PHP脆弱性のレンタルサーバー対応状況10社｜PHP2Shell

2026年10月21日、PHPの開発元が深刻な脆弱性2件の修正版を公開しました。その日の早朝（日本時間）に「重大なセキュリティリリースを出す」と予告があり、国内では予防のためにサービスを一時停止する企業やレンタルサーバーが相次ぎました。WordPressなどで自分のサイトを持っている人にとって気になるのは、自分のサイトは対象なのか、自分で何かする必要があるのかの2点だと思います。

先にお伝えすると、共用のレンタルサーバーを使っていて、契約している会社が修正の完了を告知しているなら、乗り換える必要はありません。この記事では、PHP公式の告知と各レンタルサーバーの公式のお知らせだけをもとに、確かめ方・やること・各社の対応状況を整理しました。サーバーの乗り換えは、修正が届かない環境を使っている人に向けた最後の選択肢として扱っています。

この記事の結論

• 表の10社のうち9社が、選べるPHPのバージョンすべてへの修正の完了を告知しました。最後まで残っていたエックスサーバーで選べるPHP 5.1〜5.5も、10月26日6時20分に「対象となるすべてのサーバーへの修正パッチ適用が完了」と告知されました（エックスサーバー・シン・レンタルサーバー・スターレンタルサーバー・シンフリーサーバーの共通のお知らせ）。カラフルボックス・さくらのレンタルサーバ・mixhost・ロリポップ!・ConoHa WING・お名前.com レンタルサーバーは22日のうちに選べる全バージョンでの対応完了を告知しています。残る1社のKAGOYAは、27日19時55分時点の更新で書き方が変わりました。レンタルサーバープランで「対応済」としているのはPHP 8.5.12・8.4.27・8.3.36・8.2.35の4つで、「上記以外は、影響を受けます」と明記し、7.4系・8.0系・8.1系については「本脆弱性の緩和策は対応済」としたうえで、根本的な対策として8.2系以降へのアップデートを強く推奨しています（23日12時30分の告知では7.4系・8.1系も修正版へのアップデートの対象に挙げていました）。28日19時30分時点の更新では、同じお知らせの表の注記に「レンタルサーバー：PHP 7.4系、8.1系、8.2系、8.3系、8.4系、8.5系の修正版へのアップデートが完了しております」と書かれました。ただし同じページの質問と回答の節は「対応済」を上の4つのままにしていて、公式のなかで書き方がそろっていないため、この記事の表と採点は慎重な側（質問と回答の記載）に合わせています。KAGOYAのマネージド専用サーバー・共用サーバー・WordPress専用サーバーは表の対象外で、28日19時30分時点の更新では「本脆弱性のパッチ提供対象外」として緩和策を順次実施中とし（31日9時10分時点の更新で、マネージド専用サーバーと共用サーバーは「緩和策：10月30日完了」、WordPress専用サーバーは「緩和策：10月31日完了」）、根本的な対策としてレンタルサーバープランへの変更を案内しています（27日の更新にあった「脆弱性が残存している状態」「修正版が公式から提供されない方針」という記述は、28日19時30分時点の版では見当たりません）
• 今やることは、自分のサイトの確認です。①PHPのバージョン（WordPressなら「ツール」→「サイトヘルス」→「情報」→「サーバー」）、②WordPress本体・テーマ・プラグインが最新か、③覚えのない管理者ユーザーやファイルがないか、の3つです（確かめ方）。②については、10月28日にWordPress 7.1.4（セキュリティリリース）が公開されました。今回のPHPの脆弱性とは別の内容ですが、公式がすぐの更新を勧めているので、本体の更新もあわせて確かめます
• PHP 8.1以前・CentOS 7・自分で管理するVPSは要注意。PHPの開発元は8.1以前の番号付きの修正版を出しておらず、CentOS 7は2024年6月30日でOSの更新が終わっています。セキュリティ企業のwatchTowrは、自社のおとりのサーバーで21日から悪用を観測したと報告しています。JPCERT/CCも26日の更新で、悪用できると主張する実証コードが多数公開され、悪用を試みる通信を観測したとの報告が相次いでいるとしています。CISAは10月26日（米国時間）に、2件を「悪用が確認された脆弱性の一覧（KEV）」に追加しました（米国の連邦政府機関向けの対応期限は10月29日）。JPCERT/CCは29日の更新で、この脆弱性を悪用した攻撃活動の調査で、あるファイアウォール製品の特定のバージョンに対する侵害の成功を示唆する痕跡が確認されたという、セキュリティ企業の報告を紹介しました（攻撃者がこの脆弱性とLinuxカーネルの権限昇格の脆弱性を組み合わせた攻撃コードを用意していたこと、侵害した機器を足がかりに内部のネットワークへ広げようとした痕跡も確認されたとしています）。一部の製品の提供元も、悪用する攻撃を観測したとして注意喚起を更新しているとしています。修正がまだ届いていない環境を使っている人は、対応の優先度を上げる材料になります
• 新規の申し込みの受付を止める事業者が増えました。ロリポップ!は10月24日14時8分から新規の申し込み（無料お試しを含む）を、19時22分からWordPress簡単引っ越し機能を、25日未明からWebDAVでの接続を一時停止しました（WebDAVは25日1時35分の更新で追加）。このうちWordPress簡単引っ越しは、29日14時20分の更新で提供の再開が告知されました（停止期間は24日19時22分〜29日14時20分）。同じGMOペパボのヘテムルも14時8分から新規の申し込みを止めていて、25日1時25分の更新でWebDAVの一時停止を告知しました。28日の夜には、2社とも「バックアップオプションの新規お申し込み」も予防措置として一時停止の対象に加えました（ロリポップ!は28日22時20分、ヘテムルは28日22時42分から。どちらもすでに契約している人はこれまでどおり使えるとしています）。ConoHa WINGとConoHa VPSも13時40分から、緊急メンテナンスに伴って新規お申し込みの受付を一時停止しています（どちらも終了は未定）。ロリポップ!は、契約中のサイトの表示・メールの送受信・ユーザー専用ページへのログインは通常どおりで、不正アクセス等の被害は確認していないとしています。今すぐ移る先としては選べないので、この記事の移行先の候補からはロリポップ!とConoHa WINGを外しています。28日は、お名前.com レンタルサーバーの公式ページにも「【重要】現在、臨時メンテナンスのため、新規お申し込み受付を停止しております。受付再開まで今しばらくお待ちください」という表示が出ていました（31日20時30分時点。開始の時刻は書かれていません）。同じ基準で候補から外し、移行先の採点を7社でやり直しました（移行先7社の評価）。順位の1位から6位は動かず、KAGOYAが8位から7位になっています。また、お名前.com レンタルサーバー（ベーシック・RSプラン・AIホームページパック）が25日0時30分から続けていたファイルマネージャーとFTPの緊急メンテナンスは、26日20時10分ごろに終了しました（20時13分の更新で告知）。同社の共用サーバーGSは、25日11時からコントロールパネルを予防措置で一時停止中です（再開は未定。Webサイトの表示・メールの送受信・データベースは通常どおりで、不正アクセス等の被害は確認していないとしています）。共用サーバーSD・お名前メール・ホームページエディターも、28日15時からコントロールパネルのメンテナンスに入ると28日付けで告知されました（終了は未定。理由は「お名前.com 全体のセキュリティ点検を実施するため」で、影響はコントロールパネルへのログインができないことです。30日15時30分の追記で「終了までに数日ほどお時間をいただく見込みです」と書かれました）。コアサーバーV1・XREA・バリューサーバーは、25日の全台の緊急メンテナンス（サーバーソフトウェアの更新）に続いて、26日4時45分〜5時5分にも全台でSSHのホスト鍵を更新する緊急メンテナンスを実施し、どちらも完了を告知しました（ウェブサイトの閲覧・メールの送受信・FTP接続の停止は発生していないとしています）。その後26日5時56分から13時28分まで、この3サービスでコントロールパネルのファイルマネージャー（Web FTP）にファイルの一覧が表示されない障害が起き、復旧済みと告知されています（外部のFTPソフトでの接続やサイトの閲覧・メールには影響なしとしています）。一方でKAGOYAは、10月19日18時から止めていた新規の申し込みの受付を27日に再開しました（受付再開のお知らせは27日20時5分の更新で、再開日時を27日19時55分、対象をKAGOYA CLOUD VPS・KAGOYA MAIL〈ブロンズ、シルバー〉・レンタルサーバー・desknet’s NEO専用サーバー・KAGOYA Chatとしています。「当社サービス状況」の表では、KAGOYA CLOUD VPSのオンラインサインアップだけ27日10時23分再開と書かれています）。各コントロールパネルは26日14時、Active!mailは26日20時に再開済みで、サポートサイトも、30日18時30分に再開しました（26日時点の「10/27 再開予定」からいったん「再開未定」に後退していましたが、31日9時10分時点の表で「10/30 18:30再開」になりました）。ただし27日付けの障害情報で、コントロールパネルとActive!mailへのログインや操作が、アクセスの集中で時間がかかる・できない事象を確認したとして、時間をおいて試すよう案内しています（31日20時30分時点で復旧の告知はありません）。30日18時37分から31日1時02分まで、マネージド専用024v Dual・レンタルサーバプラン ライト・カゴヤメールブロンズ・KAGOYA Chatで高負荷によりサーバーへアクセスしづらい障害が起き、31日付けで復旧を告知しました（原因は複数のサーバーで定期アップデート処理が同じ時間帯に集中したことで、PHPの脆弱性との関係は書かれていません）。なお、レンタルサーバーの「2週間無償トライアル」の申し込みページには、31日20時30分時点でも「現在、トライアルのお申し込み受付を一時停止しております」と表示されています。移行先1位のカラフルボックスは、サーバーの新規申し込みは通常どおりですが、ドメインの新規取得だけを24日15時30分ごろから一時停止しています（上位のレジストラ側でドメインの新規登録の受付が止まっているためで、再開は未定。ドメインの更新とサーバーのみの申し込みには影響なし）。この停止のお知らせには30日付けで「JPドメイン（.jp / .co.jp / .or.jp）はご登録が可能です」という追記が入りました
• 10月23日に追加の案内が出ました。PHPの開発元は、別の条件でのリモートコード実行を防ぐため、次の定期リリースまで session.upload_progress.enabled=0 にしておくことを勧めています（CVE-2026-115560）。共用サーバーなら事業者側の設定で、VPSや自前のサーバーなら自分で確かめます（内容）。JPCERT/CCの注意喚起も26日に更新され、緩和策としてこの設定を0にしてすべてのワーカーを再起動する案内が加わりました。さらに29日にも更新され、侵害の成功を示唆する痕跡の報告と、オランダの国家サイバーセキュリティセンター（NCSC-NL）がまとめた「影響を受ける可能性がある製品の一覧」が参考情報に加わっています。IPAの注意喚起も10月27日に更新され、CISAが26日（現地時間）に2件をKEVに追加したことが追記されました
• ロリポップ!・ヘテムルは、バックアップオプションの障害を27日付けで告知しました。バックアップが正常に実行されない（開始されない・通常より時間がかかる）事象が10月22日ごろから続いていて、どちらも対応中としています（ヘテムルは復旧に時間がかかる見込み。31日20時30分時点で復旧の告知はありません）。ロリポップ!は原因を「バックアップオプションのシステムの不具合」としていて、PHPの脆弱性との関係は書かれていません。あわせて28日夜から、2社ともバックアップオプションの新規お申し込みの受付を止めているので、いまから申し込んで備えることもできません。この2社でPHPのバージョンを切り替える人は、サーバー側のバックアップ任せにせず、自分でファイルとデータベースの控えを取ってから作業してください
• mixhostは27日付けで、マイページの二段階認証を11月24日から必須化すると告知しました。不正アクセスによる情報漏えいが相次ぐ状況を踏まえた措置で、設定していない人は11月24日以降、ログイン時に設定を求められ、完了するまでマイページの機能が使えません
• 修正が届かない環境から移るなら、5軸の評価で1位はカラフルボックス（全バージョンの対応完了を告知、古いPHPのサイトも無料のツールで移せる、30日間カードなしで試せる）。年間の費用を抑えるなら、2位のスターレンタルサーバー（年5,016円）か4位のさくらのレンタルサーバ（年6,600円）です。3位は、26日6時20分に選べる全バージョンの完了が告知されて8点に上がったエックスサーバーです。27日に受付が戻ったKAGOYAは、無料のお試しが止まっていて料金も月1,485円と高く、7.4〜8.1系は緩和策のみという書き方のため4点で7位（最下位）です
• この記事の状況は2026年10月31日20時30分時点のものです。各社の対応は時間とともに変わります

まず、自分の状況でやることを確かめる

10月31日20時30分時点で、この記事の表の10社のうち9社が、選べるPHPのバージョンのすべてへの修正の完了を告知しています。残る1社のKAGOYAも、レンタルサーバープランのPHP 8.2系〜8.5系は修正済みで、7.4系・8.0系・8.1系には緩和策を当てたとしています。共用のレンタルサーバーを使っているなら、多くの人にとってPHPの本体の修正はもう終わっています。そのうえで、自分のサイトについて次の3つを確かめておくと安心です。

自分のサイトで確かめること

1. PHPのバージョン：WordPressなら「ツール」→「サイトヘルス」→「情報」→「サーバー」で表示されます。契約しているサーバーの告知と照らし合わせて、修正の範囲に入っているかを見ます。番号を変えずに修正だけを当てる事業者もあるので、番号が古くても慌てる必要はありません（番号の読み方）。8.1以前なら、8.3以上への切り替えを計画します（切り替えの手順）
2. WordPress本体・テーマ・プラグインの更新：今回の脆弱性はPHPのもので、WordPressの公式も「WordPressの更新は必要なく、予定もない」としています。ただ、7月に公表されたWordPress本体の脆弱性（通称wp2shell・CVE-2026-63030）は、CISAが7月21日に悪用の確認された脆弱性の一覧（KEV）に加えています。WordPressは10月28日に7.1.4を公開しました。複数の問題を直したセキュリティリリースで、公式は「すぐにサイトを更新することを推奨」としています（今回のPHPの脆弱性とは別の内容です）。管理画面の「ダッシュボード」→「更新」で、本体（10月31日時点の最新は7.1.4）・テーマ・プラグインに更新が残っていないかを見ておきます。自動更新が有効なサイトでは、本体の更新は自動で始まります。サーバー側でも案内が出はじめていて、ConoHa WINGは29日付けで7.1.4の案内を掲載し、30日の更新で「WordPressの新規インストール機能で導入されるバージョンを修正済みの7.1.4へ更新した」と追記しました。お名前.com レンタルサーバー（ベーシック・RSプラン）も29日付けで、管理画面のWordPressインストール機能が入れるバージョンを7.1から7.1.4へ上げたと告知しています（どちらもすでに動いているサイトの更新は利用者の作業です）
3. 覚えのない管理者ユーザーやファイルがないか：WordPressの「ユーザー」の一覧に、自分で作った覚えのない管理者がいないか。サーバーのファイルマネージャーで、最近更新された覚えのないPHPファイルがないか。見つかったときは、自分で消す前に、契約しているサーバーのサポートに相談します。JPCERT/CCは、侵害が疑われる場合はログなどの証拠を残したうえで調べるよう案内しています

ロリポップ!とヘテムルを使っている場合は、今回の対策で一部の機能（session.upload_progress）が無効になったため、問い合わせフォームやファイルのアップロードが動くかも確かめます。PHPの開発元も10月23日付けで、この機能を無効にしておくことを勧める追加の案内を出しました（内容）。あわせて、ロリポップ!とヘテムルは25日未明からWebDAVでの接続も一時停止の対象にしたので、WebDAVでファイルを更新している人はFTPなど別の手段に切り替えます。この2社は27日付けで、バックアップオプションのバックアップが正常に実行されない障害（10月22日ごろから継続中・復旧には時間がかかる見込みで、31日20時30分時点で復旧の告知はありません）も告知しました。PHPのバージョンを切り替えるなど手を入れる前には、サーバー側のバックアップを当てにせず、自分でファイルとデータベースの控えを取っておきます。28日の夜からは、2社ともバックアップオプションの新規お申し込みの受付も止まっています（ロリポップ!は22時20分、ヘテムルは22時42分から）。

環境と告知の内容で分かれるやること

やることは、使っている環境と事業者の告知の内容で、次の4つに分かれます。

• 作業なしの人：事業者が「選べる全バージョンで対応完了」「利用者の作業は不要」と告知していれば、やることはお知らせを読んで、上の3つを確かめるだけです。乗り換える必要はありません。エックスサーバー社の3サービス（エックスサーバー・シン・レンタルサーバー・スターレンタルサーバー）も、26日6時20分の告知でPHP 5.1〜8.5の修正の適用がすべてのサーバーで完了しました。8.1以前を使っているなら、急ぐ必要はありませんが、8.3以上への切り替えを計画しておくと次の修正も受け取りやすくなります
• 続報を待つ人：見る場所は、契約している事業者のお知らせ（メンテナンス情報）のページと公式Xです。10月31日20時30分時点で、PHPの修正を待っている状態なのは、KAGOYAのマネージド専用サーバー・共用サーバー・WordPress専用サーバーです。KAGOYAは27日19時55分時点の更新で、この3プランについて「本脆弱性への対応が継続して必要な状況であり、脆弱性が残存している状態」「本脆弱性に対する修正版が公式から提供されない方針となっているため、脆弱性への対応可否を含め今後の対応について検討を進めております」と書き、「レンタルサーバープラン」へのプラン変更を検討するよう案内しました（変更後はPHP 8.2以降での運用を推奨）。28日19時30分時点の更新では、この3プランを「本脆弱性のパッチ提供対象外」として、リスクを下げる緩和策を順次実施中としています（31日9時10分時点の更新で、マネージド専用サーバーと共用サーバーは「緩和策：10月30日完了」、WordPress専用サーバーは「緩和策：10月31日完了」）。緩和策の中身をまとめた専用のページも28日19時時点で公開され、memory_limit = -1・post_max_size = 8M・upload_max_filesize = 7M・max_input_nesting_level = 32・session.upload_progress.enabled = 0 を当てると書かれています。一時的な対策で、根本的な対策はレンタルサーバープランへの変更と対策済みのPHPへの移行だとしています。プラン変更はコントロールパネルから申し込めます。すぐに変えられない場合の暫定策として、公開停止やアクセス制限の検討も案内しています（.htaccessでアクセスを止める書き方も載せています）。レンタルサーバープランで7.4系・8.0系・8.1系を使っている人も、同じ更新で「緩和策は対応済」だが根本的な対策として8.2系以降へ上げることを強く推奨すると書かれたので、切り替えを計画します。KAGOYAの各コントロールパネルは26日14時、Active!mailは26日20時に再開済みで、新規の申し込みも27日19時55分に戻りました（「再開未定」が続いていたサポートサイトも、30日18時30分に再開しました）。ただし27日付けの障害情報では、コントロールパネルとActive!mailへのログインや操作がアクセスの集中で重くなっていて、時間をおいて試すよう案内されています。30日付けのお知らせでは、今回の脆弱性とサービスプランの変更に関する問い合わせが集中していて、サポートセンターの回答までに10日以上かかっている（電話もつながりにくい）としています。プラン変更を考えている人は、この待ち時間を見込んでおきます。エックスサーバー社の3サービスでは、22日の管理画面の再開以降アクセスが集中してサーバーパネルが表示されにくい状態が続いていましたが、26日16時の更新で「現在はアクセス集中が落ち着いております」と案内されました。ただしサポート窓口への問い合わせは集中していて、26日付けのお知らせで、電話とチャットがつながりにくく、メールフォームの回答にも通常より日数がかかるとしています
• 移る人（共用サーバー）：事業者が使っているPHPのバージョンを直さない（または変更が必要）と案内していて、サイトがそのバージョンでしか動かない場合です
• 止める人（CentOS 7・VPS）：CentOS 7など更新の止まったOSや、自分では更新できないVPS・前任者から引き継いだサーバーで動かしている場合は、CISAの求めに沿っていったんオフラインにし、更新が続くOSで作り直すか、管理型のレンタルサーバーに移します

移る人には、5軸の評価で1位のカラフルボックスが合います。PHP 8.1以前を含む全バージョンの修正を22日朝までに終えたと告知していて、PHP 5.3〜8.5を選べるので、古いPHPでしか動かないサイトもいったんそのまま移し、時間をかけて新しいバージョンへ直していけます。30日間はクレジットカードなしで試せて、自分で契約の手続きをしない限り料金はかかりません。ひとつだけ、カラフルボックスはドメインの新規取得を24日15時30分ごろから止めています（上位のレジストラ側の停止のため・再開は未定）。ただし30日付けの追記で、JPドメイン（.jp / .co.jp / .or.jp）は登録できると案内されました。サーバーのみの新規申し込みも通常どおりなので、.comなどを一緒に取るつもりなら、ドメインは別の事業者で取るか再開を待ちます。

自分で移すのが不安なら、移行代行（1サイト14,080円・申し込みから5営業日以内）もあります。申し込む前に、ドメインの管理画面にログインしてネームサーバーを変えられるかと、今のサーバーのメールアドレスを使っているかを確かめておくと、移すときに慌てずに済みます（代行はネームサーバーを変えられることが条件で、独自ドメインのメールアドレスは、ネームサーバーを変える前に自分で設定しておく必要があります）。

カラフルボックス 公式サイトを見る

ほかの候補との比べ方は移行先7社の評価、移し方と失敗したときの戻し方は移すのは大変？失敗しても戻せる？にまとめています。

レンタルサーバー各社の対応状況（2026年10月31日20時30分時点）

主要なレンタルサーバー10社について、公式のお知らせ・メンテナンス情報を確認しました。各社が書いていることだけを載せ、書かれていないことは「明記なし」としています。

KAGOYAは23日12時30分の更新で、レンタルサーバープランの対象（PHP 7.4系・8.1系・8.2系〜8.5系）へのアップデートを22日14時40分〜24時に実施したと告知していました。ただし27日19時55分時点の更新で書き方が変わり、「対応済」としているのはPHP 8.5.12・8.4.27・8.3.36・8.2.35の4つで「上記以外は、影響を受けます」とし、7.4系・8.0系・8.1系は「本脆弱性の緩和策は対応済」だが根本的な対策として8.2系以降へのアップデートを強く推奨すると書かれました。そのため表では「8.2系〜8.5系に適用済み」「8.1以前は緩和策のみ」としています。28日19時30分時点の更新では、同じお知らせの表の注記に「レンタルサーバー：PHP 7.4系、8.1系、8.2系、8.3系、8.4系、8.5系の修正版へのアップデートが完了しております」と書かれましたが、同じページの質問と回答の節は「対応済」を4つのバージョンのままにしています。公式のなかで書き方がそろっていないため、表は慎重な側（質問と回答の記載）のままにしています。KAGOYAのマネージド専用サーバー・共用サーバー・WordPress専用サーバーはこの表の対象外で、28日19時30分時点の更新では「本脆弱性のパッチ提供対象外」として緩和策を順次実施中（31日9時10分時点の更新で、マネージド専用サーバーと共用サーバーは「緩和策：10月30日完了」、WordPress専用サーバーは「緩和策：10月31日完了」）とし、レンタルサーバープランへのプラン変更を案内しています。契約している人は、各社のお知らせページと公式Xを確認してください。エックスサーバー社の3サービスの「状況により追加の対策」は、「ご利用状況によっては、お客様にも追加の対策をお願いする場合」があり、その際は改めて案内するという意味です。エックスサーバー社の3サービスは、26日6時20分の告知でPHP 5.1〜5.5もすべてのサーバーで完了し、選べる全バージョンが完了の範囲に入りました。なお10月24日の午後は、ロリポップ!（14時8分）・ConoHa WINGとConoHa VPS（13時40分）・バリュードメイン（14時52分）が新規の申し込みの受付を一時停止し、お名前.comも申し込み関連の手続きで緊急メンテナンスに入りました（KAGOYAは10月19日18時から停止し、27日19時55分に再開しました）。ヘテムルも同じ14時8分から新規の申し込みを止めていて、ロリポップ!とヘテムルは25日未明にWebDAVでの接続も一時停止の対象に加えました。これはPHPの修正の状況とは別で、これから申し込む人に関わる話です。すでに契約している人への影響については、ロリポップ!が「サイトの表示・メールの送受信・ユーザー専用ページへのログインは通常どおり」と明記しています。この表は続報を確認しだい更新します（記事末の更新履歴を参照）。

