レンタルサーバーの「再開しました」は修正済み？PHP2Shell の告知の読み方と確かめ方

PHP2Shell では、多くのレンタルサーバーが21日の夜から22日の朝にかけて、緊急のメンテナンスを行った。22日の朝までに、ほとんどのサービスが再開している。

ただ、告知を読み比べると、書き方は会社によってかなり違った。「PHP」と書いていない告知、「再開しました」だけの告知も多かった。この記事では、告知の読み方と、自分で確かめる方法をまとめる。

告知の書き方はばらばらだった

情報システムの担当者が各社の告知を比べたまとめ（城咲子氏）によると、22日の時点で、告知の書き方は大きく3つに分かれた。

同じまとめは、「告知に書かれていない」ことと「対応していない」ことは同じではない、とも指摘している。告知だけで良し悪しを決めず、自分のサイトで確かめるのが確実だ。

告知で読むべき所

1. PHP の版ごとに書いてあるか：「8.2〜8.5 は修正完了」「8.1 以前は対応中」のように分けて書いてあるか
2. 8.1 以前の扱い：公式の修正版がない版に、独自の修正を入れたのか、新しい版への切り替えを勧めているのか
3. 完了の時刻：「適用を開始」なのか「完了」なのか
4. 止まったものの範囲：管理画面だけ止まったのか、サイトそのものも止まったのか

自分で確かめる方法

各社の管理画面での変え方は、サーバー会社別の変え方 にまとめた。

8.1 以前を使っているなら

PHP 8.1 以前には、公式の修正版が出ていない。サーバー会社によっては、独自に修正を入れたと案内しているが、PHP 自体の保守が戻るわけではない。次に脆弱性が見つかれば、また同じことになる。

• 管理画面で 8.4 か 8.5 を選べるなら、テストしてから切り替える
• 選べない（古いサーバー・古いプラン）なら、新しいサーバーか、PHP のいらない形へ移す

PHP のいらない形（置くだけのサイト）にすれば、次の PHP の脆弱性で、また告知を読み比べる必要もなくなる。

よくある質問

告知に PHP と書いていません。対応していないのですか？

そうとは限りません。
書いていない会社もありました。
管理画面で PHP の版を確かめ、分からなければサポートに聞くのが確実です。

管理画面の版の番号が変わっていません

今の版のまま修正を入れる会社もあります。
番号だけで判断せず、告知の中身を読むか、サポートに確かめてください。

PHP 8.1 を使っています。サーバー会社が直したなら大丈夫ですか？

今回の穴はふさがっても、PHP 8.1 自体の保守は終わっています。
次の脆弱性に備えて、8.4 か 8.5 への移行を進めてください。

無料ツールPHP2Shell の無料診断PHP のバージョンとサーバー会社を選ぶだけで、危険度と今やることが分かります。

参考にした情報

• 城咲子：php2shell 修正版公開後の各社対応状況（レンタルサーバーとサービスの再開は修正版適用済みとは限らない）
• ツバサのメモ帳：PHP脆弱性php2shellで止まったカート・モールを一晩追跡
• お名前.com：PHP の脆弱性への対応のお知らせ
• IPA：PHPの脆弱性対策について（PHP2shell）
• JPCERT/CC：PHPにおける複数の脆弱性に関する注意喚起（JPCERT-AT-2026-0033）