2026年10月22日13:00時点で、PHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619、通称 php2shell）の修正を「配布済み・適用済み」と公式に告知しているのは確認した21社中15社（うち一部の版・サービスのみが5社）、「対応中」が4社、日時つきの「予定」だけの会社は0社、「未告知」が2社です。版番号は公式に書かれたものだけを表に載せています。脆弱性の内容はPHPの重大脆弱性php2shellの解説をご覧ください。
最終更新：2026年10月22日13:05（日本時間）。この記事は各社の公式発表だけをもとに毎日更新します。
【結論】
- レンタルサーバー10社：適用完了を告知＝さくらのレンタルサーバ・mixhost・カラフルボックス・ヘテムル。PHP 8.2〜8.5は完了＝エックスサーバー・シン・レンタルサーバー（旧版は順次）。対応中＝ConoHa WING・ロリポップ！・CPI。お名前.com レンタルサーバーは未告知。
- 版番号：国内のレンタルサーバーで修正後の版番号を書いた会社はありません。mixhostは「バージョン番号を変更せずに適用」と明記しています。
- クラウド・Linux：Azure App Service・Ubuntu・Debian・AlmaLinux・PHP公式・Docker公式イメージは配布済み。AWS・Red Hat・Rocky Linuxは一部が未配布または予定、Google Cloudは展開中です。
目次
対象の基準と「配布状況」の区分
WordPressの利用が多い国内のレンタルサーバーと、PHPを配布・提供する主な事業者の4グループです。これ以外の事業者・SNSの投稿・報道は対象外です。
- 国内のレンタルサーバー（10社）：エックスサーバー、シン・レンタルサーバー、ConoHa WING、さくらのレンタルサーバ、ロリポップ！、お名前.com レンタルサーバー RS、mixhost、カラフルボックス、ヘテムル、CPI
- 主要クラウド・PaaS（3社）：AWS、Google Cloud、Microsoft Azure（App Service）。Cloudflareは対象外
- Linuxディストリビューション（5つ）：Red Hat、Ubuntu、Debian、AlmaLinux、Rocky Linux
- 公式PHPの配布物（3つ）：php.net、Docker公式イメージ php、remirepo
配布状況は、配布済み（提供中の版、または標準の提供経路で完了と告知）、一部配布済み（一部の版・サービスが完了し、残りは対応中か予定）、対応中（完了の記載がない）、予定（日時だけを告知）、未告知（お知らせ一覧に記載がない）、公式ページを取得できず（今回は0社）の6つで分けました。完了と書かれていても版番号がないものは「版番号の記載なし」としています。
PHP公式は「Linux distributions and LTS vendors received the patches in advance」（ディストリビューションとLTSベンダーは修正を事前に受け取っている）としています。前日に予告が出た理由は事前告知のしくみと前例で解説しています。
各社の対応状況一覧（2026年10月22日13:00時点）
確認時刻はすべて日本時間で、「」内は各社の原文です。
国内のレンタルサーバー（10社）
| 事業者 | 対象サービス | 公式発表（掲載日時） | 配布状況（確認時刻） | 利用者がすること（公式案内） | 備考・確認した公式URL |
|---|---|---|---|---|---|
| エックスサーバー | エックスサーバー ほか | あり（10/22 9:30更新） | 一部配布済み：8.2〜8.5は「すべてのサーバーへの修正パッチの適用が完了」、旧版は順次（版番号の記載なし）（確認 12:55） | 追加の対策が必要な場合は改めて案内 | 公式サイトは停止中。xserver.ne.jp |
| シン・レンタルサーバー | シンレンタルサーバー | あり（エックスサーバー社の共通のお知らせ） | 一部配布済み：上と同じ記載（サービス別の記載なし）（確認 12:55） | 上と同じ | 管理画面は「再開準備中」。shin-server.jp |
| ConoHa WING | ConoHa WING | あり（10/22） | 対応中：パッチの適用を「順次進めております」（版番号の記載なし）（確認 12:56） | 不要（同社が今の版のまま適用） | 10/21からの緊急メンテは本件の対応。conoha.jp |
| さくらのレンタルサーバ | レンタルサーバ・マネージドサーバ | あり（10/22） | 配布済み：選べる全PHPバージョンで「対応を完了」（版番号の記載なし）（確認 12:57） | 「緊急の対応はございません」 | phpMyAdmin・ウェブメールは対応中。help.sakura.ad.jp |
| ロリポップ！ | ロリポップ！ ほか | あり（緊急メンテの告知・10/21〜） | 対応中：予防措置のメンテナンス中。適用状況の記載なし（確認 12:55） | 記載なし | 「お客様のサイト」も利用不可の一覧に含む。lolipop.jp |
| お名前.com レンタルサーバー | RSプラン | なし | 未告知：公式のお知らせ一覧（onamae.com）に 10/22 12:55 時点で該当なし | 記載なし | 10/22 12:00〜21:00の緊急メンテは「システムの保守作業」でPHPの記載なし。当サイトの実測は8.4.21表示（変更の手順）onamae.com |
