検討中との案内があります。

上の表のWebARENAは旧環境が対象です。2025年11月19日以降に開通した環境は対応経過が異なり、同列には扱っていません。

危険を抑えるための停止には意味があります。そのうえで、サイトの公開が止まる期間や、再開後に利用者が抱える作業も、サービスを選ぶ側にとって大切な評価材料です。

さくらとラッコにも、評価したい対応がある

さくらは旧PHPへのバックポートを行い、ラッコは修正後の検証内容まで公表しています。古い環境を支える対応と、確認した内容を利用者に伝える姿勢は、どちらも評価したい点です。さくらのウェブメールやファイルマネージャー等の復旧時刻は、PHP更新の完了時刻とは分けて確認できます。一部機能のメンテナンス情報

古いPHPを支える負担と、説明の大切さ

古いPHPを使うサイトには、すぐに新しい系列へ移せない事情もあります。WordPressのプラグインや独自プログラムなどとの互換性を確認する必要があるためです。

今回のXSERVERは、PHP 5.1〜8.1について利用者が設定したバージョンを変えずにパッチを適用し、8.2〜8.5は同じ系列の修正版に更新したと説明しています。顧客サーバーの安全対策

サイトの保守に関わる立場からすると、この配慮は大きいと感じます。PHPの系列を切り替えるとなれば、サイトの表示や各機能の動作確認を計画する必要があります。複数のサイトでその作業が一斉に発生すると、影響の確認や顧客への説明だけでも相応の負担になります。

顧客サイトを稼働させながら対策を進め、PHPの系列を維持することで、利用者の緊急作業も抑えたこと。私は、この両方を実行した点を高く評価しています。

もちろん、今回の脆弱性への修正と、旧PHPを将来にわたって使い続ける判断は別です。緊急対応を終えても、通常の保守やサポート中の系列への移行検討は残ります。

緊急時、利用者が知りたいのは、自分のサイトがどうなるのか、どこまで対策が進んでいるのか、そして自分に必要な作業はあるのか、ということです。XSERVERは対象の系列や完了時刻、利用者に必要な対応を示しています。顧客から問い合わせを受ける保守担当者にとっても、説明の根拠があることは助かります。私は、こうした情報提供もサービス品質の一部だと思っています。

サーバー選びは、平常時だけで決めない

なお、ここで中心に比較したのは事業者がPHPを管理するレンタルサーバーです。VPSや、自分でPHPをインストールした環境まで、同じ対応が自動的に行われるわけではありません。利用しているサービスと管理範囲は個別に確認する必要があります。

今回の件で、ホスティング会社を選ぶ際には、重大な問題への対応実績をもっと重く見たいと思いました。早い段階で危険を把握し、必要な判断をし、修正を進め、利用者に状況を伝える。その一連の対応には、技術力と運用体制の両方が表れます。

個人的には、今回の対応を見て、エックスサーバーへの評価が上がりました。顧客のサイトと、それを運用する人のことまで考えて動いてくれる。今回の公表内容から、私はそう受け止めています。そのような事業者に、これからもサイトを預けたいと思います。

情報確認日：2026年10月30日朝