お名前.com レンタルサーバー（RSプラン）のPHPバージョンは、コントロールパネルの「高度な設定」→「PHP」→「PHPバージョン」の「変更」で 8.4 を選び、注意事項にチェックを入れて「変更する」を押せば切り替わります。操作は1分ほどです。ただし、2026年10月22日時点の 8.4 は 8.4.21 で、PHP公式の修正版 8.4.27 より前のため、php.ini の緩和策と続報の確認も必要です。
この記事は、2026年10月21日にPHP公式が公表した重大な脆弱性2件（CVE-2026-109618・CVE-2026-109619、通称 php2shell）への対応として、当サイト（satimo.org）の運営者が2026年10月22日に実際に行った操作の記録です。脆弱性そのものの内容と影響範囲は、PHPの重大脆弱性php2shellは自分のサイトも対象？修正版と確認手順で解説しています。
【結論】
- 手順：高度な設定 → PHP → PHPバージョンの「変更」→ 8.4 を選択 → 注意事項にチェック → 「変更する」。サーバー単位の切り替えで、同じサーバーの全ドメインに反映されます。
- 注意：2026年10月22日時点の 8.4 は 8.4.21 で、修正版（8.4.27）より前です。バージョンを変えただけでは脆弱性は残ります。
- つなぎ：同じ画面の「php.ini編集」で
session.upload_progress.enabled = 0を追加しました。PHP公式は「完全な緩和策はない」としており、お名前.com が修正版を配布するまでのつなぎです。
変更する前に確認したこと
- 対象：画面はお名前.com レンタルサーバー RSプランのものです。仕様ページでは PHP 7.4〜8.5 が提供されています。他社のサーバーは各社の公式の案内を確認してください。
- バックアップ：BackWPup などのプラグインで WordPress のファイルとデータベースを保存します。お名前.com にも Webデータ・データベースなどを14日間自動保存する機能があります（自動バックアップ機能について）。
- 互換性：テーマ・プラグインが変更先のバージョンに対応しているかを各提供元で確認します。お名前.com の仕様ページでは、一部のテーマ（BuryBury、Ocean、One、Petit、Sunset）は PHP 8.0〜8.5 で使えないと案内されています（サーバーのスペック）。
- サーバー単位の切り替え：同じサーバーの全てのドメインに反映されます。別のサイトも動かしている場合は、そのサイトも同時に変わります。
手順1〜3：PHPバージョンを 7.4 から 8.4 に変更する
お名前.com のご利用ガイド「PHPのバージョンを切り替える」と同じ流れです。
手順1：「高度な設定」→「PHP」を開く
レンタルサーバーのコントロールパネルにログインし、左メニューの「高度な設定」をクリックして、上部のタブから「PHP」を開きます。「PHPバージョン」欄に現在のバージョンが表示されます。当サイトは 7.4 でした。
手順2：「変更」→ 8.4 を選んで「変更する」
「PHPバージョン」欄の右側の「変更」をクリックすると、「PHPバージョンの変更」ダイアログが開きます。プルダウンで 8.4 を選び、注意事項を読んでから「上記の注意事項を確認しました」にチェックを入れ、「変更する」をクリックします。
手順3：「PHPのバージョンを変更しました！」を確認する
「PHPのバージョンを変更しました！」と表示されれば完了です。「閉じる」を押すと、「PHPバージョン」欄が 8.4 に変わっています。
手順4：変更後にサイトを確認する
変更後、WordPress の管理画面で「ツール」→「サイトヘルス」→「情報」タブ →「サーバー」を開きました。Webサーバーや PHP の設定が表示される画面です（WordPress.org 日本語：サイトヘルス画面）。当サイトの表示は次のとおりです。
| 項目 | 表示 |
|---|---|
| PHP バージョン | 8.4.21 |
| PHP SAPI | litespeed |
| Web サーバー | Apache |
続けてトップページ・記事・固定ページ・カテゴリー一覧・REST API・サイトマップを開き、エラー表示がないことを確認しました。サイトヘルスのステータスも「良好」でした。
ただし 8.4.21 は修正版 8.4.27 より前なので、脆弱性はまだ残っています。なお、PHP公式は影響を受ける環境として LiteSpeed も挙げています（PHP公式のセキュリティアドバイザリ）。
PHP公式によると、8.1 以前は PHPプロジェクトからの更新がなく、修正版が出ているのは 8.2〜8.5 の系列です。お名前.com は過去にも提供中の系列を更新しています（例：2024年3月のRSプランのPHPバージョンアップのお知らせで 8.1.17 → 8.1.27 など）。今回の修正版の配布と時期は、2026年10月22日時点でお名前.com のお知らせに記載がありませんでした。なお、10月22日12:00〜21:00 に RS プランを含む「【緊急】サーバーメンテナンス」（システムの保守作業・収容ホストの再起動を伴う）のお知らせが出ています。PHP の更新とは書かれていません。終了後にサイトヘルスでPHPのバージョンを確認し、この記事に追記します。
なお、mixhost やカラフルボックスのように、PHP のバージョン番号を変えずに修正を適用したと告知する会社もあります。お名前.com には告知がないため、8.4.21 という表示だけでは適用の有無を判断できません。各社の告知はPHP脆弱性php2shell、各社の対応状況まとめ【毎日更新】で確認できます。
手順5：php.ini に緩和策を1行追加する
