PHP2Shell対策｜独自CMSをPHPそのままでサーバー移転

2026年10月21日に公表されたPHPの重大な脆弱性「PHP2Shell」。公式の修正版が出たのはPHP8.2以上だけです。とはいえ、古いPHPで作られた独自CMSは、すぐにはPHPを上げられないことも多いはずです。

そこで現実的な選択肢になるのが、古いPHPにも独自に修正を当てているレンタルサーバーへ、PHPのバージョンはそのままで引っ越す方法です。プログラムに手を入れずに、今回の脆弱性を回避できます。

この記事では、移転先の選び方と、PHPバージョンを変えずに独自CMSを移転する手順を解説します。

PHP2Shellとは？古いPHPのまま放置する危険

PHP2Shellは、PHP本体に見つかった重大な脆弱性（公式アナウンスに記載の正規CVE番号）の通称です。認証なしでリモートからコードを実行（RCE）される恐れがあり、深刻度はCVSS v3.1/v4.0で緊急レベルに指定されています。

参考：PHP公式セキュリティ情報

公式の修正版があるのはPHP8.2以上だけ

PHP公式は2026年10月21日、PHP8.2～8.5の修正版（8.2.35／8.3.36／8.4.27／8.5.12）を公開しました。PHP7.4、8.0、8.1には正式なリリースはなく、最小限の修正コードが提供されただけです。PHP7.3以前やPHP5系には、公式の修正はありません（watchTowr FAQ）。

つまり、古いPHPが守られるかどうかは、そのPHPを動かしているサーバー会社が独自に修正を当てるか次第です。

公表当日から攻撃が始まっている

セキュリティ企業watchTowrは、修正版が出た10月21日には既に攻撃を観測しています。ヘテムルも、脆弱性を狙ったとみられるアクセスを確認したと公表しています（ヘテムルのお知らせ）。

修正が当たっていない古いPHPのサーバーに独自CMSを置いたままにするのは、窓を開けたままの状態です。

＝＝＝

独自開発のシステムは仕様書が残っていないケースも多く、移行手順の選定を誤ると管理画面へのログイン不能やデータ破損につながります。リスクを避けたい場合は、専門エンジニアによる事前調査からご相談ください。

>>無料相談・お見積りはこちら

PHPを上げずに脆弱性を回避できる仕組み

レンタルサーバーの中には、新しいPHPの修正内容を古いPHPに移植して当てる会社があります。これを「バックポート」と呼びます。利用者側はPHPのバージョンを変えずに、脆弱性だけを塞いでもらえます。

バージョン番号は変わらないので、画面では確かめられない

バックポートはバージョン番号を変えずに当てられます。mixhostも「phpinfoなどの表示は変わらない」と案内しています（mixhostのお知らせ）。

修正が当たっているかは、サーバー会社の公式のお知らせで「どのバージョンに修正を当てたか」を確認するしかありません。

まず今のサーバーが対応済みかを確認する

今使っているサーバーがすでに古いPHPに修正を当てていれば、引っ越しは不要です。移転を検討すべきなのは、次のようなケースです。

• 契約中のサーバーが、古いPHPへの対応を発表していない
• 自社や制作会社が管理するVPS・専用サーバーで、OSごと古くなっている
• 制作会社のサーバーに相乗りしていて、対応状況が分からない

実際に弊社へのご相談でも、「契約中のレンタルサーバーが対応してくれることになったので、今回は自社での対応は不要になった」というケースがありました。一方で、次のように今のサーバーでは手の打ちようがないご相談も届いています。

ご相談の状況	移転が必要な理由
WebARENA SuiteX V2の企業サイト	「PHP7.4より新しいバージョンへ更新できない仕様」。さらに脆弱性対策として「Webアクセスを停止する」というお知らせが届いた
お名前.comの古いプランの2サイト（PHP7.4と7.3）	新規受付が終わったプランで、MySQLも上げられない
自社管理のサーバーで動く企業サイト	「OS自体が古く、PHPも上げられないのでは」というご相談

あくまで時間を稼ぐための対策

バックポートは、今回のPHP2Shellに対する応急処置です。さくらのレンタルサーバもヘテムルも、サポート終了版は今後の脆弱性に対応できない可能性があるとして、新しいPHPへの移行を勧めています。

移転で当面の危険を避け、その間にPHP8.3以上への改修や作り直しを進める、という二段構えで考えましょう。

弊社も、エックスサーバーのPHP5.6で独自PHPサイトを運営するお客さまに、次のようにお伝えしています。

今回PHP団体から正式なサポートのもと提供されたパッチはPHP8.2以上でして、エックスサーバーにて適用したPHP8.1以下のパッチはエックスサーバーが独自で調整したものとなります。
そのため、その精度がどの程度あるかは予測できないため、できれば正式なサポート対象パッチであるPHP8.2以上が望ましいです。（弊社からお客さまへの回答、一部抜粋）

