VPS・自社サーバーのPHPサイトは、なぜまだ危ないのか
共用レンタルサーバーなら各社がPHP2Shellの修正を終えましたが、VPSや自社サーバーのWordPressは誰かが手を打つまで穴があいたままです。直す人の違いと、更新したつもりで終わっていない三つの落とし穴を説明します。
著者 Jeensuk Yang
PHPフリー · Webセキュリティ · リスク編 03
?こんな方におすすめです
- 会社のサイトがVPSや自社サーバーで動いている方
- 制作会社がサーバーまで用意してくれたので、仕組みがよくわからない方
- PHPを自分たちで更新しなければならず、何に気をつければよいか知りたい方
!この記事でわかること
- 共用レンタルサーバーとVPSで「直す人」がどう違うのか
- 更新したつもりで終わっていない、三つの落とし穴
- すぐに更新できないときの応急処置と、その限界
同じWordPressなのに、結果が分かれました。
10月22日のうちに直ったサイトがある一方で、今もそのままのサイトがあります。違いはひとつ。サイトが「共用レンタルサーバー」にあるか、「VPS」にあるかです。
共用レンタルサーバーなら、この記事の多くは当てはまりません。VPSかもしれない、あるいはわからない方は、ぜひ最後までお読みください。
同じWordPressなのに、なぜ結果が分かれるのか？
PHPを直す人が違うからです。共用レンタルサーバーはサーバー会社が、VPSや自社サーバーは利用者が直します。
今回もエックスサーバー、さくらインターネット、ロリポップ！、ConoHa WINGなどが一斉にPHPを修正しました。1·2·3·4 一方で、エックスサーバーはVPSについて自社では修正パッチを適用していないとし、さくらインターネットもVPSは最新版への更新を勧めています。1·2
一戸建ては自由に建て替えられる代わりに、基礎にひびが入れば自分で直さなければなりません。
| 共用レンタルサーバー | VPS・自社サーバー | |
|---|---|---|
| PHPを直す側 | サーバー会社 | 利用者（または制作会社） |
| 今回の修正 | 10/21〜22に各社が完了 | 誰かが作業するまで未対応 |
| 古いPHPのバージョン | 各社が独自に修正を入れた例もある | 自分で対応する必要がある |
「制作会社に保守費を払っているから大丈夫」と思うかもしれません。ただ、パロアルトネットワークスの調査では、セキュリティを外部に委託している中小企業は63%で、そのうち29%は委託内容自体を把握していませんでした。5 保守契約の中に「PHPの更新」が入っているかどうかは、契約書を見るか、聞いてみるまでわかりません。
マンションの基礎は管理会社が直しますが、一戸建ての基礎は家の持ち主が直します。
ヤンのまとめVPSのサイトは、「誰がやるか」を決めていなければ、誰もやっていないかもしれません。
古いPHPは、どれくらい使われているのか？
思っているより多いです。海外の調査会社CybelAngelの報告を見ると、「最新のPHPにすればいい」が多くのサイトにとって簡単ではないことがわかります。6
PHPの開発チームは、8.1以前はもう更新を出さないとしたうえで、今回は深刻さを考えて7.4・8.0・8.1向けに最小限のソースコード修正を公開しました。7 これは通常の修正版の配布ではなく、ソースから自分で組み立てる（ビルドする）必要が出る場合もあります。8
共用サーバーなら、この作業はサーバー会社が代わりにしてくれました。ロリポップ！は、公式の修正がないPHP 5.3〜7.3にも、自社で作った修正を適用しています。3
ヤンのまとめマンションなら管理会社が代わりにしてくれたことを、一戸建てでは自分でするか、誰かに頼まなければなりません。
更新したのに、なぜ終わっていないのか？
更新したつもりで、実は終わっていないことがとても多いのです。落とし穴は三つあります。
落とし穴1：「php -v」で見た番号を信じてしまう
サーバーで php -v と打って表示されるのはコマンド用のPHPの番号で、ホームページを実際に動かしているPHPとは違うことがあります。CybelAngelは、実際のWebのリクエストでバージョンを確かめるよう勧めています。6 WordPressなら「ツール → サイトヘルス → 情報 → サーバー」で確認できます。9 逆に、ConoHa WINGのように番号を変えずに修正を入れたため、修正後も「8.5.11」のような以前の番号が表示されることもあります。4
落とし穴2：更新したのに、再起動していない
PHPを更新しても、すでに動いているプログラム（PHP-FPMなどのワーカー）は古いまま動き続けます。更新したらPHP-FPMとWebサーバーを再起動する必要があり、6·7 コンテナで運用しているなら、新しいPHPのイメージで作り直して配置し直す必要があります。10
落とし穴3：ネットで拾った「対策スクリプト」を実行してしまう
GitHubには「php2shell」という名前の公開コードが一気に増えました。韓国のセキュリティ企業AhnLabは、その中に出どころのわからないコードや、悪意があるかもしれない「防御スクリプト」が混じっていると警告しています。11
ヤンのまとめ番号の確認、再起動、知らないコードは実行しない。この三つを守るだけで、「やったのに終わっていない」はほとんど防げます。
