GMOにサイバー攻撃・脅迫、ConoHa等の新規申込は停止中【2026年10月】
IT Picks編集部
IT Picks
XServer VPSのセキュリティ対策：最初にやる6つの設定【2026年版】
IT Picks編集部
VPS は、サーバーの 管理者権限をまるごと借りるサービス です。自由に使える反面、OS やソフトの更新、通信の制限も利用者の仕事 になります。
その違いがはっきり表れたのが、2026年10月の PHP の脆弱性です。エックスサーバーは レンタルサーバーには会社側で修正を当てた一方、XServer VPS は「利用者が PHP を確認・更新してください」 と案内しました。
【重要】PHPの脆弱性（CVE-2026-109618／CVE-2026-109619）に関するお客様のご利用サーバー環境への安全対策について | 高性能で安定したVPS環境
この記事では、XServer VPS を契約したら最初にやっておきたい 6つの設定 を、公式マニュアルをもとに整理します。申し込み前に「自分で何をすることになるのか」を知っておくための記事、という位置づけです。
この記事はこんな人向けです
- XServer VPSを申し込む予定、または契約したばかりで、最初に何を設定すれば安全か知りたい
- 10月のPHPの脆弱性で「VPSは利用者が更新」と案内され、何をすればよいか確かめたい
- パケットフィルター・SSH Key・イメージ保存など、XServer VPSの公式機能の使いどころを押さえたい
目次
XServer VPSのセキュリティ対策とは？一言でまとめると
一言でまとめると、「サーバーの外側は XServer、内側は利用者」 です。物理サーバーやネットワークは XServer が管理し、OS から上（PHP・WordPress・SSH の設定など）は利用者が管理します。
| 範囲 | 誰がやるか | XServer VPS で使える機能・作業 |
|---|---|---|
| OS・PHP などの更新 | 利用者 | SSH やコンソールから apt などで更新 |
| バックアップ | 利用者（ビジネスプランは自動1世代） | イメージ保存（50GBまで無料） |
| 外からの通信の制限 | 利用者 | パケットフィルター（VPSパネル） |
| SSH のログイン方法 | 利用者 | SSH Key（鍵認証） |
| 締め出されたときの復旧 | 利用者 | コンソール（VNC / シリアル） |
| 管理画面へのログイン | 利用者 | 二段階認証 |
どれも 標準機能として追加料金なしで使えます（イメージ保存は50GBまで）。以下、①〜⑥の順に進めると、契約直後の作業がひととおり終わります。
レンタルサーバーと VPS の役割分担そのものは、次の記事で詳しく解説しています。
あわせて読みたい
レンタルサーバーとVPSの違いは？【初心者向け】使い分けと選び方を整理する
【2026年10月】PHPの脆弱性で分かった「VPSは自分で更新」
2026年10月21日、PHP の開発チームは 認証なしでリモートからコードを実行されるおそれがある脆弱性2件 を直した修正版（8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）を公開しました（php.net）。
これに対するエックスサーバーの対応は、サービスによってはっきり分かれました。
| サービス | エックスサーバーの対応（10月21日のお知らせ） |
|---|---|
| エックスサーバー、XServerビジネス、XServer for WordPress | 会社側で緩和策と修正を実施。10月26日6:20までに全対象サーバーで完了 |
| XServer VPS、ビジネスプラン、XServer VPS クラウド | 会社による修正パッチの適用はなし。利用者が PHP のバージョンを確認し、修正版への更新などを行う |
VPS では OS や PHP を利用者自身が管理する ため、というのが公式の説明です。WordPress などを VPS で動かしている人は、自分で更新しない限り古い PHP のままになります。
同じ時期には、ほかにも利用者に関係するお知らせが続いています。
- 10月21日16:00：予防的な安全対策として、公式サイト・管理画面などを一時停止。不正アクセスによるものではなく、利用者のサーバーは動き続けた と説明しています（公式）
- 10月22日20:10〜：全サービスの新規申し込みが再開
