サイトヘルスのPHPバージョンが変わらない…本当に修正済み？サーバー別に確認

サイトヘルスに出るPHPのバージョンが修正版の番号（8.4.27など）に変わっていなくても、レンタルサーバーなら修正済みのことがあります。ConoHa WINGとmixhostは、番号を変えずに修正を当てたと公式に発表しています。

悩見有造

PHP2Shellの修正版は8.4.27と聞いたのに、うちのWordPressのサイトヘルスは8.4.26のままです。これって修正されていないんですか？

編集長

レンタルサーバーの場合、番号はそのままで中身だけ直していることがあるので、番号ではなく契約しているサーバー会社のお知らせで判断します。5社の発表を並べて確認しましょう。

結論：番号が変わらなくても修正済みのことがある

編集長

まずは「なぜ番号が変わらないのか」を押さえておくと、ほかのサーバーの発表も読みやすくなります。

修正版の番号はPHP公式が決めたもの

PHP公式は2026年10月21日に、8.2.35・8.3.36・8.4.27・8.5.12の4つの修正版を公開しました。どれもPHP2Shell（CVE-2026-109618・CVE-2026-109619）の修正を含みます。

自分でPHPを入れているサーバーなら、この番号以上になっていれば修正済みです。レンタルサーバーでは、この番号にならない修正の仕方もあります。

ConoHa WINGは「番号が変わらなくても修正済み」と明言

ConoHa WINGは10月22日の終報で、利用者のバージョンを変えずに、提供中のすべてのPHPへセキュリティパッチを当てたと発表しました。WordPressのサイトヘルスで8.5.11と出ていても修正は入っている、という例まで書いています。

適用は10月22日20時45分に完了しています。ConoHa WINGの利用者は、自分でバージョンを変える必要はないと案内されています。

mixhostも番号を変えずに修正

mixhostは、PHP 5.2～8.5の修正を、バージョン番号を変えずに当てたと発表しました。サイトヘルスやphpinfoの表示は修正後も同じだと説明しています。

適用の完了は10月22日10時18分ごろです。利用者が行う作業はないと案内されています。

サーバー別：修正の状況と表示される番号

編集長

5社の公式発表を表にしました。「番号がどうなるか」は、書いていない会社もあるので、書いてあることだけ載せています。

出典：各社の公式発表（2026年11月7日確認）。エックスサーバー・ConoHa WING・さくら・mixhostは、利用者が急いでバージョンを変える必要はないとしています。

一方でロリポップは、この機会に8.2以降へ切り替えるよう呼びかけています。

エックスサーバー：8.2以上は修正版に更新済み

エックスサーバーは、PHP 8.2～8.5を同じ系列の修正版に更新したと発表しています。8.1以下は、利用者が設定しているバージョンを変えずに修正を当てています。

対象はエックスサーバー・XServerビジネス・XServer for WordPressなどです。XServer VPSは会社側で修正を当てていないので、利用者が自分で更新します。

ロリポップ：一部の機能を止めて対策

ロリポップは、すべてのPHPでsession.upload_progressという機能を無効にしたと発表しています。サイトがこの機能を使っていないかの確認も呼びかけています。

脆弱性を狙ったとみられるアクセスはあったものの、不正アクセスや情報漏えいは確認されていないとしています（ロリポップの発表時点）。

さくらのレンタルサーバ：8.1以下は番号そのまま

さくらインターネットは、選べるすべてのPHP（8.3・8.2・8.1・8.0・7.4・5.6など）に修正を当てたと発表しています。8.1以下は修正を移植する方法のため、番号は変わらないと説明しています。

一方で、利用者が自分でインストールしたPHPはサポート対象外です。自分で入れたPHPは自分で対応する必要があります。

自分のサイトのPHPバージョンを確認する方法

編集長

番号を確認する場所は2つあります。WordPressの管理画面と、サーバーの管理画面です。

WordPressのサイトヘルスで確認する

WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開くと、PHPのバージョンが表示されます。WordPress公式のマニュアルでも、サイトヘルスは「ツール」の中にあると案内されています。