| mixhost | レンタルサーバー・アダルト・海外 | あり（10/22 11:37） | 配布済み：「10時18分頃にPHPの修正パッケージの適用を完了」。PHP 5.2〜8.5（版番号の記載なし）（確認 12:56） | 「必要な作業はございません」 | 版番号の表示は変わらないと記載。mixhost.jp |
| カラフルボックス | 共有・ビジネス・タダ・専用 | あり（10/22） | 配布済み：「10月22日朝までにすべて完了」。7.4〜8.1も適用（版番号の記載なし）（確認 12:57） | 版の変更は不要 | colorfulbox.jp |
| ヘテムル | ヘテムル | あり（10/21 19:44・10/22 12:18追記） | 配布済み：8系と7.4は公式の修正版、ほかは独自修正（版番号の記載なし）（確認 12:56） | 8.1以下は一部機能が無効のため動作確認を依頼 | phpMyAdminは復旧対応中。heteml.jp |
| CPI | レンタルサーバーCPI | あり（10/21 21:45更新） | 対応中：管理画面などを止めて対応中。再開は「未定」（確認 12:55） | 記載なし | 攻撃は「確認されておりません」。cpi.ad.jp |
クラウド・PaaS（3社）
| 事業者 | 対象サービス | 公式発表（掲載日時） | 配布状況（確認時刻） | 利用者がすること（公式案内） | 備考・確認した公式URL |
|---|---|---|---|---|---|
| AWS | AL2023・Beanstalk・Lightsail・WorkMail | あり：2026-143-AWS（10/22 6:30・12:30更新）、ALAS2023-2026-3301〜3304 | 一部配布済み：Amazon Linux 2023は8.2.35／8.3.36／8.4.27／8.5.12。商用以外のリージョン・Beanstalkの上流修正版・WorkMailは10/22予定（確認 13:03） | AL2023は更新を適用。Lightsailは新しいブループリントで作り直す | 日本語版の一覧には未掲載。aws.amazon.com |
| Google Cloud | App Engine・Cloud Run ほか | あり：GCP-2026-070（10/21） | 対応中：サーバーレスの基盤イメージを展開中（確認 12:58） | App Engineスタンダード（8.2以上）は不要。ほかは再デプロイ | 影響を「5.4 ～ 8.5」と記載。cloud.google.com |
| Microsoft Azure | App Service on Linux | あり：App Serviceチームのブログ（10/21） | 配布済み：8.2.35／8.3.36／8.4.27／8.5.12 を Latest・Standard に展開完了（確認 13:03） | Extendedは最後に適用されるため切り替えを推奨。カスタムコンテナは自分で更新 | サポート終了版は対象外。azure.github.io |
Linuxディストリビューション（5つ）
| 事業者 | 対象サービス | 公式発表（掲載日時） | 配布状況（確認時刻） | 利用者がすること（公式案内） | 備考・確認した公式URL |
|---|---|---|---|---|---|
| Red Hat | RHEL 8／9／10 | あり：RHSA 7件（10/22 0:53〜5:36）、RHSB-2026-013 | 一部配布済み：RHEL 10は8.3.36・8.4.27、RHEL 9は8.2.35・8.3.36・8.0.30-8.el9_8.1、RHEL 8は8.2.35・7.4.33-8。RHEL 9のphp:8.4は「Affected」（確認 13:01） | 更新を適用 | access.redhat.com |
| Ubuntu（Canonical） | 14.04〜26.10 | あり：USN-8948-1・-2（10/21） | 配布済み：22.04は8.1.2-1ubuntu2.28、24.04は8.3.6-0ubuntu0.24.04.13、26.04は8.5.4-0ubuntu1.5、26.10は8.5.9-0ubuntu2.1（20.04以前はUbuntu Pro）（確認 12:58） | 通常のシステム更新 | ubuntu.com |
| Debian | 12・13 | あり：DSA-6574-1・DLA-4848-1 | 配布済み：12は8.2.35-1~deb12u1、13は8.4.27-1~deb13u1（確認 12:55） | 更新を適用 | 掲載日時の記載なし。security-tracker.debian.org |
| AlmaLinux | 8／9／10 | あり：公式ブログ（10/21） | 配布済み：全PHPストリームを本番リポジトリへ展開（10/22 6:15）（確認 13:00） | 更新後にphp-fpmを再起動し、rpm -q php-commonで照合 | 上流の版番号は変わらない。almalinux.org |
| Rocky Linux | 8／9／10 | あり：RLSA 6件（10/22 9:01〜9:08） | 一部配布済み：Rocky 10は8.4.27・8.3.36、9は8.2.35・8.3.36・8.0.30-8.el9_8.1、8は7.4.33-8。8のphp:8.2は未掲載（確認 13:02） | 更新を適用 | 公式のerrata APIで確認。errata.rockylinux.org |
公式PHPの配布物（3つ）
