エックスサーバーのphp2shell対応まとめ｜管理画面の一時停止から修正完了まで【2026年10月】

※この記事はプロモーション（広告）を含みます。

こんにちは、めえです！

PHP の脆弱性「php2shell」のニュースが出た日、「エックスサーバーの管理画面に入れない」「公式サイトも見られない」 と驚いた人も多かったのではないでしょうか。

最初に書いておくと、僕は ConoHa WING の利用者で、エックスサーバーは契約していません。 この記事は、エックスサーバーの公式のお知らせと公式 X で発表された内容を、利用者向けに整理したものです。

先に結論です。

  • 10月21日 16:00、エックスサーバーは 「予防的な安全対策」として公式サイト・管理画面などを一時停止（不正アクセスが起きたからではない、と説明）
  • その間も、Web サイトの表示とメールの送受信には影響なしと案内
  • 10月22日 14:00 までに、PHP 5.6〜8.5 のすべての対象サーバーへ修正パッチの適用が完了
  • PHP 5.5 以下は、10月22日 20:10 時点で修正パッチを作成・検証中
  • 管理画面などは 10月22日 9:30 から順次再開

この記事では、

  • 10月21日〜22日にエックスサーバーで何が起きたか（公式発表の時系列）
  • 対応のポイント（ConoHa WING とのちがい）
  • 利用者がやること

をまとめます。

※この記事は 2026年10月23日時点の情報です。最新の状況は、最後に載せたエックスサーバーのお知らせ・公式 X で確認してください。

php2shell そのものの仕組みや、悪用されたら何が起こりうるかは、こちらの記事で図解しています。
→ php2shellとは？PHP脆弱性の影響とWordPressの対策4つを図解

【結論】エックスサーバーはPHP 5.6〜8.5の修正パッチ適用が完了

項目内容（エックスサーバー公式のお知らせより。10/22 20:10 時点）
PHP 5.6〜8.5対象となるすべてのサーバーに修正パッチの適用が完了
PHP 5.5 以下修正パッチを作成・検証中
サイトの表示・メール対応中も影響なし（サーバーは稼働を続けていた）
管理画面・サーバーパネル10/22 9:30 から順次再開。20:10 時点で主な画面は再開（一部機能はメンテナンス中）
利用者の操作お知らせでは、PHP バージョンの変更を求める案内はなし。利用状況によっては、追加の対策をお願いする場合があり、そのときは改めて案内するとしている

ざっくり言うと、PHP 5.6 以上を使っている人は、サーバー側で修正が当たった状態です。

PHP 5.5 以下を使っている人は、まだ対応中の扱いなので、お知らせの続報を確認しつつ、この機会に新しいバージョンへ上げることを考えたほうがいいと思います（理由はあとで書きます）。

エックスサーバーのphp2shell対応の時系列｜公式発表で確認

エックスサーバー公式のお知らせに載っている経過を、順番に並べました。

日時出来事（エックスサーバー公式のお知らせより）
10月21日 12:00〜脆弱性の発表前に、リスクを下げる措置（緩和策）を適用
10月21日 16:00公式サイト・管理画面などを一時停止（予防的な安全対策）
10月21日 23:00 頃脆弱性の詳細と、PHP の修正版が公開される
10月22日 01:10PHP 8.2〜8.5 への修正の適用を開始
10月22日 06:45PHP 8.2〜8.5 の適用が完了
10月22日 09:30〜管理画面・各種機能を順次再開（ドメイン関連を除く新規申し込みも再開）
10月22日 12:00PHP 7.4〜8.1 の適用が完了
10月22日 14:00PHP 5.6〜7.3 の適用が完了
10月22日 20:10〜各種サービスサイトを順次再開

ポイントは、修正版が公開される「前」に管理画面などを止めていたことです。

一時停止のお知らせでは、使っているソフトウェアの脆弱性について、詳しい情報と修正版が公開される予定だったための対応で、不正アクセスが起きたことによる対応ではないと説明されていました。攻撃が始まりやすい公開直後を、先回りして守りに入ったということですね。

なお、10月22日の時点では公式サイトが表示されにくい時間もあり、状況は公式 X（@xserverjp）でも発表されていました。PHP 5.6〜7.3 の適用完了は、公式 X の「メンテナンス状況について⑤」でも案内されています。