各社の告知の内容と時刻は、後半の各社の告知の詳細にまとめています。表にないヘテムル・バリューサーバー・コアサーバーは、よくある質問に載せています。

PHP2Shell（PHPの脆弱性2件）の要点

PHPの開発元は、10月20日（米国時間）に「10月21日14時（UTC）に重大なセキュリティリリースを出す」と予告し、21日に修正版を公開しました。ロリポップ!の経緯の報告では、日本時間の21日「22時30分過ぎ」に、開発元が予定より早く修正版と脆弱性の詳細を公開したとしています。告知の要点は次のとおりです。

PHPの開発元は「アップデートだけが安全な選択肢」として、すべての利用者にすぐ更新するよう呼びかけています。8.1以前については「PHPプロジェクトからの更新はもうない」としたうえで、Linuxディストリビューションや長期サポートの事業者が独自に修正を出す場合があること、ソースからビルドする人向けに7.4・8.0・8.1への最小限の修正を用意したことを案内しています。

「PHP2Shell（php2shell）」は、米国のCISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）の注意喚起でも使われている通称で、PHP公式の告知はCVE番号で書いています。CISAは10月21日付けの注意喚起で、Webのリクエストを処理するすべてのPHPが対象だとして即時の更新を求めました。この注意喚起は10月23日に更新され、不審な動きを見つけるための検知ルール（SIGMA）、関係機関の資料、緩和策の案内の補強が加えられています。同じ注意喚起は公開の時点では悪用を確認していないとしていましたが、10月26日（米国時間）の更新で、2件をCISAの「悪用が確認された脆弱性の一覧（KEV）」に追加したことが記載されました。KEVの一覧（カタログ2026.10.26・日本時間の10月27日7時24分公開）には、CVE-2026-109618が「PHP Memory Corruption Vulnerability」、CVE-2026-109619が「PHP Stale Internal Request-State Vulnerability」として載っています。どちらも追加日は10月26日、米国の連邦政府機関向けの対応期限は10月29日で、求められている対応は「提供元の案内に沿って緩和策を適用し、修正が提供されていない場合は利用をやめる」ことです。ランサムウェアで使われているかどうかは「Unknown（不明）」とされています。日本の利用者に期限が課されるわけではありませんが、悪用が確認された側に分類されたという意味で、修正がまだ届いていない環境の優先度は上がります。一方で、セキュリティ企業のwatchTowrは、自社が運用するおとりのサーバー（ハニーポット）で、10月21日から2件の悪用を観測したと報告しています。国内では、ロリポップ!が修正の適用までの間に「脆弱性を狙ったとみられるアクセス」を確認したと報告しています（それによる不正アクセスや情報漏えいは、現時点で確認していないとしています）。

国内の公的機関も10月22日に注意喚起を出しました。JPCERT/CCは、PHPが国内で広く使われていることを確認しているとして、速やかな対策の適用と「侵害有無の調査」を求めています。この注意喚起は10月26日に更新され、「I. 概要」に「本脆弱性を悪用できると主張する実証コードが多数公開されているほか、本脆弱性の悪用を試みる通信を観測したとの報告も相次いでいます」という記述と、10月23日に公表されたCVE-2026-115560の対策が加わりました。「IV. 緩和策」にも、session.upload_progress.enabled=0 に設定してすべてのワーカーを再起動する案内が追記されています。この注意喚起は10月29日にも更新されました（「I. 概要」と「VI. 参考情報」への追記）。追記では、「2026年10月29日までに、本脆弱性を悪用した攻撃活動の調査で、あるファイアウォール製品の特定バージョンに対する侵害の成功を示唆する痕跡を確認したと報告されています」として、攻撃者がこの脆弱性とLinuxカーネルの権限昇格の脆弱性を組み合わせた攻撃コードをバージョン別に用意していたこと、侵害した機器を足がかりに内部のネットワークへ広げようとした痕跡も確認されたことを紹介しています（出どころは海外のセキュリティ企業の報告で、JPCERT/CCがその内容を引く形です）。あわせて「一部の製品ベンダーも、本脆弱性を悪用する攻撃を観測したとして、セキュリティアドバイザリを更新しています」として、PHPを組み込んだ製品の管理者に、影響の有無と攻撃・侵害事例の確認を求めています。参考情報には、オランダの国家サイバーセキュリティセンター（NCSC-NL）が公開している「影響を受ける可能性がある製品の一覧」のリポジトリが加わりました。共用のレンタルサーバーでWordPressを動かしている人に向けた記述ではありませんが、修正が届いていない環境を使っている場合は、急ぐ理由がまた1つ増えたという読み方になります。IPAは、脆弱性の調査に関わったWiz社の情報として、PHP 5.4以降のバージョンは少なくともどちらか一方の影響を受けると紹介しています。IPAの注意喚起は10月27日に更新され、CISAが10月26日（現地時間）に2件をKEVに追加したことが追記されました。

10月23日に出た追加の案内（session.upload_progress）

PHPの開発元は10月23日付けで、修正版を当てた環境にも関わる追加の案内を出しました。要点は、次の定期のバグ修正リリースまでは session.upload_progress.enabled=0 にしておくことを勧めるというものです。この設定は、10月21日のCVE-2026-109619の勧告でも回避策として挙げられていたもので、そのときに設定した人はそのままで追加の作業は不要としています。

開発元の説明では、この経路が成り立つのは珍しい組み合わせのときだけです。アプリケーションが設定で session.serialize_handler を php_binary か php_serialize にしておき、実行中に ini_set() で php に切り替えてから session_start() を呼び、さらにセッションのアップロード進捗の機能が有効なまま、という条件がそろった場合です。実行中に切り替えないアプリケーションは、機能を有効のままにしてよいとしています。実際に起こりにくいため、通常のリリースの流れで扱い、CVE-2026-115560の詳しい勧告は次のリリースに合わせて出すとしています。

共用のレンタルサーバーを使っている人は、この設定を変えるのは事業者の側です。ロリポップ!とヘテムルは今回の対策でこの機能をすべてのバージョンで無効にしていて、利用者には自分のサイトの動作確認を求めています。VPSや自前のサーバーで動かしている人は、php.ini の session.upload_progress.enabled を確認します。このCVEの番号付きの修正版は、10月31日20時30分時点では出ていません。php.netには10月26日付けで新しい告知が出ていますが、内容はWindows向けのビルドを作り直したもの（PHP 8.5.12-1・8.4.27-1・8.3.36-1・8.2.35-1）です。同梱するBrotliを1.2.1に上げて、Brotli側の別の脆弱性（CVE-2026-111497）を直したもので、PHPのソースは10月21日の修正版と同じ、PHPとしてのバージョンは変わらないと説明されています。Windows版のPHPでcURLのHTTP応答の自動展開を有効にしている場合に関わる話なので、今回のPHP2Shellやsession.upload_progressとは別です（WindowsでPHPを動かしている人は入れ替えを検討します。共用のレンタルサーバーはLinuxなので関係ありません）。JPCERT/CCも26日の更新で、緩和策としてこの設定を0にし、すべてのワーカーを再起動するよう案内しています。

いつ何が起きたか

各社の告知の時刻は、後半の各社の告知の詳細にまとめています。

WordPressなどのサイトが対象か確かめる

確認そのものは無料で、数分で終わります。

1. WordPressなら「サイトヘルス」で見る

WordPressの公式の案内どおり、管理画面のサイドバーから「ツール」→「サイトヘルス」を開き、「情報」タブの「サーバー」を開くと、PHPのバージョンが表示されます。

2. レンタルサーバーの管理画面で見る

WordPress以外のサイトや、複数のサイトをまとめて確かめたいときは、レンタルサーバーの管理画面（サーバーパネル・コントロールパネル）のPHPの設定画面で、ドメインごとのバージョンを確認できます。今回は管理画面やファイルマネージャーを一時的に止めた事業者が多く、ほとんどは10月22日中に再開しました。最後まで止まっていたKAGOYAも、22日14時15分から続けていた緊急メンテナンスを終えて、10月26日14時にレンタルサーバーなどの各コントロールパネルを再開しています（会員サイトは23日17時35分、KAGOYA CLOUD VPSは23日18時に再開済み）。開けない場合は、まずWordPress側で確かめるのが早い方法です。

3. 表示された番号の読み方

表示されたバージョンを、次の表と照らし合わせます。

注意したいのは、番号が修正版より古くても、修正が入っていないとは限らないことです。レンタルサーバーやLinuxディストリビューションは、番号を変えずに修正だけを取り込む（バックポートする）ことがあります。実際にmixhostは、今回の修正は番号を変えずに当てるため、サイトヘルスなどに表示されるバージョン番号は修正後も変わらないと明記しています。ConoHa WINGとお名前.com レンタルサーバーも、今のバージョンのまま修正だけを取り込んだため、修正版の番号（例：8.5.12）ではなく「これまでと同じバージョン番号（例：8.5.11）が表示される場合がございます」としています。エックスサーバーやカラフルボックスも、公式の修正版が出ていない古いバージョンに独自の修正を当てると告知しています。最終的な判断は、契約しているサーバーのお知らせで確かめるのが確実です。

逆に、8.2系を使っている場合は今回修正されても、2026年12月31日でセキュリティサポートが終わります。PHPの開発元も8.2.35の告知で、サポートされているバージョンへの移行を計画するよう案内しています。

何をすればいいか：契約の形で3つに分かれる

PHPを更新するのが誰なのかは、サーバーの契約の形で決まります。

共用のレンタルサーバーの場合

PHPの本体を入れ替えるのは事業者の仕事です。利用者がやることは、契約しているサーバーのお知らせを読んで「修正が当たったか」「利用者側の作業が必要か」を確かめることです。各社の状況は次の章にまとめています。

使っているPHPが8.1以前の場合、今回はカラフルボックス・さくらのレンタルサーバ・mixhost・ロリポップ!・ConoHa WING・お名前.com レンタルサーバーのように、古いバージョンも含めてサーバー側で対応した事業者があります（エックスサーバー社の3サービスも5.6以上は適用済み）。ただ、さくらインターネットが「サポート期間中の最新版PHPへの移行をあわせてご検討ください」、mixhostが8.2未満の利用者に8.2以上の利用を推奨と案内しているとおり、古いバージョンは今後も事業者の独自の対応に頼ることになります。この機会に新しいバージョンへ切り替えておくと、次の修正も受け取りやすくなります。

古いPHPから8.3以上へ切り替える手順

WordPressの公式も推奨バージョンを8.3以上としています。切り替えは管理画面で数回クリックするだけですが、テーマやプラグインが新しいPHPに対応していないと画面が真っ白になることがあるので、次の順で進めると戻しやすくなります。

1. バックアップを取る：サーバーの自動バックアップの有無を確かめ、ない場合はWordPressのファイルとデータベースを手元に保存します
2. WordPress本体・テーマ・プラグインを先に最新にする：古いプラグインほど新しいPHPで動かないことがあります。更新が止まっているプラグインは、代わりを探す候補です
3. ステージング（テスト環境）があれば先に試す：本番と同じ環境を複製できる機能があれば、そこで切り替えて表示を確かめます。ただし今回は、さくらのレンタルサーバのステージング機能のように、緊急メンテナンスで一時停止したままの事業者もあります
4. 管理画面でPHPのバージョンを切り替える：一度に8.1から8.5へ飛ばず、まず8.3にして様子を見るのも1つの方法です
5. 表示と管理画面を確かめる：トップページ・記事・問い合わせフォーム・管理画面へのログインを順に開きます。不具合が出たら、元のバージョンに戻して原因のプラグインを探します

