公式が直さない古いPHPを、自分で直すと書いた会社がある

• 公式の修正版が無い古いPHPに、独自の修正を作ると書いた会社がある
• 修正版の公開前から、利用者のサーバーに緩和策を当てていた
• 一方で、告知にPHPの語が一度も出てこない会社もある

PHPの重大な脆弱性で、レンタルサーバー各社が緊急メンテナンスに入った。脆弱性の中身は別の記事に書いた。

最初は「対応が速いかどうか」を見ていた。だが告知を読み比べると、差が出ているのは速さではなかった。

まず、時刻を並べる

起点はPHP公式の事前アナウンスで、日本時間の10月21日4時32分だ。

どちらも修正版の公開より前に動いている。その時点ではCVE番号も、対象バージョンも、何ができる脆弱性かも公表されていなかった。

ここまでは、どちらも速い。問題はその後だった。

告知に何を書いたか

エックスサーバーの場合

22日1時10分時点の告知に、こう書かれている。

お客様のご利用サーバーについても、公式修正版が提供されたPHPバージョン（8.2〜8.5）から順次、修正の適用を開始しております。

公式修正版が提供されていない古いPHPバージョンについては、弊社独自の修正の作成に着手しております。こちらは対応までにお時間をいただく見込みですが、引き続き対応を進めてまいります。

ここが本題だ。

PHPが直さないものを、自分たちで直すと書いている。

これはかなり重い約束になる

8.1以前はPHP本体の更新対象から外れている。直したければ自分で直すしかない。

それを引き受けるというのは、こういうことだ。

1. 公式の修正を読んで、何をどう直したかを理解する
2. 古い版のソースに、それを移植する。構造が違うので、そのままでは当たらない
3. 自社で検証する。当然、公式の検証は受けられない
4. それを本番の全サーバーに当てる

深刻度9.2の脆弱性に対して、自分たちでパッチを書いて配るという話になる。

しかも「お時間をいただく見込み」と自分から書いている。できますと言い切らず、かかると認めている。こちらのほうが信用できる。

修正版が出る前から、当てていた

よくある質問のほうに、もう1つ書かれていた。

今回の脆弱性については、お客様のご利用サーバーにも、修正版公開前の緩和策を含む安全対策を弊社にて順次適用しております。

公式が挙げていた緩和策は別記事に書いたが、設定を変えて全ワーカーを再起動する類のものだ。

それを内容が公表される前に、利用者のサーバーへ順次当てていたことになる。

2時間ごとに進捗を出す

小さいが効く一文もあった。

今後の対応状況や再開の見込みについては、2時間ごとを目安にお知らせします。

再開が延びるときに、いちばん困るのはいつ見に行けばいいか分からないことだ。間隔を先に示すと、待つ側は見に行く回数を決められる。

さくらの告知には、PHPの語が無い

比べると、差がはっきりする。

さくらの緊急メンテナンスの告知を読んだ。作業内容として書かれているのは「再起動を伴うシステムメンテナンス」だけだった。

PHPという語は、一度も出てこない。理由も書かれていない。

ここは公平に書く

これは「対応していない」という意味ではない。

再起動を伴うメンテナンスなので、内容としては当てている可能性が高い。時期も合っている。

だが書いていないことは、確認できない。

このサイトでは今月、他社の発表を「何が書かれていて、何が書かれていないか」で読み続けてきた。同じ物差しを当てるなら、こうなる。

• 何のための停止か — 書かれていない
• 利用者のサーバーに何をしたか — 書かれていない
• 古いPHPをどうするか — 書かれていない

利用者は自分のサイトが直ったのかどうか、判断できない。

なぜ書かないのか

理由は想像がつく。

1. 修正版が出る前は、内容を書けない。何を直すかが公表されていない
2. 書くと、まだ直っていないことを明かすことになる
3. 約束になるので、できる範囲しか書けない

どれも理解できる。それでも、書いたほうが利用者は動ける。今回それを選んだ会社があった、という話になる。

情報の出し方の違いは、今回だけではない

さくらは事後の調査報告は、かなり詳しく出している会社だ。

今年、自社が不正アクセスを受けたときも報告を重ねている。公表されている内容はこうだ。

• 2026年8月9日、レンタルサーバのメンテナンス用サーバーで異常を検知
• 一部にマルウェアが設置されていた
• 顧客の契約情報を扱う販売管理システムにもアクセスされた可能性。約136万アカウント
• 調査の結果、販売管理システムへの不正アクセスは2023年4月以降、2026年3月までの間に発生していた

侵入に3年近く気づいていなかったことになる。それを自分で調べて公表している点は評価すべきだと思う。

つまり出さない会社ではない。違うのはいつ出すかだ。

困っているのは進行中の利用者だ。あとで詳しい報告が出ても、いま自分のサイトが直ったのかは分からない。

今月、第一報の読み方でも同じことを書いた。確定していない段階で何を書けるかが、そのまま差になる。

止め方そのものも、正しかった

細かいが、ここは見ておきたい。

エックスサーバーの停止中のページは、HTTPの状態コード503で返されている。筆者が実際のブラウザで確認した。

よくある間違いは、「メンテナンス中です」の画面を200で返してしまうことだ。200は「これが正しいページです」という意味になるので、検索エンジンに中身の無いページとして覚えられる。再開しても戻るまで時間がかかる。

