※本記事にはアフィリエイト広告（PR）が含まれます。
2026年10月21日に公開されたPHPの脆弱性「PHP2Shell」（CVE-2026-109618 / CVE-2026-109619）は、レンタルサーバー各社にとって久しぶりの「全社一斉対応」になりました。修正版が出たのは PHP 8.2〜8.5 だけで、サポート切れの PHP 8.1 以前は各社が独自に対応するしかなかったからです。
結果として、「どこまでのバージョンを」「どれだけ早く」直したかに、会社ごとの差がはっきり出ました。この記事では、公式発表と各社の対応状況をまとめた第三者記事をもとに、主要レンタルサーバーの対応を一覧にします。これからサーバーを選ぶ人、乗り換えを考えている人の判断材料になるはずです。
なお、私自身はエックスサーバーの利用者で、サポート切れの PHP 7.2 で動いていたこのブログがどうなったかは別記事に書いています。
前提：PHP本体の修正範囲
- 修正版あり：8.5.12 / 8.4.27 / 8.3.36 / 8.2.35（10月21日公開）
- ソース修正のみ（通常リリースなし）：7.4 / 8.0 / 8.1
- 修正なし：7.3 以前
つまり PHP 8.1 以前で動いているサイトは、サーバー会社が独自にパッチを作って当ててくれない限り、脆弱なままということになります。
主要レンタルサーバーの対応状況（10月22日 22時時点）
以下は、各社の公式お知らせと、対応状況をまとめた第三者記事（2026年10月22日22時時点）をもとに整理したものです。時間はすべて日本時間です。
| サーバー | 状況 | 対応範囲・完了時刻 | 利用者の作業 |
|---|---|---|---|
| エックスサーバー | 完了 | PHP 5.6〜8.5 に独自パッチ適用。8.2〜8.5 は 06:45、7.4〜8.1 は 12:00、5.6〜7.3 は 14:00 に完了 | 不要 |
| シン・レンタルサーバー | 完了 | エックスサーバーと同じ時系列 | 不要 |
| mixhost | 完了 | PHP 5.2〜8.5。10:18 ごろ完了 | 不要（8.2 未満はサポート版への移行を推奨） |
| お名前.com | 完了 | 20:45 完了。バージョン表示は変わらず | 不要 |
| コアサーバー / バリューサーバー | 完了 | PHP 5.3〜8.5。00:50〜11:13 に完了 | 不要 |
| カラフルボックス | 完了 | 22日午前に完了。旧バージョンも保護 | 不要 |
| ヘテムル | 完了 | 15:15 に全サービス復旧。攻撃の試行は観測、被害なし | 8.2 以上を推奨 |
| さくらのレンタルサーバ | 一部継続中 | サポート切れ版もパッチ対象。一部機能はメンテナンス継続 | 8.3 を推奨 |
| ロリポップ | サービス再開 | 13:11 に再開（公式X）。詳細は未確認 | — |
| Zenlogic（IDCF） | 一部継続中 | 7.4〜8.5 は 08:00 に再開。PHP 5.3 は強制アップグレード（戻せない） | コード修正が必要な場合あり |
| ConoHa WING | 対応中 | 22時時点で完了告知なし。バージョン表示は変わらず | — |
| KAGOYA | 調整中 | 完了告知なし。一部プランでアクセス制限を依頼 | — |
| WebARENA | 対応中 | 17:30 から緊急メンテナンス | — |
| CPI（KDDI） | 対応中 | 22時時点で完了告知なし | — |
※スターサーバー、ラッコサーバー、ABLENET、wpX は同時点で公式告知が確認できていません。各社とも最新状況は公式サイトで確認してください。
一覧から読み取れる3つの差
1. サポート切れのPHPまで面倒を見るかどうか
エックスサーバー、シン・レンタルサーバー、mixhost、コアサーバー、カラフルボックス、さくらは、PHP本体の修正が出ていない 5.x〜8.1 にも独自パッチを当てています。一方で、古いバージョンを強制アップグレードしたところもあります（Zenlogic の PHP 5.3）。強制アップグレードは安全ではありますが、古いコードで動いているサイトが突然止まるリスクがあります。
古いWordPressサイトを運営している人、クライアントサイトを多数抱えている人にとっては、ここが一番大きな差です。
2. 完了までの時間
PHP本体の修正版公開（21日23時ごろ）から、エックスサーバーは 8.2〜8.5 で約8時間、全バージョンで約15時間で完了しています。mixhost は約11時間。一方で、22日22時の時点で完了告知が出ていない会社もありました。たった1日の差ですが、脆弱性が公開されてから攻撃が始まるまでの時間を考えると、この1日は大きいです。実際、ヘテムルは「攻撃の試行を観測した」と公表しています。
3. 告知の分かりやすさ
「どのバージョンが、いつ完了したか」「利用者は何をすべきか」を時系列で出している会社と、「対応中です」だけの会社に分かれました。トラブル時に自分が何をすべきか分からない状態は、利用者にとって一番ストレスです。
利用者が今やるべきこと（どのサーバーでも共通）
- 自分のサーバー会社の公式お知らせで「自分のPHPバージョンが対応済みか」を確認する
- バージョン表示は変わらないことが多いので、「表示が古いまま＝未対応」とは限らない
- 対応済みでも、PHP 8.1 以前は暫定的な修正。8.2 以上（できれば 8.3）に上げる
- サイトの表示、お問い合わせフォーム、画像アップロードが正常に動くか確認する
- WordPress本体・テーマ・プラグインを最新にする（PHP本体の修正にはならないが、別の穴を塞ぐ）
結論：サーバーは「平時の料金」より「有事の対応」で選ぶ
レンタルサーバーの比較記事は料金と速度の話が中心になりがちですが、今回のように「会社がどう動くか」が丸見えになる機会はめったにありません。
サポート切れのバージョンまで独自に直し、15時間で全サーバーに配り、その間の状況を数時間ごとに公開する。今回のエックスサーバーの対応は、私が「サーバー代の差額は払う価値がある」と考える理由そのものでした。これからサーバーを選ぶ人は、この一覧を判断材料の1つにしてもらえればと思います。
初期費用無料、月額990円から、高速・多機能・高安定レンタルサーバー『エックスサーバー』
関連記事
※対応状況は2026年10月22日22時時点の各社公式発表および第三者のまとめ記事をもとにしています。その後更新されている可能性があるため、最新情報は各社公式サイトでご確認ください。
[…] PHP2Shell対応で分かったレンタルサーバー14社の差 […]