「PHPに重大な脆弱性があるので、更新してください」
そう聞いて管理画面を開いたものの、新しいPHPを選べない。2026年10月22日、筆者が管理に関わるWebARENA SuiteXの環境で、そんな状況に直面しました。
表示されていた設定は「PHP 5.6 モジュールタイプ」。選択肢は最高でもPHP 7.4で、PHP 8.xはありませんでした。設定変更は行っていません。
今回分かったのは、サイト担当者が更新したくても、サーバーに新しいPHPが用意されていなければ切り替えられないということです。
この記事では、匿名化した確認記録と公式情報を基に、利用者が今できる確認と、今後の選択肢を整理します。
10月22日更新の要点：2025年11月18日以前に開通した旧SuiteX環境は、今回の修正パッチを適用できず、17:30以降にWebアクセスを順次停止する方針です。具体的な再開日時は示されていません。新しい環境の対応や、メールプレミアムの利用可能な機能とは区別して確認しましょう。
情報確認日：2026年10月22日。主に2025年11月18日以前に開通したSuiteX環境を扱います。
【10月22日夜追記】19:43は閲覧可能、21:03には接続不可に
筆者が管理に関わる別の関連サイトでは、10月22日19:43時点でHTTP 200の応答とページ本文を取得できましたが、21:03にはスマートフォンで「サーバに接続できなかったため、ページを開けません」と表示されました。時刻はいずれも日本時間です。
これは、閲覧可能だった時点と接続できなかった時点の記録です。停止した正確な時刻や、接続できなくなった直接の原因は確認できていません。公式が案内した「17:30以降順次」は、17:30に全サイトの停止が完了するという意味ではありません。
利用者として困るのは、こちらで新しいPHPへ更新する手段がなく、サイトが接続できなくなっても、自分たちの判断で再開できないことです。安全確保のための停止は必要でも、情報発信を続ける側には、復旧の見通しや移行方法が分からないまま待つ負担が残ります。
サーバー会社には、停止の案内とあわせて、旧環境をどう更新・移行するのか、利用者が何を準備すればよいのか、次の状況報告はいつになるのかを具体的に示してほしいと感じています。
【10月22日更新】旧環境はパッチ適用不可、17:30以降にWeb停止へ
NTTPCコミュニケーションズは公式告知を更新し、SuiteX／SuiteSのWebサービスについて、2026年10月22日17:30以降、国内からのアクセスも順次停止すると案内しました。当初の海外アクセス制限や緩和策から、停止範囲を広げる方針です。
ただし、すべての環境が同じ扱いではありません。PHPのバージョンとサーバーの開通時期によって対応が分かれます。以下は公式の予定であり、本記事で各サーバーの作業完了を確認したものではありません。
| 利用環境 | 10月22日更新の対応方針 | Webアクセス |
|---|---|---|
| PHP 8.3 | 10月22日中に8.3.36へ更新 | 停止しない方針 |
| 2025年11月19日以降に開通したサーバーのPHP 7.4 | 10月22日中に一時的に8.3へ強制更新。10月23日以降、修正済み7.4へ切り戻す予定 | 停止しない方針。ただし表示不具合の可能性あり |
| 2025年11月18日以前に開通したサーバーのPHP 7.4／7.2／5.6／5.3／5.1 | 修正パッチを適用できないため、有効な対処が可能になるまで停止 | 10月22日17:30以降、順次停止 |
旧環境のPHP 7.4にも、公開されている修正パッチは適用できないと明記されています。旧環境で5.6から7.4へ切り替えるだけでは、この問題を解決できません。旧環境の具体的な再開日時は、確認した告知では示されていません。
停止する機能と、メールプレミアムで利用できる機能
停止対象として案内されているのは、Webページ（HTTP／HTTPS）、サイトマネージャー・メールマネージャー・Webマネージャー、MySQL5マネージャー・phpMyAdmin、Webメール（Denbun）、契約管理画面です。Webページや関連ツール等の対応は、上表の環境別方針もあわせて確認してください。
FTPによるファイル転送は利用可能とされています。また、SuiteX V2 メールプレミアムのメールマネージャーとWebメールは利用可能です。Webサイトの停止と、メール機能の停止を一括りにしないよう注意してください。
契約管理画面は、対応方針・時期とも未定です。停止により各種手続きも利用できなくなり、今後の手続き方法は後日案内されます。停止中の利用料金の減免は検討中で、確定した案内ではありません。
出典：WebARENA「PHPの脆弱性に伴うWebサービスおよび契約管理画面の一部停止について」（2026年10月22日更新）
