株式会社フィーノ
平素より大変お世話になっております。
10月21日、WordPressなどを動かしているプログラム言語「PHP」に、深刻な脆弱性が2件見つかり、修正版が公開されました。当社でホームページの制作や保守をお預かりしているお客様に向けて、現在の状況と、今後の対応についてご案内します。
10月23日更新：お預かりしているサイトは、すべて修正済みのPHP 8.3 への切り替えを終えました。詳しくは「PHPの脆弱性への対応を終えました」をご覧ください。
10月22日13時更新：エックスサーバーの管理画面が再開したことを受けて、内容を更新しました。当社では、お預かりしているサイトのPHPを緊急で新しい版に上げます。
先にお伝えしたいこと
- 当社で、お預かりしているサイトのPHPを緊急で新しい版に上げます。 緊急の対応のため、日時の個別のご相談はせずに進めます。
- 版を上げたことで表示が崩れた場合は、当社で調整します。 お客様に操作していただくことはありません。
- エックスサーバーでは、サーバー会社の側でも修正の適用が進んでいます。
- この件に関連して、サーバー会社や当社を名乗る不審なメールが届いた場合は、メールのリンクを開かず、当社までお知らせください。
何が起きたのか
PHPは、WordPressをはじめ多くのホームページの裏側で動いているプログラム言語です。今回見つかった欠陥は、悪用されると、ログインしていない第三者がインターネット越しにサーバーを操作できるおそれがあるものでした。深刻度は「緊急」と評価されています。
WordPress本体やプラグインの問題ではなく、その土台にあるPHPの問題です。このため、WordPressを最新にしているサイトも対象になります。修正の方法は、サーバーのPHPを修正版に入れ替えることです。
技術的な詳しい経緯は、当社ブログの「PHPの深刻な脆弱性（php2shell）について、当社サーバーで確かめたこと」にまとめています。
エックスサーバーでの対応
当社のサイトも置いているエックスサーバーについて、同社の告知（10月22日9時30分時点）と、当社のサーバーで確認した内容は、次のとおりです。
22日9時30分から、管理画面が順に再開しています。 アカウント管理画面とサーバーパネルは使えるようになりましたが、一部の機能は引き続きメンテナンス中です。WEBメールとお問い合わせフォームはまだ止まっています。エックスサーバーの公式サイトも止まったままで、本日中に再開する予定と案内されています。
管理画面には、つながりにくい状態が続いています。 再開直後でアクセスが集中しているためです。今回の対応で、お客様に管理画面を操作していただく必要はありません。当社の作業は、つながったところから順に進めます。
PHP 8.2〜8.5 は、修正が終わりました。 エックスサーバーは22日6時45分に、対象となるすべてのサーバーで修正の適用が終わったと発表しています。
PHP 8.1 以前は、修正の適用が進んでいるところです。 古い版には公式の修正版がなく、エックスサーバーが独自の修正を作り、確認が済んだものから順に適用しています。当社のサーバーでも、22日11時ごろに 7.4、8.0、8.1 の新しい修正版が入ったことを確かめました。ただし、すべての古い版で適用が終わったという発表はまだありません。
ホームページの表示や、メールソフトでのメールの送受信は、メンテナンスの間も通常どおり使えています。
当社の対応
PHPを、緊急で新しい版に上げます。 古い版（8.1以前）で動いているサイトは、修正が当たっていても、公式の支えがない状態が続きます。8.2 も2026年12月31日でサポートが終わります。このため、お預かりしているサイトは、修正済みで当面サポートが続く 8.3 以上に上げます。
緊急の対応のため、日時を個別にご相談せずに進めます。作業の前には、サイトのバックアップを取ります。
表示の調整は、当社で行います。 何年も前に作ったサイトでは、PHPの版を上げたときに、ページの一部が表示されない、プラグインが動かない、といったことが起きる場合があります。版を上げたあとに当社で表示とお問い合わせフォームを確かめ、崩れた所は当社で直します。直すまでの間、一部のページが見づらくなる場合があります。ご迷惑をおかけしますが、ご了承ください。
あわせて、次のことも確認します。
- 修正版が当たっているか
- サイトに、改ざんや見覚えのないファイルが増えていないか
- WordPress本体とプラグインが最新になっているか
今後起こりうること
- 管理画面のつながりにくさは、しばらく続くかもしれません。 エックスサーバーの公式サイトの再開は本日中の予定で、それまでは一部の機能が使えません。
- 便乗した偽メールが届くおそれがあります。 大きなメンテナンスのあとは、サーバー会社を名乗って「対応のためログインしてください」「お支払い情報を更新してください」と誘うメールが出回りやすくなります。
お客様にご確認いただきたいこと
- ホームページが、いつもどおり表示されているか。 当社でもPHPの版を上げたあとに確認しますが、表示の崩れや、見覚えのないページや文章、海外のサイトへの転送などに気づいたら、お知らせください。
- お問い合わせフォームから、いつもどおりメールが届いているか。
- 不審なメールのリンクを開いていないか。 サーバー会社や当社を名乗るメールでも、リンクからログインはせず、まず当社にご連絡ください。サーバーパネルに入るときは、ブックマークや公式サイトから入ってください。
- ご自身でのPHPの版の切り替えは、お控えください。 当社の作業と重なると、どちらの変更で表示が変わったのか分からなくなるためです。
お客様ご自身でサーバーを契約されている場合も、PHPの版の確かめ方などはご相談ください。
お問い合わせ
ご不明な点やご心配なことがありましたら、いつもの担当者、またはお問い合わせフォームからご連絡ください。
状況に変化があった場合は、このページに追記してお知らせします。
参考
- エックスサーバー「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」（2026年10月22日9:30時点）
- PHP 公式サイトの告知（2026年10月21日）