VPS・自前のサーバーの場合

VPSや自分で構築したサーバーでは、PHPの更新は利用者の作業です。詳しくは後半の「VPS・自前のサーバーは自分で更新する」で整理しています。

各社の告知の詳細

上の表の根拠です。各社の発表の時刻は、お知らせに書かれている日本時間です。

• カラフルボックス：10月22日付けのお知らせで、全サーバー（共有サーバー・カラフルビジネス・タダサーバー・専用サーバー）の「事前の保護措置およびセキュリティ修正版のアップデート作業は、2026年10月22日朝までにすべて完了」と告知。PHP 7.4や8.0・8.1などの旧バージョンも「サーバー側にてセキュリティ修正および保護措置の適用が完了」し、利用者がバージョンを切り替える必要はないと明記しています
• さくらのレンタルサーバ：10月21日23時〜22日6時30分の緊急メンテナンスでPHPを更新したあと、22日付けの続報で「当社コントロールパネルから選択いただける全てのPHPバージョンに対して脆弱性への対応を完了」「お客様に実施いただく緊急の対応はございません」と告知しました。あわせて「サポート期間中の最新版PHPへの移行」の検討を案内しています。21日から止めていた機能のうち、ウェブメール（旧版・新ウェブメールβを含む）とファイルマネージャは22日13時45分までに、phpMyAdminは15時15分に復旧しました。10月31日20時30分時点で止まったままなのは、Snapupバックアップ＆ステージングのステージング機能だけです（再開の時期は未定）。別に予定していたバックアップ＆ステージングの緊急メンテナンス（10月29日9時〜19時・その間の2〜3時間ほど機能が使えなくなるとしていたもの）は、同じお知らせが「対応完了」の表示に変わりました（ウェブサイトやメールの送受信への影響はないとしていたものです）。ステージング機能そのものの停止は、21日からのお知らせのまま続いています。Linuxカーネルの別の脆弱性（CVE-2026-99999）への対応で10月16日から止めていた新規申し込みは、10月22日10時30分に受付を再開しています。対応済みのバージョンはPHP 8.3・8.2・8.1・8.0・7.4・5.6・5.4・5.3・5.2と明記されています。10月26日の更新では注意事項が追加され、さくら提供のPHPを使わず自分でPHPをインストールしている場合は自分で対応が必要で、独自にインストールしたPHPはサポート対象外だとしています（セキュリティと保守の観点から独自インストールでの運用は推奨せず、同社提供のPHPへの移行を検討するよう案内しています）。さらに26日には「PHPおよびLinuxカーネルの脆弱性に関する対応状況まとめ」という新しいお知らせを公開し、PHPは選べる全バージョンで対応済みで利用者の作業は不要、別のLinuxカーネルの脆弱性（CVE-2026-99999）も同社で必要な対応を済ませていて「お客様で実施いただく事項はございません」とまとめています。28日の更新では、PHPの対応状況のお知らせに「よくあるご質問」が追加されました。メンテナンスのあとのPHPのバージョンは8.3.36・8.2.35・8.1.34・8.0.30・7.4.33・5.6.40・5.4.45・5.3.29・5.2.17で、8.1以下はバックポートでの対応のためバージョンの番号は変わらないと明記されています（バージョンの確認と変更の手順、変更の前に動作を確かめる注意も載っています）
• mixhost：10月22日付けのお知らせ「【完了】PHPの重大な脆弱性への対応について」で、レンタルサーバーの全サーバーに「2026年10月22日10時18分頃にPHPの修正パッケージの適用を完了」と告知。対象はPHP 5.2〜8.5で、採用しているCloudLinuxが古いバージョン向けにも修正パッケージを出しているため、開発元の修正対象から外れたバージョンにも適用済みとしています。「お客様で必要な作業はございません」と明記したうえで、8.2未満の利用者には8.2以上の利用を推奨しています。マイページの緊急メンテナンスは、22日9時48分の追記で完了と告知しています。別に10月27日付けで、マイページへのログイン時の二段階認証を2026年11月24日から必須化すると告知しました。「不正アクセスによる情報漏えいが相次いでいる状況」を踏まえた措置で、設定していない人は11月24日以降、ログインのあとに設定を求められ、完了するまでマイページの機能が使えないとしています。今回のPHPの脆弱性への対応とは別の、アカウントを守るための変更です
• エックスサーバー：10月22日6時45分に「PHP 8.2〜8.5について、対象となるすべてのサーバーへの修正パッチの適用が完了」と告知したあと、12時に7.4〜8.1、14時に5.6〜7.3の適用も完了しました。23日17時にはPHP 5.1〜5.5について「対象となる過半数のサーバーへの修正パッチ適用が完了」と告知し、26日6時20分に「対象となるすべてのサーバーへの修正パッチ適用が完了」と告知しました（エックスサーバーのマニュアルでは、5.5・5.4・5.3.3・5.1.6も選べます）。これで、マニュアルで選べる5.1.6〜8.5のすべてが完了の範囲に入りました。23日13時15分の追記では、22日の管理画面の再開以降アクセスが集中していて、サーバーパネル等が表示されない・表示に時間がかかる状態が続いているとして、時間をおいてから試すよう案内し、PHP 5.6〜8.5は適用が完了しているので今回の対策として急いでバージョンを変える必要はないとしています。同じ更新では、5.1〜8.1はバージョンを変えずに対策し、8.2〜8.5は同じ系列の修正版に更新したと説明していて、26日6時20分の追記で5.1〜5.5もすべてのサーバーで適用済みと添えられています。公式サイトと管理画面は10月21日16時から予防のために止めていて、管理画面は22日9時30分から、各サービスの公式サイトは20時10分から順次再開しました。23日16時20分時点の表では、各種サービスサイト・サポートサイト・コーポレートサイト・アカウント管理画面・サーバーパネル・WEBメール・ファイルマネージャ・各種API／MCP・新規お申し込み・契約更新などの手続き・お問い合わせフォームがすべて「再開」で、サポートサイトとサーバーパネルにだけ「一部メンテナンス中の機能あり」と添えられています。利用中のサーバーの表示やメールは通常どおりで、「ご利用状況によっては、お客様にも追加の対策をお願いする場合」があるとしています。同じお知らせは26日16時に更新され、アクセス集中についての記載が「現在はアクセス集中が落ち着いております」に変わりました。あわせて26日付けで「サポート窓口へのお問い合わせ集中に伴う回答遅延について」のお知らせが出ていて、電話とチャットがつながりにくく、メールフォームの回答にも通常より日数がかかるとして、同じ内容を重ねて送らないよう案内しています
• シン・レンタルサーバー／スターレンタルサーバー：どちらもエックスサーバー株式会社のサービスです。シン・レンタルサーバーのお知らせは「10月22日（木）14:00までに、PHP 7.2〜8.5のすべての対象サーバーへの対応が完了」です（シン・レンタルサーバーのお知らせ、10月29日確認）。スターレンタルサーバーの公式サイトのお知らせには、上と同じ内容（5.1〜8.1はバージョンを変えずに対策、8.2〜8.5は同じ系列の修正版に更新。5.1〜5.5は23日17時に過半数、26日6時20分にすべてのサーバーで完了。各機能は23日16時20分時点で再開済み）が載っています。マニュアルで選べるPHPはどちらも7.2〜8.5なので、選べるバージョンはすべて適用完了の範囲に入ります。管理画面と新規申し込み（ドメイン関連のサービスを除く）は、スターレンタルサーバーが22日9時30分、シン・レンタルサーバーが14時に再開し、両サービスの公式サイトも20時10分からの順次再開で通常のページに戻りました
• ConoHa WING：10月22日20時45分時点の「対応完了のお知らせ（終報）」で、サーバーへのセキュリティパッチの適用が完了し、「提供中のすべてのPHPバージョン」（5.6〜8.5）に適用したと告知しました。今のバージョンのまま修正だけを取り込む方法のため、サイトヘルスなどには「これまでと同じバージョン番号（例：8.5.11）が表示される場合がございます」としていて、利用者がPHPのバージョンを変える必要はありません。止めていたWebメール・ファイルマネージャー（18時30分ごろ）とphpMyAdminも再開し、12時〜21時の予定だった緊急メンテナンスは20時45分に終わりました。その後、10月24日13時40分から、緊急メンテナンスに伴って新規お申し込みの受付を一時停止しています。終了日時は「未定（決まり次第、お知らせいたします）」で、お知らせには停止の理由の詳しい説明と、契約中のサイトへの影響の記載はありません。同じ13時40分から、ConoHa VPS・ConoHa for GAMEなど他のConoHaのサービスも新規受付を止めています
• お名前.com レンタルサーバー：22日付けの最初のお知らせ「PHPの脆弱性への弊社対応について」では、パッチを順次適用中とし、「PHPバージョン5系や7系をご利用の場合、バージョンの変更が必要なケースもございます」としていました。その後、20時45分時点の「PHPの脆弱性への弊社対応完了のお知らせ」で、ベーシック・RSプラン・AIホームページパックのサーバーへのセキュリティパッチの適用が完了し、利用中のバージョンを維持したまま「提供中のすべてのPHPバージョン」（5.6.40〜8.5.11）に適用したと告知しました。利用者がPHPのバージョンを変える必要はないと明記し、ConoHa WINGと同じく、サイトヘルスなどには同じバージョン番号が表示される場合があるとしています。止めていたWebメール・ファイルマネージャー（18時30分ごろ）とphpMyAdminも再開し、12時〜21時の予定だった緊急メンテナンス（収容ホストの再起動を伴い、ホストごとに数分〜数十分使えない時間あり）は20時45分に終わりました。別に、10月24日13時40分から「緊急サービスメンテナンス」を実施していて、対象は「お名前.com全サービスにおけるお申込み関連のお手続き全般」、終了は「未定」です。期間中は複数のタイミングで瞬断となる可能性があり、手続きが完了しなかった場合はメンテナンスのあとにやり直すよう案内しています（受付の停止とは書かれていません）。さらに10月25日0時30分から、レンタルサーバー（ベーシック・RSプラン・AIホームページパック）で「予防保守の観点から」の緊急メンテナンスを実施し、その間はファイルマネージャーとFTPが使えませんでしたが、26日20時10分ごろに終了しました（20時13分の更新で告知）。24日23時のダイナミックDNS、23時10分のシングルサービスのサーバーメンテナンスも同じ「緊急」の扱いで出ていて、シングルサービスについては25日20時30分から改めて緊急メンテナンスに入り、その間はアカウントマネージャー（COMNavi）が使えません（終了は「改めてご案内いたします」で、31日20時30分時点でも完了の告知はありません）。別のプランの話として、共用サーバーGSは25日3時から11時まで脆弱性対応の緊急メンテナンス（Webサーバーを縮退運転）を行ったあと、25日11時からコントロールパネルを予防措置で一時停止しています（再開は未定。Webサイトの表示・メールの送受信・データベースは通常どおりで、不正アクセス等の被害は確認していないとしています）。共用サーバーSD・お名前メール・ホームページエディターでは、25日15時ごろから26日15時44分ごろまで一部の送信先にメールを送れない不具合が起き、復旧済みと告知されています（共用サーバーSDとお名前メールで26日に予定していたサーバーメンテナンスは、26日付けの告知で11月2日0時〜8時に延期されました）。この3つのサービスには28日付けで「緊急」のコントロールパネルメンテナンスの告知が出ました。開始は28日15時、終了は「未定」で、理由は「お名前.com 全体のセキュリティ点検を実施するため」、影響は「コントロールパネルへのログインができません」です（開始時にログイン中の場合は強制的にログアウトされるとしています）。このメンテナンスには30日15時30分の追記が入り、「終了までに数日ほどお時間をいただく見込みです」と書かれました。同じ理由で、メールマーケティングのコントロールパネルも28日14時から停止すると告知されています（終了は未定）。そしてレンタルサーバーの公式ページ（レンタルサーバーのトップ）には、31日20時30分時点で「【重要】現在、臨時メンテナンスのため、新規お申し込み受付を停止しております。お客様にはご迷惑をおかけし、誠に申し訳ございません。受付再開まで今しばらくお待ちください」という赤枠の表示が出ていました。いつから出ているのか、どのプランが対象なのかは書かれておらず、お知らせの一覧にも受付停止として独立した告知は見当たりません。料金ページ・機能ページには同じ表示はありませんが、受付が止まっているという表示が公式に出ている以上、この記事では移行先の候補の条件2（新規の申し込みができる）を満たさないものとして扱っています。また、RSプランの一部で10月30日に予定していたサーバーメンテナンス（IPアドレスとホスト名の変更を伴うもので、掲載は10月16日付け）は、「本メンテナンスは延期いたします。改めての日程は別途お知らせいたします」として延期されました（理由は書かれていません）。PHPの修正の状況については、22日の完了のお知らせ以降に新しい記載はありません
• ロリポップ!：10月22日16時57分の更新で、21日からの緊急メンテナンスを「すべて完了」と告知しました。同日付けの「メンテナンス完了と経緯のご報告」によると、PHP 8.2〜8.5は開発元の修正版（8.2.35 / 8.3.36 / 8.4.27 / 8.5.12）、7.4・8.0・8.1は開発元がサポート終了版向けに出した修正、5.3〜7.3は公式の修正内容をもとにした自社の修正を当てています。復旧の時刻は、利用者のサイトの表示が13時頃、phpMyAdminが13時11分頃、サービスサイト・ユーザー専用ページ・MCP・API・FTP・旧Webメーラーが13時34分頃、おさいぽ!の自動更新が16時44分頃です。修正の適用が終わるまでサイトを守るため、22日3時9分頃からサーバー単位で利用者のサイトの表示を止めていたことも説明しています。今回の対策ですべてのバージョンで一部の機能（session.upload_progress）が無効になったため、利用者には自分のサイトの動作確認を求めています。脆弱性を狙ったとみられるアクセスの試みは確認したものの、それによる不正アクセスや情報漏えいは現時点で確認していないとしています。メンテナンス明けのアクセスの集中でユーザー専用ページにログインしにくくなっていた障害は、26日17時7分の更新で復旧済みになりました（発生は22日のメンテナンス完了後から23日16時ごろまでで、システムを守るためログイン処理の同時接続数を一時的に制限していたとしています）。その後26日17時50分から18時50分にも、メンテナンス明けのトラフィックの集中で同じ事象が起き、18時50分に復旧しています。どちらもサイトの表示とメールの送受信には影響がないとしています。別件で、24日15時58分ごろからロリポップ!のDNSサーバーがDDoS攻撃を受け、サイトの表示とメールの送受信がつながりにくくなる場合があるとして、17時3分に復旧を告知しました。あわせて23日付けで、通常を大幅に上回る問い合わせを受けていて対応に時間がかかっていることも案内しています。さらに24日付けのお知らせで、10月24日14時8分から新規の申し込み（無料お試しを含む）の受付を一時停止したと告知しました。「昨今のインターネットサービスを標的としたサイバー攻撃の状況を踏まえ」た予防措置で、再開の時期は決まりしだい同じお知らせで案内するとしています。当サービスでの不正アクセス等の被害は確認していないとしていて、契約中の人のサイトの表示・メールの送受信・ユーザー専用ページへのログインは通常どおり使えます。同じお知らせの24日19時22分の更新でWordPress簡単引っ越し機能が、25日1時35分の更新でWebDAVでの接続（25日未明から）が、一時停止の対象に加わりました。いずれも再開の時期は決まりしだい同じお知らせで案内するとしています。WebDAVでファイルを更新している人は、FTPなど別の手段に切り替えます。29日14時20分の更新では、このうちWordPress簡単引っ越しだけ提供の再開が告知されました（停止期間は24日19時22分〜29日14時20分で、ユーザー専用ページから今までどおり使えるとしています）。新規の申し込み・WebDAV・バックアップオプションの新規お申し込みは、31日20時30分時点で停止中のままです。さらに27日付けの障害情報で、バックアップオプションを使っている一部の利用者で、バックアップが開始されない・通常より処理に時間がかかる事象が10月22日ごろから続いていると告知しました。原因は「バックアップオプションのシステムの不具合」で、修正の作業を進めているとしています（PHPの脆弱性との関係は書かれていません）。その翌日の28日22時20分の更新では、予防措置としてバックアップオプションの新規お申し込みの受付も一時停止したと告知しました（すでにバックアップオプションを使っている人はこれまでどおり利用でき、再開の時期は決まりしだい同じお知らせで案内するとしています）
• KAGOYA（カゴヤ・ジャパン）：10月23日12時30分の更新で、レンタルサーバープランのPHP 7.4系・8.1系・8.2系〜8.5系について「対象PHPバージョンについて、脆弱性対策を含む修正版へのアップデートを実施いたしました」と告知しました。作業の時間は「2026年10月22日 14時40分 〜 24時00分」で、22日夕方（18時15分更新）に示していた「本日（10月22日）24時には完了を見込んでおります」という見込みのとおりに終えた形です。悪用の事例は現時点で確認していないとしています。会員サイト・Webメール（Active!mail）・各種コントロールパネル・新規申し込みの画面は22日14時15分から、サポートサイトは15時15分から、セキュリティ対策の緊急メンテナンスで止めていました。「当社サービス状況」のお知らせは、サービス自体の状況が23日18時17分時点（レンタルサーバー・共用／マネージド専用サーバー・WordPress専用サーバー・VPS・メール・クラウド・ドメインとも全て稼働中）、管理画面等の状況が26日14時時点に更新されました。その26日14時時点の表では、レンタルサーバー・共用／マネージド専用サーバー・WordPress専用サーバー・desknet’sの専用サーバー・メールプラン・KAGOYA MAIL・FLEX・DC+・ドメインの各コントロールパネルが「10/26 14:00再開」となり、22日14時15分から続いていた停止が解けました（KAGOYA会員サイトは23日17時35分、KAGOYA CLOUD VPSのコントロールパネルは23日18時に再開済み）。その後、管理画面等の状況の表は27日19時55分時点に更新されました。Active!mailのログイン画面は「10/26 20:00再開」で確定し、新規お申し込みのオンラインサインアップは、レンタルサーバーとKAGOYA MAIL／メールプラン・desknet’sの専用サーバーが「10/27 19:55再開」、KAGOYA CLOUD VPSが「10/27 10:23再開」になりました。別に出ている受付再開のお知らせ（27日20時5分更新）は、「新規ご提供のお客様への対策が完了いたしましたため、新規のお申込みの受け付けを再開しております」として、受付再開日時を27日19時55分、対象をKAGOYA CLOUD VPS・KAGOYA MAIL（ブロンズ、シルバー）・レンタルサーバー・desknet’s NEO専用サーバー・KAGOYA Chatとしています。10月19日18時から続いていた新規受付の停止は、これで解けました。一方でサポートサイトは「再開未定 対応中」に変わり、26日時点の「10/27 再開予定」から後退しています。また、レンタルサーバーの「2週間無償トライアル」の申し込みページには、31日20時30分時点でも「現在、トライアルのお申し込み受付を一時停止しております」「現在、PHPの脆弱性問題への対応を優先しているため」と表示されています（本文はKAGOYA MAILのトライアルについての書き方になっていて、どちらを指すのかは読み取れません）。27日付けの障害情報では、コントロールパネルとActive!mailについて「アクセス集中の影響により、ログインや操作に時間がかかる、ログインできないといった事象を確認」したとして、時間をおいてから試すよう案内しています（31日20時30分時点で復旧の告知はありません）。コントロールパネルは安全性を確認のうえ再開したとしていて、共用／マネージド専用サーバーからレンタルサーバーへのプラン変更も申し込めるようになりました。PHPの脆弱性についての問い合わせが多数寄せられていて、個別の回答が難しいためお知らせのページで案内するとも書いています。PHPの中身についての書き方も、27日19時55分時点の更新で変わりました。同じお知らせに質問と回答の節が加わり、レンタルサーバープランで「対応済」としているPHPはPHP 8.5.12・8.4.27・8.3.36・8.2.35の4つで、「上記以外は、影響を受けます」と明記されました。7.4系・8.0系・8.1系については「本脆弱性の緩和策は対応済ではございますが、根本的な対策として、PHPのバージョンを上記へアップデートいただくことを強く推奨いたします」としています。23日12時30分の告知では7.4系・8.1系も修正版へのアップデートの対象に挙げていたので、この記事の表はこの新しい書き方に合わせました。マネージド専用サーバー・共用サーバー・WordPress専用サーバーの各プランについては、「現時点では本脆弱性への対応が継続して必要な状況であり、脆弱性が残存している状態」「本脆弱性に対する修正版が公式から提供されない方針となっているため、脆弱性への対応可否を含め今後の対応について検討を進めております」と書かれ、「レンタルサーバープラン」へのプラン変更を検討するよう案内されました（変更後はPHP 8.2以降での運用を推奨）。暫定策としてのWebサイトの公開停止・アクセス制限の案内と、.htaccessでアクセスを止める書き方もそのまま載っています。28日19時30分時点の更新では、サービスの状況の表が書き換わりました。レンタルサーバーは稼働中のままで、注記に「レンタルサーバー：PHP 7.4系、8.1系、8.2系、8.3系、8.4系、8.5系の修正版へのアップデートが完了しております」が加わりました（質問と回答の節は「対応済」を8.5.12・8.4.27・8.3.36・8.2.35の4つのままにしていて、同じページの中で書き方がそろっていません）。共用／マネージド専用サーバーとWordPress専用サーバーは「本脆弱性のパッチ提供対象外」として緩和策の予定が入り、マネージド専用サーバーが「10月28〜30日順次実施」、共用サーバーが「10月30日順次実施」、WordPress専用サーバーが「準備中」でした。30日12時01分時点の更新では、共用サーバーとマネージド専用サーバーが「稼働中（緩和策：10月30日完了）」、WordPress専用サーバーが「稼働中（緩和策：10月30〜31日順次実施）」に変わり、31日9時10分時点の更新ではWordPress専用サーバーも「稼働中（緩和策：10月31日完了）」になりました。27日の更新にあった「脆弱性が残存している状態」「修正版が公式から提供されない方針」という記述は、28日19時30分時点の版では見当たりません。緩和策の中身は、28日19時時点で公開された専用のページにまとまっていて、対象のプラン（CentOS 5・6・7の共用サーバー／専用サーバー／マネージド専用サーバー）ごとのPHPのバージョンと、memory_limit = -1（スクリプト単位のメモリの上限をなくす）・post_max_size = 8M・upload_max_filesize = 7M（送信するデータ量の制限）・max_input_nesting_level = 32（受け取るデータの入れ子の段数の制限）・session.upload_progress.enabled = 0（アップロードの進捗をセッションに記録する機能の停止）が挙げられています。管理画面等の状況の表は31日9時10分時点に更新され、「再開未定 対応中」が続いていたサポートサイトも「10/30 18:30再開」になりました。FLEXはOSとミドルウェアが利用者の管理なので、PHPを使っている場合は自分で確かめて対応するよう案内しています。KAGOYA CLOUD VPSも同じく、PHPの更新は利用者の作業だとしています。別の障害として、30日18時37分から31日1時02分まで、マネージド専用024v Dual・レンタルサーバプラン ライト・カゴヤメールブロンズ・KAGOYA Chatで高負荷が発生し、サーバーへアクセスしづらい状態になったと31日付けで告知されました（原因は「複数のサーバーで定期アップデート処理が一定時間帯に集中し、設備への負荷が一時的に高まったため」で、実施の時間を見直して対策済み、現在は復旧としています）。同じ30日の18時43分から19時18分まで、共用ウェブサーバー（s431-3.kagoya.net）でも高負荷の障害が起き、復旧を告知しています。どちらもPHPの脆弱性との関係は書かれていません

VPS・自前のサーバーは自分で更新する

VPSや自分で構築したサーバーでは、PHPを更新するのは利用者です。PHPの開発元は、Linuxディストリビューションや長期サポートの事業者には事前に修正を渡したので、使っているOSの更新を確認するよう案内しています。

OSのパッケージを更新して、PHPを再起動する

主なディストリビューションは修正済みのパッケージを出しています（10月23日に各公式のセキュリティ情報を確認）。

• Ubuntu：USN-8948-1で26.10・26.04 LTS・24.04 LTS・22.04 LTS向けの修正を公開。サポートが終わった20.04・18.04などは、Ubuntu Pro（個人なら5台まで無料）で修正が提供されています。16.04以前は追加のLegacy Supportが必要です
• AlmaLinux：8・9・10の全PHPストリームの修正済みパッケージを、22日朝（日本時間）に本番リポジトリに公開。RHELでの提供期間が終わったストリーム（AlmaLinux 8のphp:7.2・7.3・8.0など）も修正したものの、今後も修正が出るとは限らないとしています
• Rocky Linux：22日に8・9・10向けの修正（RLSA-2026:87070など）を公開
• Debian：12（bookworm）と13（trixie）のセキュリティ更新で修正済み
• Red Hat Enterprise Linux：8・9・10の主なPHPに修正（RHSA-2026:87070など）を公開。ただしRHEL 9のphp:8.4は「影響あり」のまま修正待ちで、RHEL 7はCVE-2026-109618について「調査中」です（CVE-2026-109619は「影響なし」）

パッケージを更新したら、PHP-FPMやApacheを再起動して、新しいPHPが動いていることを確かめます。コマンドの php -v が表示するのはコマンドライン用のPHPなので、Webのリクエストを処理しているPHP（PHP-FPMやApacheのモジュール）も更新されたかを別に確かめます。コントロールパネル（cPanel・Pleskなど）やDockerのイメージに入っているPHPも、別に確認が必要です。

なお、個人の有志が運営するRemiのリポジトリからPHPを入れている場合について、PHPの開発元は「当日の更新はない」として、ディストリビューションのパッケージかソースからのビルドに切り替えるよう呼びかけています。

更新したあとに確かめること

• Webのリクエストを処理しているPHP（PHP-FPMやApacheのモジュール）が、修正版に入れ替わっているか。php -v の表示だけで判断しない
• CISAが挙げているとおり、PHPのプロセスがシェルを起動したり、ツールをダウンロードしたりする不審な動きがないかを、ログや監視で見る
• 修正前に攻撃を受けていないかも確かめる。JPCERT/CCは発見者らの情報として、過去のHTTPレスポンスに不自然に長い・形式のおかしいPHPSESSIDのCookieがないか、不審なmultipart/form-dataのリクエストの前後にPHPのメモリ上限のエラーやHTTP 500のエラーが出ていないか、PHPのワーカープロセスが予期せず落ちたり頻繁に再起動したりしていないか、を挙げています。痕跡が見つからなくても、攻撃を受けていないとは言い切れないとしています
• 不審な動きが見つかったら、PHPを更新しただけで安全になったとは考えず、ログを残したうえでサーバーをネットワークから切り離して、契約している事業者や専門家に相談する
• php.ini の session.upload_progress.enabled を確認する。PHPの開発元は10月23日付けで、次の定期リリースまで 0（無効）にしておくことを勧めています（内容）
• PHPとは別に、Linuxカーネルの脆弱性（CVE-2026-98432）の対策も確かめる。ConoHa VPSとお名前.com のVPS（KVM）は10月30日付けで、IPv4のTCP接続の処理に関する脆弱性だとして、修正済みのカーネルへ更新してVPSを再起動するよう注意喚起を出しました。30日時点でDebianは修正済みのカーネルを提供、Ubuntuは未提供としています。使っているディストリビューションのセキュリティ情報を見て対応します

CentOS 7など、サポートが終わったOSの場合

CentOS Linux 7は、2024年6月30日でOSの更新の提供が終わっています。OSの標準のPHPを使っているなら、ディストリビューションから修正が届くことはありません。

CISAは注意喚起の中で、すぐに更新できないシステムや、PHP 8.1以前のサポートが終わったバージョンを使い続けるシステムは、修正や更新ができるまでPHPのシステムをオフラインにするよう求めています。あわせて、更新までの間はWebアプリケーションファイアウォール（WAF）がある程度の防御になりうること、PHPのプロセスがシェルを起動したりツールをダウンロードしたりする不審な動きを監視することも挙げています。そのうえでの選択肢は次の2つです。

1. サポート中のOSで作り直す：AlmaLinux・Rocky Linux・Ubuntuなど、更新が続いているOSで新しいサーバーを用意し、サイトを移します
2. サーバーの管理そのものを手放す：PHPの更新を事業者に任せられる共用のレンタルサーバーに移します（移行先の章で比較しています）

今のサーバーのままOSを新しくする方法もあります。AlmaLinuxの開発元は、CentOS 7からAlmaLinux 8へその場で上げるツール「ELevate」を公開しています。Red Hatも、CentOS 7をRed Hat Enterprise Linux 7に切り替えて、有償の延長サポート（2029年5月31日まで）を受けられる提供を案内しています。ただし、どちらもOSごと入れ替える大きな作業です。延長サポートは重大な問題の修正などに範囲が限られ、10月23日に確認したRed HatのCVEのページでも、RHEL 7のPHPはCVE-2026-109618について「調査中」（CVE-2026-109619は影響なし）で、修正は出ていません。サイトが1つなら、作り直すか移るほうが手順は単純です。

作り直す場合、新しいVPSの申し込みができるかどうかが今は事業者によって分かれています。Linuxカーネルの別の脆弱性への対応で、10月中旬から新規受付を止めているところがあるためです。

ABLENET VPSは10月20日のお知らせで「新規注文でゲストを収容するホストは対策を終えて」いるとして、新規受付の停止は予定していないとしています。XServer VPSとシンVPSは、エックスサーバー社の告知ページで新規申し込みの受付の再開が案内されています。ただしシンVPSの公式サイトには、31日20時30分時点で「お申し込みが集中しており、サーバーの空きが非常に少ない状況です」「サーバーの空き状況により、新規お申し込みを受け付けられない場合があります」という表示が出ています（申し込みのボタン自体は開けます）。ConoHa VPSは10月23日のお知らせで、19日17時45分ごろから止めていた新規申し込みを「2026年10月23（金）より再開いたしました」と告知し、新しいサーバーは修正済みのホストで作られるとしていましたが、10月24日13時40分から、緊急メンテナンスに伴って新規お申し込みの受付をまた一時停止しました（終了は未定）。さくらのVPSは、10月16日から全リージョンで止めていた新規申し込みのうち、石狩リージョンを10月23日15時30分に再開し、10月30日13時40分からは大阪リージョンの「大容量ストレージオプション付きプラン」とWindowsの全プランも再開しました（大阪の大容量ストレージオプションなしのLinux VPSと、東京リージョンは停止中で再開は未定）。KAGOYA CLOUD VPSは、10月19日18時から止めていた新規申し込みを10月27日に再開しました（受付再開のお知らせの27日20時5分の更新では再開日時を19時55分としていて、「当社サービス状況」の表ではKAGOYA CLOUD VPSのオンラインサインアップを10時23分再開と書いています）。

すぐに作り直すなら、申し込みを受け付けているこの5社から選びます（さくらのVPSは石狩リージョンのみ）。先に触って確かめたいなら、10日間の無料試用があり、月払いなら最低利用期間の縛りもないABLENET VPS（2GBのL1は契約時月968円・更新後月1,130円）。6月にAlmaLinux 10.2・Rocky Linux 10.2をインストールできるようにしたと告知していて、こうした更新の続くOSを選んで、PHPのアプリを入れ直す形です。なお10月23日のお知らせで、申し込みが集中していてサーバーの負荷で動作が不安定になる場合があると案内していましたが、同じお知らせの23日23時の追記で「その後、問題は改善いたしております」として、監視を続けるとしています（不正アクセスによるものではないとしています）。エックスサーバー社のメール・電話・チャットのサポートを使いたいならXServer VPS（2GBは1ヶ月契約1,980円、無料お試しの記載なし。10月20日に公式サイトで確認）です。シンVPSは2GBが1ヶ月1,040円と安い代わりに、最低利用期間が3ヶ月でお試しはありません。ConoHa VPSは、2GBを1時間3.7円の時間課金でも借りられ、月間稼働率99.99%のSLAを公式に明記していますが（2GBは1ヶ月契約で更新後1,259円。料金は10月20日に公式で確認）、24日13時40分から新規の受付を止めているため、今は申し込めません。KAGOYA CLOUD VPSは27日に受付が戻り、2GBが日額28円・月額上限770円でディスクは200GBです（PHPの更新は利用者の作業になります）。料金・お試し・SLAまで含めたVPSの比較は、国内VPS比較6社で採点しています。

ABLENET VPS 公式サイトを見る XServer VPS 公式サイトを見る

PHPで書いたアプリをOSごと管理するのが負担になっているなら、サーバーの保守を事業者に任せるPaaSも選択肢です。Herokuの代わりになる無料PaaSで、Render・Railwayなどを比べています。なおRenderは、PHPを標準の実行環境としては用意しておらず、Dockerのイメージとして動かす形です。

修正が届かない環境から移るなら：移行先7社を5軸で評価

ここからは、今の環境では修正が届かない、または届く見込みが立たない人に向けた内容です。共用のレンタルサーバーで、事業者が修正を当ててくれているなら、乗り換える必要はありません。

対象になりやすいのは、次のような環境です。

• サポートが終わったOS（CentOS 7など）の上で、自分でPHPを動かしている
• 契約しているサーバーが、使っているプランやPHPのバージョンを修正しない（または変更が必要）と案内していて、サイトがそのバージョンでしか動かない（「順次適用中」「調整中」「明記なし」の段階なら、まず続報を待ちます）
• サーバーの管理を前任者や制作会社から引き継いだが、OSやPHPを更新する手段がない

候補の選び方

移行先の候補は、次の2つの条件を両方満たす共用のレンタルサーバーに絞りました。移る人にとっては「今どうなっているか」が判断材料になるので、どちらも10月31日20時30分時点の状況で見ています。