＝＝＝

PHPの仕様やサーバー環境の差分によって、移行先で予期せぬエラー（白画面・関数エラー）が発生するリスクがあります。自社対応に不安がある場合は、動作検証まで一貫して任せられる代行サービスをご検討ください。

>>無料相談・お見積りはこちら

旧PHPも修正済みレンタルサーバーの選び方

移転先は「今のPHPバージョンが選べる」ことと、「そのバージョンにPHP2Shellの修正が当たっている」ことの2つを満たす必要があります。主なレンタルサーバーの対応は次のとおりです（2026年11月1日時点の各社告知）。

サーバー	修正を当てた古いPHP	補足
エックスサーバー	5.1～8.1（バージョンそのまま）	10月26日に5.1～5.5も適用完了。「急いでPHPバージョンを変更する必要はない」と案内
mixhost	5.2～8.1	CloudLinuxの修正パッケージを適用。8.2以降への移行を推奨
ヘテムル	5.6～8.1	5.6～7.3は自社作成の修正。全バージョンでsession.upload_progressを無効化
さくらのレンタルサーバ	提供中のサポート終了版	対象バージョンの一覧は非公開。最新版への移行を推奨
ロリポップ！	5.3～8.1	5.3～7.3は自社作成の修正。全バージョンでsession.upload_progressを無効化。10月24日から新規申し込みを停止中（再開未定）
バリューサーバー	5.3～8.1	「お客様側でのPHPバージョン変更は不要」と案内
KAGOYA	なし（7.4～8.1は緩和策のみ）	レンタルサーバープランは8.2以降の修正版のみ。共用・マネージド専用・WordPress専用は緩和策のみで根本対策は未完
ConoHa WING	5.6～8.1（バージョンそのまま）	提供中の全バージョンにパッチ適用済み。サイトヘルスの表示番号は変わらない

今のPHPバージョンが「新規契約でも」選べるか

古いPHPに修正を当てていても、新しく契約したサーバーではそのバージョンが選べないことがあります。申し込む前に、サーバー会社のマニュアルで選択できるPHPバージョンの一覧を確認しましょう。不安な場合は、お試し期間で実際に設定してみるのが確実です。

修正に伴う機能制限がないか

ヘテムルのように、安全のために一部の機能を無効にしているサーバーもあります。session.upload_progressを使ったアップロードの進捗表示がある場合は、移転後に動かなくなる可能性があります。

今後の脆弱性にも対応する姿勢があるか

今回修正が当たったからといって、次の脆弱性でも同じ対応があるとは限りません。mixhostのようにCloudLinuxなど、古いPHPを継続して保守する仕組みを使っているかも、判断材料になります。

PHPバージョンを変えずに独自CMSを移転する5つの手順

この移転で大事なのは、「移転元とまったく同じ動作環境を移転先に再現する」ことです。プログラムは直さない前提なので、環境がずれるとそのまま不具合になります。

1. 移転元の動作環境を記録する
2. 移転先を契約し、同じPHPバージョンに設定する
3. ファイルとデータベースを移し、設定ファイルを書き換える
4. hostsファイルで移転先を確認する
5. DNSを切り替える

STEP1 移転元の動作環境を記録する

移転元でphpinfoを表示し、次の項目を控えておきます。確認したら、phpinfoのファイルは必ず削除しましょう。

• PHPのバージョン（例：7.4.33）と、動作方式（CGI、モジュール版など）
• 使っている拡張機能（mbstring、gd、ionCube Loaderなど）
• php.iniの設定（文字コード、アップロード上限、short_open_tagなど）
• MySQL／MariaDBのバージョンと文字コード

STEP2 移転先を契約し、同じPHPバージョンに設定する

移転先の管理画面で、移転元と同じPHPの系統（例：7.4）を選びます。php.iniの設定も、①で控えた値に合わせます。

STEP3 ファイルとデータベースを移し、設定ファイルを書き換える

ファイル一式とデータベースを移転先へコピーし、設定ファイルのデータベース接続先やサーバー上の絶対パスを移転先のものに書き換えます。データベースの文字コードがずれると文字化けするので、エクスポート時とインポート時の文字コードをそろえましょう。

STEP4 hostsファイルで移転先を確認する

ドメインを切り替える前に、自分のPCのhostsファイルを書き換えて移転先のサイトを表示します。管理画面、アップロード、フォームのメール送信など、動きのある画面を一通り確かめます。