エックスサーバーの対応のポイント3つ

① 修正版が出る前に、管理画面などを止めて守った

ふつう、脆弱性の対応は「修正版が出てから当てる」流れです。エックスサーバーは、修正版が出る前の 10月21日 12:00 から緩和策を当て、16:00 には公式サイトや管理画面も止めました。

管理画面に入れなかったのは不便でしたが、そのぶん Web サイトの表示とメールは止めずに済ませています。ブログを読みに来る人には影響が出ないようにした、ということです。

② 新しいバージョンから順番に、半日ほどで修正を当てた

修正の適用は、利用者が多い新しいバージョンから順番に進んでいます。

PHP のバージョン適用完了
8.2〜8.510月22日 06:45
7.4〜8.110月22日 12:00
5.6〜7.310月22日 14:00
5.5 以下作成・検証中（10/22 20:10 時点）

修正版の公開（10/21 23:00 頃）から、PHP 8.2〜8.5 の完了まで約8時間、5.6〜7.3 まで約15時間です。

③ 番号が上がるバージョンと、上がらないバージョンがある

ここは ConoHa WING とちがうところです。

ConoHa WING は、すべてのバージョンに「番号を変えずに」修正を当てました。一方エックスサーバーでは、エックスサーバーを使っている方の個人ブログの記録によると、10月22日にサーバーパネルの「PHP Ver.切替」で見た番号が次のようになっていたそうです（公式のお知らせには番号の記載はありません）。

系列10/22 に表示されていた番号（個人ブログの記録）PHP 公式の修正版
PHP 8.58.5.128.5.12
PHP 8.48.4.278.4.27
PHP 8.38.3.368.3.36
PHP 8.28.2.358.2.35
PHP 8.1 / 8.0 / 7.48.1.34 / 8.0.30 / 7.4.33（番号は変わらず）（PHP 公式のサポートは終了）

つまり、

  • 8.2〜8.5 は、PHP 公式の修正版の番号に上がっている
  • 8.1 以前は、番号が変わらないまま、エックスサーバーが独自に修正を当てている

ということです。8.1 以前の人は、サイトヘルスで番号を見ても修正済みかどうかは判断できません。番号ではなく、公式のお知らせで「適用完了」になっているかで確認しましょう。

ConoHa WINGエックスサーバー
対応の完了10/22 20:45（終報）10/22 14:00（PHP 5.6〜8.5）
8.2〜8.5 の番号変わらない（例：8.5.11 のまま）修正版の番号に上がった例あり（例：8.5.12）
8.1 以前の番号変わらない変わらない
止まったものファイルマネージャー・Webメール・phpMyAdmin公式サイト・管理画面・サーバーパネルなど

ConoHa WING の対応は、こちらにまとめています。
→ 【内部リンク：① ConoHa WINGのphp2shell対応まとめ（公開後に URL を入れる）】

エックスサーバーの利用者がやること

やることどうやるか
お知らせ・メールを確認するエックスサーバーのお知らせと公式 X で続報を見る。個別に追加の対策をお願いされていないか、登録メールも確認
PHP のバージョンを確認するWordPress の「ツール」→「サイトヘルス」→「情報」→「サーバー」、またはサーバーパネルの「PHP Ver.切替」
8.1 以前なら 8.3 以上に上げるサーバーパネルの「PHP Ver.切替」から変更（変える前にバックアップ）
念のため、怪しい変化がないか見る見覚えのない管理者ユーザー・知らないページ・知らないファイルがないか

「8.1 以前なら上げる」は、エックスサーバーの指示ではなく、僕のおすすめです。 今回は 8.1 以前にも修正が当たりましたが、PHP 8.1 以前は PHP 公式のサポートがすでに終わっていて、今後また弱点が見つかっても公式の修正は出ません。5.5 以下を使っている人は、まだ修正の準備中なので、なおさら上げておきたいところです。

また、PHP 8.2 も 2026年12月31日で公式のサポートが終わる予定です。8.2 の人も、年末までに 8.3 以上にしておくと安心です。

バージョンを上げると、古いプラグインやテーマが動かなくなることがあります。変えたあとは、トップページ・記事ページ・管理画面が表示されるか確認し、おかしければ元のバージョンに戻しましょう。

逆に、やらなくていいことはこちらです。

  • 自分で PHP を直そうとする（レンタルサーバーでは、PHP 本体はサーバー会社が直すもの）
  • 管理画面に入れなかったことで「乗っ取られた」と慌てる（予防のための停止で、不正アクセスではないと説明されている）
  • 慌ててほかのサーバーに乗り換える（5.6〜8.5 の対応は完了している）