1. 公式のお知らせで、少なくとも8.2〜8.5の修正の適用（または対応）の完了を告知している
2. 新規の申し込みができる

候補は、上の各社の対応状況の表の10社から選んでいます。この条件で残ったのが、カラフルボックス・スターレンタルサーバー・エックスサーバー・さくらのレンタルサーバ・シン・レンタルサーバー・mixhost・KAGOYA レンタルサーバーの7社です。KAGOYAは27日19時55分に新規の申し込みの受付が再開したので、候補に入れています（10月19日18時から止まっていた間は、条件2を満たさないとして外していました）。条件1も、レンタルサーバープランでPHP 8.5.12・8.4.27・8.3.36・8.2.35を「対応済」としているので満たします。ただし7.4系・8.0系・8.1系は「緩和策は対応済」という書き方なので、採点では安定性が○にとどまります。28日19時30分時点の更新で、同じお知らせの表の注記に7.4系・8.1系も含めた「修正版へのアップデートが完了」という記載が加わりましたが、同じページの質問と回答の節は「対応済」を4つのバージョンのままにしています。公式のなかで書き方がそろうまでは慎重な側に合わせ、安定性は○のままにして順位も動かしていません。

条件2で外したのは3社です。ロリポップ!は22日に5.3〜8.5の全バージョンへの修正の適用を告知して条件1は満たしていますが、10月24日14時8分から新規の申し込み（無料お試しを含む）の受付を一時停止したため、23日まで5位としていた候補から外しました。ConoHa WINGも22日20時45分の終報で提供中の全バージョン（5.6〜8.5）への適用完了を告知して条件1は満たしていますが、10月24日13時40分から緊急メンテナンスに伴って新規お申し込みの受付を一時停止したため、24日の昼まで8位としていた候補から外しました。お名前.com レンタルサーバーも、31日20時30分時点で公式のレンタルサーバーのページに「【重要】現在、臨時メンテナンスのため、新規お申し込み受付を停止しております。受付再開まで今しばらくお待ちください」と表示されていたため、27日まで7位としていた候補から外しました（開始の時刻と対象のプランの記載はなく、お知らせの一覧にも受付停止の独立した告知は見当たりません。24日13時40分から続く「お申込み関連のお手続き全般」の緊急メンテナンスは終了が未定のままです）。3社とも受付が戻れば、同じ基準で採点し直します。表にないヘテムル・バリューサーバー・コアサーバーも全バージョンの対応完了を告知していますが（よくある質問を参照）、今回は料金・お試し・移行の手段を公式で確かめた表の10社に絞ったため、候補には入れていません（ヘテムルも24日14時8分から新規お申し込みの受付を一時停止しています）。

採点結果と、1年目・2年目以降の費用

総合は5軸を◎＝2点・○＝1点・△＝0点で足し、8点以上＝◎、4〜7点＝○、3点以下＝△としました。同点のときは、この記事の主題に合わせて①安定性（今回の対応と運営の継続性）→②拡張性（PHPの選びやすさ）→③コスパの順に比べ、③の評価も同じなら、コスパで比べた月額の安いほうを上にしています。基準と、どの事実で採点したかは、この章の最後の「採点の基準と根拠」にまとめました。

この順位は、これから移る人に向けた比べ方です。今の契約先が修正の完了を告知しているなら、順位を理由に乗り換える必要はありません。10月31日20時30分時点で、お名前.com レンタルサーバーの公式ページに新規申し込みの受付停止の表示が出ていたので、候補から外して7社で採点し直しました。お名前.com レンタルサーバーは27日まで7位（6点）でした。1位から6位の点数と順番は動かず、KAGOYAが8位から7位（最下位）になりました。

費用は、WordPressを置ける最安のプランを12ヶ月契約で1年ずつ払った場合でそろえています。

※ 金額は税込です。初期費用は、カラフルボックス（3ヶ月以上の契約）・スターレンタルサーバー・さくらのレンタルサーバ・シン・レンタルサーバー・エックスサーバー・KAGOYA レンタルサーバーが0円で、mixhostは料金ページに初期費用の記載がありません。KAGOYAの「停止中」は、2週間無償トライアルの申し込みページに受付の一時停止が表示されているという意味です（10月31日20時30分時点）。

• 2年目の金額が上がると公式に書かれているのはmixhostだけです。ライトの1年目は初回割引で月594円、2年目から月968円になります
• ※カラフルボックスのBOX1の12ヶ月・月638円は、料金ページの「＜初回限定割引＞」の行にあり、更新時の金額は公式に記載がありません（BOX2以上は「○円/月で更新」と表示）。そのため2年目以降は「記載なし」とし、コスパは初回割引の表示がない1ヶ月契約の通常料金（月792円）で採点しています。BOX2の12ヶ月の初回は月583円でBOX1より安くなりますが、更新は月1,166円で、1ヶ月契約の通常料金もBOX1（月792円）がBOX2（月1,452円）より安いため、BOX1を最安のプランとしています
• エックスサーバーは11月4日17時までのキャンペーン中に申し込むと、1年目は11,880円（月990円）になります。2年目以降は通常料金で計算しています
• ※KAGOYA レンタルサーバーのライトは、12ヶ月一括支払いが17,820円（月1,485円）です。料金ページには「月額基本料金：初月無料」ともありますが、12ヶ月一括払いでの扱いの記載は見当たらないため、1年目も17,820円で計算しています。12ヶ月一括は途中解約でも返金されないと明記されています（10月27日20時30分に料金ページで確認）
• 確認日：カラフルボックス・さくらのレンタルサーバ・mixhostは10月22日に料金ページで確認。エックスサーバーとスターレンタルサーバーも、公式サイトの再開後に10月22日の料金ページで確認しました（通常料金は月1,100円・月418円）。シン・レンタルサーバーは、10月22日22時台に公式の料金ページで確認しました（通常料金は月1,232円で、以前に保存版で確かめた金額と同じです）。カラフルボックスの1ヶ月契約は、10月22日23時台に料金ページ・機能ページで確認しました

1年目・2年目以降とも、いちばん安いのはスターレンタルサーバー、次がさくらのレンタルサーバ、その次がmixhostです（カラフルボックスの2年目以降は記載なし）。いちばん高いのはKAGOYA レンタルサーバーの年17,820円です。1位のカラフルボックスは、1年目でスターより2,640円、さくらより1,056円高くなります。その差で何が違うのかを、次の1位の説明で書いています。

1. カラフルボックス｜全バージョンの修正を完了、古いPHPのまま移して30日試せる

カラフルボックスは、株式会社カラフルラボが運営するレンタルサーバーで、Webサーバーに LiteSpeed、管理画面に cPanel を使っています。移る人が気にする4つの点に、公式の情報で答えられるのがここです。

① 今回の対応が早い：10月22日のお知らせで、全サーバーの修正版への更新を「2026年10月22日朝までにすべて完了」したと告知しました。PHP 7.4・8.0・8.1などの旧バージョンも「サーバー側にてセキュリティ修正および保護措置の適用が完了」していて、「いずれのPHPバージョンをご利用中の場合でも、そのまま安全にご利用いただけます」としています。全バージョンの完了を告知しているのは、候補の7社の中ではほかに、さくらのレンタルサーバとmixhostです（スターレンタルサーバーとシン・レンタルサーバーも、選べる7.2〜8.5はすべて適用完了の範囲に入っています）。

② 古いPHPのサイトもそのまま動かせる：仕様ページで選べるPHPは8.3〜8.0・7.4〜7.0・5.6〜5.3の系列で、8.4・8.5も今回のお知らせで更新の対象に挙がっています。無料の「WordPress簡単移行ツール」は、移行元のPHPが5.3以上なら使えます（エックスサーバーの「WordPress簡単移行」は、マニュアルの動作要件が移行元のPHP 7.2以上です）。いったん今のバージョンのまま移し、テーマやプラグインを直しながら8.3以上へ上げていく、という進め方ができます。

③ 合わなければお金がかからない：30日間の無料お試しは「クレジットカードなしですべての料金プランをお試しできます」とされています。カードを登録していても、自分で契約を申し込まない限り料金は請求されず、お試しが終わって一定期間たつと自動で解約されます。お試し中に本契約しても、残りのお試し期間は契約期間に足されます。

注意：ドメインの新規取得だけ止まっています：10月26日のお知らせで、ドメインの新規取得（.com・.net・.org・.info・.xyz・.tokyo など）を10月24日15時30分ごろから一時停止中だとしています。上位のレジストラ側でドメインの新規登録の受付が止まっているためで、再開は未定です。30日付けの追記で「JPドメイン（.jp / .co.jp / .or.jp）はご登録が可能です」と案内されました。サーバーと同時に申し込んだドメインも対象ですが、サーバーのみの新規申し込みと、ドメインの更新には影響がありません。ドメインも一緒に取るつもりなら、ドメインは別の事業者で取るか、再開を待ちます。

④ 自分で移すか、任せるかを選べる：簡単移行ツールは、今のサイトのURLとWordPressの管理者のID・パスワードを入れると、データベース・画像・プラグイン・テーマを移します。うまくいかないときや任せたいときは、移行代行（1サイト14,080円・申し込みから5営業日以内に作業）を使えます。代行の対象はWordPressで、独自ドメインのメールアドレスは、ネームサーバーを変える前に自分で設定しておく必要があります。どちらの方法でも、ドメインの向き先を切り替える前に、自分のパソコンからだけ新しいサーバーのサイトを表示して確かめられます（手順は次の章）。

カラフルボックス 公式サイトを見る

料金はBOX1（SSD 200GB）が12ヶ月契約の初回限定で月638円（1ヶ月契約の通常料金は月792円）、3ヶ月以上の契約なら初期費用は無料で、自動バックアップは全プラン標準です。弱点は、1年目の費用がスターレンタルサーバーより2,640円、さくらのレンタルサーバより1,056円高く、BOX1の更新時の金額が公式に見当たらないこと、管理画面がcPanelで国産の独自画面とは操作が違うことです。お試し中はメールの送信が1時間30通までなどの制限があります。

2. スターレンタルサーバー｜選べる全バージョンの修正を完了、年5,016円

スターレンタルサーバーは、エックスサーバー株式会社が販売するレンタルサーバーです。公式サイトのお知らせで、PHP 5.1〜8.5の修正の適用完了を告知しています（5.1〜5.5は26日6時20分にすべてのサーバーで完了）。マニュアルで選べるPHPは7.2〜8.5なので、選べるバージョンはすべて適用完了の範囲に入ります。新規申し込みは22日9時30分に再開し（ドメイン関連のサービスを除く）、公式サイトも20時10分から順次再開しています。

今回の7社の中では最も安く、ライトプランは12ヶ月契約で月418円（年5,016円）、NVMe SSD 350GBで初期費用は0円、無料お試しは10日間です（10月22日に料金ページで確認。36ヶ月契約なら月253円まで下がります）。機能ページの記載は「PHP8 / PHP7」で、マニュアルで選べるのはPHP 8.5〜7.2です。他社のWordPressを移す「WordPress簡単移行」も使えます。一方で、自動バックアップは「スタンダード・ビジネスプランでのみ提供」と明記されていてライトプランは対象外で、電話のサポートもありません。料金と機能の細かい比較は、格安レンタルサーバー5選で採点しています。

スターレンタルサーバー 公式サイトを見る

3. エックスサーバー｜選べる全バージョンの修正を完了、移行機能と自動バックアップもそろう

エックスサーバーは、エックスサーバー株式会社の共用レンタルサーバーです。今回は10月21日16時に予防のため公式サイトと管理画面を止め、22日6時45分にPHP 8.2〜8.5、12時に7.4〜8.1、14時に5.6〜7.3の修正を、すべての対象サーバーに適用したと告知しました。エックスサーバーで選べる5.5以下（5.5・5.4・5.3.3・5.1.6）は、23日17時に「対象となる過半数のサーバーへの修正パッチ適用が完了」と告知したあと、26日6時20分に「対象となるすべてのサーバーへの修正パッチ適用が完了」と告知しました。これで、マニュアルで選べる5.1.6〜8.5のすべてが完了の範囲に入りました。

移行先として見たときの強みは、他社のWordPressを移す「WordPress簡単移行」と自動バックアップ（毎日・過去14日分）が標準で付くことです（公式サイトの再開後、10月22日に機能ページで確認）。ただし簡単移行は、マニュアルの動作要件に移行元のPHPが7.2以上、WordPressが4.2〜7.1、データベースが2GB以下とあります（2026年7月時点のマニュアルの保存版）。PHPは、マニュアルで8.5〜5.1.6を選べます（Xアクセラレータ Ver.2が有効なときは8.5〜7.2）。10日間の無料お試しがあり、お試し中に料金を払うと本契約に移ります。ただし「WordPressクイックスタート」で申し込むとお試し期間はなく、申し込みと同時に支払いが発生します。料金はスタンダードが12ヶ月契約で月1,100円で、11月4日17時まではキャンペーンで月990円です。

注意点は、管理画面へのアクセスの集中があったことです。10月21日16時から止めていた公式サイトと管理画面は22日に再開し、23日13時15分の追記ではサーバーパネル等が表示されない・表示に時間がかかる状態が続いているとしていましたが、26日16時の更新で「現在はアクセス集中が落ち着いております」に変わりました。ただしサポート窓口への問い合わせは集中していて、26日付けのお知らせで、電話とチャットがつながりにくく、メールフォームの回答にも通常より日数がかかるとしています。また10月23日には、ニュースの配信に使っていた外部のメール配信サービス「ブラストメール」への不正アクセスで、配信先リストのメールアドレスが漏えいし、氏名・会社名も漏えいした可能性があると公表しました。このお知らせは10月29日20時30分に更新され、漏えいの範囲が示されました。メールアドレスが459,679件で、顧客によってこれに加わる項目として、XServerアカウント登録日と個人・法人の区分が各431,076件、ニュース配信の希望状況が429,382件、氏名・氏名フリガナが380,384件、利用サービス名が316,453件、会社名・会社名フリガナが115,702件、XServerアカウントIDが692件です。ログインパスワード・住所・電話番号・決済情報は対象外と確認したとしていて、自社のシステムへの侵入は確認されていないとしています。対策として委託先とのデータ連携を止め、自社で開発したメール配信のしくみへ移す予定だとしています。該当する人には個別にメールで知らせるとしています（エックスサーバーのお知らせ）。今回のPHPの脆弱性とは別の件で、サーバーや管理画面への不正アクセスによるものではないとしています。エックスサーバーとほかの大手を比べたいときは、エックスサーバーとConoHa WINGの比較とエックスサーバーとロリポップの比較も参考になります。

エックスサーバー 公式サイトを見る

4. さくらのレンタルサーバ｜全バージョンの対応完了を告知、年6,600円

さくらのレンタルサーバは、さくらインターネット株式会社の共用レンタルサーバーです。10月21日23時から22日6時30分の緊急メンテナンスでPHPを更新し、22日付けの続報で「当社コントロールパネルから選択いただける全てのPHPバージョンに対して脆弱性への対応を完了」、利用者に実施してもらう緊急の対応はないと告知しました。そのうえで、サポート期間中の最新版PHPへの移行の検討を案内しています。新規申し込みは22日10時30分に再開しています。

スタンダードプランは12ヶ月一括6,600円（月550円）で、初期費用は0円、14日間の無料お試しはクレジットカードの登録なしで始められます。ファイルとデータベースを自動でバックアップする「バックアップ＆ステージング」も使えます。

注意点は3つあります。1つ目は、ステージング機能が10月31日20時30分時点でも停止中なこと（再開は未定。ウェブメールとファイルマネージャは22日13時45分までに、phpMyAdminは15時15分に復旧）。2つ目は、他社のWordPressを移す手順がSSH接続を前提にしたもので、しかもお試し期間中には使えず、本登録（料金の支払い）後に始める形になっていること。3つ目は、他社で取ったドメインはお試し中に設定できない（クレジットカードで申し込んだ場合を除く）ことです。カードで申し込むと、お試し期間の終了後に自動で決済されるので、やめるなら期間中にキャンセルします。8.4以上の提供も公式ページでは確認できませんでした。

今回の脆弱性とは別に、さくらインターネットは2026年8月、さくらのレンタルサーバの一部サーバーへの不正アクセスとマルウェアの設置（9月10日の第三報で、データが閲覧・取得された可能性のあるのは951アカウント）と、契約情報を管理する販売管理システムへの不正アクセス（会員情報1,360,563アカウント）を公表しています。第三報では調査を終え、データの持ち出しや二次被害は確認されていないとして、レンタルサーバの全サーバーの再構築を今後の対策に挙げています（さくらインターネットの第三報）。

さくらのレンタルサーバ 公式サイトを見る

5. シン・レンタルサーバー｜選べる全バージョンの修正を完了、ただし通常料金は高め

シン・レンタルサーバーは、エックスサーバー株式会社のレンタルサーバーです。公式サイトのお知らせで、「10月22日（木）14:00までに、PHP 7.2〜8.5のすべての対象サーバーへの対応が完了」と告知しています。サポートサイトのマニュアルで選べるPHPは7.2〜8.5なので、選べるバージョンはすべて適用完了の範囲に入ります。管理画面と新規申し込み（ドメイン関連のサービスを除く）は22日14時に、公式サイトは20時10分からの順次再開で戻りました。

ベーシックプランでもWordPress簡単移行と自動バックアップ（過去14日分）が使え、無料お試しは最大10日間です（10月22日に公式の機能ページで確認）。一方で、通常料金は12ヶ月契約で月1,232円（年14,784円）と、7位のKAGOYA レンタルサーバー（月1,485円）に次いで高くなります。期間限定のキャッシュバックで実質の負担が下がる時期がありますが、この記事の採点には入れていません。

シン・レンタルサーバー 公式サイトを見る

6. mixhost｜全バージョンの修正完了を告知、無料の引っ越しと30日返金保証

mixhostは、アズポケット株式会社が運営するレンタルサーバーです。22日付けのお知らせで、PHP 5.2〜8.5の全サーバーへの修正パッケージの適用を10時18分ごろに完了し、利用者の作業は不要と告知しました。料金ページではPHP 5.6〜8.5を全プランで選べるとしています。

ライトプランは12ヶ月契約の初回が月594円で、2年目からは月968円です。他社のWordPressを移す「WordPressらくらく引っ越し」は無料で、申し込みの画面でWordPressのログインURL・ID・パスワードを入れる形です。移行の作業を任せる「WP移行サービス」も、2023年4月4日以降の申し込みなら1年に1サイトまで無料です。

弱点は、無料のお試し期間がないことです。代わりに30日間の返金保証がありますが、先に料金を払う形で、返金を受けるには30日以内に解約の手続きをしたうえでサポートへの連絡が必要です（解約だけでは返金されません。ドメインなどは対象外）。ライトプランは自動バックアップの対象外で、スタンダード以上で14日分が付きます。なお27日付けのお知らせで、マイページへのログイン時の二段階認証を2026年11月24日から必須化するとしています（設定が済むまでマイページの機能が使えなくなるため、申し込むなら認証アプリを用意しておきます）。

mixhost 公式サイトを見る

7. KAGOYA レンタルサーバー｜8.2系以上は修正済み、受付は戻ったがお試しは止まったまま

KAGOYA レンタルサーバーは、カゴヤ・ジャパン株式会社のレンタルサーバー（KAGOYA Internet Routing）です。10月19日18時から止まっていた新規の申し込みの受付が、27日19時55分に再開しました（受付再開のお知らせの27日20時5分の更新で告知）。別件のLinuxカーネルの脆弱性（CVE-2026-99999）への対応で止めていたもので、「新規ご提供のお客様への対策が完了いたしました」としています。

PHPは、27日19時55分時点の更新で、レンタルサーバープランの「対応済」をPHP 8.5.12・8.4.27・8.3.36・8.2.35の4つとし、「上記以外は、影響を受けます」と明記しました。7.4系・8.0系・8.1系は「緩和策は対応済」で、根本的な対策として8.2系以降へのアップデートを強く推奨するとしています。28日19時30分時点の更新では、同じお知らせの表の注記に7.4系・8.1系も含めた「修正版へのアップデートが完了」という記載が加わりましたが、質問と回答の節は「対応済」を4つのままです。つまり、8.1以前のまま動かし続ける前提では移行先に向きません。古いPHPでしか動かないサイトをいったんそのまま移したい人は、1位のカラフルボックス（PHP 5.3〜8.5を選べ、全バージョンの修正完了を告知）のほうが合います。

弱点はもう2つあります。1つは、2週間無償トライアルの申し込みが止まっていること。申し込みページには31日20時30分時点でも「現在、トライアルのお申し込み受付を一時停止しております」と表示されていて、試してから決めることができません（トライアルは申し込みの内容を確認後に担当から連絡が来る形で、すぐ使えるものではありません）。同社は30日付けで、今回の脆弱性とプラン変更の問い合わせが集中し、サポートセンターの回答までに10日以上かかっている（電話もつながりにくい）とも告知しています。もう1つは料金で、WordPressを置ける最安のライトが12ヶ月一括で年17,820円（月1,485円）と、今回の7社でいちばん高くなります。

他社からWordPressを移す無料のツールはなく、移行は有料の「サーバー乗り換え安心おまかせパック」などの代行になります（コントロールパネルからワンクリックで移せる「データ移行機能」は、KAGOYA内でのプラン変更のときに使うものです）。自動バックアップは、10GBまで無料で使える「バックアップサービス」があり、コントロールパネルからスケジュールを決めて外部ストレージに取れます。

ボタンの先はKAGOYA レンタルサーバーの紹介ページです。プランはそこから選びます。

KAGOYA レンタルサーバー 公式サイトを見る

採点の基準と根拠

• 機能性（移行の手間を減らす機能）：①移行元のサイトのURLやWordPressのログイン情報などを入れるだけで、事業者のツールがサイトを移してくれる機能が無料で使える（SSHでの接続やファイルの手作業での移動が要る手順は含めない） ②自動バックアップがそのプランに標準で付く。◎＝両方／○＝どちらか／△＝なし
• 使いやすさ（移行先で動作を確かめられるか）：無料お試しの日数。◎＝14日以上／○＝10〜13日／△＝なし（先に料金を払う返金保証や、前払いで期間内に解約できない無料期間は数えない）
• コスパ：WordPressを置ける最安プランの、12ヶ月契約の通常の月額（税込）。初回だけの割引と期間限定のキャンペーンは除き、2年目以降も続く金額で比べます。12ヶ月の通常料金が見当たらない場合は、1ヶ月契約の通常料金で比べます。サービス維持調整費のように料金に上乗せされる費用は含めます。◎＝600円未満／○＝600円以上1,100円以下／△＝1,100円超
• 拡張性（PHPのバージョンの選びやすさ）：◎＝8.4以上の新しい系列と、8.1以前の古い系列の両方を選べることが公式で確認できる／○＝どちらか一方だけ確認できる／△＝確認できない
• 安定性（今回の脆弱性への対応と、運営の継続性）：◎＝10月31日20時30分時点で、8.1以前も含む選べる全バージョンへの対応完了を告知し、継続性の条件も満たす／○＝新しい系列（8.2〜8.5）の修正の完了を告知し、継続性の条件も満たす／△＝完了の告知を確認できない、または継続性の条件を満たさない。継続性の条件は「運営会社が公式サイトに明記されていて、サービスの終了や新規受付の終了のお知らせが見当たらない」で、10月23日・24日・25日・26日・27日・28日に各社のお知らせの一覧で確かめ直し、7社とも満たしています（今回相次いだ新規受付の一時停止は、終了のお知らせではないので、候補の条件2の側で見ています）

