レンタルサーバーのおすすめはエックスサーバー｜PHP脆弱性で比べた7社と引っ越し手順

2026年10月21日、PHPに重大な脆弱性が2件見つかり、国内のレンタルサーバー各社が一斉に緊急メンテナンスに入りました。管理画面が止まった会社、利用者のサイトの表示まで一時停止した会社、サイトは動かしたまま修正を当てた会社と、対応は分かれています。「今のサーバーで大丈夫なのか」「乗り換えるならどこがいいのか」と調べている方も多いはずです。

この記事では、合同会社キューブリックとしての結論を先に出し、その根拠を今回のPHP脆弱性への各社の公式発表をもとに説明します。エックスサーバーのほか、ConoHa WING、さくらのレンタルサーバ、ロリポップ！、お名前.com、mixhost、カラフルボックスの対応と特徴も比べています。後半は、直近の国内の不正アクセス被害を踏まえて、PHP対策とセキュリティで見るべき点、他社サーバーから引っ越す手順、ドメインをそのまま移す方法をまとめています。当社は WordPress と PHP のバージョンアップを請け負っており、10月の脆弱性の前後にも、さまざまなサーバーで動くサイトの更新を担当してきました。

結論：レンタルサーバーはエックスサーバーを選ぶ

出典元：エックスサーバー

プラン	12か月契約の月額	36か月契約の月額	ディスク容量
スタンダード	1,100円	990円	500GB（NVMe SSD）
プレミアム	2,200円	1,980円	600GB（NVMe SSD）
ビジネス	4,400円	3,960円	―

合同会社キューブリックの結論は、WordPress でサイトを運営するならエックスサーバーです。理由は3つあります。

今回のPHP脆弱性で利用者のサイトを稼働させたまま修正を当てたこと、PHPの版を管理画面から簡単に切り替えられること、そしてサポートが終わった古いPHPにまで修正パッチを当てたことです。

料金の安さだけを比べれば、もっと安いサーバーはあります。ただ、会社のホームページやお問い合わせを受けるサイトは、止まったときの損失のほうがずっと大きくなります。

「何かあったときに止まらないか」で選ぶなら、今回の対応を見る限り、エックスサーバーが最も安心して勧められる選択肢です。

PHPの脆弱性が出た日も、利用者のサイトは動き続けた

エックスサーバーは、修正版が出る前の10月21日12時までに、対象のサーバーへ緩和策を入れ終えています。修正版の公開後は新しい版から順に修正を当て、公式の対応状況ページで利用者のサーバーはどの段階でも稼働を続けたまま対応したと説明しています。

止めたのは、公式サイト、契約の管理画面、サーバーパネルなど、エックスサーバー自身が運営する画面です。つまり、管理画面には一時的に入れなかったものの、サイトの表示とメールの送受信は通常どおりでした。

お問い合わせフォームから注文や相談が入る会社にとって、サイトが動き続けたかどうかは売上に直結する違いです。

（参照：エックスサーバー「PHPの脆弱性 対応状況とよくある質問」2026年11月2日版）

PHPの版をドメインごとに切り替えられ、戻すこともできる

エックスサーバーでは、サーバーパネルの「PHP Ver.切替」から、ドメインごとにPHPの版を選べます。1つの契約で複数のサイトを動かしていても、新しいサイトは PHP 8.4、古いサイトはしばらく 8.3、という分け方ができます。

切り替えたあとに表示がおかしくなっても、同じ画面から元の版に戻せるので、試してだめなら戻す、という手順がとれます。

当社がバージョンアップを請け負う中でも、PHPの切り替え画面がどこにあるか分からない、切り替えたら戻せなくなった、という相談はサーバー会社によって差が出ます。専門知識がない担当者でも迷わずに操作できるのは、エックスサーバーの大きな強みです。

サポートが終わった古いPHPにも修正パッチを当てた

今回の脆弱性で、PHPの開発元が修正版を出したのは 8.2〜8.5 の4系列だけです。PHP 7.4 や 8.0 など、すでに開発元のサポートが終わった版には、公式の修正版がありません。

エックスサーバーは、このPHP 5.1〜8.1 にも自社で修正パッチを当て、利用者が設定している版を変えずに対策しました。

10月26日6時20分までに、PHP 5.1〜8.5 のすべての対象サーバーで対応が完了しています（同公式ページより）。

古いPHPのまま動いているサイトは、実際には少なくありません。そうしたサイトを抱える会社にとって、版を急いで上げなくても今回は守られたことは大きな安心材料です。ただし、エックスサーバー自身も PHP 8.3 以上の利用を勧めており、次も同じ対応が受けられるとは限りません。

【実例】代表の伊藤が使ってきて、困ったときの返答が早かった

代表の伊藤は、未経験からエンジニアになり、自分で会社を立ち上げるまでの間に、さまざまなサイトをさまざまなレンタルサーバーで運営してきました。

その中でエックスサーバーを勧める理由は、機能の多さよりも、管理画面の分かりやすさと、困ったときの問い合わせへの返答の早さです。

サーバーのトラブルは、起きた瞬間にどう動くかで被害の大きさが変わります。返事を何日も待つ間にサイトが止まり続けるのが、運営者にとっていちばんつらい状況です。エックスサーバーは、問い合わせてから解決までが短かったという経験が一番多かったサーバーで、合同会社キューブリックとしても自信を持って勧めています。