STEP5 DNSを切り替える

動作が確認できたら、ドメインのDNSを移転先に向けます。切り替えが全体に行き渡るまでの数日間は、移転元のサーバーも契約したままにしておきます。

＝＝＝

DNS切り替え時の不備によるサイト停止やメール不通は、ビジネス機会の大きな損失に直結します。サイト引越し屋さんなら、ダウンタイムを最小限に抑えた安全な切り替え作業を代行いたします。

>>無料相談・お見積りはこちら

移転時の注意点と、移転後にやるべきこと

移転が終わっても、独自CMSが古いPHPで動いている状態は変わりません。移転を「これで安心」で終わらせないことが大切です。

移転元に攻撃の痕跡がないか確認する

PHP2Shellは公表当日から攻撃が始まっています。移転元ですでに侵入されていた場合、そのままファイルを移すと不正なプログラムも一緒に引っ越してしまいます。

移転前に、最近更新された覚えのないPHPファイルや、画像フォルダに置かれたPHPファイルがないかを確認しましょう。不審なファイルがあれば、移転より先に改ざん復旧が必要です。

移転元のサーバーは、確認後に早めに解約する

移転元にファイルを残したままにすると、IPアドレスなどから直接攻撃される恐れがあります。DNSの切り替えが行き渡ったら、移転元のファイルを削除するか、契約を解約しましょう。

移転後、本当に新しいサーバーで動いているか確認する

PHP2Shellの公表後、サーバーの管理画面でPHPを8.4にしたのに、サイト側では8.1.34のままというご相談がありました。調べると、公開中のドメインは管理画面で操作していたサーバーとは別のIPアドレスを向いていました。

つまり、設定を変えたサーバーと、実際にサイトが動いているサーバーが別でした。この状態では、移転先の修正がいくら当たっていても意味がありません。

移転後は、ドメインの向き先（IPアドレス）が移転先のサーバーになっているか、移転先のphpinfoと公開サイトのPHPバージョンが一致するかを確かめましょう。

PHP8.3以上への改修計画を立てる

移転先の修正は、今回の脆弱性に対する応急処置です。移転で稼いだ時間を使って、PHP8.3以上へ上げるための改修か、WordPressなどへの作り直しを計画しておきましょう。
PHPを上げる具体的な手順は「【PHP2Shell対策】独自CMSのPHPバージョンアップ手順（姉妹記事へ内部リンク）」で解説しています。
（文中CTA②：移転後のPHP改修や保守までまとめて依頼できます）

事例｜PHPバージョンを変えずに独自PHPシステムを移転した写真スタジオ

WordPressの3サイトと、独自のPHPで作られた予約・通販システムを運営する写真スタジオさまの移転事例です。ご依頼の際、お客さまが制作会社に「引っ越しても正常に動くか」を確認したところ、次の回答がありました。

サーバー移転時に、phpのバージョンはご変更ございますでしょうか？変わらないようでしたら正常稼働するかと思いますが、phpバージョンに変更があるようでしたら、アップデートのための調整作業が必要となってまいります。（制作会社の回答）

この回答のとおり、独自PHPシステムは「PHPバージョンが同じなら動く」「変わるなら改修が必要」というのが基本です。PHPを変えずに移転できれば、制作会社に改修を頼まずに済みます。

管理画面をしらみつぶしに調査し、不要なものを整理した

調査したところ、独自PHP側には独立した管理画面が2つあり、移転対象をすべて洗い出す必要がありました。その結果、管理画面の一つは、今は使っていない古い予約管理だと分かりました。

独自システムは、移転を機に使っていない部分を整理するだけでも、費用とリスクを減らせます。

弊社は「いずれはPHPバージョンアップが必要」ともお伝えした

一方で弊社は、「今は問題なくても、PHPバージョンアップは必須」とお伝えし、サーバーが不要なネットショップサービス（カラーミーショップ、MakeShopなど）への移行もご提案しました。

お客さまは検討のうえ現状維持を選ばれ、サーバー移転しました。PHPをそのままにする移転は、当面の脆弱性問題の解消にはつながるものの、将来的には追加の対応が必要になることには注意しておきましょう。

まとめ

PHP2Shellの公式修正版はPHP8.2以上にしかありません。それでも、古いPHPに独自の修正を当てているレンタルサーバーへ移れば、独自CMSのPHPバージョンを変えずに今回の脆弱性を回避できます。

移転先は、今のPHPバージョンが選べること、そのバージョンに修正が当たっていることを公式の告知で確かめて選びましょう。ただしこれは時間を稼ぐための対策なので、移転後はPHP8.3以上への改修を計画してください。

「うちのCMSはどのサーバーなら動くか」「移転元が攻撃されていないか心配」という場合は、サイト引越し屋さんにご相談ください。移転先選びから移転作業、移転後の保守まで対応します。