今回の対策のメンテナンス中に、利用者のサイトがどれだけ使えなかったかは、安定性の点に入れていません。7社とも同じ物差しで比べられる公式の情報がないためです。各社の停止の範囲と時刻は各社の告知の詳細に書いています。なお、新規の申し込みの受付を止めている事業者は、採点ではなく候補の条件の段階で外しています（10月31日20時30分時点ではロリポップ!・ConoHa WING・お名前.com レンタルサーバー。KAGOYAは27日19時55分に受付が戻ったので候補に入れました）。カラフルボックスがドメインの新規取得だけを止めている件は、サーバーの新規申し込みができるので条件2を満たすものとして扱い、順位は動かしていません。この章は「今すぐ移れる先」を比べる採点なので、そろえ方を分けています。

また、さくらのレンタルサーバ（8月）のサーバーへの不正アクセスの公表と、エックスサーバーの委託先からのメールアドレスの漏えい（10月23日に公表、29日20時30分の更新でメールアドレス459,679件と範囲を公表）も、安定性の点に入れていません。この記事の安定性は今回の脆弱性への対応と運営の継続性で決めていて、さくらは封じ込めの完了を告知し、エックスサーバーの件は自社のサーバーや管理画面への不正アクセスではなく、2件ともサービスや新規受付の終了にはつながっていないためです。事実は各社の節に書いています。なお、法人向けレンタルサーバーの比較では、直近1年にサービスそのもの（Webサーバー・メールのシステム）への不正アクセスを公表したかを安定性に入れています。あちらは会社のサイトを長く預ける先を過去1年の守りの記録で選ぶ記事で、この記事は修正が届かない環境から急いで移る先を今回の対応で選ぶ記事なので、物差しを分けています。

どの事実をどの軸で数えたかは次のとおりです（安定性の継続性の条件は7社とも満たすので、対応の部分だけを書きます）。

• カラフルボックス（◎2＋◎2＋○1＋◎2＋◎2＝9点）：機能性◎＝無料のWordPress簡単移行ツールと、全プラン標準の自動バックアップ／使いやすさ◎＝30日間のお試し／コスパ○＝BOX1の12ヶ月・月638円は初回限定の割引で、12ヶ月の通常料金が見当たらないため、1ヶ月契約の通常料金（月792円）で比較／拡張性◎＝仕様ページにPHP 5.3〜8.3、8.4・8.5はPHPの脆弱性のお知らせ（更新の対象として記載）で確認／安定性◎＝7.4・8.0・8.1を含む全バージョンの対応完了を22日朝までに告知
• スターレンタルサーバー（○1＋○1＋◎2＋◎2＋◎2＝8点）：機能性○＝WordPress簡単移行はあるが、ライトプランは自動バックアップの対象外／使いやすさ○＝10日間のお試し／コスパ◎＝ライトが12ヶ月で月418円／拡張性◎＝PHPのバージョンのマニュアル（10月22日に公式で確認）でPHP 8.5〜7.2／安定性◎＝公式サイトのお知らせで5.1〜8.5の適用完了（5.1〜5.5は26日6時20分に全サーバーで完了）。マニュアルで選べる7.2〜8.5はすべて範囲に入る
• エックスサーバー（◎2＋○1＋○1＋◎2＋◎2＝8点）：機能性◎＝WordPress簡単移行と自動バックアップ（10月22日に機能ページで確認）／使いやすさ○＝10日間のお試し／コスパ○＝スタンダードが12ヶ月で月1,100円（キャンペーンの990円は除く）／拡張性◎＝PHPのバージョンのマニュアル（10月22日に公式で確認）でPHP 8.5〜5.1.6／安定性◎＝5.6〜8.5は22日14時までに適用完了、マニュアルで選べる5.5以下も26日6時20分に「対象となるすべてのサーバーへの修正パッチ適用が完了」と告知（選べる5.1.6〜8.5のすべてが完了）
• さくらのレンタルサーバ（○1＋◎2＋◎2＋○1＋◎2＝8点）：機能性○＝バックアップ＆ステージングは使えるが、WordPressの移行はSSHが必要な手動の手順のみ（本登録後。①に当たらない）／使いやすさ◎＝14日間のお試し／コスパ◎＝スタンダードが12ヶ月で月550円／拡張性○＝機能一覧はPHP5/7/8と記載、8.4以上の提供は確認できず／安定性◎＝22日付けの続報で、選べる全バージョンの対応完了と「緊急の対応はない」ことを告知
• シン・レンタルサーバー（◎2＋○1＋△0＋◎2＋◎2＝7点）：機能性◎＝WordPress簡単移行と自動バックアップがベーシックから（10月22日に公式の機能ページで確認）／使いやすさ○＝最大10日間のお試し／コスパ△＝ベーシックが12ヶ月で月1,232円（10月22日に料金ページで確認。キャッシュバックは除く）／拡張性◎＝PHPのバージョンのマニュアル（10月22日に公式で確認）でPHP 8.5〜7.2／安定性◎＝公式サイトのお知らせで5.1〜8.5の適用完了（5.1〜5.5は26日6時20分に全サーバーで完了）。マニュアルで選べる7.2〜8.5はすべて範囲に入る
• mixhost（○1＋△0＋○1＋◎2＋◎2＝6点）：機能性○＝WordPressらくらく引っ越しは無料だが、ライトプランは自動バックアップの対象外／使いやすさ△＝無料お試しはなし（30日間の返金保証は有料の申し込みが前提なので数えない）／コスパ○＝ライトの2年目以降が12ヶ月で月968円（初回の594円は除く）／拡張性◎＝料金ページにPHP 5.6〜8.5／安定性◎＝PHP 5.2〜8.5の全サーバーへの適用完了を22日に告知
• KAGOYA レンタルサーバー（○1＋△0＋△0＋◎2＋○1＝4点）：機能性○＝10GBまで無料の自動バックアップ（バックアップサービス）は使えるが、他社からWordPressを移す無料のツールはなく移行は有料の代行（「データ移行機能」はKAGOYA内のプラン変更用）／使いやすさ△＝2週間無償トライアルはあるが、申し込みページに「現在、トライアルのお申し込み受付を一時停止しております」と表示（10月31日20時30分時点）／コスパ△＝ライトが12ヶ月一括で月1,485円（10月27日20時30分に料金ページで確認）／拡張性◎＝お知らせでPHP 7.4系・8.0系・8.1系と8.4系・8.5系の両方を確認／安定性○＝27日19時55分時点の更新で「対応済」は8.5.12・8.4.27・8.3.36・8.2.35の4つ、7.4系・8.0系・8.1系は「緩和策は対応済」という書き方のため、選べる全バージョンの完了には当たらない（28日19時30分時点の更新で表の注記に7.4系・8.1系も含めた「修正版へのアップデートが完了」が加わったが、同じページの質問と回答の節は「対応済」を4つのままにしているので、慎重な側に合わせて○を据え置き）

27日まで7位だったお名前.com レンタルサーバーは、同じ基準では6点（機能性◎・使いやすさ△・コスパ△・拡張性◎・安定性◎）でした。31日20時30分時点で新規申し込みの受付停止の表示が出ていたので、採点ではなく候補の条件2の段階で外しています。受付が戻れば同じ基準で採点し直します。

隣り合う順位の差は次のとおりです。

• 1位と2位は1点差です。どちらも安定性と拡張性は◎です。カラフルボックスは無料の簡単移行ツールと自動バックアップがそろい（機能性◎）、お試しは30日間（使いやすさ◎）。スターレンタルサーバーはライトプランに自動バックアップがなく、お試しは10日間です。コスパはスターが上で、1年目の費用はスターのほうが2,640円安くなります
• 2位と3位は同じ8点で、コスパで分かれました。安定性（どちらも◎）と拡張性（どちらも◎）が並んだため、同点のときの③コスパで比べています。スターレンタルサーバーはライトが12ヶ月で月418円（◎）、エックスサーバーはスタンダードが月1,100円（○）です。機能性では、ライトプランに自動バックアップが付かないスターより、簡単移行と自動バックアップがそろうエックスサーバーが上です
• 3位と4位は同じ8点で、拡張性で分かれました。どちらも安定性は◎なので、同点のときの②拡張性で比べています。エックスサーバーはマニュアルでPHP 8.5〜5.1.6を選べ（◎）、さくらのレンタルサーバは8.4以上の提供を確認できませんでした（○）。お試しの日数と年間の費用はさくらが上で、年11,880円の差（さくら6,600円・エックスサーバー13,200円）があります
• 4位と5位は1点差です。シン・レンタルサーバーは機能性（簡単移行と自動バックアップ）と拡張性で上回りますが、通常料金が月1,232円でコスパは△です。さくらのレンタルサーバは月550円で、お試しも14日間あります
• 5位と6位は1点差です。シン・レンタルサーバーは簡単移行と自動バックアップがベーシックから付き、10日間のお試しもあります。mixhostは全バージョンの修正完了を告知していて安定性・拡張性は◎ですが、無料のお試しがなく、ライトプランに自動バックアップが付きません
• 6位と7位は2点差です。mixhostは提供中の全バージョン（5.2〜8.5）への適用完了を告知していて安定性・拡張性は◎で、無料のらくらく引っ越しも使えます（機能性○）。KAGOYA レンタルサーバーは8.2系以上の修正は済んでいますが、7.4系〜8.1系は緩和策のみという書き方で（安定性○）、無料のツールでの移行ができず（機能性○）、お試しの受付も止まっています。年間の費用も、mixhostの2年目以降11,616円に対してKAGOYAは17,820円です

速度・容量・独自ドメインの特典まで含めて、WordPress向けのレンタルサーバーを総合的に選びたい場合は、WordPressレンタルサーバーおすすめ5選で別の物差しで比べています。

移すのは大変？失敗しても戻せる？

WordPressのサイトが1つなら、移行先の管理画面に今のサイトの情報を入れるだけで移せるサーバーが多くあります。そして、ドメインの向き先（ネームサーバー）を切り替えるまでは、今のサーバーでサイトが動き続けます。新しいサーバーで確かめてから切り替える順番を守れば、うまくいかなくても今のサイトはそのまま残ります。

各社の移行の手段

「—」は、今回確認した公式ページに記載が見当たらなかったものです。表の補足は次のとおりです。

• カラフルボックス：簡単移行ツールで移せるのは、データベース・画像・プラグイン・テーマ。WordPress 4.7より前のサイトは先に更新が必要で、マルチサイト・WordPress.comからは移せず、約50GBを超えるサイトは失敗することがあります。移行代行は、独自ドメインでネームサーバーを変えられること、今のサーバーの空き容量が50%以上あることが条件で、動作の保証はWordPress本体まで（プラグイン・テーマは保証外）です。独自ドメインのメールアドレスは代行の対象ではなく、ネームサーバーを変える前に自分で設定します
• さくらのレンタルサーバ：バックアップ＆ステージングの機能で、移行元・移行先の両方にSSHで接続して移す手順です。移行元の仕様で手順どおりに移せない場合は、phpMyAdminからデータベースを移す方法も案内しています（phpMyAdminは22日15時15分に復旧しました）
• エックスサーバー：簡単移行の動作要件は、WordPress 4.2〜7.1、PHP 7.2以上、データベース2GB以下、マルチサイト以外です（2026年10月29日時点のマニュアル）。同じマニュアルのエラーの説明には「PHP5.3以降」という記載もありますが、PHP 7.1以前で動いているサイトは、動作要件の外になります。WordPressの対応範囲は更新されることがあるので、最新のマニュアルで確かめてください
• エックスサーバー・シン・レンタルサーバー・スターレンタルサーバー：3つとも、作業を任せる公式の「サーバー移転代行」（オプション）があり、WordPressの移転にも対応しています（WordPressならデータベースも移します）。エックスサーバーとシン・レンタルサーバーは1サイト33,000円で、作業日数はエックスサーバーが5営業日、シン・レンタルサーバーが5営業日程度です。申し込みのときに入れる移転元のFTP情報を使って作業し、移転元の環境やサイトの内容によっては移せない場合があるとしています。スターレンタルサーバーは機能一覧に「サーバー移転代行（オプションサービス）」とありますが、料金の記載は見当たりませんでした
• mixhost：らくらく引っ越しは申し込みの画面で使います。移行の代行（WP移行サービス）が無料になるのは、2023年4月4日以降に申し込んだ人の1年に1サイトまでです
• KAGOYA レンタルサーバー：他社からWordPressを移す無料のツールは、今回確認した公式ページに見当たりませんでした。移行は「サーバー乗り換え安心おまかせパック」などの有料の代行で、Webサイトのデータ・データベース・メールアカウントの設定を代わりに移してもらう形です（料金はオプションのページで確認してください）。コントロールパネルからワンクリックで移せる「データ移行機能」は、KAGOYA内でプランを変えるときのもので、他社からの移行には使えません
• かかる時間：ツールでの移行時間の目安は、どの会社も公式に示していません。代行はカラフルボックスが申し込みから5営業日以内、エックスサーバーが5営業日、シン・レンタルサーバーが5営業日程度です。どの方法でも、最後にネームサーバーを切り替えてから全体に行き渡るまでに時間がかかり、エックスサーバーのマニュアルは「最大24時間ほど」としています

お試し・返金・解約の条件

• カラフルボックス：カードを登録していても、自分で契約を申し込まない限り請求はありません。お試し終了の7日前に案内のメールが届き、手続きをしなくても終了後一定期間で自動で解約されます
• さくらのレンタルサーバ：料金の支払い前ならキャンセルできます。カードで申し込んだ場合は、お試し終了後に自動で決済されて契約が始まるので、やめるなら期間中にキャンセルします。お試し期間の途中で本登録すると、その後はキャンセルできません。最低利用期間は利用開始から3ヶ月を経過した月の末までです
• エックスサーバー：お試し中に料金を払うと本契約に移ります。「WordPressクイックスタート」で申し込むとお試し期間はなく、申し込みと同時に支払いが発生するので、試してから決めたい人は使わずに申し込みます
• mixhost：返金保証は初回の申し込みから30日以内の解約が対象で、解約の手続きのうえサポートへの連絡が必要です。ドメインやWordPress関連サービスは対象外で、無料ドメインを使った場合はドメインの取得料金が差し引かれます
• KAGOYA レンタルサーバー：2週間無償トライアルの制度はありますが、申し込みページに「現在、トライアルのお申し込み受付を一時停止しております」と表示されています（10月31日20時30分時点）。料金ページには、12ヶ月一括支払いは途中解約でも返金しないと明記されています。カードの要否は今回確かめていません
• スターレンタルサーバーは、カードの要否とお試し後の扱いの記載が見当たりませんでした。シン・レンタルサーバーは同じ点を今回確かめていません。どちらも申し込みの画面で確かめてください

今のサイトを止めずに、移行先で動作を確かめる

カラフルボックスとエックスサーバーは、移行のマニュアルで「ネームサーバーの変更は移行作業の完了後に」と明記し、切り替える前に移行先で動作を確かめる方法を案内しています。流れは次のとおりです。

1. 移行先をお試しで申し込み、ツールや手順でデータを移す：この時点では、ドメインのネームサーバーは切り替えません。今のサイトはそのまま公開されています
2. 確認用のURLで見る：カラフルボックスでは、独自ドメインを設定すると付く確認用のサブドメイン（○○○.△△△.cfbx.jp）で、移行作業中のサイトにアクセスできます（公式マニュアル「他社サーバーからの移行方法」）
3. 独自ドメインのまま確かめるなら、hostsファイルを使う：WordPressのように設定にサイトのURLを持つサイトは、自分のパソコンの「hostsファイル」に、ドメインと移行先サーバーのIPアドレスを書き足して確かめます。そのパソコンからだけ移行先のサイトが表示され、ほかの人は今までどおり今のサーバーを見ています。書き方は各社のマニュアルにあります。切り替える前は、移行先の無料SSLがまだ発行されていないことがあり、httpsで開くと警告が出る場合があります（カラフルボックスは、SSLの反映はネームサーバーの変更後で、時間がかかる場合があるとしています）
4. 表示・問い合わせフォーム・管理画面へのログインを確かめる：古いPHPのまま移した場合は、ここで8.3以上に切り替えて試すこともできます。メールは、移行先で同じメールアドレスを先に作っておき、ネームサーバーを切り替えてから送受信を確かめます。切り替えが行き渡るまでは、今のサーバーと移行先の両方でメールを受け取れるようにしておきます
5. 問題がなければネームサーバーを切り替える：うまくいかなければ、hostsファイルに足した行を消せば元どおりです。今のサーバーには手を加えていないので、公開中のサイトに影響はありません
6. 古いサーバーは、切り替えが行き渡ってから止める：カラフルボックスのマニュアルは、反映まで数時間から数日としています。その間は古いサーバーにアクセスやメールが届くことがあるので、新しいサーバーで表示・フォーム・メールを確かめてから、古いサーバーのサイトを止めて解約します

移行するときに気をつけること

移行の前に、今のサイトを守る手当てをする

移行には数日かかることがあります。その間も古い環境は動き続けるので、CISAが求めているように、修正できないシステムはいったんオフラインにすることを検討します。すぐに止められない場合は、PHPの開発元が「すぐに更新できない場合」として挙げている緩和策（メモリ上限やアップロードの上限などの設定の見直し）や、KAGOYAが案内しているような一時的な公開停止・アクセス制限を組み合わせます。PHPの開発元は、緩和策は特定の攻撃経路を減らすだけで「インストールを安全にするものではない」と明記しているので、あくまで移行までのつなぎです。

新しい環境でも、古いPHPを使い続けない

移行先で、元の環境と同じ古いバージョン（8.1以前）を選ぶと、事業者の独自の対応に頼り続けることになります。今回はカラフルボックス・さくらのレンタルサーバ・mixhost・ロリポップ!・ConoHa WING・お名前.com レンタルサーバーのように旧バージョンにも対応した事業者がありますが、今後も同じとは限りません。古いバージョンのまま移した場合も、テーマやプラグインを更新して8.3以上で動くようにしておくと、次の修正も受け取りやすくなります。

よくある質問

Q. 共用のレンタルサーバーを使っています。自分で何かする必要はありますか？

多くの場合、PHPの本体の修正は事業者が行います。利用者がやるのは、契約しているサーバーのお知らせを読むことと、WordPressのサイトヘルスでPHPのバージョンを確かめることです。カラフルボックス・さくらのレンタルサーバ・mixhost・ConoHa WING・お名前.com レンタルサーバーは、いずれも利用者の作業は不要（さくらは「緊急の対応はございません」、ConoHa WINGとお名前.comは「PHPバージョンの変更等をしていただく必要はございません」）と明記しています。エックスサーバー社の3サービスは、26日6時20分に選べる全バージョンへの適用完了を告知したうえで、ご利用状況によっては利用者にも追加の対策をお願いする場合があるとしています。ロリポップ!とヘテムルは修正を当てたうえで、一部の機能（session.upload_progress）が無効になったため、サイトの動作確認を利用者に求めています。お知らせに記載がない事業者は、続報を待ちながら公式Xなども確認してください。PHPのバージョンのほかに確かめておきたいことは、冒頭の自分のサイトで確かめることにまとめています。

Q. WordPressのサイトヘルスでPHPが「8.3.30」のように古い番号でした。危ないですか？

番号だけでは判断できません。レンタルサーバーは番号を変えずに修正だけを取り込むことがあるからです。mixhostは、修正後もサイトヘルスなどに表示される番号は変わらないと明記していて、ConoHa WINGとお名前.com レンタルサーバーも、同じ番号が表示される場合があるとしています。契約しているサーバーのお知らせで、修正が当たったかどうかを確かめてください。お知らせに記載がない場合は、サポートに問い合わせるのが確実です。今回はエックスサーバー社のサービスのように、メンテナンス中に問い合わせフォームを止めていた事業者もあります（エックスサーバー社は22日のうちに再開済みで、KAGOYAのサポートサイトは30日18時30分に再開しました）。

Q. WordPress本体を更新すれば、今回の脆弱性は直りますか？

いいえ。今回の脆弱性はWordPressではなく、その土台のPHPにあります。WordPress本体やプラグインの更新では直らず、前述のとおりWordPressの公式も、今回の件でのWordPressの更新は予定していないとしています。PHPを修正版に入れ替える（共用サーバーなら事業者が行う）必要があります。ただし、7月のwp2shellのようにWordPress本体の脆弱性も別に見つかっているので、本体の更新はこれとは別に欠かさず行います。実際に10月28日には、複数の問題を直したWordPress 7.1.4（セキュリティリリース）が公開され、公式はすぐの更新を勧めています。また、古いPHPから新しいPHPへ切り替えるときには、WordPress本体・テーマ・プラグインを先に最新にしておくと失敗しにくくなります。

Q. 乗り換えの途中で、サイトが表示されなくなることはありますか？

順番を守れば、止めずに移せます。移行先にデータを移しても、ドメインのネームサーバーを切り替えるまでは今のサーバーでサイトが表示され続けます。移行先の表示は、パソコンのhostsファイルを書き換えて自分だけが見る形で先に確かめられます。切り替えたあとも反映までの間は古いサーバーにアクセスが届くことがあるので、古いサーバーは新しいサーバーで確認できてから解約します。

Q. 表にないレンタルサーバー（ヘテムル・バリューサーバー・コアサーバー）はどうなっていますか？

契約している事業者のお知らせを見るのが基本です。10月31日20時30分時点で、公式のお知らせには次のように書かれています（PHPの修正の内容は22日から変わっていません）。