2026年10月のPHP脆弱性で、サーバーごとの差がはっきり出た

レンタルサーバーの違いは、何も起きていない日にはほとんど見えません。差が出るのは、今回のように全社が同時に対応を迫られた日です。

10月のPHP脆弱性では、各社が修正を当てるまでの間に「何を止めて、何を動かしたか」がはっきり分かれました。

ここでは、各社の公式発表をもとに、何が起きたのかと、主要レンタルサーバーの対応の違いを整理します。

どこかを悪く言うためではなく、次に同じことが起きたとき、自分のサイトがどうなるかを想像するための材料として読んでください。

2026年10月に何が起きたのか

2026年10月21日23時ごろ（日本時間）、PHPの開発元が、CVE-2026-109618 と CVE-2026-109619 の2件の脆弱性の詳細と修正版を公開しました。

通称は PHP2Shell で、深刻度は CVSS v4.0 でいずれも9.2です。ログインしなくても、外からサーバー上でプログラムを動かされるおそれがあるという重い内容で、修正版は 8.5.12、8.4.27、8.3.36、8.2.35 の4つが出ています。10月26日には、米国の CISA がこの2件を、実際に悪用が確認された脆弱性の一覧（KEV）に加えました。

WordPress は PHP の上で動いているため、WordPress 本体やプラグインを最新にしていても、サーバー側の PHP が直っていなければ守れません。

共用のレンタルサーバーでは、この PHP の修正はサーバー会社が行います。だからこそ、サーバー会社の対応の速さと範囲が、そのままサイトの安全につながりました。

主要レンタルサーバー8社の対応一覧

主要なレンタルサーバーの対応を、各社の公式告知をもとに並べると下の表のとおりです。ほとんどの会社が10月22日中に修正を終えています。

完了の早さだけを見れば、各社に大きな差はありません。エックスサーバーも、8.2〜8.5 は10月22日6時45分、5.6〜8.1 は同日14時までに終え、最後に残った PHP 5.1〜5.5 を含めて全対象が終わったのが10月26日です。

差が出たのは、修正版の公開前に緩和策を入れていたか、修正が終わるまでサイトを動かし続けたか、そしてどこまで古いPHPを守ったか、という対応の中身です。

サーバー	対応の完了	修正の方式（古いPHPを含む）	利用者の作業・注意点
エックスサーバー	8.2〜8.5：10月22日6時45分 全対象：10月26日6時20分	8.2〜8.5は同じ系列の修正版に更新、5.1〜8.1は修正パッチ。設定中の版は変えない	原則不要。利用者のサーバーは稼働を続けたまま対応
シン・レンタルサーバー	エックスサーバーと同じ	エックスサーバーと同じ方式（PHP 5.6〜8.5）	原則不要
ConoHa WING	10月22日20時45分	番号を変えずに PHP 5.6〜8.5 の全版を修正	不要。サイトヘルスに修正前と同じ番号が出る場合がある
さくらのレンタルサーバ	10月23日17時30分までに緊急メンテナンス終了	提供中のPHPに修正を適用。サポート終了版にも適用	サポート対象の最新版への移行を推奨
ロリポップ！	10月22日13時11分にサイト再開	8.2〜8.5は修正版、7.4〜8.1は開発元提供の修正、5.3〜7.3は自社作成の修正	10月22日3時ごろからサーバー単位でサイト表示を一時停止。8.2以上への切り替えを推奨
お名前.com レンタルサーバー	10月22日20時45分	表示されるバージョン番号にかかわらず全版に修正を適用	バージョン変更などは不要
mixhost	10月22日10時18分ごろ	番号を変えずに PHP 5.2〜8.5 を修正（サポート終了版は CloudLinux の修正）	不要。8.2未満はサポート中の版への移行を推奨
カラフルボックス	10月22日朝まで	番号を変えずに対策済みの版へ更新。7.4〜8.1などの古い版にも修正・保護措置	バージョン変更は不要

エックスサーバーとロリポップ！の対応の違い

表の中で、対応の分かれ方がいちばん分かりやすいのが、エックスサーバーとロリポップ！です。どちらも修正版の公開前から予防のためのメンテナンスに入っています。

違いは、修正が終わるまでの間に利用者のサイトを動かし続けたかどうかです。

エックスサーバーは、公式サイトや管理画面を止めた一方で、利用者のサーバーは稼働を続けたまま緩和策と修正を当てました。

ロリポップ！は公式の経緯報告で、PHPの実行環境はサーバー側の問題で利用者自身では防ぎにくいため、修正が終わるまでの間、サイトとデータを守ることを優先して、一時的にサイトの表示を停止したと説明しています。停止は10月22日3時ごろからサーバー単位で行われ、修正版を当てたうえで同日13時11分に再開しました。