安全確保のために停止する判断と、旧環境を更新できず再開時期を示せない問題は、それぞれ確認する必要があります。利用者として困るのは、制作会社がサイトを改修できても、サーバー側に更新先がなければ再開につなげられないことです。旧環境の更新・移行方法と、復旧までの具体的な道筋が必要です。
管理画面にはPHP 8.xの選択肢がなかった
筆者が確認したのは「サイトマネージャー → Web&FTP管理 → CGI管理 → PHPバージョンの切り替え」です。表示内容を表に整理しました。
| 項目 | 確認した表示 |
|---|---|
| 現在の設定 | PHP 5.6 モジュールタイプ |
| モジュールタイプの選択肢 | PHP 5.6 |
| CGIタイプの選択肢 | PHP 5.1／5.3／5.6／7.2／7.4 |
| PHP 8.x | 選択肢なし |
ここで確認できたのは、管理画面の既定設定です。個別のディレクトリに別の指定があるかは未確認なので、すべてのページがPHP 5.6で動いているとまでは言えません。
それでも、「管理画面からサポート中のPHPへ切り替える」という方法を取れないことは、担当者にとって大きな制約でした。
同じSuiteXでも、開通時期でPHP環境が違う
WebARENAの公式FAQにも、サーバーの開通時期による違いが示されています。
| 開通時期 | CGIタイプ | モジュールタイプ |
|---|---|---|
| 2025年11月18日以前 | 5.1／5.3／5.6／7.2／7.4 | 5.6 |
| 2025年11月19日以降 | 7.4／8.3 | 8.3 |
同FAQでは、共用サーバーのため、提供されているもの以外の任意のバージョンには変更できないと説明しています。旧サーバーのアップデートは2026年度以降の予定で、具体的な時期は未定と記載されています。
出典：WebARENA「PHPをバージョンアップしたい／切り替えたい」
PHP本家のサポート終了日は、次のとおりです。
| PHP | 本家のサポート終了日 |
|---|---|
| 5.6 | 2018年12月31日 |
| 7.2 | 2020年11月30日 |
| 7.4 | 2022年11月28日 |
旧環境で選べるバージョンは、いずれも本家のサポートが終了しています。ただし、本家のサポート終了だけで、事業者の修正状況は判断できません。
古いバージョンに必要な修正を移す「バックポート」が提供される場合もあります。ただし今回、WebARENAは旧環境には修正パッチを適用できず、公開されているPHP 7.4向けパッチも適用できないと説明しています。「バックポートがあるから旧環境でも対応できる」とは判断できません。
なぜ、制作会社に頼むだけでは解決しないのか
PHPには、プログラムを書くための言語という意味と、そのプログラムを動かすソフトウェアという意味があります。今回更新する必要があるのは、サーバー上でプログラムを動かす実行環境です。
| 対象 | 身近なものに例えると | 主な相談先 |
|---|---|---|
| サイトのPHPプログラム | 料理のレシピ | 制作会社・開発担当者 |
| プログラムを動かすPHP | 調理設備 | サーバー会社 |
| 管理画面のPHP切り替え | 用意された設備を選ぶ操作 | サイト担当者・制作会社 |
制作会社がPHP 8.xに対応するようプログラムを書き直しても、サーバーにPHP 8.xがなければ動かせません。反対に、新しいPHPが使える環境へ移しても、古いプログラムがそのまま動くとは限りません。
必要なのは、サイト側の互換性と、サーバー側の実行環境を両方確認することです。
WebARENAでは、.htaccessという設定ファイルで、ディレクトリごとにPHPのバージョンを指定する方法も案内しています。管理画面の表示だけで、個々のページの実行バージョンを確定できないのは、このためです。
出典：WebARENA「ホームページ～CGI・PHP・SSI」
ただし、設定を書くだけで、サーバーに提供されていないPHP 8.xを使えるようになるわけではありません。
今回の脆弱性と「暫定対策」の違い
PHP開発元は10月21日、CVE-2026-109618とCVE-2026-109619への対応を公表しました。認証なしのリモートコード実行、つまりログインしていない第三者がサーバー上でプログラムを実行できるおそれがある問題です。
修正版は、PHP 8.2.35／8.3.36／8.4.27／8.5.12です。開発元は、特にApacheのモジュール方式であるmod_phpについて、サイトのプログラムが動く前に攻撃が成立する実証があると説明しています。
また、開発元は緩和策では完全な対策にならず、更新が必要だとしています。PHP 8.1以前については、提供元のバックポート修正を確認するか、サポート対象版へ移行するよう案内しています。
| 対策 | 役割 |
|---|---|