• ヘテムル：22日18時5分の追記で、止めていた全サービスの復旧を告知しました（利用者のサイトの表示・サービスサイト・コントロールパネル・FTP・hetemailは12時18分、phpMyAdminは13時20分、おさいぽ!の自動更新が18時5分）。PHP 8系と7.4は公式の修正版を当て、それ以外のバージョンは公式の修正内容をもとに独自に修正したとしています。ただしすべてのバージョンで一部の機能（session.upload_progress）が無効になったため、自分のサイトの動作確認を求めています。なお24日付けのお知らせで、10月24日14時8分から新規の申し込み（無料お試しを含む）の受付を一時停止したと告知しました（同じGMOペパボのロリポップ!と同じ時刻です）。「昨今のインターネットサービスを標的としたサイバー攻撃の状況を踏まえ」た予防措置で、当サービスでの不正アクセス等の被害は確認しておらず、契約中の人はこれまでどおり使える（サイトの表示・メールの送受信・コントロールパネルへのログイン）としています。さらに25日1時25分の更新で、WebDAVでの接続も準備が整いしだい一時停止すると告知しました。どちらも再開の時期は決まりしだい同じお知らせで案内するとしています。26日16時31分には、問い合わせ対応に遅延が出ていて返信に時間がかかっていることも告知しています。27日付けの障害情報では、バックアップオプションでバックアップが正常に実行されない事象が10月22日ごろから続いていて、復旧には時間がかかる見込みだとしています（ロリポップ!でも同じ事象が告知されていて、どちらも31日20時30分時点で復旧の告知はありません）。さらに28日22時44分の更新で、予防措置としてバックアップオプションの新規お申し込みの受付も一時停止したと告知しました（停止は28日22時42分から。すでに使っている人はこれまでどおり利用でき、再開の時期は決まりしだい同じお知らせで案内するとしています）。バックアップを当てにせず、自分で控えを取ってから作業してください
• バリューサーバー：22日0時50分にメンテナンスを完了し、PHP 5.3〜8.5の全バージョンで対応を完了。「お客様側でのPHPバージョンの変更等のご対応は必要ございません」と明記しています。なお10月25日16時45分〜17時45分に全台で緊急メンテナンス（内容は「セキュリティ向上およびシステム安定化のためのサーバーソフトウェア更新作業」）を実施し、完了を告知しました。さらに10月26日4時45分〜5時5分にも全台で緊急メンテナンスを実施し、こちらの内容は「セキュリティ向上のためのSSHサーバーホスト鍵の更新作業」で、ウェブサイトの閲覧・メールの送受信・FTP接続の停止は発生していないとしています。そのあと26日5時56分から13時28分まで、コントロールパネルのファイルマネージャー（Web FTP）でファイルの一覧が表示されない障害が起き、復旧済みと告知されました（サーバー内部の通信制御設定の更新に伴うもので、外部のFTP／FTPS／SFTPソフトでの接続やサイトの閲覧・メールには影響なしとしています）。メンテナンス以降に初めてSSH／SFTPで接続するとホスト鍵が変わった旨の警告が出る場合があるため、接続先のサーバー名を確かめたうえで鍵の更新を承認するよう案内しています（SSHのパスワードや自分の鍵を変える必要はないとしています）
• コアサーバー：V1は22日0時50分にPHP 5.3〜8.5、V2は11時13分にPHP 5.2〜8.5で、どちらも提供中の全バージョンの対応を完了したと告知しています。なお10月25日12時から16時12分まで、V1の全台で緊急メンテナンスを実施し、完了を告知しました（内容は「セキュリティ向上およびシステム安定化のためのサーバーソフトウェア更新作業」で、作業中はウェブサイトの閲覧・メールの送受信・FTP接続などが順次使えなくなるとしていました）。同じ時刻から全台で同じ内容の緊急メンテナンスに入った同社のXREAも、16時19分に完了しています。あわせて10月26日4時45分〜5時5分に、V1とXREAの全台でSSHサーバーホスト鍵を更新する緊急メンテナンスを実施し、完了を告知しました（ウェブサイトの閲覧・メール・FTPの停止はなく、初回のSSH／SFTP接続で鍵の変更の警告が出る場合があるとしています）。V1とXREAも、26日5時56分から13時28分までファイルマネージャー（Web FTP）でファイルの一覧が表示されない障害が起き、復旧済みと告知されています。なお10月29日付けで、V2のデータベース（MariaDB）を10.6から11.4へ上げるメンテナンスを、10月30日0時から11月13日23時59分までの間にサーバーごとに実施すると告知しました（作業は各日1時〜5時の間で、1台あたり数分〜数十分データベースが止まるためWordPressなど表示に影響が出る場合があり、メールとFTPには影響がないとしています）。これはPHPの脆弱性とは別の件です。あわせて、V2の1台（v2004.coreserver.jp）で10月27日14時から断続的に起きていた高負荷の障害が、29日10時に解決済みとして告知されました（PHPの脆弱性との関係は書かれていません）
• バリュードメイン（バリューサーバー・コアサーバーの運営）：10月24日14時52分から、バリュードメイン／Value Domain One の新規ユーザー登録と、各種サービスの新規お申し込み手続き（カート画面など）を一時停止しました。申し込みシステムのメンテナンスのためで、再開は決まりしだい案内するとしています。すでに契約している人については、ドメイン・DNS・レンタルサーバーは通常どおり動いていて、ログイン・コントロールパネルでの各種設定・契約中のサービスの更新もこれまでどおりできると明記しています

3社とも古いバージョンまで対応していますが、公式のサポートが終わったバージョンは、今後も事業者の独自の対応に頼ることになります。使っている場合は、8.3以上への切り替えを検討してください。

Q. 無料のレンタルサーバーを使っている場合はどうなりますか？

事業者によって違います。エックスサーバー社のシンフリーサーバーは、公式サイトのお知らせで、ほかのエックスサーバー社のサービスと同じくPHP 5.1〜8.5の修正の適用完了（5.1〜5.5は26日6時20分にすべてのサーバーで完了）を告知し、管理画面なども22日14時から順次再開しています。カラフルボックスの運営会社が提供する無料のレンタルサーバー「タダサーバー」は、カラフルボックスのお知らせで修正完了の対象に含まれています。無料サーバーは広告や機能の制限との兼ね合いもあるので、比べたい場合は無料サーバーおすすめ5選を参考にしてください。

Q. 「PHP2Shell」と「wp2shell」は同じものですか？

別のものです。PHP2Shell（php2shell）は今回のPHPの脆弱性2件の通称で、wp2shellは2026年7月に公表されたWordPressの脆弱性（CVE-2026-63030など）の通称です。名前が似ているので、検索するときはCVE番号（CVE-2026-109618 / CVE-2026-109619）で確かめると取り違えずに済みます。

まとめ：まず確認、乗り換えは最後の手段

今回のPHPの脆弱性は、PHPの開発元が「アップデートだけが安全な選択肢」としている深刻なものですが、10月31日20時30分時点で、この記事の表の10社のうち9社が、選べるPHPのバージョンすべてへの修正の完了を告知しています。残るKAGOYAも、レンタルサーバープランの8.2系〜8.5系は修正済みで、7.4系〜8.1系には緩和策を当てたうえで8.2系以降への更新を強く推奨しています。やることは次の順番です。

• WordPressのサイトヘルスでPHPのバージョンを確かめる（無料・数分）
• 契約しているサーバーのお知らせを読む（修正の完了と、利用者の作業の有無）。完了の告知があれば、乗り換えは不要です
• WordPress本体・テーマ・プラグインを最新にし、覚えのない管理者ユーザーやファイルがないかを見る（本体は10月28日公開の7.1.4が最新。確かめ方）
• 8.1以前なら、バックアップを取ってから8.3以上への切り替えを計画する
• VPS・自前のサーバーなら、OSのパッケージを更新して再起動する
• CentOS 7などで修正が届かないなら、オフラインにしたうえで、作り直すか管理型のサーバーに移す

移行先を選ぶなら、全バージョンの対応完了を告知し、古いPHPのサイトも無料のツールで移せて、30日間カードなしで試せるカラフルボックスが1位です。年間の費用を抑えるなら、選べる全バージョンの修正を終えた2位のスターレンタルサーバー（年5,016円）か4位のさくらのレンタルサーバ（年6,600円）、移行機能と自動バックアップを重視するなら3位のエックスサーバーか5位のシン・レンタルサーバー、移行の代行まで無料で任せたいならmixhost（6位）、という整理になります。27日に受付が戻ったKAGOYA レンタルサーバーは7位で、8.2系以上で動くサイトなら選べますが、無料のお試しが止まっていて料金も7社でいちばん高いので、急いで移る先としては上の6社が先です。お名前.com レンタルサーバーは、31日20時30分時点で公式ページに新規お申し込みの受付停止の表示が出ていたため、候補から外しています。

カラフルボックス 公式サイトを見る

※ 本記事のPHPの脆弱性の情報はPHP公式の告知（2026年10月20日・21日・23日・26日）、CISAの注意喚起（10月21日・10月23日と10月26日に更新）、CISAのKEV（カタログ2026.10.26）、JPCERT/CCの注意喚起（10月22日・10月26日と10月29日に更新）、IPAの注意喚起（10月22日・10月27日に更新）、WordPress公式のリリース告知（10月28日の7.1.4）、各社の対応状況とVPSの受付状況は2026年10月31日20時30分時点で各公式のお知らせで確認した内容です。KAGOYA レンタルサーバーの料金・機能・お試しは10月27日20時30分に公式サイトで確認しました。各ディストリビューションの修正状況とRed HatのCVEのページは10月23日の日中に各公式のセキュリティ情報で確認しました。料金・機能は10月22日に各社の公式サイトで確認しました。対応状況は変わるので、最新の内容は各公式サイトでご確認ください。

主な出典

• PHP: News Archive – 2026（予告・セキュリティ告知・各修正版）
• PHP：Informational advisory: Session upload progress（10月23日・CVE-2026-115560）
• PHP：Updated PHP Windows builds for Brotli security fix（10月26日・CVE-2026-111497）
• PHP: Supported Versions
• CISA：Critical Vulnerabilities in PHP Require Immediate Patching
• CISA：Known Exploited Vulnerabilities Catalog（カタログ2026.10.26・10月26日にCVE-2026-109618とCVE-2026-109619を追加）
• CISA：Critical Vulnerabilities in PHP Require Immediate Patching（10月23日更新が最新）
• JPCERT/CC：PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起（10月29日更新が最新）
• IPA：PHPの脆弱性対策について（CVE-2026-109618、CVE-2026-109619：PHP2shell・10月27日更新が最新）
• watchTowr：PHP2Shell（CVE-2026-109618 & CVE-2026-109619）の悪用の観測
• WordPress.org：Critical PHP Security Release
• WordPress.org：WordPress 7.1.4（10月28日・セキュリティリリース）
• WordPress.org：WordPress 7.1.3 Maintenance and Security Release
• WordPress.org 日本語：今すぐ PHP を更新
• エックスサーバー：【重要】PHPの脆弱性（CVE-2026-109618／CVE-2026-109619）に関するお客様のご利用サーバー環境への安全対策について（10月26日6時20分までにPHP 5.1〜8.5の全対象サーバーで完了）
• エックスサーバー：予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ（10月26日6時20分の更新を含む）
• エックスサーバー：サポート窓口へのお問い合わせ集中に伴う回答遅延について（10月26日）
• エックスサーバー：委託先メール配信サービス「ブラストメール」における個人情報の漏洩に関するお詫びとお知らせ（10月23日・10月29日20時30分の追記でメールアドレス459,679件と公表）
• エックスサーバー：PHPのバージョンについて
• エックスサーバー：料金プラン
• エックスサーバー：機能一覧
• エックスサーバー：サーバー移転代行
• スターレンタルサーバー：予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ
• スターレンタルサーバー：料金プラン
• スターレンタルサーバー：PHPのバージョンについて
• スターレンタルサーバー：機能一覧（サーバー移転代行）
• シン・レンタルサーバー：予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ
• シン・レンタルサーバー：料金
• シン・レンタルサーバー：機能一覧
• シン・レンタルサーバー：PHPのバージョンについて
• シン・レンタルサーバー：サーバー移転代行
• シンフリーサーバー：予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ
• カラフルボックス：PHPの脆弱性に対するセキュリティアップデート完了のお知らせ
• カラフルボックス：ドメインの新規取得の一時停止について（10月26日・30日にJPドメインは登録可能と追記）
• カラフルボックス：料金プラン
• カラフルボックス：WordPress簡単移行ツールの使用方法
• カラフルボックス：WordPress移行代行サービス
• カラフルボックス：他社サーバーからの移行方法
• カラフルボックス：お試し期間中に解約できますか？
• さくらインターネット：PHPの脆弱性への対応状況について（10月28日更新でよくあるご質問を追加）
• さくらインターネット：PHPおよびLinuxカーネルの脆弱性に関する対応状況まとめ（10月26日）
• さくらインターネット：[緊急]さくらのレンタルサーバ・さくらのマネージドサーバ
• さくらインターネット：[緊急]レンタルサーバ・マネージドサーバ・リセールサービスの一部機能
• さくらインターネット：バックアップ＆ステージング機能のメンテナンス（10月29日9時〜19時・対応完了）
• さくらインターネット：【再開】さくらのレンタルサーバ・マネージドサーバ新規申し込み受付停止のお知らせ
• さくらインターネット：当社システムへの不正アクセスに関する調査結果および再発防止策について（第三報・9月10日）
• さくらのレンタルサーバ：スタンダードプラン
• さくらのサポート情報：他社からWordPressコンテンツを移転したい
• mixhost：マイページ緊急メンテナンスのお知らせ
• mixhost：【完了】PHPの重大な脆弱性への対応について
• mixhost：レンタルサーバーの料金・機能
• mixhost：返金保証制度について
• ConoHa WING：【重要】PHPの脆弱性への弊社対応について
• ConoHa WING：【重要】PHPの脆弱性への弊社対応状況について（第2報）
• ConoHa WING：【重要】PHPの脆弱性への弊社対応完了のお知らせ（終報）
• ConoHa WING：一部収容ホスト（Webサーバー）への第三者による不正アクセスに関するお詫びとお知らせ（9月20日）
• ConoHa WING：【重要】緊急メンテナンスによる新規お申し込み受付の一時停止のお知らせ（10月24日13時40分〜）
• ConoHa WING：【お知らせ】WordPress 7.1.4（セキュリティリリース）のご案内（10月29日）
• ConoHa VPS：【重要】緊急メンテナンスによる新規お申し込み受付の一時停止のお知らせ（10月24日13時40分〜）
• ConoHa WING：料金
• ConoHa WING：機能一覧
• ConoHa WING：WordPressかんたん移行
• ConoHa WINGサポート：WordPressかんたん移行を利用する
• ConoHa WINGサポート：WINGパックについて
• ConoHa WING：スタート応援キャンペーン
• お名前.com：【重要】PHPの脆弱性への弊社対応について
• お名前.com：【重要】[お名前.com レンタルサーバー] PHPの脆弱性への弊社対応のお知らせ（20時45分時点）
• お名前.com：【緊急】[お名前.com レンタルサーバー] サーバーメンテナンス（2026/10/25・10月26日20時10分に終了）
• お名前.com：【重要】【共用サーバーGS】コントロールパネルの一時停止について
• お名前.com：【緊急】[共用サーバーSD / お名前メール] コントロールパネルメンテナンス（2026/10/28 15時〜・終了未定。10月30日15時30分の追記で「終了までに数日ほど」）
• お名前.com：[レンタルサーバー RSプラン] サーバーメンテナンス（2026/10/30）【延期】
• お名前.com レンタルサーバー：公式トップ（10月31日20時30分時点で新規お申し込み受付停止の表示）
• お名前.com レンタルサーバー：料金詳細
• お名前.com レンタルサーバー：機能詳細
• お名前.com レンタルサーバー ご利用ガイド：かんたんお引越し機能を使う前の確認事項
• お名前.com：【緊急】レンタルサーバー サーバーメンテナンス（2026/10/22）
• お名前.com：【重要】【お名前.com】緊急サービスメンテナンスについて（10月24日13時40分〜）
• お名前.com：【緊急】[全サービス]お名前.com サービスメンテナンス
• お名前.com：【緊急】[レンタルサーバー RSプラン] サーバーメンテナンス（2026/10/25 0時30分〜・ファイルマネージャーとFTP）
• ロリポップ!：【完了】PHPの脆弱性への予防措置に伴うメンテナンス実施のお知らせ
• ロリポップ!：PHPの脆弱性への対応に伴うメンテナンス完了と経緯のご報告
• ヘテムル：PHPの脆弱性への予防措置に伴うメンテナンス実施のお知らせ
• VALUE SERVER：PHP脆弱性の対応【完了】
• CORESERVER V2：PHP脆弱性の対応【完了】
• CORESERVER V1：PHP脆弱性の対応【完了】
• KAGOYA：PHPの脆弱性に関する当社サービスへの影響について
• KAGOYA：PHPの脆弱性に関する当社サービス状況（提供サービスの状況・管理画面等は10月31日9時10分時点・質問と回答を含む）
• KAGOYA：共用／マネージド専用サーバー／WordPress専用サーバー PHPの脆弱性に対する緩和策の実施と今後の対応について（10月28日19時時点）
• KAGOYA：サポートセンターへのお問い合わせ状況について（10月30日・回答までに10日以上）
• KAGOYA：【KAGOYA：34694】ご利用サーバー高負荷復旧のお知らせ（10月31日）
• KAGOYA：【KAGOYA：34690】共用ウェブサーバー(s431-3)障害復旧のお知らせ（10月30日）
• ConoHa VPS：【注意喚起】Linuxカーネルにおける脆弱性（CVE-2026-98432）に関する対策（10月30日）
• お名前.com：[VPS（KVM）]【注意喚起】Linuxカーネルにおける脆弱性（CVE-2026-98432）に関する対策のお願い（10月30日）
• KAGOYA：コントロールパネル、Active!mailへのログインについて（10月27日）
• KAGOYA：Linuxカーネルの脆弱性（CVE-2026-99999）に関する新規お申し込み受付停止のお知らせ（10月27日20時5分更新・19時55分に受付再開）
• KAGOYA：Active!mail、KAGOYA会員サイト、および各種コントロールパネル メンテナンスのお知らせ（10月26日14時更新）
• KAGOYA レンタルサーバー：料金・スペック
• KAGOYA レンタルサーバー：機能一覧
• KAGOYA レンタルサーバー：2週間無償トライアルのお申し込み（受付の一時停止を表示）
• KAGOYA：バックアップサービス（10GBまで無料）
• KAGOYA：プラン変更時データ移行機能
• ロリポップ!：ユーザー専用ページにログインしづらい事象について
• ロリポップ!：ユーザー専用ページにログインしづらい事象について（10月26日17時50分〜18時50分・復旧済み）
• ロリポップ!：DDoS攻撃によるDNSサーバーの障害について（10月24日・復旧済み）
• ロリポップ!：お問い合わせ対応の遅延に関するお詫びとご案内（10月23日）
• ロリポップ!：【重要】新規お申し込み受付および一部機能の一時停止について（新規の申し込み10月24日14時8分〜／WordPress簡単引っ越し19時22分〜・10月29日14時20分に再開／WebDAV 10月25日未明〜／バックアップオプションの新規お申し込み10月28日22時20分〜）
• バリュードメイン：新規ユーザー登録および新規お申し込み受付の一時停止について（10月24日14時52分〜）
• コアサーバー：【緊急】10月25日12時からのメンテナンスのお知らせ（CORESERVER V1）【完了・16時12分】
• XREA：【緊急】10月25日12時からのメンテナンスのお知らせ（XREA）【完了・16時19分】
• バリューサーバー：【緊急】10月25日16時45分からのメンテナンスのお知らせ（VALUESERVER）【完了・17時45分】
• コアサーバー：【緊急】10月26日4時45分からのメンテナンスのお知らせ（CORESERVER V1）【完了・5時5分】
• XREA：【緊急】10月26日4時45分からのメンテナンスのお知らせ（XREA）【完了・5時5分】
• バリューサーバー：【緊急】10月26日4時45分からのメンテナンスのお知らせ（VALUESERVER）【完了・5時5分】
• バリューサーバー：ファイルマネージャーでファイル一覧が表示されない障害（VALUESERVER）【復旧済み・10月26日13時28分】
• コアサーバー：ファイルマネージャーでファイル一覧が表示されない障害（CORESERVER V1）【復旧済み・10月26日13時28分】
• XREA：ファイルマネージャーでファイル一覧が表示されない障害（XREA）【復旧済み・10月26日13時28分】
• コアサーバー：データベース（MariaDB）のセキュリティ対策および11.4への更新メンテナンス（CORESERVER V2・10月29日告知／10月30日〜11月13日）
• コアサーバー：サーバー高負荷による影響について（CORESERVER V2・v2004／10月27日14時〜10月29日10時・解決済み）
• お名前.com：【緊急】[シングルサービス] サーバーメンテナンス（10月25日20時30分〜・終了未定）
• お名前.com：【復旧済み】[お名前.com レンタルサーバー] サーバーサービス 不具合のお知らせ（10月29日2時48分〜3時51分・メールの送信遅延）
• お名前.com：【復旧済み】[お名前.com レンタルサーバー] サーバーサービス 不具合のお知らせ（10月29日3時48分〜4時30分・www1004のWeb表示）
• お名前.com：[お名前.com レンタルサーバー ベーシック・RSプラン] WordPressインストールをバージョンアップいたしました（10月29日・7.1→7.1.4）
• ヘテムル：問い合わせ窓口対応時間についてのお知らせとお詫び（10月26日16時31分）
• ヘテムル：バックアップオプションのバックアップが正常に実行されない障害について（10月27日）
• ロリポップ!：バックアップオプションにおいてバックアップが正常に実行されない障害について（10月27日）
• mixhost：マイページにおける二段階認証の設定必須化のお知らせ（10月27日・11月24日から）
• ヘテムル：【重要】新規お申し込み受付および一部機能の一時停止について（10月24日14時8分〜・WebDAVは10月25日1時25分の更新・バックアップオプションの新規お申し込みは10月28日22時44分の更新で22時42分〜）
• ABLENET VPS：料金・試用期間
• ABLENET VPS：お知らせ
• ConoHa VPS：ニュース（新規お申し込み受付再開のお知らせ・10月23日）
• さくらのVPS：Linuxカーネルの脆弱性への対応状況について（新規申し込み停止）
• AlmaLinux：ELevate
• Red Hat：CentOS Linux EOL
• Ubuntu：USN-8948-1
• Ubuntu：CVE-2026-109618（リリースごとの修正状況）
• AlmaLinux：php2shell への対応
• Rocky Linux：RLSA-2026:87070（php security update）
• Debian Security Tracker：CVE-2026-109618
• Red Hat：CVE-2026-109618
• CentOS：End dates are coming for CentOS Stream 8 and CentOS Linux 7
• Render：Supported Languages
• Rapid7：CVE-2026-63030: wp2shell（2026年7月17日）