下の表は、両社の公式発表から分かる範囲をまとめたものです。どちらも最終的には修正を終えています。

項目	エックスサーバー	ロリポップ！
止めたもの	公式サイト、契約の管理画面、サーバーパネル、WEBメールなど（10月21日16時から）	サービスサイト、ユーザー専用ページ、自動更新機能、API など（10月21日22時30分ごろから順次）
利用者のサイトの表示	稼働を続けたまま対応	10月22日3時ごろからサーバー単位で一時停止し、13時11分に再開
修正前の緩和策	10月21日12時までに対象サーバーへ実施	予防措置としてメンテナンスを実施
サポート終了版のPHP	PHP 5.1〜8.1 にも修正パッチを適用	7.4〜8.1は開発元提供の修正、5.3〜7.3は自社作成の修正を適用
その後の動き	10月26日6時20分に全対象サーバーの対応完了	10月24日から予防措置として新規申し込みと一部機能を一時停止（10月28日時点の告知）

止める判断も守るための対応。ただ、止めずに守れる仕組みの差は大きい

先に断っておくと、ロリポップ！がサイトを止めたことは、利用者のサイトとデータを守るための判断で、被害が出たことを意味しません。

修正が間に合わないまま攻撃を受けるより、止めて守るほうが安全な場面もあります。

そのうえで、サイトを運営する側から見ると、止めずに守れる仕組みを持っているかどうかは大きな違いです。

お問い合わせフォームや予約フォームがあるサイトでは、表示が止まっている間の機会損失は取り戻せません。

エックスサーバーは、修正版の公開を待つ前に緩和策を入れ終え、サイトを動かしたまま修正を順に当てていきました。こうした対応ができる体制があることが、当社がエックスサーバーを勧めるいちばんの根拠です。

直近の不正アクセス被害から分かる、サーバー選びで本当に大事なこと

「結局、PHP2Shell で被害は出たのか」が気になる方も多いと思います。IPA は10月27日時点で、国内での攻撃被害の事例は把握していないとしています。

ただ、被害が表に出ていないことと、狙われていないことは別です。海外では公表前から攻撃の試みが見つかっており、国内でも不正アクセスの公表は2026年9月末の時点で600件と、過去最多のペースで増えています（トレンドマイクロの集計、共同通信の報道による）。

ここでは、PHP2Shell をめぐる攻撃の動きと、直近の国内の被害事例をもとに、会社のサイトを守るためにサーバー選びと運用で何を見ればいいかを整理します。被害を受けた組織を責める意図はなく、同じことを自社で起こさないための材料として紹介します。

PHP2Shell は公表の4日前から狙われていた

Amazon の発表によると、PHP2Shell を狙った攻撃の試みは、脆弱性が公表される4日前の10月17日にすでに観測されていました。21日の昼前には悪用のためのコードが複数出回り、修正版が公開されてからは数時間のうちに新しい悪用コードが登場しています（ITmedia NEWS、2026年10月23日）。

その後、米国の CISA は10月26日に、この2件を実際に悪用が確認された脆弱性の一覧（KEV）に加えました。JPCERT/CC も10月29日の更新で、悪用を試みる通信が観測されていることと、一部の製品で侵害を示唆する痕跡が報告されていることを紹介しています。国内のレンタルサーバーでも、ロリポップ！やヘテムルが、脆弱性を狙ったとみられるアクセスの試みを確認したと公表しました。

「修正版が出てから直す」では間に合わない。攻撃は公表と同時か、それより前に始まっている。

エックスサーバーが修正版の公開を待たずに、10月21日12時までに緩和策を入れ終えていたことの意味は、ここにあります。対応を「日」ではなく「時間」で回せるサーバー会社かどうかが、利用者のサイトの安全を左右します。

プログラムを動かされなくても、パスワードを読まれるおそれがある

PHP2Shell が厄介なのは、サーバーを乗っ取られるだけではない点です。研究者からは、不正なプログラムの実行に至らなくても、PHP が処理中にメモリーに持っているパスワードや認証トークン、APIキーを読み取れることが報告されています。

しかも、攻撃の経路によってはアプリケーションの処理が始まる前に問題が起きるため、サイトの操作履歴だけでは攻撃の手掛かりを十分に得られない場合があります（ZDNET Japan、2026年11月2日）。

Amazon も、侵害の調査は公表日からではなく、最も早く悪用が確認された時点から始めるよう呼びかけています。

サーバー会社の修正が終わっていれば、これから新たに読み取られることはありません。ただ、修正が終わるまでの間に何が起きたかは、ログだけでは確かめきれないということです。不安が残る場合は、WordPress の管理者、サーバーパネル、FTP のパスワードと、お問い合わせフォームのメール送信や決済などに使っている外部サービスのキーを変えておくと安心です。

小さなサイトの被害は「改ざん」で起きている

大企業の情報漏えいがニュースになる一方で、会社の公式サイトや研究室のサイトのような規模で多いのが、CMS の脆弱性を突いたサイトの改ざんです。

2026年10月2日には、琉球大学の産学官連携サイトが不正アクセスを受け、アクセスするとオンラインカジノらしきページが表示される状態になりました。大学は CMS の脆弱性を利用した不正アクセスと推定しており、午前0時から12時12分ごろまで、半日近く改ざんされた状態だったとしています（同大学の10月9日の公表）。PHP2Shell とは別の事案ですが、古いままの CMS が狙われる典型的な例です。

PHP そのものの脆弱性が狙われた例もあります。2024年に見つかった PHP の脆弱性（CVE-2024-4577）では、IPA が国内の複数の組織で Webシェル（外から操作するための不正なプログラム）が設置される被害を確認しています。改ざんされたサイトは、訪問者を詐欺サイトへ誘導したり、別の攻撃の踏み台にされたりします。被害者になるだけでなく、知らないうちに加害の側に回ってしまうのが、サイト改ざんの怖さです。