| アクセス制限 | 接続できる範囲を狭める |
| 一部機能の無効化 | 特定の攻撃経路を減らす |
| 修正版・バックポート修正の適用 | 脆弱な処理を修正する |
海外アクセス制限は、PHPの修正と同じ意味ではありません。また、PHP 7.4へ切り替えたり、モジュールタイプからCGIタイプへ変更したりするだけで、今回の対応が完了するとも言えません。
「PHP 8.3を選べる」と「修正版の8.3.36が適用されている」も別です。 バージョンの大きな数字だけで判断せず、提供元の修正情報まで確認しましょう。
個人情報を集めないサイトでも確認は必要？
「うちはお知らせを載せているだけで、個人情報の入力フォームはない」。それでも、PHPを使っているなら今回の確認対象になります。
問題になっているのはPHPの実行環境なので、入力フォームの有無だけでは安全性を判断できません。攻撃が成立すれば、サイト改ざんなども懸念されます。なお、筆者の確認記録に、対象サイトで侵害や情報漏えいが発生したという報告はありません。
IPAも、運営するプログラムのうちPHPを利用するものを可能な範囲で棚卸しし、対策の準備を進めるよう呼びかけています。
出典：IPA「PHPのセキュリティリリース公開予定について」
利用者が今、確認すること
1．管理画面と実際の動作環境を確認する
まず、契約サービス名とサーバーの開通時期、管理画面に表示される現在のPHP設定、選択できるバージョン、事業者の最新の対応告知を記録します。
そのうえで制作会社へ、PHPを使うページや管理機能、個別設定の有無、実際の実行バージョンを確認してもらいます。URLの末尾が.phpなら手掛かりになりますが、URLだけでは実行バージョンを確定できません。
筆者の環境も、ソースコードや個々のページの実行環境の確認はこれからです。
2．サーバー会社に修正状況を聞く
「対策済みですか」だけでは、アクセス制限を指すのか、パッチ適用を指すのか分からない場合があります。問い合わせでは、次のように具体的に確認します。
2025年11月18日以前に開通した旧SuiteX環境を利用しています。10月22日の告知で、修正パッチを適用できずWebアクセスを停止する方針を確認しました。利用中のサーバーの対象区分、復旧方法と見込み、新環境への移行可否・手順・費用、停止中の手続き方法をご案内ください。料金減免についても、決まり次第お知らせください。
3．制作会社に移行可否を聞く
制作会社には、サイト側の対応を確認します。
PHPを使用する機能と現在の実行バージョン、PHP 8.xへ移行する際の改修箇所を確認してください。お知らせ更新・フォーム・メール送信・データベースを含めた検証と、Webサイトだけを移転する場合の概算をお願いします。
公開中のサイトを切り替える前に、バックアップと検証環境を用意し、表示・更新・送信機能を確認する段取りも必要です。
継続・Webだけ移転・作り直しをどう選ぶ？
次は一般的な選択肢です。SuiteXでの具体的な移行可否や費用は、契約条件とサポート回答に基づいて判断してください。
| 選択肢 | 判断のポイント | 事前に確認すること |
|---|---|---|
| 現在の環境を継続 | 修正状況と更新計画を確認できるか | 独自修正の範囲、更新予定、暫定対策の影響 |
| Webサイトだけ移転 | メールへの変更を抑えながらWeb環境を更新したいか | 契約条件、DNS、PHP互換性、フォーム送信 |
| PHPを使わない構成へ変更 | 情報発信中心で更新方法を見直せるか | 更新手順、制作費、必要機能の代替方法 |
Webサイトとメールは、構成によって別々のサービスで運用できます。ただし、Webだけ移す場合でも、DNSやフォームのメール送信設定が関係します。「メールは何もしなくてよい」と決めず、制作会社と確認して進めましょう。
PHPを使わない構成に作り直す方法もあります。お知らせ更新の仕組みを含めた再設計が必要で、PHP以外の部品や管理経路への対策は引き続き必要です。
他社への移転を検討するなら、新しいPHPを選べるかに加え、セキュリティ修正の提供方法、既存利用者の環境更新方針、移行支援、バックアップと復元の手段も比較すると判断しやすくなります。
「任せているから大丈夫」で終わらせないために
今回、筆者が困ったのは、更新操作が難しかったことより、更新先が選択肢に存在しなかったことでした。制作会社にサイトの更新を依頼していても、PHPの実行環境まで同じ相手が管理しているとは限りません。
まずはサーバー会社に今回の修正状況を、制作会社にPHPの使用箇所と移行可否を確認する。この二つを並行して進めると、継続か移転かを判断する材料がそろいます。
10月22日更新の公式告知で、旧環境へのパッチ適用不可とWeb停止の方針が示されました。WebARENAからの個別回答は本記事更新時点では未取得です。旧環境の復旧方法・再開予定や移行支援が案内された段階で、引き続き追記します。
