PHP2Shell騒動で実感した、エックスサーバーを使い続ける理由【サポート切れPHPにも15時間で独自パッチ】

SHARE

※本記事にはアフィリエイト広告（PR）が含まれます。

2026年10月21日、PHPの深刻な脆弱性「PHP2Shell」（CVE-2026-109618 / CVE-2026-109619）が公開されました。認証なしでリモートからコードを実行される可能性がある、という文字通り「最悪クラス」のもので、WordPressサイトを運営している人は（私も含めて）かなりざわついたと思います。

このブログはエックスサーバーで動かしています。そして恥ずかしながら、騒動が起きた時点でこのサイトのPHPは7.2.34、つまりとっくにサポートが終わった古いバージョンのままでした。PHP本体の開発元は7.3以前には修正を出さないと発表していたので、普通に考えれば「詰み」の状態です。

ところが結果的に、私は何もしないうちに脆弱性が塞がれ、そのあと管理画面から数クリックでPHP 8.3に上げて、WordPressも最新版にできました。この記事では、その経験をもとに「レンタルサーバー選びで本当に大事なのは何か」を、エックスサーバーを長年使ってきた立場から正直に書きます。

PHP2Shellで何が起きたのか（ざっくり）

PHP2Shellは、PHP本体に見つかった2つの脆弱性の通称です。Webサーバーとして動いているPHPであればほぼすべてのバージョンが対象で、修正版は8.2.35 / 8.3.36 / 8.4.27 / 8.5.12として10月21日に公開されました。

問題は、サポートが終了しているPHP 8.1以前には正式な修正が出なかったことです。7.4〜8.1はソースコードの修正だけ、7.3以前は修正そのものがありません。そして実際のところ、古いWordPressサイトの多くは今でもPHP 7.x で動いています。このブログもその1つでした。

つまり自分でどうにかできる範囲を超えていて、レンタルサーバー会社がどう動くかにすべてがかかっていたわけです。

エックスサーバーの対応は「公式に修正がないバージョンまで」だった

エックスサーバーの対応は、公式のお知らせを時系列で追うとこうなっています。

  • 10月21日（火）23時ごろ：PHP本体の修正版が公開
  • 10月22日（水）01:10：エックスサーバーが「修正版が出たPHP 8.2〜8.5から順次適用を開始」と告知
  • 10月22日（水）06:45：PHP 8.2〜8.5の全サーバーへの適用完了
  • 10月22日（水）12:00：PHP 7.4〜8.1の適用完了（公式修正がないため独自パッチ）
  • 10月22日（水）14:00：PHP 5.6〜7.3の適用完了（同じく独自パッチ）

公開から15時間ほどで、PHP 5.6という10年以上前のバージョンまで独自に修正を当てて配り終えているということです。私のサイトの7.2.34も、バージョン表示はそのままですが中身は修正済みの状態になっていました。

正直、これは期待していませんでした。「古いPHPを使っているのは自己責任なので早く上げてください」で終わっても文句は言えない状況です。それを「お客様側で急いでバージョンを変える必要はありません」と言い切れるところまで持っていったのは、素直にすごいと思いました。

ちなみに、他社の対応状況をまとめた記事をいくつか見ましたが、修正版が出た8.x系だけ対応して「それ以前は各自アップデートを」という案内の会社も普通にありました。差がはっきり出た事例だと思います。

そのあとPHP 8.3への切り替えは数クリックで終わった

パッチが当たったとはいえ、PHP 7.2を使い続ける理由はないので、この機会に上げることにしました。

エックスサーバーの場合、サーバーパネルの「PHP Ver.切替」を開いて、ドメインごとに変更後のバージョンを選んで「設定する」を押すだけです。選択肢には8.5.12 / 8.4.27 / 8.3.36（推奨）/ 8.2.35といった修正済みのバージョンが並んでいて、どれが推奨かも書いてあるので迷いません。反映は即時で、再起動も申請も不要でした。

切り替え後にサイトのトップ・記事・管理画面を確認して問題なし。そのままWordPress本体を6.6→7.1.3へ、PHPが古くて止まっていたプラグインの更新も一気に片付けました。WordPressのサイトヘルスも「改善が必要」から「良好」に変わりました。

ポイントは、ドメイン単位でPHPバージョンを変えられることと、うまくいかなければ同じ画面で元に戻せることです。「上げたら真っ白になった」が怖くて古いまま放置してしまう人が多いと思いますが、戻せる保証があれば気軽に試せます。

今回の件で分かった「レンタルサーバー選びで本当に大事なこと」

サーバーを選ぶとき、料金や転送量、表示速度を比べがちです。それも大事ですが、今回のような事態で効いてくるのは別の部分でした。

1. セキュリティ対応のスピードと範囲

脆弱性は定期的に出ます。そのたびに「自分で何とかする」のは、本業がある人には現実的ではありません。サポート切れのバージョンまでカバーしてくれるかどうかは、普段は見えないけれど一番重要な差だと感じました。