被害の形から逆算した、サーバー選びと運用のチェックポイント

ここまでの事例を、被害の形ごとに「サーバー側で効く備え」と「運営者がやること」に分けると、下の表のようになります。サーバー側の備えは、契約するサーバーを選んだ時点でほぼ決まります。

被害の形	直近の例	サーバー側で効く備え	運営者がやること
公表前・公表直後の攻撃	PHP2Shell（2026年10月17日に攻撃の試みを観測）	公表前の緩和策、時間単位での修正	サーバー会社のお知らせを確認し、古いPHPを使わない
メモリーからの情報の読み取り	PHP2Shell（研究者が実証）	修正の早さ	不安があれば管理者・FTP・外部サービスのパスワードやキーを変える
CMS の脆弱性を突いた改ざん	琉球大学の産学官連携サイト（2026年10月）	WAF、自動バックアップ	WordPress 本体・プラグイン・テーマを最新に保つ
Webシェルの設置	CVE-2024-4577（2024年、国内の複数組織）	WAF、PHP の修正	見覚えのないファイルや管理者ユーザーがないか確かめる
管理画面への不正ログイン	パスワードの使い回しなど	国外アクセス制限、管理画面のIPアドレス制限	長く使い回さないパスワードと二段階認証

表の「サーバー側で効く備え」は、エックスサーバーでは公表前の緩和策、WAF、過去14日分の自動バックアップ、国外アクセス制限、管理画面のIPアドレス制限として、追加料金なしでそろっています。琉球大学の例のように改ざんに気づくまで半日かかっても、14日分のバックアップがあれば改ざん前の状態に戻せます。

一方で、右の列の「運営者がやること」は、どのサーバーを選んでも代わりにやってもらえません。サーバー選びで守れるのは半分で、残りの半分は WordPress を新しく保つ運用です。この両方がそろって、はじめて「止まらずに守れるサイト」になります。

エックスサーバー以外の候補｜主要6社の特徴と向いている人

今回の脆弱性では、主要なレンタルサーバーはどこも最終的に修正を終えています。

違いが出たのは、修正が終わるまでの間にサイトを動かし続けたか、古いPHPをどこまで守ったか、利用者に何を求めたか、という対応の中身です。

ここでは、エックスサーバーと並んでよく比べられる6社について、特徴、エックスサーバーとの違い、向いている人を整理します。料金は時期やキャンペーンで大きく変わるため載せていません。契約前に各社の公式サイトで最新の料金と仕様を確認してください。

ConoHa WING｜番号を変えずに全版を修正し、10月22日夜に完了

出典元：ConoHa WING

ConoHa WING は、GMOインターネットグループが運営するレンタルサーバーです。WordPress の移行機能や自動バックアップがそろい、個人ブログから会社のサイトまで幅広く使われています。

今回の脆弱性では、10月21日19時から緊急メンテナンスに入り、10月22日20時45分にすべての対応を終えたと終報で公表しています。PHP 5.6〜8.5 の全版に、表示されるバージョン番号を変えずに修正を入れる方式だったため、WordPress のサイトヘルスに修正前と同じ番号が出ても未修正とは限りません。

エックスサーバーとの違いは、修正版の公開前に緩和策を入れ終えていたかどうかと、守れる古いPHPの幅です。GMOグループのドメインやサービスとまとめて管理したい人に向いています。

さくらのレンタルサーバ｜老舗の運営会社、サポート終了版にも修正

出典元：さくらのレンタルサーバ

さくらのレンタルサーバは、さくらインターネットが運営する老舗のレンタルサーバーです。自社でデータセンターを運営しており、長く使っている企業や団体のサイトも多いサービスです。

今回は、選べるすべてのPHPに修正を適用し、開発元のサポートが終わった版にも対応しました。10月23日17時30分時点で緊急メンテナンスはすべて終了し、不正アクセスや情報漏えいの被害は報告されていないとしています（さくらインターネットの告知）。

そのうえで、利用者にはサポート対象の最新版への移行を勧めています。エックスサーバーとの違いは、完了までにかかった時間と、利用者に版の移行をはっきり求めている点です。運営会社の歴史や自社設備を重視し、同じ会社のサーバーを長く使い続けたい人に向いています。

ロリポップ！｜低価格プランが豊富、今回はサイトを一時停止して修正

出典元：ロリポップ！

ロリポップ！は、GMOペパボが運営するレンタルサーバーです。月額の安いプランから選べることで知られ、個人のブログや小さなお店のサイトでよく使われています。

今回は、10月22日3時ごろからサーバー単位で利用者のサイトを一時停止し、修正版を当てたうえで同日13時11分にサイトを再開しました。公式の修正版がない古いPHPにも、自社で作った修正を当てています。その後、10月24日からは予防措置として新規申し込みと一部機能（WordPress簡単引っ越しなど）を一時停止していました（10月28日時点の告知）。

エックスサーバーとの違いは、修正が終わるまでの間にサイトを止める判断をした点です。費用を抑えて個人のサイトを運営したい人には今も候補になりますが、止まることが売上に響く会社のサイトなら、止めずに守れる体制を重視して選ぶことを勧めます。