- 10月23日：委託先のメール配信サービスで、配信を希望していた利用者の メールアドレスが漏洩。ログインパスワードや決済情報は含まれていないとしています（公式）
- 10月26日：問い合わせが集中し、電話・チャットがつながりにくく、メールの回答にも日数がかかる 状態と案内（公式）
サポートに聞いてもすぐ答えが返ってこない時期だからこそ、自分で更新・確認できる手順を持っておく ことが大切です。脆弱性の中身と各環境の更新方法は、次の記事にまとめています。
あわせて読みたい
PHPに深刻な脆弱性2件、修正版8.5.12などを公開【2026年10月】
① OSとPHPを更新する
最初にやるのは OS とソフトウェアの更新 です。XServer VPS の「WordPress」アプリイメージは Ubuntu 24.04 で提供されています（OS・アプリイメージ一覧）。Ubuntu では、次の2つのコマンドで更新します。
sudo apt update
sudo apt upgrade
apt update でパッケージの一覧を新しくし、apt upgrade で更新を当てる——という順番です（Ubuntu 公式ドキュメント）。
PHPのバージョンの確かめ方
PHP のバージョンは php -v で表示できます。ただし Ubuntu の公式パッケージは、修正を取り込んでも バージョン番号の前半が変わらない 点に注意が必要です。
| Ubuntu | パッケージ | 修正済みの版（USN-8948-1） |
|---|---|---|
| 24.04 LTS | php8.3（php8.3-fpm、php8.3-cli、libapache2-mod-php8.3 など） | 8.3.6-0ubuntu0.24.04.13 |
php.net の修正版は 8.3.36 ですが、Ubuntu 24.04 では 「8.3.6-0ubuntu0.24.04.13」 が修正済みの版です（Ubuntu USN-8948-1）。dpkg -l 'php8.3*' などで、インストール済みのパッケージの版を表と見比べてください。
自動更新に任せきりにしない
Ubuntu Server は 既定でセキュリティ更新を自動で適用する 設定です（Ubuntu 公式ドキュメント）。ただし、XServer VPS の各イメージでこの設定がどうなっているかは、公式マニュアルには書かれていません。
また、WordPress アプリイメージのマニュアルにも PHP の更新方法の記載はありません。大きな脆弱性が出たときは、自動更新を待たずに 自分で更新して版を確かめる のが確実です。
② 更新の前にイメージ保存で戻せるようにする
更新や設定変更で動かなくなったときに備えて、作業の前にイメージ保存 をしておきます。イメージは、サーバーの状態（OS・設定・データ）を丸ごと1つのファイルにしたものです。
| 項目 | 内容 |
|---|---|
| 料金 | 50GBまで無料。超える場合は「イメージ保存容量追加」+500GB で 月額1,650円（税込） |
| 保存の手順 | VPSパネルの「電源操作」で シャットダウン → 「イメージ保存」 |
| できること | 保存時点の状態への復元、新しいサーバーへの展開 |
注意したいのは、保存の前にサーバーを止める必要がある ことです（マニュアル「イメージの保存」）。サイトが止まるので、アクセスの少ない時間に行いましょう。
自動バックアップはプランで違う
通常プランには 自動バックアップがありません（公式トップの料金表で「-」）。自動で取ってほしい場合は、別のプランを選ぶことになります。
| プラン | 自動バックアップ |
|---|---|
| XServer VPS（通常プラン） | なし（イメージ保存を手動で） |
| ビジネスプラン | 標準で1世代。バックアップ拡張オプションで3世代 |
| XServer VPS クラウド | 日次・最大7日分 |
ビジネスプランの自動バックアップも、実施タイミングは選べず、完全性は保証されない とマニュアルに書かれています（マニュアル「バックアップ拡張オプション」）。大事な更新の前は、手動のイメージ保存を併用すると安心です。
ビジネスプラン・VPS クラウドとの違いは、次の記事で比べています。
あわせて読みたい
XServer VPSビジネスプランとは？通常・クラウドとの違い
③ パケットフィルターで開けるポートを絞る