更新履歴

• 2026年10月31日：14時30分時点に更新。KAGOYAの「当社サービス状況」のお知らせが31日9時10分時点に更新され、WordPress専用サーバーの緩和策が「稼働中（緩和策：10月31日完了）」になり、「再開未定 対応中」が続いていたサポートサイトも「10/30 18:30再開」と書かれた。結論ボックス・冒頭の「続報を待つ人」の節・表の下の補足・KAGOYAの告知の詳細・いつ何が起きたかの表・よくある質問・出典を書き換えた。ほかの表の会社は9時00分時点から変化なし（エックスサーバー社3サービスは26日、カラフルボックス・さくら・mixhost・ロリポップ!・ConoHa WING・お名前.comも新しいお知らせなし。ロリポップ!とヘテムルのバックアップオプションの障害、お名前.comの共用サーバーGS・SDの管理画面の停止、KAGOYAの2週間無償トライアルの停止とコントロールパネルの混雑、さくらのステージング機能の停止はいずれも続いている）。php.netは26日、JPCERT/CCは29日、IPAは27日の更新が最新のままで変化なし
• 2026年10月31日：9時00分時点に更新。KAGOYAが31日付けで、30日18時37分から31日1時02分までマネージド専用024v Dual・レンタルサーバプラン ライト・カゴヤメールブロンズ・KAGOYA Chatで高負荷の障害が起きて復旧したと告知（原因は定期アップデート処理の集中で、PHPの脆弱性とは別件。共用ウェブサーバーs431-3でも30日18時43分〜19時18分に同種の障害）。あわせて、お名前.comの共用サーバーSD・お名前メール・ホームページエディターのコントロールパネルのメンテナンスに30日15時30分の追記が入り「終了までに数日ほどお時間をいただく見込み」になっていることと、RSプランの一部で30日に予定していたサーバーメンテナンスが延期されたことを確認し、結論・各社の告知の詳細・時系列に反映。各社のPHPの修正の状況、ロリポップ!・ヘテムルの新規受付の停止とバックアップの障害、ConoHa WING・ConoHa VPS・お名前.com レンタルサーバーの新規受付の停止、KAGOYAの無償トライアルの停止、カラフルボックスのドメインの新規取得の停止、php.net・JPCERT/CC・IPA・CISAの告知は30日20時30分時点から変わっていません（採点と順位は動いていません）
• 2026年10月30日：20時30分時点に更新。カラフルボックスがドメインの新規取得の停止のお知らせに「JPドメイン（.jp / .co.jp / .or.jp）はご登録が可能です」と30日付けで追記し、KAGOYAが30日付けで、今回の脆弱性とプラン変更の問い合わせが集中してサポートセンターの回答までに10日以上かかっていると告知、ConoHa VPSとお名前.com のVPS（KVM）が30日付けでLinuxカーネルの別の脆弱性（CVE-2026-98432）の注意喚起を掲載したので、結論・カラフルボックスの詳細・KAGOYAの詳細・VPSの章・時系列・出典に反映。PHPの修正の状況・各社の表・移行先の順位に変わりはありません（php.netは10月26日、JPCERT/CCは10月29日、IPAは10月27日の更新が最新のまま）
• 2026年10月30日：14時30分時点に更新。KAGOYAの「当社サービス状況」のお知らせが30日12時01分時点に更新され、パッチ提供対象外としている共用サーバーとマネージド専用サーバーの緩和策が「10月30日完了」、WordPress専用サーバーが「10月30〜31日順次実施」になったので、結論・状況別の道筋・表の補足・各社の告知の詳細・時系列・出典に反映（レンタルサーバープランの「対応済」は8.5.12・8.4.27・8.3.36・8.2.35の4つのままで、表と採点は変更なし）。ConoHa WINGが30日の更新で、WordPressの新規インストール機能で入るバージョンを7.1.4へ更新したと追記したので、自分のサイトで確かめること・時系列に反映。さくらのVPSが30日13時40分から、大阪リージョンの大容量ストレージオプション付きプランとWindows全プランの新規申し込みを再開したのでVPSの受付状況の表と本文に反映（東京と大阪の大容量なしLinuxは停止中のまま）。リンク切れ（404）になっていたKAGOYAのサポートサイトのお知らせを出典から削除。php.net（10月26日が最新）・JPCERT/CC（29日更新）・IPA（27日更新）・CISAの注意喚起とKEV・WordPress公式（7.1.4が最新）は変わらず。表の10社のPHPの修正の状況も変わらず（9社が選べる全バージョンで完了）。新規受付も変化なし（ConoHa WING・ConoHa VPS・ロリポップ!・ヘテムル・お名前.com レンタルサーバー・お名前.comの共用サーバーGS／SDのコントロールパネルは停止中、KAGOYAの2週間無償トライアルは停止中、カラフルボックスはドメインの新規取得のみ停止、さくらのステージング機能は停止中、KAGOYAの27日付けの障害情報とロリポップ!・ヘテムルのバックアップオプションの障害も復旧の告知なし）。移行先7社の採点と順位も変わらず（1 カラフルボックス9点／2 スターレンタルサーバー8点／3 エックスサーバー8点／4 さくらのレンタルサーバ8点／5 シン・レンタルサーバー7点／6 mixhost 6点／7 KAGOYA 4点）
• 2026年10月30日：8時30分時点に更新。ConoHa WINGが29日付けでWordPress 7.1.4（セキュリティリリース）の案内を掲載し、お名前.com レンタルサーバー（ベーシック・RSプラン）が29日付けで、管理画面のWordPressインストール機能が入れるバージョンを7.1から7.1.4へ上げたと告知したので、自分のサイトで確かめること・時系列・出典に反映（どちらもPHPの脆弱性とは別件で、WordPress本体の更新の話）。KAGOYAの共用サーバー（10月30日順次実施）・マネージド専用サーバー（10月28〜30日順次実施）の緩和策と、ロリポップ!・ヘテムルのバックアップオプションの障害については、30日8時30分時点で完了・復旧の告知がないことを事実として書き添えた。表の10社のPHPの修正の状況は変わらず（9社が選べる全バージョンで完了、KAGOYAは「当社サービス状況」が28日19時30分時点・緩和策のページが28日19時時点のまま）。php.net（10月26日のWindows向けビルドが最新で新しい修正版なし）・JPCERT/CC（29日更新）・IPA（27日更新）・CISAのKEVも変わらず。新規受付も変化なし（ConoHa WING・ConoHa VPS・ロリポップ!・ヘテムル・お名前.com レンタルサーバーは停止中、KAGOYAの2週間無償トライアルは停止中、カラフルボックスはドメインの新規取得のみ停止、さくらのステージング機能は停止中、KAGOYAの27日付けの障害情報も復旧の告知なし）。移行先7社の採点と順位も変わらず（1 カラフルボックス9点／2 スターレンタルサーバー8点／3 エックスサーバー8点／4 さくらのレンタルサーバ8点／5 シン・レンタルサーバー7点／6 mixhost 6点／7 KAGOYA 4点。同点処理〈①安定性→②拡張性→③コスパ→月額〉をpythonで検算）。VPSの新規受付も変化なし（ConoHa VPSは停止中で終了未定、さくらのVPSは石狩のみ、ABLENET VPS・XServer VPS・シンVPS〈空き僅少の表示あり〉・KAGOYA CLOUD VPSは受付中）のため vps-comparison は触っていない
• 2026年10月29日：20時30分時点に更新。JPCERT/CCの注意喚起が29日に更新され（「I. 概要」「VI. 参考情報」への追記）、あるファイアウォール製品の特定バージョンに対する侵害の成功を示唆する痕跡が確認されたというセキュリティ企業の報告（この脆弱性とLinuxカーネルの権限昇格の脆弱性を組み合わせた攻撃コードの用意、侵害した機器からの内部ネットワークへの横展開の痕跡）と、NCSC-NLがまとめた影響を受ける可能性がある製品の一覧が加わったので、結論・要点の節・注記・出典に反映。WordPressが10月28日に7.1.4（セキュリティリリース）を公開していたので、結論・自分のサイトで確かめること・FAQ・まとめ・時系列・出典を7.1.3の記述から書き換え（PHPの脆弱性とは別件）。エックスサーバーの委託先「ブラストメール」の漏えいのお知らせが29日20時30分に更新され、メールアドレス459,679件ほかの範囲が公表されたので、エックスサーバーの節・デメリット・採点の基準と根拠・時系列・出典に反映（自社システムへの侵入は確認されておらず、この記事の安定性〈今回の対応と運営の継続性〉の物差しには入れないため順位は変えていない）。さくらのバックアップ＆ステージングの29日9時〜19時のメンテナンスは「対応完了」になった（ステージング機能そのものの停止は継続中）。コアサーバーV2の1台（v2004）で27日14時から続いていた高負荷の障害が29日10時に解決済みになったのでFAQ・時系列・出典に追記。表の10社のPHPの修正の状況、KAGOYA（「当社サービス状況」は28日19時30分時点・緩和策のページは28日19時時点・2週間無償トライアルの受付停止・27日付けの障害情報）、お名前.com レンタルサーバーの受付停止の表示、ConoHa WING・ロリポップ!・ヘテムルの受付停止、カラフルボックスのドメインの新規取得の停止、php.net（10月26日が最新で新しい修正版なし）・CISAの注意喚起とKEV・IPA（10月27日更新）は変わらず。移行先7社の採点と順位も変わらず（1 カラフルボックス9点／2 スターレンタルサーバー8点／3 エックスサーバー8点／4 さくらのレンタルサーバ8点／5 シン・レンタルサーバー7点／6 mixhost 6点／7 KAGOYA 4点。同点処理〈①安定性→②拡張性→③コスパ→月額〉をpythonで検算）。VPSの新規受付も変化なし（ConoHa VPSは停止中で終了未定、さくらのVPSは石狩のみ、ABLENET VPS・XServer VPS・シンVPS〈空き僅少の表示あり〉・KAGOYA CLOUD VPSは受付中）のため vps-comparison は触っていない
• 2026年10月29日：14時45分時点に更新。ロリポップ!が29日14時20分の更新で、24日19時22分から止めていた「WordPress簡単引っ越し」機能の提供を再開したので、結論・ロリポップ!の詳細・時系列・出典に反映（新規の申し込み・WebDAV・バックアップオプションの新規お申し込みは停止中のまま）。お名前.com レンタルサーバーで29日未明に障害が2件（2時48分〜3時51分にメールの送信遅延、3時48分〜4時30分に一部のWebサーバーでWeb表示の不具合）起き、どちらも復旧済みと告知されたので時系列と出典に追記。PHP公式の告知（10月26日が最新）、JPCERT/CC（10月26日更新）、IPA（10月27日更新）、CISAの注意喚起とKEV、エックスサーバー社4サービスの完了告知、カラフルボックス・さくらのレンタルサーバ・mixhost・ConoHa WING・お名前.com レンタルサーバーの修正の状況、KAGOYAの「当社サービス状況」（28日19時30分時点）と緩和策のページ（28日19時時点）・2週間無償トライアルの受付停止、ConoHa WING・お名前.com レンタルサーバー・ロリポップ!・ヘテムルの新規受付停止、カラフルボックスのドメインの新規取得の停止、さくらのステージング機能の停止、バリューサーバー・コアサーバーの告知は変わらず。移行先7社の採点と順位も変わらず（1 カラフルボックス／2 スターレンタルサーバー／3 エックスサーバー／4 さくらのレンタルサーバ／5 シン・レンタルサーバー／6 mixhost／7 KAGOYA）
• 2026年10月29日：8時30分時点に更新。ロリポップ!が28日22時20分、ヘテムルが28日22時42分から、バックアップオプションの新規お申し込みの受付も予防措置として一時停止したので（どちらもすでに契約している人の利用は続けられます）、結論・自分のサイトで確かめること・ロリポップ!の詳細・FAQのヘテムル・時系列・出典に反映。コアサーバーV2が29日付けで、データベース（MariaDB）を11.4へ上げるメンテナンス（10月30日〜11月13日）を告知したのでFAQと出典に追記（PHPの脆弱性とは別件）。PHP公式の告知（10月26日が最新）、JPCERT/CC（10月26日更新）、IPA（10月27日更新）、CISAの注意喚起（10月26日更新）とKEV、表の10社の修正の状況、KAGOYAの「当社サービス状況」（28日19時30分時点）と緩和策のページ（28日19時時点）・2週間無償トライアルの受付停止、お名前.com レンタルサーバーの受付停止の表示、ConoHa WINGとロリポップ!の新規受付停止は変わらず。移行先7社の採点と順位も変わらず（1 カラフルボックス／2 スターレンタルサーバー／3 エックスサーバー／4 さくらのレンタルサーバ／5 シン・レンタルサーバー／6 mixhost／7 KAGOYA）

• 2026年10月28日：20時30分時点に更新。KAGOYAの「当社サービス状況」のお知らせが28日19時30分時点に更新され、レンタルサーバーの注記に「PHP 7.4系、8.1系、8.2系、8.3系、8.4系、8.5系の修正版へのアップデートが完了しております」が加わった（同じページの質問と回答の節は「対応済」を8.5.12・8.4.27・8.3.36・8.2.35の4つのままで書き方がそろっていないため、表と採点は慎重な側に据え置き・順位の変更なし）。共用／マネージド専用サーバーとWordPress専用サーバーは「本脆弱性のパッチ提供対象外」として緩和策の予定が入り（マネージド専用は10月28〜30日、共用は10月30日、WordPress専用は準備中）、27日の「脆弱性が残存している状態」「修正版が公式から提供されない方針」という記述は見当たらなくなった。緩和策の詳細ページも28日19時時点で公開（memory_limitの上限をなくす・送信データ量の制限・入れ子の段数の制限・session.upload_progressの無効化）。さくらのレンタルサーバはPHPの対応状況のお知らせに28日付けで「よくあるご質問」を追加（メンテナンス後のPHPは8.3.36・8.2.35・8.1.34・8.0.30・7.4.33・5.6.40・5.4.45・5.3.29・5.2.17で、8.1以下はバックポートのため番号は変わらない）。お名前.comはメールマーケティングのコントロールパネルも28日14時から停止（理由は全体のセキュリティ点検・終了は未定）。php.netの新しい修正版・JPCERT/CC（26日更新）・IPA（27日更新）・CISAのKEV、ほか8社の告知、VPSの新規受付の状況（ConoHa VPSは停止中、さくらのVPSは石狩のみ、KAGOYA CLOUD VPS・シンVPS・XServer VPS・ABLENET VPSは受付中）、ロリポップ!・ヘテムル・ConoHa WING・お名前.com レンタルサーバーの受付停止、カラフルボックスのドメインの新規取得の停止、KAGOYAのトライアルの受付停止と障害情報、さくらのステージング機能の停止は変わらず

• 2026年10月28日：14時30分時点に更新。お名前.com レンタルサーバーの公式ページに「【重要】現在、臨時メンテナンスのため、新規お申し込み受付を停止しております」という表示が出ていたため、移行先の候補の条件2（新規の申し込みができる）を満たさないものとして候補から外し、採点を7社でやり直しました（開始の時刻と対象プランの記載はなく、お知らせの一覧にも独立した告知は見当たりません）。点数は1位から6位まで変わらず、KAGOYA レンタルサーバーが8位から7位になりました。27日まで7位だったお名前.com レンタルサーバーは6点でした。あわせて、お名前.comが共用サーバーSD・お名前メール・ホームページエディターのコントロールパネルを28日15時から停止（終了未定・理由は「お名前.com 全体のセキュリティ点検を実施するため」）と告知した件を各社の告知の詳細と時系列に追記しました。シンVPSの公式サイトに「お申し込みが集中しており、サーバーの空きが非常に少ない状況です」「サーバーの空き状況により、新規お申し込みを受け付けられない場合があります」という表示が出ていたので、VPSの受付状況の表と注記に追記しました（受付の停止ではないため「受付中」のままです）。ほかの9社・php.net・JPCERT/CC・IPA・CISAのKEVには、28日14時30分時点で新しい動きはありません（KAGOYAの「対応済」は8.2系以上のまま、エックスサーバー社の4サービスは26日6時20分の完了告知のまま、ロリポップ!・ConoHa WINGの受付停止とさくらのステージング機能の停止も続いています）