お名前.com レンタルサーバー｜ドメインとサーバーを1か所で管理

出典元：お名前.com レンタルサーバー

お名前.com は、GMOインターネットグループが運営するドメイン登録の大手で、レンタルサーバーも提供しています。ドメインとサーバーの契約と支払いを1か所にまとめられるのが特徴です。

今回は、表示されるバージョン番号にかかわらず全版に修正を適用し、10月22日20時45分に緊急メンテナンスを終えています。利用者によるバージョン変更などは不要としています（お名前.com の告知）。

エックスサーバーとの違いは、サーバー専業ではなく、ドメインのサービスを軸にしている点です。管理画面もドメイン中心のつくりになっています。すでにお名前.com でドメインを持っていて、管理先を増やしたくない人に向いています。

mixhost｜古いPHPも CloudLinux の修正で守った

出典元：mixhost

mixhost は、アズポケット株式会社が運営するレンタルサーバーです。LiteSpeed などの高速化の仕組みを使ったサーバーで、アクセスの多いブログやメディアの運営者に選ばれてきました。

今回は、10月22日10時18分ごろに対応を完了しました。PHP 5.2〜8.5 が対象で、サポートが終わった版には CloudLinux の修正を当てています。番号は変えずに修正したため、利用者の作業は不要で、8.2未満の版を使っている場合はサポート中の版への移行を勧めています（mixhost の告知）。

エックスサーバーとの違いは、管理画面が海外製のコントロールパネルをもとにしている点で、操作に慣れるまで少し時間がかかる場合があります。アクセスの多いメディアやブログを運営し、表示の速さを重視する人に向いています。

カラフルボックス｜古い版にも保護措置、10月22日朝までに完了

出典元：カラフルボックス

カラフルボックスは、株式会社カラフルラボが運営するレンタルサーバーです。契約時にサーバーの設置地域を東京と大阪から選べるなど、中小規模のサイト向けの使いやすい構成になっています。

今回は、10月22日朝までに対応を終え、番号を変えずに対策済みの版へサーバー側で更新しました。7.4〜8.1 などの古い版にも修正・保護措置を入れ、利用者のバージョン変更は不要としています（カラフルボックスの告知）。

エックスサーバーとの違いは、運営規模とサポート体制の大きさです。サーバーの場所を選びたい人や、中小規模のサイトを手ごろな費用で運営したい人に向いています。

PHP対策でレンタルサーバーを選ぶときに見る3つ

「レンタルサーバー PHP対策」で調べると、対応しているPHPの版の一覧がよく出てきます。

ただ、版の数が多いことよりも大事なのは、利用者が自分で版を選べて、戻せるか、サポートが終わった版をどう扱うか、そして新しい版に上げる前に何を準備するかの3つです。

今回の脆弱性で明らかになったのは、PHPの安全はサーバー会社と利用者の分担で守られている、ということです。

サーバー会社が修正を当て、利用者は適切な版を選ぶ。この分担がうまく回るサーバーを選んでください。

PHPの版を利用者が自分で選べ、戻せるか

PHPの版を上げると、古いテーマやプラグインが動かなくなることがあります。そのため、切り替えたあとすぐ元に戻せるかが重要です。

エックスサーバーは、サーバーパネルの「PHP Ver.切替」で、ドメインごとに版を変えて、同じ画面から戻せます。

複数のサイトを1つの契約で動かしている場合でも、サイトごとに準備ができたものから上げられます。逆に、版の切り替えをサーバー会社に依頼しないとできない、全サイトが同じ版で一度に変わる、という作りのサーバーでは、1つのサイトの準備が遅れるだけで全体が上げられなくなります。

契約前に管理画面のPHPの切り替え方法を確かめるのが確実です。

サポートが終わった版への修正方針

PHPには版ごとにサポート期限があり、PHP 8.1 以前はすでに開発元のサポートが終わっています。PHP 8.2 も2026年12月31日に終了する予定です。

サポートが終わった版には開発元から修正が出ないため、守られるかどうかはサーバー会社の方針しだいになります。今回は多くの会社が古い版にも独自の修正を入れましたが、KAGOYA の一部プランのように10月27日時点で脆弱性が残っていると公表したサービスや、CPI の一部の旧プランのように修正の提供対象外とされたものもありました。

エックスサーバーは PHP 5.1〜8.1 にも自社で修正パッチを当てましたが、公式ページには、サポートが終わった版では今後も同じように修正を出せるとは限らないと書かれています。

サーバー会社の努力に頼り続けるのではなく、今のうちに PHP 8.3 以上へ上げておくことが、利用者側でできるいちばんの対策です。

PHP 8.3 以上に上げる前の準備

PHPの版を上げる前にやることは、バックアップを取ることと、WordPress 本体・プラグイン・テーマを先に最新にすることの2つです。古いプラグインのまま PHP だけ上げると、画面が真っ白になったり、500エラーが出たりします。

制作会社が作った専用テーマは配布元の更新がないため、テーマのコードを直さないと新しい PHP で動かないこともあります。

自分で切り替えて表示が崩れた場合は、まず元の版に戻し、原因を調べてから進めてください。

セキュリティで選ぶなら、標準機能とバックアップの中身を見る

「セキュリティが高いサーバー」と書かれていても、中身はサーバーによって違います。上で見た被害の形に対して、どの備えが標準で付いているかを確かめてください。

見るべきなのは、追加料金なしで最初から使える機能と、万一のときに何日前まで戻せるかです。もう1つ、共用サーバーとVPSで責任の範囲が違うことも押さえておく必要があります。