参考：7〜8月のwp2shellのときもエックスサーバーは先回りしていた

名前が似ていてまぎらわしいのですが、2026年7月には WordPress 本体の脆弱性「wp2shell」も話題になりました。このときもエックスサーバーは、利用者が更新するのを待たずに対応していたと報じられています。

日付エックスサーバーの対応（innovatopia の報道より）
7月19日攻撃に使われる WordPress の入り口（REST API の `/wp-json/batch/v1`）への通信を、暫定的に遮断
7月31日頃影響のある WordPress（7.0.0〜7.0.1、6.9.0〜6.9.4）を、修正版（7.0.2、6.9.5）にマイナーアップデート
8月6日古いバージョンのままのドメインを除いて、遮断を解除
8月24日公式 X で、これらの対応を公表

今回の php2shell でも、修正版が出る前から守りに入っていました。サーバー会社が先回りして止める・更新するというのが、エックスサーバーの対応の特徴と言えそうです。

wp2shell と php2shell のちがいは、こちらで整理しています。
→ 【内部リンク：④ wp2shellとは？WordPress本体の脆弱性とphp2shellとのちがい（公開後に URL を入れる）】

エックスサーバーのセキュリティ機能｜ふだんから使えるもの

エックスサーバーの公式の機能一覧で確認できた、セキュリティ関連の主な機能です。

機能内容
自動バックアップ毎日自動でバックアップ。Web・メールのデータとデータベースを 過去14日分 保持
WAFWeb アプリの弱点を狙った攻撃からサイトを守る
WordPress アクセス制限ダッシュボード・XML-RPC・REST API などへのアクセスを制限できる
ログイン試行回数制限短時間にログイン失敗が続くと、アクセスを制限
無料独自 SSL無料・無制限で使える
FTP 制限設定FTP で接続できる IP アドレスを決められる

万が一サイトがおかしくなっても、14日以内の状態に戻せる自動バックアップがあるのは安心材料です。

PR

ConoHa WING とエックスサーバーの料金・機能のちがいは、こちらで比べています。
→ ConoHa WINGとエックスサーバー、どっち？契約者が料金・機能を比較

エックスサーバーのphp2shell対応でよくある質問

Q. 管理画面に入れなかったのは、不正アクセスされたから？

いいえ。エックスサーバーは、脆弱性の詳細と修正版が公開される予定だったための予防的な安全対策で、不正アクセスが起きたことによる対応ではないと説明しています。

Q. 管理画面が止まっている間、ブログは見られなくなっていた？

公式のお知らせでは、利用中のサーバーは稼働を続けていて、Web サイトの表示やメールの送受信に影響はないとされていました。

Q. エックスサーバーの利用者は、PHP のバージョンを変えないといけない？

10月22日 20:10 時点のお知らせでは、PHP 5.6〜8.5 の修正パッチ適用は完了しており、利用者にバージョン変更を求める案内はありません。ただし「利用状況によっては追加の対策をお願いする場合がある」ともされているので、メールとお知らせは確認しておきましょう。8.1 以前を使っている人は、公式サポートが終わっているので、この機会に 8.3 以上へ上げるのがおすすめです。

Q. PHP 8.1 を使っています。サイトヘルスの番号が変わっていませんが大丈夫？

8.1 以前は、番号を変えずにエックスサーバーが独自に修正を当てているため、番号だけでは判断できません。公式のお知らせでは、PHP 7.4〜8.1 は 10月22日 12:00 に適用完了となっています。

まとめ：エックスサーバーは修正完了。お知らせとPHPバージョンを確認しよう

  • 10月21日 16:00、予防的な安全対策として公式サイト・管理画面などを一時停止（不正アクセスではない）
  • その間も サイトの表示とメールは影響なし
  • 10月22日 14:00 までに、PHP 5.6〜8.5 の修正パッチ適用が完了。5.5 以下は作成・検証中（10/22 20:10 時点）
  • 8.2〜8.5 は修正版の番号に上がった例があり、8.1 以前は番号が変わらない（番号だけで判断しない）
  • 利用者は お知らせ・メールの確認 と PHP バージョンの確認。8.1 以前は 8.3 以上へ

エックスサーバーは、修正版が出る前から先回りして守りに入っていました。利用者としては、慌てずにお知らせと PHP のバージョンを確認しておけば大丈夫です！

関連記事

出典（2026年10月23日 確認）

コメント

タイトルとURLをコピーしました