webcan php-check --url <your-site>
PHP脆弱性チェック。うちのサイトは大丈夫？
2026年10月に公表されたPHPの重大な脆弱性に、ご自社のサイトが対応できているか。URLを入れるだけで、外から分かる手がかりをもとに「対応が必要か」の目安を無料で表示します。
チェック中です…（サイトを1回読み込み、ヘッダーとサーバーを確認しています）
チェックしたURL：
主なレンタルサーバー会社の対応状況
2026年10月24日時点で、各社の公式発表を確認した内容です。最新の状況は各社のお知らせをご確認ください。
| サーバー会社 | 状況 | 内容 |
|---|---|---|
| さくらのVPS／さくらのクラウド | 利用者側で更新が必要 | VPS・クラウドでは、OSやPHPの更新は利用者（サーバーの管理者）が行う必要があると案内されています。 |
| さくらのレンタルサーバ | 対応完了と発表 | 必要な対応は完了し、サポートが終わった古いバージョンにも修正を入れたと発表しています（監視は継続中）。 |
| エックスサーバー | 対応完了と発表 | PHP 5.6〜8.5 は修正を適用済みと発表しています。5.1〜5.5 はまだ一部のサーバーで作業中です。 |
| ロリポップ！ | 対応完了と発表 | 全サーバーで修正を適用し、session.upload_progress も全バージョンで無効にしたと発表しています。PHP 8.1 以下の修正は暫定の扱いです。 |
| heteml | 対応完了と発表 | 全サーバーで修正を適用し、session.upload_progress も全バージョンで無効にしたと発表しています。 |
| ConoHa WING | 対応中 | 対応完了の報告が出ているとの情報がありますが、公式ページの本文を確認できていないため「対応中」として扱っています。 |
| mixhost | 対応完了と発表 | 全サーバーに修正を適用済みで、利用者の対応は不要と発表しています。PHP 8.1 以下は 8.2 以上への移行をすすめています。 |
| カラフルボックス | 対応完了と発表 | 全サーバーで修正を適用済みで、バージョンの変更は不要と発表しています。 |
| VALUE SERVER | 対応完了と発表 | 全PHPバージョンに修正を適用済みで、バージョンの変更は不要と発表しています。 |
| KAGOYA | 対応中 | レンタルサーバーはPHPの更新を済ませ、恒久的な対応を調整中と発表しています。 |
| CPI | 対応中 | PHP 8.2〜8.4 は適用済み、7.4 と 8.0 は10月27日以降に適用予定と発表しています。対象外のプランは利用者側での対策が必要です。 |
| WebARENA | 対応中 | 一部のサービスで外部からのアクセスを止めて対応中と発表しています。 |
何が起きたのか。
3つの脆弱性をまとめました。
PHPは、WordPressやEC-CUBEなど、多くの会社のホームページを動かしているプログラムです。2026年10月、このPHPそのものに、外部からサーバーを乗っ取られるおそれのある重大な問題が見つかりました。WordPressやプラグインの更新では直らず、PHPを修正版にする必要があります。
- CVE-2026-109618認証なしで、外部からプログラムを実行されるおそれ。深刻度は CVSS v4.0 で 9.2。10月21日に修正版が公開されました。
- CVE-2026-109619認証なしで、外部からプログラムを実行されるおそれ。深刻度は CVSS v4.0 で 9.2。10月21日に修正版が公開されました。
- CVE-2026-11556010月23日に追加で注意喚起。セッションのアップロード進捗機能に関する問題で、修正版はまだ出ていません。暫定の対策は php.ini の session.upload_progress.enabled を 0（無効）にすることです。
修正版：PHP 8.5.12 ／ 8.4.27 ／ 8.3.36 ／ 8.2.35 以上。サポートが終わった 8.1 以前は、サーバー会社による個別の修正か、新しいバージョンへの切り替えが必要です。（2026年10月24日時点）
結果は4段階。
「安全です」とは言いません。
このチェックは、外から1回アクセスして見える手がかりだけで判定します。サーバーの中までは見られないため、脆弱性が「ない」とは断定しません。結果は、次にやることを決めるための目安としてお使いください。
