PHPの脆弱性、ConoHa WINGが全バージョンに修正適用　番号は前のまま

2026年10月22日

ConoHa WINGは2026年10月22日、PHPの重大な脆弱性への対応がすべて終わったと、公式サイトのお知らせと公式のX（@ConoHaPR）で発表しました。20時45分の時点で、提供中のすべてのPHPバージョンにセキュリティパッチを適用し終えたとしています。利用者がPHPのバージョンを変える必要はありません。ただし、今回のパッチはPHPのバージョンを上げずに修正だけを取り込む方法のため、WordPressの「サイトヘルス」などでは、修正前と同じバージョンの番号が表示されることがあります。何が終わったのかと、番号の見方、利用者がすることをConoHaの公式の案内でまとめました。

この記事の要点

ConoHa WINGは10月22日20時45分の時点で、提供中のすべてのPHPバージョンにセキュリティパッチを適用し終えました。21日夜に修正版が公開されたPHPの重大な脆弱性への対応です。
利用者がPHPのバージョンを変える必要はありません。ConoHaは、使っているPHPのバージョンのまま修正を当てたとしています。
WordPressの「サイトヘルス」などでは、修正前と同じ番号が表示されることがあります。例えばPHP 8.5は、開発元の修正版の8.5.12ではなく8.5.11と出ます。ConoHaは、表示される番号にかかわらず修正は適用済みとしています。
22日12時から21時の予定だった緊急メンテナンスは、20時45分に終わりました。止めていたWebメールとファイルマネージャーは18時30分ごろに、phpMyAdminも終報の時点で再開しています。
ConoHa VPSなど、自分でPHPを管理しているサーバーは対象外です。ConoHaは、VPSの利用者には修正版（8.5.12、8.4.27、8.3.36、8.2.35以降）への更新を求めています。

ConoHa WINGの対応の流れ

ConoHaは、10月21日夜から続けていた緊急メンテナンスと、ファイルマネージャー・Webメールの一時停止は、どれもPHPの脆弱性への対応だったと22日のお知らせで説明しています。21日の時点のお知らせでは理由を「システムの保守作業」としていて、PHPには触れていませんでした。この間も、Webサイトの表示とメールの送受信はふだんどおり使えるとしていました。

日時（日本時間）	ConoHaの発表	出典
10月21日19時〜22日10時	緊急メンテナンス。作業内容は「システムの保守作業」で、一時的に接続できない、またはサービスを使えないことがあるとした	お知らせ
10月21日23時	PHPの開発元が、重大な脆弱性を直した修正版を公開（ConoHaのお知らせによる）	お知らせ
10月22日	予防保守として、ファイルマネージャーとWebメールの利用を一時停止。再開までは、メールソフトやFTPソフトで代わりに使うよう案内	お知らせ
10月22日12時〜21時（予定）	Webサーバーの収容ホストの緊急メンテナンス。再起動を伴うため、ホストごとに数分から数十分ほどサーバーを使えない時間があるとした	お知らせ
10月22日	メンテナンスと機能の停止はPHPの脆弱性への対応だと説明。PHPのバージョンはそのままで、ConoHaの側でパッチを順に当てるとした	お知らせ
10月22日18時の時点	第2報。パッチの適用は続いていて、Webメールとファイルマネージャーは再開、phpMyAdminは止めたまま	お知らせ
10月22日18時30分ごろ	Webメールとファイルマネージャーを再開	お知らせ
10月22日20時45分	すべてのPHPバージョンへのパッチの適用が完了。緊急メンテナンスも終了し、phpMyAdminも再開（終報）	お知らせ
10月22日21時1分	公式のXで終報を知らせた	X投稿

ConoHa WINGのお知らせ「【重要】PHPの脆弱性への弊社対応完了のお知らせ（終報）」のページ — 出典：ConoHa WING「【重要】PHPの脆弱性への弊社対応完了のお知らせ（終報）」

サイトヘルスの番号が変わらない理由

PHPの開発元は、今回の脆弱性を直した修正版として8.5.12、8.4.27、8.3.36、8.2.35を出しました。ConoHa WINGはこれらの新しいバージョンに上げたのではなく、いま使っているバージョンのまま、修正の部分だけを取り込んでいます。そのため、WordPressの管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」などでPHPのバージョンを見ると、これまでと同じ番号が表示されることがあります。

ConoHaが示した、パッチを当てたあとのバージョンの番号は次のとおりです。

PHPのバージョン	ConoHa WINGで表示される番号（修正済み）	開発元の修正版
8.5	8.5.11	8.5.12
8.4	8.4.26	8.4.27
8.3	8.3.35	8.3.36
8.2	8.2.34	8.2.35
8.1	8.1.34	出ていない（サポート終了）
8.0	8.0.30	出ていない（サポート終了）
7.4	7.4.33	出ていない（サポート終了）
7.3	7.3.33	出ていない（サポート終了）
7.2	7.2.34	出ていない（サポート終了）
7.1	7.1.33	出ていない（サポート終了）
7.0	7.0.33	出ていない（サポート終了）
5.6	5.6.40	出ていない（サポート終了）

ConoHaは、表示される番号にかかわらず、今回の脆弱性への修正はすべてのPHPバージョンに適用済みとしています。PHPのバージョンの番号を見て判定するツールやサービスでは、修正前の番号として扱われることがあります。番号だけで「まだ直っていない」と判断せず、ConoHaの終報をあわせて確かめてください。

なお、ConoHaのConoHa VPS向けのお知らせでは、PHP 5.4〜8.1はサポートが終わっていて、開発元からは今回の修正版が出ていないとしています。ConoHa WINGでは8.1以前にもパッチを当てたとしていますが、サポートが終わったバージョンは今後の脆弱性の修正も出ません。WordPressのサイトなら、動作を確かめたうえで、サポート中のPHP 8.2以降に移すことを考えておきましょう。

ConoHa WINGの利用者がすること

確かめること	どうするか
PHPのバージョン	変えなくてよい。ConoHaが、使っているバージョンのまま修正を当てた
サイトヘルスなどの番号	8.5.11などの前と同じ番号のままでよい。上の表の番号なら、ConoHaは修正済みとしている
サイトの表示	22日12時からのメンテナンスでは、ホストごとに数分から数十分止まる時間があった。メンテナンスは終わっているので、サイトや管理画面がふだんどおり開けるかを一度確かめる
Webメール・ファイルマネージャー・phpMyAdmin	どれも再開済み
PHP 8.1以前を使っている	今回の脆弱性にはConoHaがパッチを当てた。今後のために、サポート中の8.2以降への移行を考える

ConoHa VPSなど、自分でPHPを入れて管理しているサーバーは、ConoHa WINGのこのパッチの対象ではありません。ConoHaはVPS向けのお知らせで、この脆弱性を「php2shell」（CVE-2026-109618、CVE-2026-109619）と説明し、認証なしで第三者にコードを実行されるおそれがあるとして、8.5.12、8.4.27、8.3.36、8.2.35以降への更新を求めています。更新の進め方はPHPの脆弱性の記事にまとめています。