PHPの脆弱性への対応に伴うメンテナンス完了と経緯のご報告

2026/10/22

平素はロリポップをご利用いただき、誠にありがとうございます。

2026年10月21日(水)に公開されたPHPの重大な脆弱性（CVE-2026-109618 / CVE-2026-109619）への対応として実施しておりましたメンテナンスにつきまして、修正の適用が完了し、2026年10月22日(木) 13時頃にお客様のサイトの表示を再開いたしました。
公式の修正版が提供されていない古いバージョンのPHPにつきましても、弊社で修正を作成・適用したうえで再開しております。

お客様には長時間にわたり多大なご不便とご迷惑をおかけいたしましたことを、深くお詫び申し上げます。
本件の経緯と対応内容、お客様へのお願いを以下のとおりご報告いたします。

復旧したサービス

お客様のサイト表示（2026年10月22日(木) 13時頃再開）
phpMyAdmin（2026年10月22日(木) 13時11分頃再開）
サービスサイト・ユーザー専用ページ（2026年10月22日(木) 13時34分頃再開）
MCP・API（2026年10月22日(木) 13時34分頃再開）
ロリポップ！FTP・旧Webメーラー（2026年10月22日(木) 13時34分頃再開）
おさいぽ！の自動更新（2026年10月22日(木) 16時44分頃再開）

経緯

2026年10月21日(水) 午前：PHPの開発元から、重大な脆弱性の修正版を同日23時（日本時間）に公開するとの予告があり、影響の調査と準備を開始
2026年10月21日(水) 13時30分頃～：予防措置として phpMyAdmin を停止。その後、ロリポップ！FTP・旧Webメーラーを順次停止
2026年10月21日(水) 22時30分頃～：サービスサイト・ユーザー専用ページ・おさいぽ！の自動更新・MCP・API を順次停止
2026年10月21日(水) 22時30分過ぎ：PHPの開発元が、予定より早く修正版と脆弱性の詳細を公開
2026年10月22日(木) 03時09分頃：修正の適用が完了するまでの間、お客様のサイトを守るため、一部サーバーでお客様のサイトの表示を停止
2026年10月22日(木) 未明～午前：全バージョンのPHPについて修正の作成・検証・適用を実施
2026年10月22日(木) 13時頃：お客様のサイトの表示を再開
2026年10月22日(木) 13時34分頃：サービスサイト・ユーザー専用ページ等を再開し復旧

お客様のサイトを停止した理由

今回の脆弱性は、認証なしで外部からサーバー上のプログラムを実行される（サイトの改ざんやデータの持ち出しにつながる）おそれがある、深刻度の高いものでした。

公式の修正版が提供されたのは PHP 8.2 以降のみで、それより古いバージョンについては、弊社で修正を作成・検証して適用する必要がありました。
その間も、緩和策（設定による対策）だけでは攻撃を完全には防げない可能性が否定できず、実際に脆弱性を狙ったとみられるアクセスも確認されておりました。

PHPの実行環境はサーバー側で提供しているものであり、お客様ご自身で防ぐことが難しい問題です。
そのため、修正の適用が完了するまでの間、お客様のサイトとデータを守ることを最優先とし、一時的にサイトの表示を停止する判断をいたしました。

なお、個別の切り分けに時間をかけるよりもすべてのお客様のサイトを速やかに保護することを優先したほうがよいと判断し、停止はサーバー単位で行ったため、PHP 8.2 以降をお使いのサイトや、PHPを使用していないサイトも表示できない状態となっておりました。

ご不便をおかけし、誠に申し訳ございませんでした。

PHPのバージョンごとの対応状況

PHP 8.2 / 8.3 / 8.4 / 8.5：PHPの開発元が公開した修正版（8.2.35 / 8.3.36 / 8.4.27 / 8.5.12）を適用しました。
PHP 7.4 / 8.0 / 8.1：PHPの開発元が提供した修正（サポートが終了したバージョン向けの修正コード）を適用しました。
PHP 5.3 ～ 7.3：公式の修正が提供されていないため、公式の修正内容をもとに弊社で修正を作成し、検証のうえ適用しました。

今回のセキュリティ対策および安全性確保のため、すべてのバージョンにおいて一部の機能（session.upload_progress）が無効となっております。
そのため、ご自身のサイトについて動作確認と対応をお願いいたします。

PHP 8.1 以下はすでに開発元のサポートが終了しており、今回の対策は応急的なものです。
今後見つかる脆弱性には、公式の修正が提供されない、または弊社での対応ができない可能性がございます。

お客様へのお願い

1. PHPのバージョンアップの実施

この機会に、開発元のサポートが続いている新しいバージョンのPHP（8.2 以降）への切り替えをお願いいたします。
ユーザー専用ページの［サーバーの管理・設定］→［PHP設定］から、ドメインごとに変更できます。
※切り替え後にエラーが表示される場合は、プログラムやアプリケーションの更新が必要です。

▽オンラインマニュアル PHP設定について
https://lolipop.jp/manual/user/php-setting/

2. WordPress をお使いのお客様

WordPress 本体だけでなく、PHPのバージョン、プラグイン、テーマについても、最新の状態になっているか、開発・更新が続いているか（長期間更新されていないものがないか）をご確認ください。
更新が止まっているプラグイン・テーマは、新たな脆弱性の原因になることがあります。

3. サイトの動作のご確認

再開後、サイトの表示やお問い合わせフォーム、ファイルのアップロードなどが正しく動作しているかをご確認ください。

脆弱性を狙ったとみられるアクセスの試みは確認されましたが、これによる不正アクセスや情報漏えいは現時点で確認されておりません。