• 2026年10月27日：20時30分時点に更新。KAGOYAが10月19日18時から止めていた新規の申し込みの受付を、27日19時55分に再開（受付再開のお知らせの27日20時5分更新。対象はKAGOYA CLOUD VPS・KAGOYA MAIL・レンタルサーバー・desknet’s NEO専用サーバー・KAGOYA Chat。「当社サービス状況」の表ではKAGOYA CLOUD VPSのサインアップだけ27日10時23分再開と記載）。候補の条件2が満たされたのでKAGOYA レンタルサーバーを移行先の候補に戻し、8社で採点し直した（機能性○＝無料の自動バックアップは10GBまで使えるが他社からの無料の移行ツールはなし／使いやすさ△＝2週間無償トライアルの申し込みページに受付の一時停止が表示／コスパ△＝ライトが12ヶ月一括で月1,485円／拡張性◎＝7.4系〜8.5系／安定性○＝8.2系以上は修正版適用済みだが7.4系〜8.1系は緩和策のみ＝4点で8位）。1位から7位の点数と順番は動いていないことを、9点・8点・8点・8点・7点・6点・6点・4点と同点処理〈①安定性→②拡張性→③コスパ→月額〉のpythonでの検算で確認。あわせてKAGOYAの「当社サービス状況」が27日19時55分時点に更新され、(1)レンタルサーバープランの「対応済」がPHP 8.5.12・8.4.27・8.3.36・8.2.35の4つで「上記以外は、影響を受けます」と明記、7.4系・8.0系・8.1系は「緩和策は対応済」で根本対策として8.2系以降への更新を強く推奨、(2)マネージド専用・共用・WordPress専用の各プランは「脆弱性が残存している状態」「修正版が公式から提供されない方針」としてレンタルサーバープランへのプラン変更を案内、(3)Active!mailは26日20時再開で確定、サポートサイトは「10/27 再開予定」から「再開未定」に後退、という変更があったため、結論・冒頭・続報を待つ人・対応状況の表（KAGOYAの行を「8.2系〜8.5系に適用済み／緩和策のみ／8.2以降への更新を推奨」に）・KAGOYAの詳細・時系列・候補の選び方・まとめ・FAQ・excerpt・注記・出典に反映した。ほかの各社のPHPの対応状況は変わらず（9社は選べる全バージョンで完了の告知のまま、エックスサーバー社4サービスは26日16時の更新が最新、カラフルボックス〈ドメインの新規取得は停止中・お知らせはid=232が最新〉・さくら〈お知らせの一覧は26日が最新〉・mixhost〈27日の二段階認証の必須化が最新〉・ロリポップ!〈新規受付とWordPress簡単引っ越しとWebDAVは停止中・25日1時35分の更新が最新、バックアップの障害は対応中〉・ヘテムル〈バックアップの障害は対応中〉・ConoHa WING〈新規受付は停止中・終了未定〉・お名前.comの共用サーバーGSとシングルサービス〈どちらも停止中・終了未定〉・バリューサーバー・コアサーバーV1・XREA〈info_id=932が最新で26日13時28分に復旧済み〉に新しいお知らせなし）。php.netは26日付けのWindows向けビルドの告知が最新で新しい修正版はなく、JPCERT/CCは26日の更新、IPAは27日の更新、CISAのKEVはカタログ2026.10.26のまま。KAGOYA CLOUD VPSの新規申し込みも27日に再開したため、vps-comparison も受付状況を直した（ConoHa VPSは24日13時40分から停止中・終了未定、さくらのVPSは石狩のみ受付中で東京・大阪は未定、ABLENET VPS・XServer VPS・シンVPSは受付中のまま。受付の可否は順位に入れていないので採点と順位は変えていない）
• 2026年10月27日：14時30分時点に更新。ロリポップ!とヘテムルが27日付けで、バックアップオプションのバックアップが正常に実行されない障害（10月22日ごろから継続中・原因はバックアップオプションのシステムの不具合・復旧には時間がかかる見込み）を告知したので、結論・自分のサイトで確かめること・ロリポップ!の詳細・FAQのヘテムル・時系列・出典に反映し、この2社でPHPのバージョンを切り替える人には自分で控えを取ってからにするよう添えた（PHPの脆弱性との関係は公式に書かれていないため、そのまま「システムの不具合」と書いている）。mixhostが27日付けで、マイページの二段階認証を11月24日から必須化すると告知したので、結論・mixhostの詳細・候補の節・時系列・出典に追記（PHPの対応とは別の、アカウントを守るための変更）。KAGOYAが27日付けの障害情報で、コントロールパネルとActive!mailへのログイン・操作がアクセス集中で重くなっていると告知したので、結論・続報を待つ人・KAGOYAの詳細・時系列・出典に反映。あわせてKAGOYAの「当社サービス状況」のお知らせを読み直したところ、27日14時30分時点の最新は26日16時40分時点の更新で、Active!mailは「10/26 18:00再開予定」・サポートサイトは「10/27 再開予定」・新規お申し込みは「対応中」という記載だったため、前回「26日20時時点の更新で26日20時に再開」としていた箇所を公式の記載どおりに直した（再開そのものの告知は出ていない）。IPAの注意喚起が27日に更新され、CISAが26日（現地時間）に2件をKEVに追加したことが追記されたので、要点の節・時系列・注記・出典に反映。お名前.comの共用サーバーSD・お名前メールの26日のメンテナンスが11月2日に延期されたので、お名前.comの詳細に追記。各社のPHPの対応状況は変わらず（表の10社とも選べる全バージョンで完了の告知のまま、KAGOYAのマネージド専用サーバー・共用サーバー・WordPress専用サーバーは方針の調整中でPHPの告知は23日12時30分のまま、エックスサーバー社4サービスは26日16時の更新が最新で5.1〜8.5の完了のまま、カラフルボックス〈ドメインの新規取得は停止中〉・さくら・ConoHa WING〈新規受付は停止中・終了未定〉・お名前.comの共用サーバーGSとシングルサービス〈どちらも停止中・終了未定〉・ロリポップ!の新規受付とWordPress簡単引っ越しとWebDAV〈停止中・25日1時35分の更新が最新〉・バリューサーバー・コアサーバー・XREAに新しいお知らせなし）。php.netは26日付けのWindows向けビルドの告知が最新で新しい修正版はなく、JPCERT/CCは26日の更新、CISAの注意喚起は26日の更新（KEVはカタログ2026.10.26）のまま。採点に関わる事実（候補7社の8.2〜8.5の完了告知と新規申し込みの可否）は動いていないため、順位は変えていない（9点・8点・8点・8点・7点・6点・6点と同点処理〈①安定性→②拡張性→③コスパ→月額〉をpythonで検算）。VPSの新規受付も変化なし（ConoHa VPS・KAGOYA CLOUD VPSは停止中、さくらのVPSは石狩のみ、シンVPS・XServer VPS・ABLENET VPSは受付中）のため vps-comparison は触っていない
• 2026年10月27日：8時30分時点に更新。CISAが10月26日（米国時間）に、CVE-2026-109618とCVE-2026-109619を「悪用が確認された脆弱性の一覧（KEV）」に追加した（カタログ2026.10.26・日本時間の10月27日7時24分公開。連邦政府機関向けの対応期限は10月29日、ランサムウェア利用は「Unknown」）ので、「KEVに未掲載」としていた要点の節を書き換え、結論・時系列・注記・出典に反映。php.netに10月26日付けの新しい告知が出ていたので、「23日付けが最新」としていたsession.upload_progressの節を書き換えた（内容はWindows向けビルドの作り直しで、同梱するBrotliを1.2.1にしてCVE-2026-111497を修正。PHPのソースとバージョンは10月21日の修正版と同じで、PHP2Shellやsession.upload_progressとは別件）。KAGOYAのサポートサイトの再開予定が26日18時から27日に変わっていたのでFAQを直した。各社のPHPの対応状況は変わらず（表の10社とも選べる全バージョンで完了の告知のまま、KAGOYAのマネージド専用サーバー・共用サーバー・WordPress専用サーバーは方針の調整中、各コントロールパネルは26日14時・Active!mailは26日20時に再開済みで新規申し込みは停止中、エックスサーバー社は26日16時の更新が最新、さくら・カラフルボックス・mixhost・ロリポップ!・ConoHa WING・お名前.com・ヘテムル・バリューサーバー・コアサーバーに新しいお知らせなし、お名前.comの共用サーバーGSのコントロールパネルとシングルサービスの緊急メンテナンスは終了の告知なし、さくらのステージングは停止中で29日にメンテナンス予定、ロリポップ!のログイン障害は26日18時50分に復旧済み）。JPCERT/CC・IPAの注意喚起も26日・22日のまま。KEVの掲載は脆弱性側の事実で各社の対応の事実は変わらないため、移行先7社の採点と順位は変えていない（9点・8点・8点・8点・7点・6点・6点と同点処理〈①安定性→②拡張性→③コスパ→月額〉をpythonで検算）。VPSの新規受付も変化なし（ConoHa VPS・KAGOYA CLOUD VPSは停止中、さくらのVPSは石狩のみ、シンVPS・XServer VPS・ABLENET VPSは受付中）のため vps-comparison は触っていない
• 2026年10月26日：20時30分時点に更新。JPCERT/CCの注意喚起が26日に更新され、「悪用できると主張する実証コードが多数公開」「悪用を試みる通信を観測したとの報告も相次いでいます」という記述とCVE-2026-115560の緩和策（session.upload_progress.enabled=0 にして全ワーカーを再起動）が加わったので、結論・要点・session.upload_progressの節・時系列・注記・出典に反映。さくらインターネットが26日に「PHPおよびLinuxカーネルの脆弱性に関する対応状況まとめ」を公開（PHPは選べる全バージョン対応済み、別のLinuxカーネルの脆弱性CVE-2026-99999も対応済みで利用者の作業なし）。カラフルボックスが26日のお知らせで、ドメインの新規取得を24日15時30分ごろから一時停止中と告知（上位レジストラ側の停止のため・再開未定。サーバーのみの新規申し込みとドメインの更新は影響なし）。サーバーの新規申し込みはできるので候補の条件2は満たすものとして扱い、順位は変えていない。お名前.com レンタルサーバーのファイルマネージャー・FTPの緊急メンテナンスが26日20時10分ごろに終了（共用サーバーGSはコントロールパネルを25日11時から予防停止中、共用サーバーSD等のメール不具合は26日15時44分に復旧）。KAGOYAはActive!mailを26日20時に再開（サポートサイトは27日再開予定に変更、新規申し込みは停止中）。エックスサーバー社のお知らせが26日16時に更新され、アクセス集中が落ち着いたと記載（26日付けでサポート窓口の回答遅延のお知らせも公開）。ヘテムルも26日16時31分に問い合わせ遅延を告知。ロリポップ!のログインしづらい障害は26日17時7分の更新で復旧済みになり、26日17時50分〜18時50分に再発したあと復旧（24日15時58分のDNSサーバーへのDDoS攻撃は同日17時3分に復旧済み）。php.netは23日付けの案内が最新で新しい修正版はなく、CISAの注意喚起は23日更新のまま、2件ともKEV未掲載。VPSの新規受付の状況（ConoHa VPS・KAGOYA CLOUD VPSは停止中、さくらのVPSは石狩のみ、シンVPS・XServer VPS・ABLENET VPSは受付中）も変わらず
• 2026年10月26日：14時30分時点に更新。エックスサーバー社の4サービス（エックスサーバー・シン・レンタルサーバー・スターレンタルサーバー・シンフリーサーバー）が26日6時20分に、PHP 5.1〜5.5について「対象となるすべてのサーバーへの修正パッチ適用が完了」と告知したので、表・結論・冒頭の状況別の道筋・時系列・各社の告知の詳細・各社の節・FAQ・まとめ・出典の「過半数のサーバーで完了」を書き換えた。これでエックスサーバーの安定性が○→◎（選べる5.1.6〜8.5がすべて完了）になり、7点→8点で3位に上がったため、採点表・費用の比較表・各社の節の並び・移行の手段の表・お試しの表・順位差の説明・まとめを並べ替えた（さくらのレンタルサーバは4位、シン・レンタルサーバーは5位に1つずつ下がる。9点・8点・8点・8点・7点・6点・6点と同点処理〈①安定性→②拡張性→③コスパ→月額〉をpythonで検算）。KAGOYAは「当社サービス状況」の管理画面等の表が26日14時時点に更新され、22日14時15分から止まっていたレンタルサーバー等の各コントロールパネルが14時に再開（Active!mailは27日中、サポートサイトは26日18時に再開予定、新規お申し込みは停止中のまま）。さくらのレンタルサーバは26日の更新で、さくら提供のPHPを使わず自分でインストールしたPHPは利用者側で対応が必要（サポート対象外）という注意事項を追加したので、各社の詳細に反映。バリューサーバー・コアサーバーV1・XREAは26日5時56分〜13時28分にファイルマネージャー（Web FTP）でファイル一覧が表示されない障害が起きて復旧したので、結論・FAQ・出典に反映。そのほかは変わらず（php.netは23日付けの追加の案内が最新で新しい修正版はなし、CISAの注意喚起は23日更新のままでKEV〈カタログ2026.10.23〉に2件は未掲載、JPCERT/CC・IPAは22日のまま、ロリポップ!・ヘテムルの新規申し込みとWebDAVの停止、ConoHa WING・ConoHa VPS・バリュードメインの新規受付の停止、お名前.com RSプランのファイルマネージャーとFTPおよびシングルサービスの緊急メンテナンスはいずれも終了の告知なし、さくらのステージングは停止中、ロリポップ!のログインしづらい事象は「発生中」、カラフルボックス・mixhostの告知も変化なし）。VPSの新規申し込みも変化なし（ABLENET VPS・XServer VPS・シンVPSとさくらのVPSの石狩が受付中、ConoHa VPS・KAGOYA CLOUD VPS・さくらのVPSの東京と大阪は停止中）のため vps-comparison は触っていない
• 2026年10月26日：8時30分時点に更新。コアサーバーV1・XREA・バリューサーバーが26日4時45分〜5時5分に全台で緊急メンテナンスを実施し、内容は「セキュリティ向上のためのSSHサーバーホスト鍵の更新作業」でウェブサイトの閲覧・メールの送受信・FTP接続の停止は発生していないとして完了を告知したので、結論・時系列・FAQ・出典に反映（初回のSSH／SFTP接続で鍵の変更の警告が出る場合があるという案内も追記）。お名前.comのシングルサービスが25日20時30分から改めて緊急メンテナンス（アカウントマネージャーCOMNaviが使えない・終了未定）に入ったことを、お名前.comの節と出典に追記。そのほかは変わらず（php.netは23日付けの追加の案内が最新で新しい修正版はなし、CISAの注意喚起は23日更新のままでKEVに2件は未掲載、JPCERT/CC・IPAは22日のまま、エックスサーバー社の3サービスはPHP 5.1〜5.5が「過半数のサーバーで完了」のままで全サーバーの完了の告知なし、KAGOYAはPHPの告知が23日12時30分・サービス状況が24日12時40分時点のまま、ロリポップ!・ヘテムルの新規申し込みとWebDAVの停止、ConoHa WING・ConoHa VPS・バリュードメインの新規受付の停止、お名前.com RSプランのファイルマネージャーとFTPの緊急メンテナンスはいずれも終了の告知なし、さくらのステージングは停止中、ロリポップ!のログインしづらい事象は「発生中」、カラフルボックス・さくら・mixhostの告知も変化なし）。移行先7社の採点と順位は変えていない（9点・8点・8点・7点・7点・6点・6点と同点処理をpythonで検算）。VPSの新規申し込みも変化なし（ABLENET VPS・XServer VPS・シンVPSとさくらのVPSの石狩が受付中、ConoHa VPS・KAGOYA CLOUD VPS・さくらのVPSの東京と大阪は停止中）のため vps-comparison は触っていない
• 2026年10月25日：20時30分時点に更新。25日12時から全台で緊急メンテナンスに入っていたコアサーバーV1が16時12分、XREAが16時19分に完了を告知し、バリューサーバーも16時45分〜17時45分に全台で同じ内容（セキュリティ向上およびシステム安定化のためのサーバーソフトウェア更新作業）の緊急メンテナンスを実施して完了したので、結論・時系列・FAQ・出典に反映。そのほかは変わらず（php.netは23日付けの追加の案内が最新で新しい修正版はなし、CISAの注意喚起は23日更新のままでKEVに2件は未掲載、JPCERT/CC・IPAは22日のまま、エックスサーバー社の3サービスはPHP 5.1〜5.5が「過半数のサーバーで完了」のままで全サーバーの完了の告知なし、KAGOYAはPHPの告知が23日12時30分・サービス状況が24日12時40分時点のまま、ロリポップ!・ヘテムルの新規申し込みとWebDAVの停止、ConoHa WING・ConoHa VPS・バリュードメインの新規受付の停止、お名前.com RSプランのファイルマネージャーとFTPの緊急メンテナンスはいずれも終了の告知なし、さくらのステージングは停止中、ロリポップ!のログインしづらい事象は「発生中」）。移行先7社の採点と順位は変えていない（9点・8点・8点・7点・7点・6点・6点と同点処理をpythonで検算）。VPSの新規申し込みも変化なし（ABLENET VPS・XServer VPS・シンVPSとさくらのVPSの石狩が受付中、ConoHa VPS・KAGOYA CLOUD VPS・さくらのVPSの東京と大阪は停止中）のため vps-comparison は触っていない
• 2026年10月25日：14時30分時点に更新。お名前.com レンタルサーバーのRSプランが25日0時30分から「予防保守の観点から」の緊急メンテナンスに入り、その間はファイルマネージャーとFTPが使えないこと、コアサーバーV1とXREAが25日12時から全台で緊急メンテナンス（ウェブサイトの閲覧・メール・FTPが1時間程度使えない見込み・終了未定）に入ったことを、結論・時系列・各社の告知の詳細・お名前.comの節・FAQ・出典に反映。CISAの注意喚起が10月23日に更新され、検知ルール（SIGMA）と関係機関の資料、緩和策の案内の補強が加えられていたので、要点の節と注記に追記。そのほかは変わらず（php.netは23日付けの追加の案内が最新で新しい修正版はなし、CISAのKEVに2件は未掲載、JPCERT/CC・IPAの注意喚起は22日のまま、エックスサーバー社3サービスは23日17時の更新でPHP 5.1〜5.5が「過半数のサーバーで完了」のまま、KAGOYAはPHPが23日12時30分・サービス状況が24日12時40分時点のまま、さくらのステージングは停止中、ロリポップ!のログイン障害は「発生中」、カラフルボックス・さくら・mixhost・バリューサーバー・ヘテムル・ConoHa WINGの告知も変化なし）。お名前.comのお知らせは受付の停止とは書いていないため候補に残し、コアサーバー・XREAは候補ではないので、移行先の7社と採点・順位は変えていない（9点・8点・8点・7点・7点・6点・6点をpythonで検算）。VPSの新規受付も変化なし（ABLENET VPS・XServer VPS・シンVPS・さくらのVPSの石狩が受付中、ConoHa VPS・KAGOYA CLOUD VPS・さくらのVPSの東京と大阪は停止中）のため vps-comparison は触っていない
• 2026年10月25日：8時30分時点に更新。ロリポップ!が25日1時35分の更新でWebDAVでの接続も一時停止の対象に加え（25日未明から）、ヘテムルも25日1時25分の更新でWebDAVの一時停止を告知したので、結論・自分のサイトで確かめること・各社の対応状況の表の補足・時系列・ロリポップ!の詳細・FAQ・出典に反映。ヘテムルの24日14時8分付けのお知らせは文字が読める状態になったので、FAQを「内容を確認できませんでした」から実際の内容（14時8分から新規の申し込みの受付を一時停止、不正アクセス等の被害は確認なし、契約中の人はこれまでどおり利用可）に書き換えた。そのほかは変わらず（php.netは23日付けの追加の案内が最新で新しい修正版はなし、CISAのKEVに2件は未掲載〈カタログ2026.10.23〉、JPCERT/CC・IPAの注意喚起は22日のまま、エックスサーバー社3サービスは23日17時の更新でPHP 5.1〜5.5が「過半数のサーバーで完了」のまま、KAGOYAはPHPが23日12時30分・サービス状況が24日12時40分時点のまま、さくらのステージングは停止中〈10月29日にメンテナンス予定〉、カラフルボックス・さくら・mixhost・バリューサーバー・コアサーバー・お名前.com・ConoHa WINGの告知も変化なし）。移行先の7社と採点・順位は変えていない（ロリポップ!とヘテムルは候補ではなく、候補7社の新規受付の状況も変わっていない）
• 2026年10月24日：20時30分時点に更新。ロリポップ!が24日19時22分にWordPress簡単引っ越し機能も一時停止の対象に加え、ConoHa WINGとConoHa VPSが24日13時40分から緊急メンテナンスに伴い新規お申し込みの受付を一時停止、バリュードメインが14時52分から新規ユーザー登録と新規お申し込み手続きを一時停止、お名前.comが13時40分から申し込み関連の手続きで緊急サービスメンテナンスに入ったことを反映。ConoHa WINGは候補の条件2（新規の申し込みができる）を満たさなくなったため移行先の候補から外し、7社で採点し直した（採点そのものは変えておらず、順位は1 カラフルボックス／2 スターレンタルサーバー／3 さくらのレンタルサーバ／4 シン・レンタルサーバー／5 エックスサーバー／6 mixhost／7 お名前.com レンタルサーバー）。お名前.comは「瞬断となる可能性」で受付の停止とは書かれていないため候補に残した。VPSの表はConoHa VPSを停止中に直し、申し込めるのはABLENET VPS・XServer VPS・シンVPS・さくらのVPS（石狩のみ）の4社に。エックスサーバー社3サービス（23日17時の更新・PHP 5.1〜5.5は過半数のサーバーで完了）、KAGOYA（PHPは23日12時30分、サービス状況は24日12時40分時点）、カラフルボックス・さくら・mixhost・バリューサーバー・コアサーバーの告知、php.netの告知（新しい修正版なし）、JPCERT/CC・IPAの注意喚起、さくらのステージング停止は変わらず
• 2026年10月24日：14時30分時点に更新。ロリポップ!が24日14時8分から新規の申し込み（無料お試しを含む）の受付を一時停止したので、候補の条件2（新規の申し込みができる）を満たさなくなったとして移行先の候補から外し、8社で採点し直した（採点そのものは変えておらず、順位は1 カラフルボックス／2 スターレンタルサーバー／3 さくらのレンタルサーバ／4 シン・レンタルサーバー／5 エックスサーバー／6 mixhost／7 お名前.com レンタルサーバー／8 ConoHa WING）。結論・時系列・各社の告知の詳細・採点の基準と根拠・移行の手段・お試しの条件・まとめ・出典に反映。KAGOYAの「当社サービス状況」のお知らせが24日12時40分時点に更新されたので時点を直した（停止中の範囲は23日18時17分時点と同じ）。エックスサーバー社3サービスのお知らせ（23日17時の更新・PHP 5.1〜5.5は過半数のサーバーで完了）、カラフルボックス・さくら・mixhost・ConoHa WING・お名前.com・バリューサーバー・コアサーバーの告知、php.netの追加の案内（新しい修正版なし）、JPCERT/CC・IPAの注意喚起、CISAのKEV未掲載、VPSの受付状況は変わらず
• 2026年10月22日：公開（各社の対応状況は10月22日11時時点）
• 2026年10月22日：さくらのレンタルサーバの続報（全バージョンの対応完了）とCISAの注意喚起の内容を反映し、移行先の採点を10月22日11時30分時点の状況で見直し
• 2026年10月22日：13時50分時点の状況に更新。ConoHa WING・お名前.com（順次適用中）、mixhost（全バージョンの適用完了）、ロリポップ!の公式サイト再開、エックスサーバー社のシンクラウドの再開、さくらの各機能の状況を反映。移行先にmixhost（5位）とシン・レンタルサーバー（6位）を加え、カラフルボックスの機能性を○→◎に訂正（無料のWordPress簡単移行ツールを確認。8→9点で順位は変わらず）。状況別のやること、移行の手段・お試しの条件・1年目と2年目以降の費用の比較を追加
• 2026年10月22日：20時30分時点に更新。ロリポップ!が全バージョンの対応完了（8.2〜8.5は公式の修正版、7.4以前は開発元の修正と自社の修正）を告知し16時57分に全サービスの復旧を報告、KAGOYAのレンタルサーバープランが7.4系・8.1系も含めて22日24時に完了見込みへ、さくらのphpMyAdminが15時15分に復旧（ステージングは停止中）、ConoHa WINGのファイルマネージャー・Webメールが再開（phpMyAdminは停止中）、ヘテムルが18時5分に全サービス復旧、バリューサーバー・コアサーバーの対象をPHP 5.2／5.3〜8.5に訂正。エックスサーバー・スターレンタルサーバー・XServer VPSの公式サイトが再開したので停止中の注記を外し、料金・機能を公式で再確認（シン・レンタルサーバーは停止中のまま）。ロリポップ!は移行先の2条件を満たしたが、採点の組み替えになるため次の見直しに回した
• 2026年10月22日：14時15分時点に更新。状況別の表をVPS・CentOS 7の行と分け、各社の対応状況の表を前に移動。VPSの選び方・CentOS 7の延長サポートとELevate・更新後に確かめることを追加。エックスサーバー社の公式サイト停止の注記を1つにまとめ、採点表の列を並べ替え。カラフルボックスの更新時の料金の扱い、移行代行の対象（メールは含まない）、確認用のサブドメインとhostsでの確かめ方、メールの確かめ方を追記。表にない3社（ヘテムル・バリューサーバー・コアサーバー）をよくある質問に追加
• 2026年10月22日：22時40分時点に更新。エックスサーバー社の3サービスの修正がPHP 5.6〜8.5まで完了（5.5以下は検証中）、ConoHa WINGが終報で提供中の全バージョンへの適用完了を告知、シン・レンタルサーバーの公式サイトも再開。移行先の候補にロリポップ!とConoHa WINGを加えて8社で採点し直し、スターレンタルサーバーとシン・レンタルサーバーの安定性を○→◎に（マニュアルで選べる7.2〜8.5がすべて完了の範囲）。順位は1 カラフルボックス／2 スターレンタルサーバー／3 さくらのレンタルサーバ／4 シン・レンタルサーバー／5 ロリポップ!／6 エックスサーバー／7 mixhost／8 ConoHa WING
• 2026年10月22日：23時15分時点に更新。お名前.com レンタルサーバーが20時45分に提供中の全PHPバージョン（5.6〜8.5）への適用完了を告知したので、移行先の候補に加えて9社で採点し直し（6点・8位）。機能性の①を「移行元の情報を入れるだけで移せる無料のツール」に限定、コスパは12ヶ月の通常料金が見当たらない場合に1ヶ月契約の通常料金で比べることと上乗せの費用を含めることを明記（カラフルボックスは月792円で○のまま、2年目以降は記載なしに）、安定性に運営の継続性の条件を追加（9社とも満たす）、同点のときの最後はコスパで比べた月額の安い順と明記。エックスサーバー社3サービスのサーバー移転代行、シン・レンタルサーバーとスターレンタルサーバーの再開時刻、ConoHa WINGとお名前.comのバージョン番号の表示の説明を公式の書き方に直し、出典を追加。順位は1 カラフルボックス／2 スターレンタルサーバー／3 さくらのレンタルサーバ／4 シン・レンタルサーバー／5 ロリポップ!／6 エックスサーバー／7 mixhost／8 お名前.com レンタルサーバー／9 ConoHa WING
• 2026年10月23日：10時15分時点に更新。主な共用サーバーがほぼ修正を終えたので、冒頭を「自分のサイトで確かめること」（PHPのバージョン・WordPress本体とプラグインの更新・覚えのない管理者ユーザーやファイル）中心に組み直し、時系列の表を追加。KAGOYAは「22日24時に完了見込み」のまま完了の告知がないこと、会員サイト・コントロールパネル等の緊急メンテナンスが続いていること、エックスサーバーの5.5以下が検証中のままであること、さくらのステージングの停止継続と10月29日のメンテナンス予定、ロリポップ!のユーザー専用ページのログイン障害を反映。JPCERT/CC・IPAの注意喚起（侵害の調べ方を含む）、watchTowrによる悪用の観測の報告、CISAのKEVに未掲載であること、WordPress公式の案内、Ubuntu・AlmaLinux・Rocky Linux・Debian・Red Hatの修正状況を追記。採点に関わる事実は変わらず、順位は1 カラフルボックス／2 スターレンタルサーバー／3 さくらのレンタルサーバ／4 シン・レンタルサーバー／5 ロリポップ!／6 エックスサーバー／7 mixhost／8 お名前.com レンタルサーバー／9 ConoHa WINGのまま
• 2026年10月23日：14時30分時点に更新。KAGOYAが12時30分の更新で、レンタルサーバープランの対象（PHP 7.4系・8.1系・8.2系〜8.5系）へのアップデートを22日14時40分〜24時に実施したと告知したので、表・結論・各社の詳細を「完了の告知なし」から書き換え。KAGOYAは新規申し込みを止めたままで候補の条件2を満たさないため移行先には入れず、採点と順位は変わらず（1 カラフルボックス／2 スターレンタルサーバー／3 さくらのレンタルサーバ／4 シン・レンタルサーバー／5 ロリポップ!／6 エックスサーバー／7 mixhost／8 お名前.com レンタルサーバー／9 ConoHa WING）。ConoHa VPSが23日に新規申し込みの受付を再開したので、VPSの表と本文を更新。ロリポップ!の問い合わせ対応の遅延を追記。エックスサーバーの5.5以下は22日20時10分の更新のまま検証中、さくらのステージングとKAGOYAの各種メンテナンスは継続中、CISAのKEV（10月21日版）は2件とも未掲載で変わらず
• 2026年10月23日：20時30分時点に更新。PHPの開発元が23日付けで出した追加の案内（次の定期リリースまで session.upload_progress.enabled=0 を勧める／CVE-2026-115560）を節として追加し、自分のサイトで確かめること・VPSの確認項目・時系列に反映。エックスサーバー社3サービスのお知らせが23日16時20分時点に更新され、WEBメール・ファイルマネージャ・API／MCP・新規お申し込み・お問い合わせフォームなど全機能が再開（サポートサイトとサーバーパネルは一部メンテナンス中）、PHP 5.5以下は検証中のままなので各社の詳細と採点の根拠を書き換え。KAGOYAが23日に「当社サービス状況」のお知らせを出し、18時17分時点で会員サイトとVPSのコントロールパネルは稼働中に戻った一方、レンタルサーバー等のコントロールパネル・サポートサイト・新規お申し込みは停止中であることを反映。さくらのVPSが23日15時30分に石狩リージョンのみ新規申し込みを再開したのでVPSの表と本文を更新、ABLENET VPSの申し込み集中の案内を追記。CISAのKEVは2件とも未掲載、IPA・JPCERT/CCの注意喚起とさくらのステージング停止・ロリポップ!のログイン障害は変わらず。候補の2条件（8.2〜8.5の完了告知／新規申し込み可）に動きがないため、採点と順位は変わらず（1 カラフルボックス／2 スターレンタルサーバー／3 さくらのレンタルサーバ／4 シン・レンタルサーバー／5 ロリポップ!／6 エックスサーバー／7 mixhost／8 お名前.com レンタルサーバー／9 ConoHa WING）
• 2026年10月24日：8時30分時点に更新。エックスサーバー社の3サービス（エックスサーバー・シン・レンタルサーバー・スターレンタルサーバー・シンフリーサーバー）のお知らせに23日17時の対応経過が追加され、PHP 5.1〜5.5について「対象となる過半数のサーバーへの修正パッチ適用が完了」と告知されたので、表・結論・各社の詳細・採点の根拠の「検証中」を書き換え（全サーバーでの完了の告知はまだ）。同じお知らせの23日13時15分の追記（管理画面へのアクセス集中が続いていること、5.6〜8.5は適用済みで急いでバージョンを変える必要はないこと）も反映。ABLENET VPSの申し込み集中のお知らせが23日23時の追記で「その後、問題は改善」としたのでVPSの章を更新。さくらのステージング停止・ロリポップ!のログイン障害・KAGOYAの各コントロールパネルと新規申し込みの停止・CISAのKEV未掲載・JPCERT/CC・IPAの注意喚起・php.netの追加の案内（新しい修正版なし）・VPSの受付状況は変わらず。エックスサーバーの安定性は全サーバーでの完了ではないため○のままで、採点と順位は変わらず（1 カラフルボックス／2 スターレンタルサーバー／3 さくらのレンタルサーバ／4 シン・レンタルサーバー／5 ロリポップ!／6 エックスサーバー／7 mixhost／8 お名前.com レンタルサーバー／9 ConoHa WING）
• 2026年10月24日：さくらのレンタルサーバ（8月）とConoHa WING（9月）のサーバーへの不正アクセスの公表、エックスサーバーの委託先のメール配信サービスからのメールアドレスの漏えい（10月23日）を、各社の節と出典に追記。この記事の安定性（今回の脆弱性への対応と運営の継続性）には当たらないため、採点と順位は変わらず