| 事業者 | 対象サービス | 公式発表（掲載日時） | 配布状況（確認時刻） | 利用者がすること（公式案内） | 備考・確認した公式URL |
|---|---|---|---|---|---|
| PHP 公式（php.net） | ソース・Windows版 | あり（10/21） | 配布済み：8.5.12・8.4.27・8.3.36・8.2.35。7.4・8.0・8.1は最小限のソースバックポート（確認 12:55） | 修正版へ更新 | php.net |
| Docker 公式イメージ php | library/php | 告知文なし | 配布済み：8.5.12（10/22 3:59）・8.2.35（6:59）・8.3.36（7:04）・8.4.27（7:09）のタグ（確認 12:55） | 修正版のタグで作り直す | 時刻はAPIの更新時刻。hub.docker.com |
| remirepo | rpms.remirepo.net | なし | 未告知：公式のお知らせ一覧（blog.remirepo.net）に 10/22 12:55 時点で該当なし | PHP公式は「The repo will not have updates today」と記載 | ブログの最新記事は10/9。blog.remirepo.net |
UTC・米国太平洋時間で書かれた時刻は、日本時間に換算しています。
自分の環境での確認方法
- レンタルサーバー：契約先のお知らせ（上の表の備考のURL）と管理画面で確認します。お名前.com レンタルサーバーで版を切り替える手順はお名前.comのPHPを7.4から8.4に変更する手順にまとめています。
- WordPress：管理画面の「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」でPHPのバージョンを確認できます。版番号を変えずに修正する会社（mixhost）もあるため、公式の告知と合わせて判断します。
- サーバーに入れる場合：
php -vで版を確認します。ディストリビューションのパッケージは修正を移植しても上流の版番号が変わらないことがあり、AlmaLinuxはphp -vに頼らずrpm -q php-commonで公式に掲載された版と照合するよう案内しています。更新後はPHP-FPM（mod_phpならApache）を再起動します。 - コンテナ：Docker公式イメージは 8.4.27 など修正版の番号を含むタグで取得し直し、コンテナを作り直します。Azure App Serviceは、SSHで
php --versionを実行して確認するよう案内しています。
更新履歴
- 2026年10月22日13:05：初版。21社の公式発表を 10月22日13:00前後（12:55〜13:03）に確認
よくある質問
レンタルサーバーを使っている場合、自分で何かする必要はありますか？
会社によって違います。さくらのレンタルサーバとmixhostは利用者の作業は不要、カラフルボックスとConoHa WINGはPHPのバージョン変更は不要と案内しています。ヘテムルはPHP 8.1以下で一部の機能が無効になったため、サイトの動作確認を依頼しています。お名前.com レンタルサーバーは2026年10月22日13:00時点で告知がありません。
PHPのバージョン表示が修正版より前の番号のままです。修正されていないのですか？
表示だけでは判断できない場合があります。mixhostはPHPのバージョン番号を変えずに修正を適用したと案内し、AlmaLinuxも上流の版番号は変わらないとしています。契約先や配布元の公式発表で、適用済みかどうかを確認してください。
PHP 8.1以前を使っていても修正されますか？
PHP公式は8.1以前の更新版を出しておらず、7.4・8.0・8.1向けには最小限のソースバックポートだけを公開しています。旧バージョンへの修正の適用を告知している会社（mixhost・カラフルボックス・ヘテムル）や、順次適用中とする会社（エックスサーバー）もあります。契約先の案内を確認し、サポート中の版への移行も検討してください。
この一覧はいつ更新されますか？
毎日更新します。各社の公式発表だけを確認し、変わった点は「更新履歴」に日時つきで記録します。
まとめ
- 2026年10月22日13:00時点で、確認した21社のうち15社が修正の配布・適用を告知しています（うち5社は一部のみ）。
- 国内のレンタルサーバーは、完了が4社、8.2〜8.5のみ完了が2社、対応中が3社、未告知が1社です。
- 版番号の表示が変わらない修正もあるため、表示だけでなく契約先・配布元の公式発表で確認します。
- この一覧は毎日更新します。脆弱性そのものの解説はPHPの重大脆弱性php2shellは自分のサイトも対象？をご覧ください。
参考（確認日：2026年10月22日・時刻は日本時間）
各社のお知らせは表の「備考・確認した公式URL」にリンクしています。ほかに確認した公式ページは次のとおりです。
- PHP公式：セキュリティアドバイザリ（2026年10月21日）（12:55）
- AWS：Amazon Linux 2023 Security Advisories（ALAS2023-2026-3301〜3304）（12:55）
- Google Cloud：Responding to core PHP vulnerabilities（12:58）
- Red Hat：RHSB-2026-013（12:58）
- Ubuntu：USN-8948-1（13:00）
- Ubuntu：USN-8948-2（13:00）
コメント