すぐに更新できないときは、どうするか？
一時的な設定でしのぐことはできますが、あくまで応急処置です。
PHPの公式発表は、memory_limitの調整、post_max_sizeの制限、session.upload_progress.enabled=0 などの一時的な設定を示しています。特に session.upload_progress.enabled は、ini_set() や .user.ini に頼らず、php.iniなどの設定ファイルで変えてからワーカーを再起動する必要があります。そのうえで公式は、こうした設定は特定の攻撃経路を減らすだけで、環境を安全にするものではないと明言しています。7
ヤンのまとめ一時的な設定は時間を稼ぐだけです。いつまでに、誰が更新するのかを、同じ日に決めておきましょう。
一戸建て型（VPS）なら、どうすればよいのか？
選べる道は三つあります。
上の三つの落とし穴を確かめながら、PHPを修正版にし、ワーカーを再起動し、実際のサイトで確認します。
「修正されたPHP（またはOSの修正パッケージ）にしましたか？」「再起動はしましたか？」「サイトヘルスの画面には何と出ていますか？」
PHPのない仕組みに変えれば、直すべき基礎そのものがなくなります。
ヤンのまとめ10ページほどの会社紹介サイトなら、Cを一度検討する価値があると私は考えています。今回の作業は、次の脆弱性が出るたびにまた巡ってくるからです。
VPSとPHPの更新についてよくある質問
VPSでも、サーバー会社がPHPを直してくれますか？
いいえ。エックスサーバーはVPSについて自社では修正パッチを適用していないとし、さくらインターネットもVPSは最新版への更新を勧めています。
「php -v」で新しい番号が出たら、終わりですか？
いいえ。それはコマンド用のPHPの番号です。Webで実際に使っているバージョンを確かめ、PHP-FPMとWebサーバーを再起動する必要があります。
WAFさえ入れておけば安全ですか？
いいえ。WAFは攻撃を減らすだけで、修正の代わりにはなりません。PHPを修正版にすることが根本の対策です。
SOURCES
- エックスサーバー お知らせ（2026年10月22日、10月23日時点の状況） xserver.ne.jp
- さくらインターネット お知らせ（2026年10月22日、10月23日追記） sakura.ad.jp
- ロリポップ！ 「PHPの脆弱性への対応に伴うメンテナンス完了と経緯のご報告」（2026年10月22日） lolipop.jp
- ConoHa WING 「【重要】PHPの脆弱性への弊社対応完了のお知らせ（終報）」（2026年10月22日） conoha.jp
- クラウド Watch 「中小企業の44%は2023年にサイバー攻撃や内部犯行による被害を経験、パロアルトネットワークス調査」（2024年8月9日） cloud.watch.impress.co.jp
- CybelAngel 「2.24M Internet-Facing PHP Hosts, 59% on Versions With No Fix Coming」（2026年10月21日） cybelangel.com
- PHP Group 「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日） php.net
- @IT（2026年10月23日） atmarkit.itmedia.co.jp
- Rocket Boys（2026年10月21日） rocket-boys.co.jp
- Vercel 「PHP security advisory: php2shell」（2026年10月21日） vercel.com
- AhnLab ASEC 「GitHub php2shell 저장소 분석」（韓国語、2026年10月22日） asec.ahnlab.com
- Cloudflare Blog 「Cloudflare deploys protections against php2shell vulnerability」（2026年10月21日） blog.cloudflare.com
- CISA 「Critical Vulnerabilities in PHP Require Immediate Patching」（2026年10月21日） cisa.gov
PHP2Shellをきっかけに、中小企業のホームページが知っておきたいリスクを5本にまとめます。
- PHP2Shellとは？中小企業のホームページに何が起きたのか
- パッチが済んだのに、なぜ安心できない？三つのケース
- VPS・自社サーバーのPHPサイトは、なぜまだ危ないのか（この記事）
- パッチの前に侵入されていたら？攻撃の痕跡三つ（準備中）
- PHP 8.2のサポート終了（12月31日）までに決めておくこと（準備中）
ほかの記事はあたたかいデジタルのブログでご覧いただけます。
一戸建ての基礎、誰が直すか決めてありますか？
サイトのアドレスを入れるだけで、PHPを使っているか、サーバー会社の対応状況はどうかをすぐにお知らせします。当てはまらなければ「今は移行しなくて大丈夫です」とそのままお伝えします。
無料で30秒チェック結果をご覧になってご相談が必要なら あたたかいデジタルに問い合わせる
最終更新 2026年10月25日