ここに出る番号が修正版より古くても、ConoHa WINGやmixhostのように修正済みの場合があります。番号だけで「未修正」と決めないでください。

サーバーの管理画面で確認する

サーバーの管理画面では、ドメインごとに設定しているPHPのバージョンが分かります。エックスサーバーは「PHP Ver.切替」、ロリポップは「PHP設定」、ConoHa WINGは「サイト設定」→「応用設定」で確認できます。

画面ごとの手順は、【サーバー別】PHPバージョンの確認・変更方法｜エックスサーバー・ConoHa WING・ロリポップ・さくら・mixhostにまとめています。

判断の基準は「サーバー会社の発表」

修正済みかどうかは、番号ではなく、契約しているサーバー会社の公式発表で判断します。上の表の会社なら、レンタルサーバーの利用者は対応完了と発表されています。

発表が見つからない会社なら、サポート窓口に問い合わせるのが確実です。「PHP2Shell（CVE-2026-109618）への対応は済んでいますか」と聞けば伝わります。

修正済みでも残る3つの注意点

編集長

「修正済みだからもう何もしなくていい」とは限りません。残っている注意点を3つ挙げます。

PHP 8.2は12月31日でサポートが終わる

PHP 8.2のセキュリティサポートは、2026年12月31日で終わります（PHP公式）。今回は修正が出ましたが、年明け以降に見つかる脆弱性には、PHP公式の修正版が出ません。

8.2を使っているなら、年内に8.3以上へ切り替えておくのが安全です。理由と手順は「PHP 8.2は2026年12月31日でサポート終了｜WordPressで今やる3つのこと」で説明しています。

PHP 8.1以前はPHP公式の修正がない

PHP 8.1以前は、PHP公式のサポートがすでに終わっていて、修正版のリリースは出ていません。今回はPHPのセキュリティチームが7.4～8.1向けに最小限の修正コードを出し、サーバー各社もそれやOSベンダーの修正などを当てましたが、毎回そうなるとは限りません。

ロリポップ・さくら・mixhostは、いずれもサポート期間内のバージョンへの切り替えを勧めています。

VPSや自分で入れたPHPは自分で更新する

レンタルサーバーの対応は、会社が管理しているPHPだけが対象です。エックスサーバーはXServer VPSに修正を当てていないと明記しています。

さくらインターネットも、VPSなどで自分で動かしているPHPは利用者が更新するよう案内しています。VPSを使っているなら、PHPを修正版（8.2.35・8.3.36・8.4.27・8.5.12以上）へ更新します。

よくある疑問

編集長

よくある疑問を取り上げます。

WordPressを最新にすれば直りますか？

いいえ、WordPress本体を更新しても今回の脆弱性は直りません。PHP2ShellはPHP本体の脆弱性なので、PHPそのものに修正が当たっている必要があります。

ただ、PHPを新しいバージョンに切り替える前には、WordPress本体・テーマ・プラグインを最新にしておきます。古いテーマやプラグインは、新しいPHPで動かないことがあるためです。

phpinfoでも番号は同じですか？

mixhostは、サイトヘルスもphpinfoも、修正後に表示は変わらないと説明しています。ConoHa WINGもサイトヘルスの例を挙げて、番号が修正版と一致しないことがあると説明しています。

どちらの画面でも、番号が古いままなら、サーバー会社の発表で修正済みかを確かめます。

PHP2Shellの件は、これで全部片付いたのですか？

2件の脆弱性（CVE-2026-109618・CVE-2026-109619）は修正版が出ていますが、PHP公式は10月23日に、起きにくい条件で悪用される別の経路（CVE-2026-115560）について、次の定期リリースで対応すると告知しています。PHP公式は、それまでの間 session.upload_progress を無効にする設定を勧めています。

エックスサーバーは、この10月23日の告知分は自社の発表の対象外と明記しています。ロリポップはすべてのPHPで session.upload_progress を無効にしたと発表しているので、契約しているサーバーの続報を確認しておきます。