パケットフィルターは、VPS に届く通信を、許可したポートだけに制限する 機能です。VPSパネルの「パケットフィルター設定」から設定します。
- OFF にすると、すべてのポートへの通信が許可されます。その場合は OS 側で自分で対策する必要があります
- フィルタールールは 最大20ルール
- 「手動で設定」を選ぶと、プロトコル・ポート番号（1〜65535）・許可する送信元 IP アドレス を指定できます
WordPress アプリイメージの場合、マニュアルが示している開けるべきポートは次のとおりです。
| 用途 | ポート | 必要性 |
|---|---|---|
| HTTP | TCP 80 | 必須（Let’s Encrypt の証明書の取得・更新にも使う） |
| HTTPS | TCP 443 | 必須 |
| SSH | TCP 22 | 任意（SSH で接続するときだけ） |
マニュアルは 使っていない機能のポートは開けない ことを推奨しています。SSH を使う場合も、公式の機能一覧の例のように 22番ポートを自分の IP アドレスからだけ許可する と、攻撃を受ける範囲をぐっと狭められます。
Qiita で XServer VPS の初期設定を公開している ucchy4646 さんは、SSH のポート番号を変える手順で「新しいポートをパケットフィルターに追加してから、22番の設定を削除する」順番を案内しています（Qiita「XServer VPSの初期設定」）。先に22番を消すと接続できなくなる ので、順番は守りましょう。
なお、パケットフィルターと OS 側のファイアウォール（ufw など）は動作が重複する可能性がある とマニュアルは注意しています。どちらで管理するかを決めておくと、「開けたはずなのにつながらない」を防げます。
④ SSH Keyで鍵認証にする
SSH のログインは、パスワードより 鍵認証（公開鍵と秘密鍵の組み合わせ） の方が安全です。XServer VPS の「SSH Key」機能を使うと、申し込み時や OS 再インストール時に鍵を設定 できます。
| 登録方法 | 内容 |
|---|---|
| 自動生成 | 鍵ペアを XServer 側で作成。秘密鍵のダウンロードは1度だけ |
| インポート | 手元の PC で作った公開鍵を登録 |
登録した公開鍵をサーバーに設定すると、ログイン方法を鍵認証だけに制限 できます（マニュアル「SSH Key」）。
注意点は2つです。
- 秘密鍵をなくすとログインできなくなる。自動生成した秘密鍵は、ダウンロードしたらすぐ安全な場所に保管する
- 申し込み時に登録する鍵は root ユーザー用。一般ユーザーを作って root での直接ログインを禁止するなら、OS 側で追加の設定が必要
前出の ucchy4646 さんの記事でも、公開鍵認証だけでログインでき、root ではログインできない状態にする手順が紹介されています（Qiita）。
⑤ 締め出されたときはコンソールで直す
SSH の設定やパケットフィルターを間違えると、サーバーにログインできなくなる ことがあります。そのときに使うのがコンソールです。VPSパネルから、ブラウザでサーバーを直接操作 できます。
| 種類 | 特徴 |
|---|---|
| VNC コンソール | 画面をそのまま操作。コピー＆ペーストはできない |
| シリアルコンソール | コピー＆ペーストができる。Ubuntu デスクトップと Windows Server は非対応 |
コンソールのログインには、申し込み時（または OS 再インストール時）に設定した root パスワード を使います（マニュアル「コンソール接続」）。鍵認証に切り替えた後も、このパスワードは控えておきましょう。
⑥ 管理画面のログインも守る：二段階認証と不審メール
サーバーそのものを守っても、管理画面に入られてしまえば意味がありません。XServer VPS は、Google Authenticator などの認証コード生成アプリを使う 二段階認証 に対応しています（機能一覧）。
特に今は、10月23日の漏洩のお知らせで、エックスサーバーが 同社を装った不審なメールへの注意 を呼びかけています。
- メールの URL から管理画面にログインしない（ブックマークから開く）
- 添付ファイルを開かない
- パスワードを入力するよう求めるメールには応じない
二段階認証を設定しておけば、万一パスワードを入力してしまっても、それだけではログインされにくく なります。
料金と申し込み：今は申し込める？
