エックスサーバー

PHPの脆弱性（CVE-2026-109618／CVE-2026-109619）
対応状況とよくある質問

概要

2026年10月21日（水）23:00頃に詳細と修正版が公開されたPHPの脆弱性（CVE-2026-109618／CVE-2026-109619）について、当社の対応状況と、お客様に確認いただきたいことをまとめました。

エックスサーバー、XServerビジネス、XServer for WordPressでは、10月26日（月）6:20までに、PHP 5.1〜8.5のすべての対象サーバーへの対応が完了しています。 これらのサービスをご利用のお客様は、今回の脆弱性への対策として、PHPのバージョンを急いで変更いただく必要はございません。

XServer VPS（VPSクラウド・ビジネスプランを含む）では、当社による修正パッチの適用は行っておりません。お客様ご自身で修正版へのアップデートをお願いいたします。

※本ページは、上記2件の脆弱性を対象としています。2026年10月23日にPHPの開発元から追加で告知された脆弱性については、本ページの対象外です。

（2026年11月2日版）
本ページの内容は、状況に応じて随時更新いたします。

本脆弱性の影響と不正アクセスについて

当社が提供する公式サイトや管理画面などの各種サイト・ツールでは、本脆弱性を悪用した攻撃は確認されておりません。

また、お客様が運用されているWebサイトについても、現時点で、本脆弱性を悪用した不正アクセスの被害報告は当社に寄せられておりません。今後、新たな事実が判明した場合は、本ページにてお知らせいたします。

万一、Webサイトの改ざんや身に覚えのないファイルなど、不審な点にお気づきの場合は、マニュアル「不正アクセス（ファイルの改ざん、不正なファイル設置）について」をご確認ください。

対応の経緯

当社では、修正版の公開前から緩和策を実施し、公開後は新しいバージョンから順に修正を適用しました。お客様のサーバーは、いずれの段階でも稼働を継続したまま対応しています。

日時 内容
2026年10月21日（水）12:00まで 修正版公開前の緩和策を、対象サーバーに実施
2026年10月21日（水）23:00頃 PHPの開発元が、脆弱性の詳細と修正版を公開
修正版公開後〜 PHP 8.2〜8.5から順次修正を適用し、開発元のサポートが終了した旧バージョンにも対応を拡大
2026年10月26日（月）6:20 PHP 5.1〜8.5のすべての対象サーバーへの対応が完了

※サーバーごとの個別の適用日時は公開しておりません。

サービス別の対応状況

レンタルサーバーとその他のサービスは当社で対応済みです。VPSのみ、お客様ご自身での対応が必要です。

サービス 対応状況 お客様の対応
エックスサーバー／XServerビジネス／XServer for WordPress 当社で対応済み（下表参照） 原則不要
XServerドライブ／XServerショップ サービスのシステムで使用しているPHPに、当社で修正パッチを適用済み 不要
XServer VPS／XServer VPS（ビジネスプラン）／XServer VPS クラウド 当社による修正パッチの適用は行っていません 必要（ご利用中のPHPを確認し、修正版へのアップデートなどを実施）

レンタルサーバーのPHPバージョン別の対応内容

PHPバージョン 対応内容
PHP 8.2〜8.5 対象となるすべてのサーバーを、同じ系列の修正版に更新済み
PHP 5.1〜8.1 対象となるすべてのサーバーに、修正パッチを適用済み（お客様が設定しているバージョンは変更していません）

お客様に必要な対応

レンタルサーバーをご利用のお客様は、今回の脆弱性への対策として、作業いただく必要は原則ございません。PHPのバージョンを急いで変更いただく必要もございません。

ただし、ご利用状況によっては、お客様にも追加の対策をお願いする場合がございます。その際は、改めてご案内いたします。

VPSをご利用のお客様は、ご利用中のPHPバージョンをご確認のうえ、修正版へのアップデートなど、適切な対策を実施してくださいますようお願いいたします。

ご利用中のPHPバージョンを確認する方法

PHPのバージョンは、サーバーパネルの「PHP Ver.切替」から、ドメインごとに確認できます。

  1. サーバーパネルにログインし、「PHP Ver.切替」をクリックします。
  2. 一覧に、ドメインごとの現在のPHPバージョンが表示されます。

表示されたバージョンが5.1〜8.5のいずれかであれば、今回の対応の対象です。詳しくは、マニュアル「PHPのバージョンについて」をご覧ください。

今後のPHPバージョン運用について

今回の脆弱性とは別に、日頃のセキュリティ対策として、PHP 8.3以上のご利用をおすすめいたします。PHP 8.1以前は開発元のサポートがすでに終了しており、PHP 8.2も2026年12月31日に終了する予定です。サポートが終了したバージョンでは、今後見つかる脆弱性について、今回と同様に修正パッチを提供できるとは限りません。

PHPのバージョンは、サーバーパネルの「PHP Ver.切替」からドメインごとに変更できます。変更の前には、バックアップの取得と、WordPress本体・プラグイン・テーマの更新をおすすめいたします。変更後に表示などに問題が起きた場合は、同じ画面から元のバージョンに戻すことができます。

よくある質問

Q1. 自分のサーバーは対策済みですか？

エックスサーバー、XServerビジネス、XServer for WordPressで、PHP 5.1〜8.5をご利用のドメインは、すべて対策済みです。10月26日（月）6:20までに、すべての対象サーバーへの対応が完了しています。ご利用中のバージョンは「ご利用中のPHPバージョンを確認する方法」の手順でご確認ください。

Q2. PHPのバージョンを変更する必要はありますか？

今回の脆弱性への対策として、急いで変更いただく必要はございません。PHP 5.1〜8.1は、お客様が設定しているバージョンのまま修正パッチを適用しています。PHP 8.2〜8.5は、それぞれ同じ系列の修正版に更新しています。

Q3. PHP 8.1以前は開発元のサポートが終了していますが、対策されていますか？

はい。開発元のサポートが終了したPHP 5.1〜8.1についても、当社で修正パッチを適用しています。

Q4. 自分のサーバーに対策が適用された日時を教えてもらえますか？

サーバーごとの個別の適用日時は公開しておりません。すべての対象サーバーへの対応は、10月26日（月）6:20までに完了しています。

Q5. 修正版が公開される前の期間は、無防備だったのですか？

修正版の公開前から、対象サーバーに緩和策を実施していました。緩和策は、10月21日（水）12:00までに実施を完了しています。

Q6. アクセスログやエラーログは、どこで確認できますか？

サーバーパネルの「アクセスログ」「エラーログ」から、ドメインごとに確認・ダウンロードできます。アクセスログは過去30日分を取得できますので、必要な場合はお早めに保存してください。詳しくは、マニュアル「アクセスログ」「エラーログ」をご覧ください。

Q7. 取引先や親会社から、対応状況の説明を求められています。

本ページ、またはお知らせ「【重要】PHPの脆弱性（CVE-2026-109618／CVE-2026-109619）に関するお客様のご利用サーバー環境への安全対策について」の内容をご活用ください。

Q8. VPSを利用していますが、対策されていますか？

XServer VPS、XServer VPS（ビジネスプラン）、XServer VPS クラウドでは、当社による修正パッチの適用は行っておりません。VPSでは、OSやPHPなどのソフトウェアをお客様ご自身で管理いただく必要があります。ご利用中のPHPバージョンをご確認のうえ、修正版へのアップデートなどの対策をお願いいたします。

Q9. XServerドライブ、XServerショップは対策されていますか？

はい。これらのサービスのシステムで使用しているPHPに、当社で修正パッチを適用しています。お客様による対応は不要です。

関連情報