今回の脆弱性でも、共用サーバーはサーバー会社が修正を当てましたが、VPSは利用者が自分で更新する必要がありました。安さや自由度でVPSを選ぶと、こうしたときの作業がすべて自分に返ってきます。

WAFと国外アクセス制限、管理画面のIP制限が標準で使える

エックスサーバーでは、WAF（Webアプリケーションファイアウォール）をサーバーパネルから設定するだけで使えます。WAFは、サイトへの不正な書き込みや攻撃のパターンを入口で止める仕組みです。

WordPress には「WordPressセキュリティ設定」があり、国外から管理画面やログインへのアクセスを制限できます。海外出張中などのために、特定のIPアドレスだけ許可するホワイトリストも追加されました。

2026年6月には、管理画面に入れるIPアドレスを社内などに限定する「IPアドレス制限」も全プランに加わっています。

どれも専門知識がなくても画面の操作だけで設定できるので、引き継ぎ後や乗り換え後に最初にオンにしておきたい機能です。

自動バックアップは過去14日分を標準で保持

エックスサーバーは、サーバー上のデータを1日1回、バックアップ専用のサーバーに自動でコピーしています。保持期間は、Web・メールのデータとデータベースのどちらも過去14日分で、全プランに標準で付いています（公式「自動バックアップ」。一部の古いサーバーは Web・メールが7日分）。

改ざんに気づくのが数日遅れても、14日以内なら戻せる計算です。

ただし、データベースのテーブル数が非常に多い場合など、バックアップの対象外になる条件もあります。また、自動バックアップだけに頼らず、PHPの切り替えや大きな更新の前には手元にもバックアップを取ることを勧めます。

共用サーバーとVPSでは、修正を当てる人が違う

今回の脆弱性で、エックスサーバーは共用のレンタルサーバー（エックスサーバー、XServerビジネス、XServer for WordPress）には自社で修正を当てました。

一方、XServer VPS では、PHPを含むソフトウェアは利用者が管理するものとして、修正パッチの適用は行っていません。これはエックスサーバーに限らず、VPS 全般に共通する考え方です。

サーバーの中を自分で管理できるエンジニアがいない会社なら、VPSではなく共用のレンタルサーバーを選ぶほうが安全です。安さや自由度だけでVPSを選ぶと、今回のような緊急時の対応がすべて自社の作業になります。

合同会社キューブリックおすすめのレンタルサーバーエックスサーバー

特徴

• 2026年10月のPHP脆弱性で、利用者のサーバーを稼働させたまま修正（公式発表）
• PHPの版をドメインごとに切り替えられ、同じ画面から元に戻せる
• サポートが終わった PHP 5.1〜8.1 にも修正パッチを適用
• WAF・国外アクセス制限・管理画面のIP制限が標準で付く
• 過去14日分の自動バックアップが全プランに付く
• 「WordPress簡単移行」で他社サーバーから引っ越せる

料金

スタンダードプラン

月額 990円〜

36か月契約の場合。12か月契約は月額1,100円

無料お試し

10日間。期間中に移行と表示の確認までできる

合同会社キューブリック

いくつものサーバーでサイトを運営してきましたが、今から選ぶならエックスサーバーです。管理画面が分かりやすく、困ったときの返答も早い。10月のPHP脆弱性でも、サイトを止めずに修正を当てていました。

代表 伊藤 / WEBエンジニア

＼ 10日間無料でお試し可能 ／

エックスサーバー公式サイトへ

料金は2026年11月時点で公式サイトに記載の通常料金です。時期によってキャンペーンで変わる場合があるため、最新情報は公式サイトで確認してください。

他社サーバーからエックスサーバーへ引っ越す手順

ここからは、今のサーバーからエックスサーバーへ乗り換える手順です。基本の形は、ドメインはそのままで、サーバーだけを引っ越す方法です。

URLは1文字も変わらず、ドメインの向き先（ネームサーバー）を新しいサーバーに変えるだけなので、検索結果の評価もそのまま引き継がれます。

大事なのは順番で、新しいサーバーでサイトが正しく動くのを確かめてからネームサーバーを切り替え、旧サーバーの解約は最後にします。この順番を守れば、引っ越しの間にサイトが止まることは基本的にありません。

以下は、エックスサーバー公式の「サーバー移転手順」をもとに、当社が実際の作業で気をつけている点を加えたものです。

移転を始める前に、契約期間と移す内容を確かめる

サイトを止めずに移すには、今のサーバーの契約を続けたまま、エックスサーバーを重ねて契約する期間が必要です。

エックスサーバーの公式手順では、移転にかかる時間を「事前の作業時間」と「ネームサーバーの反映にかかる約1日」の合計としており、今のサーバーの契約に1か月以上の余裕がある状態で始めることを勧めています。

あわせて、移すのが Webサイトだけか、メールもあるかを確かめます。会社のドメインで「info@〜」のようなメールを使っている場合は、Webサイトと一緒にメールも移す必要があります。見落とすと、切り替えた日からメールが届かなくなります。

