PHP2Shell 脆弱性（CVE-2026-109618 / CVE-2026-109619）への対応
平素より格別のご愛顧を賜り、誠にありがとうございます。
このたび、PHPに深刻な脆弱性が公表されたことを受け、当社が運営するホスティングサービス「JPホスト」の全サーバーで、PHPを緊急でバージョンアップいたしました。経緯と実施内容、ご参考としてお客さまにご確認いただきたい箇所をご案内いたします。
1. 経緯
2026年10月21日、PHPの開発元である The PHP Group は、PHPに深刻な脆弱性が2件（CVE-2026-109618、CVE-2026-109619、通称「PHP2Shell」）あることを公表し、修正版を公開しました。
この脆弱性が悪用されると、ログインなどの認証を経ずに、外部から細工した通信を送るだけでサーバー上で任意のプログラムを実行される恐れがあります。深刻度は「緊急（Critical）」と評価されています。国内でも、IPA（情報処理推進機構）とJPCERT/CC が注意喚起を行い、速やかな修正版への更新を呼びかけています。
当社では、お客さまのWebサイトとお預かりしている情報を守るため、通常の計画よりも前倒しして、緊急でPHPのバージョンアップを実施いたしました。
- 2026年10月21日 The PHP Group が脆弱性と修正版を公表。IPA、JPCERT/CC が注意喚起
- 2026年10月22日（木）14:30 当社にてメンテナンス（PHPのバージョンアップ）を開始
- 2026年10月22日（木）22:30 作業完了。サービスを通常どおり再開
2. 実施内容
| 実施期間 | 2026年10月22日（木）14:30 ～ 2026年10月22日（木）22:30 |
|---|---|
| 対象 | JPホスト 全ホスティングサーバー |
| PHPバージョン | ご利用中のPHP系列ごとに、脆弱性修正済みのバージョン（下表）以上へ更新 |
| 状況 | 完了（通常どおりご利用いただけます） |
更新後のPHPバージョン（脆弱性修正済み）
お客さまがご利用中のPHP系列（8.2、8.3 など）は変わらず、同じ系列内の修正版へ更新しております。
| PHPの系列 | 修正版 | セキュリティサポート終了日 |
|---|---|---|
| PHP 8.5 | 8.5.12 以降 | 2029年12月31日 |
| PHP 8.4 | 8.4.27 以降 | 2028年12月31日 |
| PHP 8.3 | 8.3.36 以降 | 2027年12月31日 |
| PHP 8.2 | 8.2.35 以降 | 2026年12月31日 ※ |
※PHP 8.2系は、2026年12月31日で開発元によるセキュリティサポートが終了します。終了後は新たな脆弱性が見つかっても修正版が提供されないため、8.2系をご利用のお客さまは、8.3系以降への移行をご検討ください。
3. お客さま情報・サービスへの影響について
本作業は脆弱性に対する予防的な対応であり、不正アクセスなどの被害を受けたことによるものではございません。
- 現時点で、本脆弱性を悪用した不正アクセスは確認されておりません。
- サービスの安全性に影響を及ぼす事象は発生しておりません。
- お客さま情報への影響は確認されておりません。
4. ご確認いただきたい箇所（ご参考）
PHP本体の更新は当社で完了しており、お客さまに更新作業をしていただく必要はございません。
ただし、PHPのバージョンが変わると、お客さまが設置されたプログラム（CMS、フォーム、カートなど）の動作が変わる場合がございます。ご参考として、確認していただきたい主な箇所を以下にご案内いたします。
※HTMLだけで作られたホームページ（PHPを使っていないサイト）は影響を受けません。
① Webページの表示すべてのお客さま
- トップページ、各ページが正しく表示される画面が真っ白になる、「500 Internal Server Error」が出る、などがないか
- 画面にエラーメッセージが出ていない「Warning」「Notice」「Deprecated」「Fatal error」などの英文が表示されていないか
- レイアウトの崩れや文字化けがない
- スマートフォンでも正しく表示される
② お問い合わせフォームフォームを設置しているお客さま
- 入力画面・確認画面・完了画面が順に表示される
- テスト送信をして、管理者（お客さま）宛てのメールが届く
- 送信者への自動返信メールが届く
- 届いたメールが文字化けしていない（件名・本文・お名前）
- 入力漏れ時のエラー表示や、画像認証などが正しく動く
- ファイル添付機能がある場合、添付して送信できる
③ CMS（WordPress・XOOPS など）CMSをご利用のお客さま
- 管理画面にログインできる
- 記事・ページの作成、編集、公開ができる
- 画像のアップロードができる
- CMS本体・テーマ・プラグインが最新版になっている古いテーマやプラグインは、新しいPHPで動かないことがあります。この機会に更新をおすすめします
- （WordPressの場合）「ツール」→「サイトヘルス」→「情報」→「サーバー」で、PHPバージョンが上の表の修正版以上になっている
④ ショッピングカート・会員機能ネットショップ・会員サイトを運営のお客さま
- 商品ページの表示、カートへの追加ができる
- テスト注文で、注文完了まで進める（決済画面への遷移を含む）
- 注文確認メールがお客さま・ショップ側の両方に届く
- 会員登録・ログイン・ログアウトができ、ログイン状態が保たれる
⑤ その他の独自プログラム該当するお客さま
- メールマガジン・メーリングリストの配信が正常に行われる
- 定期実行（cron）している処理が動いている
- 予約システム、掲示板、アクセスカウンターなどが動いている
- 制作会社に作成を依頼したプログラムについては、制作会社にも動作確認を依頼した
5. 不具合が見つかった場合
誠に恐れ入りますが、お客さまが設置されたプログラム（CMS、テーマ、プラグイン、フォーム、カートなど）の調査・修正は、当社では承っておりません。不具合が見つかった場合は、各プログラムの提供元や、Webサイトの制作会社にご相談ください。
本ページの確認箇所は、お客さまがご確認いただく際のご参考として掲載しているものです。あらかじめご了承ください。
本メンテナンスの内容についてのご質問は、下記サポートまでお問い合わせください。
6. よくあるご質問
- お客さま側でPHPを更新する作業は必要ですか？
- 必要ございません。PHP本体の更新は当社で完了しております。
- PHPの系列（8.2、8.3 など）は変わりましたか？
- 変わっておりません。ご利用中の系列のまま、同じ系列内の修正版へ更新しております。
- 情報が漏れたり、ホームページが改ざんされたりしていませんか？
- 本作業は脆弱性への予防的な対応です。現時点で、不正アクセスやお客さま情報への影響は確認されておりません。
- HTMLだけで作ったホームページも確認が必要ですか？
- PHPを使っていないホームページは影響を受けないため、確認は不要です。
- 不具合があった場合、元のPHPバージョンに戻せますか？
- 元に戻すことは可能ですが、脆弱性が残った状態となり、お客さまのWebサイトが攻撃を受ける危険があるため、推奨しておりません。まずはプログラムの提供元や制作会社にご相談のうえ、プログラム側での対応をご検討ください。
- 不具合が出たプログラムを修正してもらえますか？
- 誠に恐れ入りますが、お客さまが設置されたプログラムの調査・修正は承っておりません。各プログラムの提供元や制作会社にご相談ください。
参考情報
今後とも、お客さまに安心してご利用いただけるよう、セキュリティ対策の強化に努めてまいります。
引き続き、何卒よろしくお願い申し上げます。