PHP緊急修正でサービス続々停止　さくらが「数秒程度」で済むのはなぜ

10月21日23時、PHPの修正版が出た。8.5.12、8.4.27、8.3.36、8.2.35の4本だ。穴は2件（CVE-2026-109618、109619）。深刻度はCVSSで9.2。ログインしていない相手に、サーバー上でプログラムを動かされる恐れがある。

これに合わせて、各社のサービスが次々と止まった。ココペリはBig Advanceなどを20時から止め、再開は「未定」。でも、さくらインターネットの告知はこうだ。「上記期間において数秒程度、ウェブに接続できない時間が発生いたします」。この差は何だろう。

分かれ目は、PHPを自分で差し替えられるかどうか

さくらが上げるのは、レンタルサーバやマネージドサーバなど、人に貸しているサーバーのPHPだ。差し替えるのはさくら自身。だから利用者のサイトは、切り替わる瞬間しか切れない。それが「数秒程度」だ。

ココペリが止めたのは、自社で動かしているウェブサービスのほうだ。修正版を当てて、ちゃんと動くか確かめ終わるまで戻せない。だから「未定」になる。

「さくらだけ」でもない。エックスサーバーも21日16時から自社の公式サイトや管理画面を止めたが、利用者のサーバーとサイト表示は動いたままだとしている。止めたのは自分が使う側、貸している側は動かしたまま。さくらと同じ線の引き方だ。違うのは、利用者に出る影響を秒で書いたことだった。

8.1以下の人は、自分で上げるしかない

修正版が出たのは8.2以上だけだ。8.1以下はサポートが終わっていて、修正版そのものがない。さくらは告知で「古いPHPをお使いの方につきましては、PHP8.3をご利用いただけますようお願いいたします」と求めた。お願いであって、自動では変わらない。

さくらのヘルプによると、切り替えはコントロールパネルの「言語バージョン設定」から行う。古いアプリが動かなくなることもあるが、そのときは元のバージョンに戻せる。8.2ではなく8.3なのは、8.2のセキュリティサポートが2026年12月31日で切れるからだ。

ネットの評判

Yahoo!リアルタイム検索のまとめには、23時の一斉メンテに「ドキドキ」「怖い」という声が並んだ。ゲームやサービスが使えない嘆きもある。一方で「安全第一」と応援する声や、素早く止めた判断を評価する声も多い。

まだ分かっていないのは、終わる時刻だ。さくらの告知では、開始が23時で、終了は「未定」のまま。