もう1つ、ドメインを管理している会社（お名前.com、ムームードメインなど）の管理画面で、ネームサーバーをどこから変えるかを先に確認しておきます。サーバーの引っ越しは、最後にこのネームサーバーを変えることで完了するからです。

申し込みは10日間の無料お試しから

エックスサーバーの申し込みは、公式サイトの「お申し込み」からプランを選び、メールアドレスと支払い方法を入力するだけで始められます。

申し込むと10日間の無料お試しが始まり、期限までに料金を払うと本契約になります（無料お試し期間について）。まず契約して管理画面の使いやすさや、引っ越し先として問題がないかを確かめてから本契約に進めます。

会社のサイトなら、多くの場合スタンダードプランで足ります。

注意点は2つあります。1つは、引っ越しの場合は「WordPressクイックスタート」を使わずに申し込むことです。新しい WordPress が入った状態になり、移行作業がややこしくなります。

もう1つは、お試し期間中は Webサイトのデータのアップロードや動作確認はできますが、メールの設定はできないことです。メールも移す場合は、本契約にしてからメールの設定に進みます。

料金は契約期間が長いほど月あたりが安くなり、時期によって割引キャンペーンも行われています。

エックスサーバー公式の手順に沿った、移転の7ステップ

ここからは、エックスサーバー公式の「サーバー移転手順」に沿って、実際の作業を7つのステップで説明します。公式の手順のとおりに進めれば、ホームページが表示されない期間を作らずに移転できるように組み立てられています。

WordPress のサイトなら、「WordPress簡単移行」でファイルとデータベースをまとめてコピーできます。

使えない場合は手動で移します。

自分で作業するのが不安な場合は、エックスサーバーの有料オプション「サーバー移転代行」や、当社のような外部の業者に頼む方法もあります。

公式の手順に加えて、当社では作業の前に今のサーバーのファイルとデータベースを手元に保存しておくことを必ず勧めています。移行がうまくいかなかったときに、元に戻せるようにするためです。

同じ流れは、エックスサーバー公式の動画でも画面付きで確認できます（動画は2023年12月時点の画面です）。

サーバーの引っ越しと、ドメインの移管は別の手続き

「レンタルサーバー ドメイン 引っ越し」で迷いやすいのが、サーバーの引っ越しとドメインの移管の違いです。

上の7ステップは、ドメインの管理会社はそのままで、サーバーだけを移す方法です。ドメインの更新料の支払い先を変える「ドメイン移管」は別の手続きで、エックスサーバーではサーバーだけ移して使うこともできるため、移管は必須ではありません。.com や .net などは、旧業者から認証用のコード（AuthCode）を受け取って新しい業者に申請するのが一般的で、.jp は JPRS の規則にもとづく手続きになります。

移管には7〜10日ほどかかり、移管を申請している間はネームサーバーを変えられません。そのため、両方をやりたい場合でも、ドメインの期限に余裕があればサーバーの引っ越しを先に済ませるのが公式の勧める順番です。先にサーバーを移して動作を確かめてから移管すると、どこで問題が起きたのかも切り分けやすくなります。

例外は、今のドメイン管理会社でネームサーバーを変えられない場合と、ドメインの期限に余裕がない場合で、このときは移管を先に行います。移管は基本的に、ドメインの期限まで1か月以上の余裕がある状態で申請する必要があり、1か月を切っている場合は今の管理会社で一度更新してから手続きします。

エックスサーバーへの移管の申請方法は、.jp ドメインの場合と.com などそれ以外のドメインの場合で分かれています。条件を満たせば、「独自ドメイン永久無料特典」を使って移管できる場合もあります。

古いPHPのサイトは、移す前に動く状態にしておく

注意が必要なのは、WordPress や PHP が古いまま止まっているサイトです。新しいサーバーは、初期設定で新しい PHP が選ばれていることが多く、古いテーマやプラグインのまま移すと、移した直後に表示されなくなることがあります。

当社が2026年10月から11月に担当したサイトでも、サーバー会社が PHP を 8.3 に切り替えた日にホームページが表示できなくなった例がありました。

このようなサイトは、引っ越しの前か同時に、WordPress 本体・プラグイン・テーマを新しい PHP で動く状態にしておく必要があります。

サーバーの引っ越しで困ったら、キューブリックに相談

サーバーの引っ越しは、手順どおりに進めば難しい作業ではありません。ただ、制作会社が作った専用テーマのサイトや、PHP が古いまま何年も更新が止まっているサイト、ログイン情報が手元にそろっていないサイトでは、手順のどこかで止まってしまうことがあります。

合同会社キューブリックは、他社が作った WordPress サイトの引き継ぎとバージョンアップを数多く担当してきました。見積りはサイトのURLを送るだけで、WordPress・PHP・プラグイン・サーバーの版を外から確かめて返信します。

エックスサーバーへの引っ越しと、新しい PHP で動く状態にする作業をまとめて進めることもできます。「何から手をつければいいか分からない」という段階でも、気軽に相談してください。

よくある質問（FAQ）

エックスサーバーを使っていれば、PHPの版を変えなくても大丈夫ですか？

2026年10月の2件の脆弱性については、エックスサーバーが PHP 5.1〜8.5 のすべての対象サーバーに修正を当てているため、急いで版を変える必要はありません。ただし、PHP 8.1 以前は開発元のサポートが終わっていて、PHP 8.2 も2026年12月31日に終了する予定です。次に見つかる脆弱性で同じ対応が受けられるとは限らないので、PHP 8.3 以上へ上げておくことを勧めます。