- 対応が必要な可能性が高い外から見えているPHPのバージョンが修正版より古い、またはサポートが終わった系統です。すぐにサーバー会社か管理会社に確認してください。
- 確認が必要PHPを使っていると見られますが、修正済みかどうかは外から分かりません。いちばん多い結果です。サーバーの管理画面で確認してください。
- サーバー会社が対応済みと発表サイトのあるレンタルサーバー会社が対応完了を発表している、または修正版以上のバージョンが見えています。追加の注意喚起（CVE-2026-115560）は別途確認してください。
- PHPの使用は確認できず外から見える範囲ではPHPの手がかりがありませんでした。STUDIOやWixなど、PHPで動かないサービスで作られたサイトもここに入ります。
最終確認は、
サーバーの中で行います。
このチェックで「確認が必要」「対応が必要な可能性が高い」と出たら、次の順番で確かめてください。
- 01PHPのバージョンを見るWordPressなら、管理画面の「ツール → サイトヘルス → 情報 → サーバー」に、いま動いているPHPのバージョンが出ています。
- 02サーバー会社のお知らせを見るレンタルサーバーなら、会社が修正を入れているかを公式のお知らせで確認します。番号が古いままでも修正済みの場合があります。主な会社の状況は、ページ上部の一覧にまとめています。
- 03分からなければ、管理している会社に聞くサイトを作った会社や保守をお願いしている会社に「PHPの脆弱性（CVE-2026-109618・109619）への対応は済んでいるか」と問い合わせるのが確実です。VPSや自社サーバーなら、管理者がPHPを更新する必要があります。
PHP脆弱性チェックの、
よくある質問。
このチェックで、脆弱性があるかどうかが分かりますか？
断定はできません。外から1回アクセスして見える手がかり（PHPのバージョン表示、使っているCMS、サーバー会社）から、対応が必要かどうかの目安を出すものです。レンタルサーバーでは、バージョンの番号が古いままでも修正が入っていることがあるため、最終的な確認はサーバーの管理画面かサーバー会社のお知らせで行ってください。
チェックすると、相手のサイトに負担や悪影響はありますか？
ありません。ふつうにページを1回開くのと同じアクセスをするだけで、攻撃を試すような通信は送りません。
「確認が必要です」と出ました。何をすればいいですか？
WordPressなら、管理画面の「ツール → サイトヘルス → 情報 → サーバー」でPHPのバージョンを確認し、サーバー会社のお知らせで今回の脆弱性への対応状況を確かめてください。分からなければ、サイトを作った会社か管理している会社に「PHPの脆弱性への対応は済んでいるか」を問い合わせるのが確実です。
「サーバー会社が対応済みと発表」なら、何もしなくていいですか？
今回の2件（CVE-2026-109618・109619）については、サーバー会社の対応で守られている可能性が高いです。ただし、10月23日に追加で注意が出たCVE-2026-115560はまだ修正版がありません。また、VPSや自社サーバーの場合は、利用者が自分でPHPを更新する必要があります。
WordPressのプラグインを更新すれば大丈夫ですか？
今回の脆弱性はWordPressやプラグインではなく、それを動かしているPHPそのものの問題です。プラグインの更新だけでは直りません。PHPを修正版に更新するか、サーバー会社の対応を確認してください。
自分では対応できません。相談できますか？
はい。無料相談で、サーバーの状況の確認から、PHPの更新、必要ならサーバーの移転まで、何をどの順番でやるかを一緒に整理します。完全オンラインで全国から相談できます。
対応の進め方を、
一緒に決めませんか。
サーバーの状況の確認から、PHPの更新、必要ならサーバーの移転まで。何をどの順番でやるかを整理します。売り込みはしません。
無料相談を申し込む 完全オンライン・全国対応／いただいた情報は本件のご連絡のみに利用しますFREE SITE CHECK（ 無料診断 ）
自社サイトの今の状態を、30秒で確かめる。
URLを入れるだけで、GoogleのSEOとAI検索の両方から見た対応度と、優先して直すべき点がわかります。会員登録・メールアドレス不要です。