【2026年10月】PHPの重大な脆弱性でホームページが502エラーに！レンタルサーバーによって対応が違った実例
株式会社AREA
2026年10月21日、ホームページの運営に欠かせないプログラム「PHP」に重大な脆弱性が発見され、国内のレンタルサーバー会社やWebサービスで緊急メンテナンスが相次ぎました。
弊社でも、管理しているホームページの一部が突然表示できなくなるという事態が発生しました。
ところが、興味深いことに、同じWordPressで制作したホームページでも、利用しているレンタルサーバーや契約プランによって状況が大きく異なったのです。
今回は、ホームページ制作・管理を行っている弊社が実際に経験した状況を紹介します。
PHPの重大な脆弱性とは？
PHPとは、WordPressをはじめ、多くのホームページやWebサービスを動かしているプログラミング言語です。
今回発見されたのは、条件によっては外部から不正なプログラムを実行される恐れがある、非常に危険性の高い脆弱性です。
2026年10月21日夜には、この問題を修正したPHPの新しいバージョンが公開されました。
今回公開された修正版は次のとおりです。
| PHPの系列 | 修正版 |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
各レンタルサーバー会社では、この修正版への更新やセキュリティ対策を急いで進めることになりました。
ロリポップで約50サイトが突然502エラーに
弊社では、多数のお客様のホームページをWordPressで制作・管理しています。
そのうち、ロリポップのレンタルサーバーを利用している約50サイトが、10月21日の夜から翌22日にかけて「502 Bad Gateway」というエラーで閲覧できなくなりました。
502エラーとは、WebサーバーがPHPなどの処理先から正常な応答を受け取れなかった場合などに表示されるエラーです。
さらに、ロリポップの管理画面も緊急メンテナンス中となり、サーバーの設定を確認することもできない状況でした。
これらのサイトは、すべて同じサーバー契約に入っているわけではありません。
それぞれ別々のお客様が契約しているレンタルサーバーで、同じ時期にエラーが発生したのです。
WordPressやプラグインの構成もほぼ共通しているため、個々のホームページの問題というより、サーバー側の共通した環境や緊急対応との関連が疑われました。
お名前.comのホームページは正常に表示
一方、お名前.comのレンタルサーバーで運用しているホームページは、通常どおり閲覧できていました。
WordPressの管理画面にもログインでき、特に問題は確認されませんでした。
同じWordPressを使用し、PHPのバージョンも近いにもかかわらず、この違いが生じたのです。
これは、レンタルサーバー会社によって、サーバーの構成やセキュリティ対策、メンテナンスの進め方が異なるためと考えられます。
もちろん、正常に表示されているからセキュリティ対策をしていないということではありません。
ホームページを公開したまま対策を進める方法もあれば、安全性を優先して一時的にサービスを制限する方法もあります。
同じロリポップでもスタンダードプランは正常だった
今回、さらに興味深かったのが、ロリポップの契約プランによる違いです。
弊社で確認したところ、ロリポップのスタンダードプランを利用している複数のホームページは正常に表示されていました。
一方、502エラーが発生した約50サイトはハイスピードプランでした。
| レンタルサーバー | 弊社で確認した状況 |
|---|---|
| お名前.com | 正常に表示 |
| ロリポップ・スタンダード | 複数サイトで正常に表示 |
| ロリポップ・ハイスピード | 約50サイトで502エラー |
ロリポップのスタンダードプランとハイスピードプランでは、使用するWebサーバーの仕組みに違いがあります。
スタンダードプランではApache、ハイスピードプランではLiteSpeedが採用されています。
こうしたサーバー環境の違いが、緊急メンテナンス時の影響や復旧までの時間に関係している可能性があります。
ただし、今回の502エラーがLiteSpeedそのものによって発生したと確認されたわけではありません。
今回の実例から分かったのは、同じレンタルサーバー会社であっても、契約プランや収容環境によってホームページの利用状況が異なる場合があるということです。
PHPの修正版が適用されたサイトも確認
10月22日、正常に動作しているWordPressの管理画面から、サーバーのPHPバージョンを確認しました。
ロリポップのスタンダードプランでは「PHP 8.3.36」が表示されていました。
これは今回の重大な脆弱性を修正したバージョンです。
また、別のサーバー環境では「PHP 8.4.27」も確認できました。
少なくとも、確認したサイトでは修正版PHPが稼働していることが分かりました。
ただし、すべての契約で更新が完了したかどうかは、個別の確認が必要です。
なぜホームページを一時停止するのか？
今回の問題では、SNSなどでも「攻撃される前にホームページを止めた」という声が見られました。
これは決して不思議な対応ではありません。
重大な脆弱性が発見された場合、修正版を適用するまでの間に攻撃を受ける危険性があります。
そのため、サーバー会社やWebサービスの運営者が、被害を防ぐ目的で一時的にサービスを停止することがあります。
利用者にとっては、ホームページが表示されないことは大きな問題です。
しかし、不正アクセスによる情報漏えいや改ざんなどの被害を防ぐために、一時停止が必要になる場合もあります。
今回のロリポップの502エラーについては、意図的な停止なのか、緊急メンテナンスに伴う不具合なのか、現時点では原因を断定できません。
502エラーはWordPressが改ざんされたという意味ではない
ホームページが突然表示されなくなると、ウイルス感染や不正アクセスを心配される方もいらっしゃいます。
しかし、502エラーが表示されたからといって、WordPressが改ざんされたとは限りません。
今回のように、別々の契約で運用されている多数のホームページが同時期に同じエラーになる場合は、サーバー側の問題も考えられます。
原因が分からない状態でWordPressを再インストールしたり、プラグインを削除したりすることは、かえって状況を悪化させる恐れがあります。
まずはレンタルサーバー会社の公式情報を確認し、原因を見極めることが大切です。
ホームページの維持管理は制作して終わりではない
今回の出来事を通して、改めてホームページの維持管理の重要性を感じました。
ホームページは、一度制作すれば永久に同じ環境で動き続けるものではありません。
WordPress本体、テーマ、プラグインだけでなく、PHPやデータベース、レンタルサーバーの環境も変化していきます。
また、今回のように制作会社側で操作できないサーバー障害が発生する場合もあります。
弊社では、ホームページの制作だけでなく、公開後の更新や保守管理にも対応しています。
問題が発生した場合には、WordPress側の不具合なのか、サーバー側の問題なのかを確認し、状況に応じた対応を行っています。
まとめ｜レンタルサーバーによって対応や復旧状況は異なる
今回のPHPの重大な脆弱性では、弊社が管理するホームページでも、レンタルサーバー会社や契約プランによって大きな違いが見られました。
お名前.comでは正常に閲覧でき、ロリポップでもスタンダードプランは正常。一方、ハイスピードプランでは約50サイトが502エラーとなりました。
ただし、今回の状況だけで、どちらのレンタルサーバーが優れている、あるいは安全性が高いと判断できるわけではありません。
セキュリティを優先して一時停止することも、対策を行いながら公開を継続することも、それぞれ状況に応じた判断です。
ホームページを安心して運営するためには、制作技術だけでなく、サーバー環境やセキュリティへの理解、そしてトラブル発生時の適切な判断が欠かせません。
株式会社Areaでは、今後もお客様のホームページを安心してご利用いただけるよう、維持管理とサポートに取り組んでまいります。
※本記事は2026年10月22日に確認した状況をもとに作成しています。障害の原因や復旧状況については、各レンタルサーバー会社の公式発表をご確認ください。