PHP2Shell で、自分のサイトに被害が出ていないか確かめる方法はありますか？

IPA は10月27日時点で、国内での攻撃被害の事例は把握していないとしています。そのうえで確かめるなら、WordPress の管理画面に見覚えのない管理者ユーザーがいないか、サーバー上に見覚えのないファイル（特に .php ファイル）がないか、サイトに不審なリンクやページが増えていないかを見てください。今回の脆弱性はメモリー上のパスワードなどを読み取られるおそれもあるため、不安が残る場合は、管理者・サーバーパネル・FTP のパスワードと外部サービスのキーを変えておくと安心です。

エックスサーバー以外を使っています。乗り換えたほうがいいですか？

ConoHa WING、さくらのレンタルサーバ、ロリポップ！、お名前.com、mixhost、カラフルボックスなど主要なレンタルサーバーは、今回の脆弱性への修正をすでに終えています。今のサーバーで困っていなければ、急いで乗り換える必要はありません。会社のサイトで、障害時にも止まらずに守れる体制や、PHPを自分で切り替えて戻せる使いやすさを重視するなら、エックスサーバーへの乗り換えを検討してください。

サーバーを引っ越すと、検索順位は下がりますか？

ドメインをそのままにしてサーバーだけ移す場合、URLは変わらないので、引っ越しそのもので順位が下がることは基本的にありません。注意するのは、移行の失敗で一部のページが404になる、https から http に戻ってしまう、といった表示の問題です。ネームサーバーを切り替える前に、新サーバーで下層ページとフォームまで確かめてください。

引っ越しの間、サイトは止まりますか？

今のサーバーの契約を続けたまま、新しいサーバーにサイトをコピーし、動作を確かめてからネームサーバーを切り替え、旧サーバーの解約を最後にすれば、基本的には止まりません。ネームサーバーの反映には数時間〜最大24時間程度かかり、その間は旧サーバーと新サーバーのどちらにつながるか分からないため、記事の更新やフォームの設定変更を控えます。メールも移す場合は、メールソフトに新しいアカウントを追加しておくと、切り替え中の取りこぼしを防げます。

ドメインもエックスサーバーに移したほうがいいですか？

必須ではありません。エックスサーバーは、ドメインの管理会社はそのままでサーバーだけ移して使えます。更新料の支払い先をまとめたい場合や、今の管理会社でネームサーバーを変えられない場合に移管を検討してください。移管には7〜10日ほどかかり、申請中はネームサーバーを変えられないため、ドメインの期限に余裕があればサーバーの引っ越しを先に済ませるのが安全です。

料金やキャンペーンはいつでも同じですか？

エックスサーバーの料金は契約期間によって変わり、時期によって割引やキャッシュバックのキャンペーンが行われる場合があります。本記事の料金は2026年11月5日時点で公式サイトに記載されていた通常料金です。他社の料金や各社の対応状況も変わることがあります。本記事は執筆時点の情報です。最新情報は必ず公式サイトで確認してください。

自分で引っ越しできるか不安です。どこに頼めばいいですか？

標準的な WordPress サイトなら、エックスサーバーの「WordPress簡単移行」で多くの場合は完結します。有料のサーバー移転代行オプションもあります。WordPress や PHP が古いまま止まっているサイト、制作会社の専用テーマのサイトは、移した直後に表示されなくなることがあるので、バージョンアップとあわせて対応できる業者に頼むと安心です。合同会社キューブリックでは、URLを送るだけで見積りを返しています。

まとめ

• 合同会社キューブリックの結論は、WordPress でサイトを運営するならエックスサーバー。2026年10月のPHP脆弱性で、修正版の公開前に緩和策を入れ、利用者のサーバーを稼働させたまま修正を当てた
• ConoHa WING、さくら、ロリポップ！、お名前.com、mixhost、カラフルボックスなど主要各社も修正は終えている。差が出たのは、サイトを止めたかどうかと、古いPHPをどこまで守ったか
• PHP2Shell は公表の4日前から攻撃の試みが観測され、CISA も悪用を確認した。国内の被害事例は IPA が把握していない（10月27日時点）が、CMS の脆弱性を突いた改ざんは直近も起きている。サーバー側の備えと、WordPress を新しく保つ運用の両方が必要
• PHPの版はドメインごとに切り替えられ、同じ画面から戻せる。サポートが終わった PHP 5.1〜8.1 にも修正パッチを当て、10月26日までに全対象サーバーで完了した
• セキュリティは、WAF、国外アクセス制限、管理画面のIPアドレス制限、過去14日分の自動バックアップが全プランに標準で付く。VPSは利用者が自分で修正を当てる必要がある
• 引っ越しはドメインをそのままにしてサーバーだけ移すのが基本。契約を重ねたまま、データ保存 → 新サーバーで確認 → メール設定 → ネームサーバー切り替え → 旧サーバー解約の順を守る。ドメイン移管は必須ではなく、やるならサーバーの引っ越しのあと
• PHP や WordPress が古いサイトは、移す前か同時に新しい PHP で動く状態にしておく。困ったときはキューブリックに URL を送れば見積りを返す