503なら「いま使えないが、そういうページではない」と伝わる。一昨日、ふるさとチョイスの止め方で同じ点を褒めた。コーポレートサイトを止めるときも同じで、ここができている会社は多くない。

止めた範囲も違っていた

エックスサーバーは、止めるものと止めないものを分けている。

自分たちの窓口を閉めて、客の商売は止めていない。

先週、ふるさとチョイスの止め方を褒めた。あれは全部止めるのが正しい場面だった。止める範囲は、何が起きているかで変わる。今回は侵害されたわけではない。

「不正アクセスではない」と先に書いた

これも効いている。

本対応は当社サービスに対する不正アクセスの発生に伴うものではございません。

サーバー会社の管理画面が突然止まれば、利用者は「やられたのでは」と考える。今月はその件数が続いているので、なおさらだ。誤読を先に潰している。

窓口がどうなるかまで書いた

細かいが、問い合わせる側にはありがたい部分だった。

• チャット — メンテの対象なので使えない
• 電話 — 受け付けてはいるが、顧客情報を参照できないので具体的な案内はできない
• メール — フォームが止まっており、回答も通常より時間がかかる

「電話はつながるが、答えられない」まで書いてある。かけてから分かるより、先に分かるほうがいい。

さらに無料プランの利用期限がメンテ中に来る場合は、会社側で延長するとも書かれていた。止めたことで生じる不利益を、先回りして潰している。

利用者としてどう読むか

借りている側がやることは、どちらの会社でも大きくは変わらない。

1. 提供元の告知を見る。自分で設定を触るより確実
2. 管理画面でPHPのバージョンを自分で選んでいるなら、再開後に確認する
3. 追加の作業を頼まれる可能性がある。エックスサーバーは「追加の対策をお願いする場合がある」と書いている

3番目は見落としやすい。会社側で全部終わる、とは限らない。

作る側の持ち帰り

規模が違っても真似できる形が、今回は4つあった。

1. 止める単位を、先に分けておく。管理画面だけ落とせるか
2. 誤読される前に、違うと書く。「不正アクセスではない」の一行
3. 進捗の間隔を先に示す。「2時間ごと」で、見に行く回数が決まる
4. 窓口がどうなるかまで書く。つながるが答えられない、も情報

1番目は平時にしか用意できない。慌ててからでは分けられない。全員のパスワードを先に無効化した事例でも同じことを書いた。押せるボタンが用意されているかで、当日の速さが決まる。

今月の他の事例との違い

10月に入ってから、漏えいや停止の記事を20本以上書いた。そのほとんどは「起きた後」の話だった。

今回は違う。自分のところでは何も起きていない。それでも止めて、パッチを書き始めている。

同じ形を一度見た。まだ何も起きていないのに新規申し込みを止めた件だ。あのときも先に止めるほうが被害は小さいと書いた。

何も起きていないのだから、止めなければ文句は出なかった。それでも止めて、さらに自分で直すと書く。そこまでやると、後から「やりすぎだった」と言われる可能性も引き受けることになる。

まとめ

• 各社とも修正版の公開より前に動いた。内容は分かっていなかった
• 差が出たのは速さではなく告知に何を書いたか
• エックスサーバーは8.2〜8.5から順次、修正を適用中
• 公式修正版が無い古いPHPには、独自の修正を作ると明記
• 修正版の公開前から、緩和策を利用者のサーバーに当てていた
• 進捗を2時間ごとに出すと予告している
• さくらの告知は「再起動を伴うシステムメンテナンス」のみ。PHPの語が無い
• ただし対応していないという意味ではない。書かれていないだけ
• 停止ページは503で返している。検索結果への影響を避ける正しい形
• さくらは事後の調査報告は詳しい。違いは「いつ出すか」
• 利用者は再開後に追加の作業を頼まれる可能性がある

出典

• エックスサーバー「予防的な安全対策に伴う公式サイト・管理画面等の一時停止のお知らせ」（2026年10月22日1時10分時点の進捗。適用中のPHPバージョン、古いPHPへの独自修正、修正版公開前の緩和策、停止範囲、窓口の状況、無料プランの期限延長、よくあるご質問）
• さくらインターネット「緊急メンテナンスのお知らせ」（作業内容、対象ホスト、日時。作業内容は「再起動を伴うシステムメンテナンス」と記載）
• さくらインターネット「当社システムへの不正アクセスに関する調査結果および再発防止策について（第三報）」（2026年9月10日。検知の時期、マルウェアの設置、販売管理システムへの不正アクセスの期間と対象アカウント数）
• PHP「Security advisory」および事前アナウンス（リリース予定時刻、公表内容の範囲、8.1以前の扱い）

本記事は2026年10月22日時点の公表内容に基づく。各社の対応状況は随時更新されており、告知に記載が無いことは対応していないことを意味しない。利用しているサービスの最新の告知を確認すること。本記事は法的な助言ではない。