PHPの脆弱性、XServer利用者は何を確認する？当サイトの停止・再開記録

PHPの重大な脆弱性が公表され、「自分のWordPressも止めるべき？」「XServerが直したなら何もしなくていい？」と迷っている人へ。まず確認したいのは、契約しているサービスの対応状況と、自分のサイトが実際に使っているPHPです。WordPress本体のバージョンとは別の項目です。

当サイトも予防的に一時停止し、10月23日に再開しました。この記事では公式案内と、その際に実際に確認したことを分けて紹介します。

情報確認：2026年10月23日。更新の早い事案のため、作業前に各公式リンクの追記をご確認ください。当サイトの再開確認は侵入・改ざんがなかったことを保証する調査ではありません。

何が起きた？WordPressの更新だけでは解決しない

PHP公式は10月21日、認証なしの遠隔コード実行につながる2件の問題に対応した修正版を公開しました。公開された版は8.2.35、8.3.36、8.4.27、8.5.12です。PHP公式のセキュリティ告知

PHPはWordPressをサーバー上で動かす仕組みです。WordPress公式も、今回の問題はWordPressだけに特有のものではなく、PHP側の対応を確認するよう案内しています。「WordPressは最新版」と「PHPの修正が適用済み」は、別々に確かめる必要があります。WordPress公式の案内

XServerの対応状況と、サービスの違い

XServerの10月23日更新の案内では、レンタルサーバーで提供するPHP 5.6〜8.5について、対象全サーバーへの修正適用が完了しています。8.2〜8.5は同じ系列の修正版へ更新、5.6〜8.1はバージョン番号を変えずに対策したと説明されています。番号だけで古い系列の対策有無を断定しないことが大切です。XServer公式の対応状況

契約サービスを見て確認先を分ける
利用形態最初に見るもの
XServerのレンタルサーバー公式告知の対象サービス・PHP系列と、サーバーパネルの対象ドメイン
XServer VPSなど自分で管理するサーバーOSやPHPの管理担当者による適用状況。レンタルサーバーの完了案内を流用しない
制作会社に管理を任せているサイト契約サービス名、修正適用日時、Webで実行中のPHPの確認結果

公式案内はVPSのPHP更新を利用者側で行う必要があるとしています。また、ホストが今回の修正を提供していても、古いPHP系列を長期利用する計画の見直しとは別の話です。

WordPressでPHPの版を確認する手順

  1. 管理画面で「ツール」→「サイトヘルス」を開く。
  2. 「情報」タブの「サーバー」を開く。
  3. PHPバージョンを読み、サーバー会社の告知と照合する。
  4. 複数サイトがある場合は、サイトごとに確認結果を残す。

この確認先はWordPress公式も案内しています。サーバーパネルに複数ドメインが並んでいる場合は、見ている行が目的のサイトかも確かめましょう。公開された診断サイトに管理画面のパスワードを入力する必要はありません。

当サイトで実際に確認した停止・再開の記録

以下は仮想例ではなく、szkkex.comの運用記録です。XServer全体の停止期間を示すものではありません。当サイトは独自に公開アクセスを止めていました。

当サイトの確認結果（日本時間）
時点確認・実施したこと
10月21日22時15分頃設定をバックアップして予防的に一時停止。公開ページ・管理画面とも503応答を確認。PHPは8.3.35だった
10月23日の再開前XServer公式の対象サーバー修正完了と、管理画面に表示されたPHP 8.3.36を確認
同日23時10分頃まで停止設定を解除し、Webで動作中のPHPも8.3.36と確認。記事一覧・全8ツール・2ゲーム等のページ応答と管理画面の復帰を確認

実施したのは修正版の確認と再開後の表示確認です。全ツールの全機能試験やアクセスログの侵入調査までは行っていません。「画面が表示できた」という結果を「不正アクセスは一切なかった」と読み替えることはできません。

10月23日の追加案内にも注意

PHP公式は10月23日、特定の設定とアプリの処理が組み合わさる場合について追加案内を掲載しました。次の通常修正版まで session.upload_progress.enabled=0 を推奨しており、実行中にセッションの保存形式を変更しないアプリでは機能を有効のまま使えるとも説明しています。PHP公式「Informational advisory: Session upload progress」

したがって、10月21日の修正版へ更新できたという確認だけで、その後の案内を見なくてよいわけではありません。当サイトではこの記事作成時点で、この追加条件に関わる全プラグインの調査までは実施していません。設定変更の可否やアプリへの影響は、ホストまたは管理担当者に確認してください。

問い合わせるときの短いメモ

管理を任せている場合は、次のように質問を分けると回答を照合しやすくなります。これは編集部が作成した問い合わせ例です。

対象サイトのWeb実行PHPと、10月21日公表の修正適用状況を教えてください。10月23日のSession upload progressの追加案内について、影響条件に該当するか、必要な対応があるかも確認したいです。回答には確認日時を添えてください。

関連：不審な通知が届いたときの確認方法。更新を促すメールから直接ログインする前に、普段利用している正規の管理画面から確認しましょう。

鈴掛マガジンの記事一覧へ