使いやすさでConoHa WINGに乗り換えた私が、PHP脆弱性対応を見て「次はエックスサーバー」と考え直した理由

10年以上前、私はエックスサーバーを利用してブログを始めました。当時はブログを始めるならエックスサーバー一択のように感じていましたが、そこにConoHa WINGという強力なライバルが登場しました。

後発ということもあってか、ConoHa WINGはかなり使いやすく感じられ、私も乗り換えました。乗り換えキャンペーンもありお得だったので、つい乗り換えちゃいました。

事業者同士が競い合えば、サービス内容も似てきます。この2社であれば、あとは好みの問題だろうと思っていたのです。

ところが、2026年10月のPHP脆弱性対応を見て、その考えが変わりました。

普段の使いやすさを比べているだけでは見えなかった差が、こういうときに出るのか。契約している利用者として、それを感じる出来事でした。

PHPの脆弱性への対応が気になった
8.3.31から8.3.35へ。でも修正版は8.3.36では？
ひとまずアクセス制限をかけ、夜の完了報告を確認した
外から見て一番良く見えたエックスサーバーの対応
これから選ぶなら、非常時の対応力を重視したい
参考資料

PHPの脆弱性への対応が気になった

ConoHaの設定画面ではPHP 8.3という系列を確認し、WordPressのサイトヘルスでは8.3.31まで詳しく確認できたことを示す概念図。

きっかけはPHPの重大な脆弱性でした。悪用されると、認証なしで外部から不正なコードを実行されるおそれがある問題として、開発元が修正版への更新を呼びかけていました。私が使っているPHPは8.3でして、PHP 8.3系の修正版は「8.3.36」でした。その修正版が21日の23時に公開されるとされていました。

ConoHa WINGの設定画面では「8.3」という系列までしか分からなかったため、WordPressの「ツール → サイトヘルス → 情報 → サーバー」で細かな番号を確認しました。最初に表示されていたのは「8.3.31」でした。

8.3.31から8.3.35へ。でも修正版は8.3.36では？

10月22日の昼には、ConoHa WINGから「利用中のPHPバージョンを維持したまま修正を適用する」「利用者によるバージョン変更は不要」という案内が出ていることを確認しました。ただ、この段階では順次対応中で、自分の環境への修正が済んだかまでは分かりませんでした。

その後、13時半ごろにWordPressのサイトヘルスを見直すと、表示が「8.3.31」から「8.3.35」に変わっていました。

番号は変わった。でも、PHPの開発元が修正版として出しているのは8.3.36です。8.3.35まで上がったこれは、何のアップデートなのだろう。そう疑問に思いました。

いま振り返れば、修正を別途取り込む方式では、表示番号だけで適用状況は判断できません。ただ、当時は番号の変化と修正の進み具合をどう結びつければいいのか分からず、利用者として何をすればいいのか戸惑いました。

ひとまずアクセス制限をかけ、夜の完了報告を確認した

ブログへの閲覧を制限する遮断バーと、疑問符の付いたPHPサーバー。閲覧の遮断とPHPの脆弱性修正は別であることを示す。

エックスサーバー等の他のサーバーでは修正対応が報告される中、ConoHa WINGからは、修正完了の報告をまだ確認できていませんでした。ですから22日の14時過ぎに、私はコントロールパネルからディレクトリアクセス制限を設定しました。これでサイトにアクセスはできなくなります。しかし、脆弱性を放置したまま、攻撃者にやられるよりはマシだという判断です。

これで脆弱性を修正できたわけではありませんし、攻撃を防げたことや、すでに侵入されていなかったことを確認できたわけでもありません。対応を待つなかで、自分なりに取った措置でした。

また夜の20時に確認したときも、PHPの表示は「8.3.35」のままでした。

その後、21時前にConoHa WINGの終報で、提供中のすべてのPHPバージョンに修正が適用済みであることを確認しました。昼の案内にあったとおり、番号を上げるのではなく、使用中のバージョンへ修正プログラムだけを取り込む対応です。終報の適用後バージョン一覧には、8.3.35も含まれていました。

つまり、修正されていない本家の8.3.35と、ConoHaが修正を取り込んだ8.3.35は、表示番号が同じでも中身が違います。今回のConoHaの対応では、8.3.36と表示されなくても修正済みで、利用者によるPHPバージョン変更は不要ということでした。

修正完了後の比較。本家の8.3.35には今回の修正がなく、ConoHaの8.3.35には修正ありと示し、夜の終報で確認したことを明記している。

「8.3.35でもいいんだ」と分かった一方で、なんで本家の数字に合わせないのだろう、という疑問は残りました。少なくとも私にとっては、表示番号を確認するだけでは、自分の環境が対応済みなのか判断しにくい出来事でした。

外から見て一番良く見えたエックスサーバーの対応

各社の公式発表に記載された2026年10月22日の修正完了時刻。エックスサーバーはPHPの系列別に6時45分、12時、14時、ConoHa WINGは提供中の全PHPで20時45分と報告した。

今回、私が見た範囲で一番対応が良く見えたのは、かつて使っていたエックスサーバーでした。

公式サイトのお知らせだけでなく、Xでも利用者に向けた発信が目に入りました。私には、エックスサーバーの方が状況をつかみやすく、修正対応も早く見えました。

後から公式発表を確認すると、エックスサーバーは10月22日の6時45分にPHP 8.2〜8.5、12時にPHP 7.4〜8.1、14時にPHP 5.6〜7.3の対象サーバーへのパッチ適用を完了したと報告しています。（エックスサーバーのPHP 5.5以下は別の日程で対応されています。）

一方、ConoHa WINGは、同日20時45分時点で提供中の全PHPバージョンへのパッチ適用が完了したと報告し、緊急メンテナンスも20時45分に終了しています。

ここまで対応に差があるんだ…と思わずにはいられませんでした。

利用者として受けた印象には、はっきり差がありました。エックスサーバーは報告も修正対応も早く見えました。対して、私が契約しているConoHa WINGは連絡が遅く、どうしていいか分からない時間があり、修正対応も遅いと感じました。

これから選ぶなら、非常時の対応力を重視したい

ConoHa WINGは途中の案内でも、利用者によるPHPバージョン変更は不要と説明していました。それでも、自分の環境への修正がどこまで進んでいるのかをつかめず、私は何をすればいいのか戸惑いました。

修正が終わったあとに結果が分かることも大切ですが、問題が起きている最中に、いまどこまで対応が進んでいて、利用者は何をすればいいのかが分かることも重要だと思います。そして、もちろん修正そのものが早いことも、契約先を選ぶうえで大きな判断材料になります。

これから先、AIによって脆弱性が突かれる機会は、さらに増えていくのではないかと個人的に考えています。そうなれば、問題が見つかったときにどれだけ素早く修正し、利用者へ知らせてくれるかは、これまで以上に重要になると思います。

トラブルが起きたときの意思決定や組織の動き方は、そう簡単には変わらないのではないか、とも感じています。もちろん、今回の外から見える対応だけで各社の内部事情までは分かりませんし、エックスサーバーが今後も必ず一番早いと保証されているわけでもありません。それでも、今回の対応は、次にサーバーを選ぶときの大きな判断材料になりました。

ConoHa WINGの使いやすさに魅力を感じて乗り換えたことは事実です。ただ、普段の使いやすさだけでは分からない部分もありました。

この2社なら、あとは好みで選べばいいと思っていました。でも、今から新しく契約先を選ぶなら、私は非常時の対応力を重視してエックスサーバーを選びたいと考えています。

→ConoHa WINGのTypeSquareを止めたらPageSpeed Insightsが改善した話