つなぎとして、PHP公式の緩和策のうち session.upload_progress.enabled=0 を設定しました。PHP公式は php.ini などで設定し、ini_set() や .user.ini には頼らないよう書いています。お名前.com のガイドには、この php.ini が読み込まれる時点（公式のいう「リクエスト解析の前に効く設定」に当たるか）の記載はありません。手順はご利用ガイド「php.iniを編集する」と同じです。
- 同じ「PHP」タブの「php.ini編集」の右側にある「内容を編集」をクリックします。
- 表示された入力欄に
session.upload_progress.enabled = 0を1行書きます（当サイトは未設定の状態からこの1行だけを追加）。 - 注意事項を読み、「上記の注意事項を確認しました」にチェックを入れて「編集する」をクリックします。
- 「php.iniを編集しました！」と表示されれば完了です。「php.ini編集」欄に書いた内容が表示されます。
注意事項には「誤って編集を行うとホームページの表示に影響が出る可能性があります」「この操作は取り消せません」とあります。既存の記述がある場合は控えてから作業します。
この php.ini もサーバーの全ドメインに反映されます（お名前.com のガイド）。変更後もサイトは正常に表示されました。
この緩和策には限界があります。PHP公式は、この設定は確認済みの経路を防ぐだけで「完全な緩和策はなく、更新が唯一の安全な選択」としています。設定後の全ワーカー再起動も求めていますが、お名前.com のガイドには、利用者がPHPのプロセスを再起動する手順も、反映のタイミングも書かれていません。phpinfo を置いていない当サイトの環境では、この値が実際に効いているかを直接確認できていません。確認する場合は、確認後すぐに削除する前提で phpinfo() を一時的に置き、session.upload_progress.enabled の Local Value と Master Value が Off になっているかを見ます。
追加したのはこの1行だけです。ほかの緩和策はPHPの重大脆弱性php2shellの解説記事にまとめています。
注意：サポートが終了したバージョンには戻せない
変更ダイアログの注意事項には「サポート提供が終了したバージョンは新たにご選択いただくことができません」「一度他のバージョンへ変更した場合は、再度サポート提供が終了したバージョンにご変更いただくことはできかねます」と書かれています。
変更前の 7.4 は、PHP公式では2022年11月28日にサポートが終了しています（PHP公式：サポートが終了したバージョン）。お名前.com の対象バージョンはダイアログの「対象バージョンはこちら」で案内されています。表示が崩れても戻せない場合があるため、バックアップと互換性の確認を済ませてから変更してください。
よくある質問
お名前.com で PHP を 8.4 に変えれば、php2shell の脆弱性は直りますか？
2026年10月22日時点では直りません。当サイトで確認した 8.4 は 8.4.21 で、PHP公式の修正版 8.4.27 より前でした。お名前.com が修正版を配布するまでは脆弱性が残るため、php.ini の緩和策とお知らせの確認を続けます。
PHPバージョンはドメインごとに変えられますか？
RSプランのコントロールパネルでは変えられません。PHPバージョンはサーバー単位の切り替えで、そのサーバーに設定されている全てのドメインに反映されます。
8.4 に変えたあと、7.4 に戻せますか？
戻せない場合があります。変更ダイアログの注意事項には、一度他のバージョンへ変更すると、サポート提供が終了したバージョンには再度変更できないと書かれています。対象のバージョンはダイアログの「対象バージョンはこちら」で確認できます。
php.ini に session.upload_progress.enabled = 0 を書けば安全ですか？
安全にはなりません。PHP公式は、この設定は確認済みの経路を防ぐだけで、完全な緩和策はなく更新が唯一の安全な選択だとしています。修正版が配布されるまでのつなぎです。
あわせて読みたい：PHPの脆弱性修正はなぜ前日に予告された？事前告知のしくみと前例
あわせて読みたい：他社レンタルサーバーのPHP脆弱性への対応状況一覧
まとめ
- PHP は「高度な設定」→「PHP」→「変更」で切り替えます。サーバー単位で全ドメインに反映されます。
- 2026年10月22日時点の 8.4 は 8.4.21 で、修正版 8.4.27 より前です。
- つなぎに php.ini へ
session.upload_progress.enabled = 0を追加しました（完全な緩和策ではありません）。 - サポート終了版には戻せない場合があるため、バックアップと互換性の確認が先です。
お名前.com が修正版を配布したら、サイトヘルスで PHP バージョンが 8.4.27 以降になったかを確認します。脆弱性の全体像はPHPの重大脆弱性php2shellは自分のサイトも対象？修正版と確認手順、国内で公表されたサイバー攻撃の事例は2026年 国内の情報漏えい・サイバー攻撃一覧にまとめています。
参考（確認日：2026年10月22日）
- PHP公式：セキュリティアドバイザリ（2026年10月21日）／PHP 8.4.27 リリース告知
- PHP公式：サポート中のバージョン／サポートが終了したバージョン
- お名前.com レンタルサーバー ご利用ガイド：PHPのバージョンを切り替える／php.iniを編集する／自動バックアップ機能について
- お名前.com ヘルプ：【レンタルサーバー ベーシック・RSプラン/AIホームページパック】サーバーのスペック
- お名前.com：[レンタルサーバー RSプラン] PHPバージョンアップのお知らせ（2024年3月13日）／お知らせ一覧
- WordPress.org 日本語：サイトヘルス画面
コメント