2. PHPのバージョンを自分で簡単に切り替えられること

WordPressやテーマ、プラグインの更新は、PHPのバージョンが古いと止まります。「サーバー側で切り替えられない」「問い合わせが必要」「全サイト一括でしか変えられない」だと、放置が確定します。ドメイン単位で即時に切り替えられて、すぐ戻せるのが理想です。

3. 情報発信が速くて分かりやすいこと

今回は深夜1時台の第一報から、数時間ごとに「どのバージョンまで完了したか」が公式サイトで更新されていました。何が起きていて自分は何をすべきかがすぐ分かる、というのは安心感がまったく違います。

4. バックアップがあること

エックスサーバーは自動バックアップが標準で付いていて、サーバーパネルから復元できます。PHPのバージョン変更やWordPressのメジャーアップデートのような「壊れるかもしれない作業」の前に、これがあるとないとでは踏み切りやすさが段違いです。

正直に書く、エックスサーバーの微妙なところ

褒めてばかりだと信用されないので、気になった点も書いておきます。

  • PHPのバージョンは自動では上がらない：今回私が7.2のまま放置できてしまったのは、裏を返せば勝手に上げてくれないということです。安全側の設計ではありますが、年に1回くらいは自分でサーバーパネルを見に行く必要があります。
  • 騒動のピーク時は管理画面が重かった：10月22〜23日はアクセス集中で、サーバーパネルやWordPressの管理画面にアクセスしづらい時間帯がありました（公式にも追記が出ていました）。
  • 最安ではない：月額数百円のサーバーと比べると高いです。ただ、上に書いたような対応を考えると、私はこの差額は払う価値があると思っています。

エックスサーバーの料金とプラン（2026年10月時点）

これからブログやサイトを始める人向けに、現在の料金を整理しておきます。個人ブログならスタンダードプランで十分です（このブログもスタンダードです）。

  • 初期費用：無料
  • スタンダード：12ヶ月契約で月額990円、36ヶ月契約で月額693円（キャンペーン価格）。容量500GB
  • プレミアム：12ヶ月契約で月額1,980円。容量600GB。有料テーマ「Xwrite」が無料
  • 無料お試し：10日間（全プラン）
  • 独自ドメイン永久無料：スタンダードは12ヶ月契約で1つ、24ヶ月以上で2つ。契約中ずっと無料

2026年11月4日17時までは、契約期間ごとの月額が最大30%オフになるキャンペーン中です。12ヶ月以上の契約でドメインも無料になるので、始めるならこのタイミングが条件はいいと思います。

WordPressは申し込み時の「WordPressクイックスタート」を使えば、サーバー契約・ドメイン取得・SSL設定・WordPressインストールが一度に終わります。私が始めた頃は全部手作業だったので、正直うらやましいです。

▼ 10日間無料でお試しできます ▼
初期費用無料、月額990円から、高速・多機能・高安定レンタルサーバー『エックスサーバー』

すでにエックスサーバーを使っている人が今やるべきこと

最後に、同じようにエックスサーバーで古いPHPのまま運用している人向けのチェックリストです。

  1. サーバーパネル → PHP Ver.切替で、今のバージョンを確認する（7.x や 8.0〜8.1 なら要対応）
  2. 念のためバックアップを取る（サーバーパネルの自動バックアップ、またはBackWPupなどのプラグイン）
  3. WordPressのテーマ・プラグインを先に最新にしておく
  4. PHPを8.3.36（推奨）に切り替える
  5. トップページ・記事・管理画面・お問い合わせフォームを確認。崩れたら同じ画面で元のバージョンに戻す
  6. WordPress本体を最新版に更新する

PHP2Shellそのものはエックスサーバー側で塞がれていますが、古いPHPを使い続けるメリットは何もありません。これを機に上げてしまいましょう。

まとめ

レンタルサーバーは、何も起きていないときはどこを使っても大差ないように見えます。差が出るのは今回のような「何か起きたとき」で、エックスサーバーはサポート切れのPHPにまで独自パッチを当てて15時間で配り終え、その後の自力での対処も数クリックで済む環境を用意していました。

これからWordPressでサイトを始める人には、この「何か起きたときに任せられる」という理由で、私はエックスサーバーをおすすめします。

エックスサーバー公式サイトで料金・キャンペーンを見る

関連記事

※PHP2Shellの対応状況はエックスサーバー公式のお知らせ（2026年10月22日付）、料金は公式サイトの2026年10月時点の表示をもとにしています。最新の情報は公式サイトでご確認ください。

3 COMMENTS

コメントを残す

メールアドレスが公開されることはありません。 ※ が付いている欄は必須項目です

前の記事

【35歳未経験インフラエンジニア：Vol.2】2週目突入！

次の記事

エックスサーバーでPHPのバージョンを変更する方法｜8.3に上…