2026年10月28日時点で、XServer VPS の通常プラン（2GB を除く）とビジネスプランは新規申し込みを受け付けています。ただし 2GB プランは2026年7月14日17時から新規受付を停止 しており、10月28日時点のお知らせ一覧に再開の告知は見当たりません（公式）。
| 時期 | 内容 |
|---|---|
| 7月14日17時 | 2GB プランの新規受付を停止（再開時期は未定。利用中の2GBは継続利用可） |
| 10月6日17時 | 通常プランの新規受付を再開（9月17日から停止していた。2GB への言及はなし） |
| 10月16日14時 | ビジネスプランの新規受付を再開 |
| 10月22日20:10〜 | 管理画面などの一時停止の後、全サービスの新規申し込みが再開 |
| 10月28日時点 | その後の停止のお知らせはなし。2GB プランの再開の告知もなし。無料VPS は受付停止中 |
（出典: お知らせ一覧、10月6日・10月16日のお知らせ、無料VPS）
ほかの国内 VPS では、ConoHa VPS が10月24日から新規申し込みを一時停止 しており、10月28日時点の公式ニュース一覧に再開のお知らせはありません（ConoHa VPS ニュース）。さくらのVPS も東京・大阪リージョンの再開時期は未定（石狩は10月23日に再開）です（さくらのVPS）。
通常プランの料金
| プラン | vCPU | NVMe SSD | 1ヶ月 | 12ヶ月 | 36ヶ月 |
|---|---|---|---|---|---|
| 2GB（新規受付停止中（2026年7月14日〜、10月28日時点で再開の告知なし）） | 3コア | 50GB | 1,980円 | 1,540円 | 1,265円 |
| 4GB | 4コア | 150GB | 2,640円 | 2,200円 | 2,035円 |
| 8GB | 6コア | 400GB | 5,280円 | 4,400円 | 3,850円 |
※ 料金は2026年10月28日時点の公式「料金・仕様一覧」より。税込・1ヶ月あたりの換算で、契約期間分の一括前払い です。初期費用は無料。確認時点で実施中のキャンペーンの表示はありませんでした。2GB の受付停止は 2026年7月14日のお知らせ によります。
この記事の6つの設定は、どのプランでも追加料金なしで使える標準機能 です（イメージ保存は50GBまで）。新規で申し込むなら、受付停止のお知らせが出ていない 4GB 以上 から選ぶことになります（公式トップでは4GB を「中規模サイトや急なアクセス数の増加」向けと案内）。最新の受付状況は、申し込み画面で確認してください。
国内シェアNo.1のエックスサーバーが提供するVPSサーバー『XServer VPS』
ConoHa・ロリポップなど GMO 系サービスの受付停止の経緯は、次の記事で整理しています。
あわせて読みたい
GMOにサイバー攻撃・脅迫、ConoHa等の新規申込は停止中【2026年10月】
よくある質問
Q. VPS のセキュリティは XServer がやってくれないのですか？
A. 物理サーバーやネットワークは XServer が管理しますが、OS・PHP・アプリの更新は利用者の担当 です。2026年10月の PHP の脆弱性でも、XServer VPS には会社による修正パッチの適用はありませんでした。
Q. パケットフィルターと ufw は両方使った方が安全ですか？
A. マニュアルは 動作が重複する可能性がある と注意しています。両方使う場合は、どちらで何を許可しているかを把握しておかないと、接続できない原因を探しにくくなります。
Q. 通常プランでも自動バックアップを使えますか？
A. 通常プランに自動バックアップはありません。手動のイメージ保存（50GBまで無料） を使うか、自動バックアップ付きのビジネスプランや XServer VPS クラウドを検討してください。
Q. 秘密鍵をなくしたらどうなりますか？
A. 公式マニュアルのとおり、鍵認証に制限したサーバーにはログインできなくなります。自動生成した秘密鍵は1度しかダウンロードできないので、受け取ったらすぐにバックアップを取って保管しましょう。
Q. 無料VPS で設定を試せますか？
A. 2026年10月28日時点で、無料VPS は新規受付を停止 しています。また、通常プランの 2GB は2026年7月14日から新規受付を停止 しており、10月28日時点で再開の告知は見つかりませんでした（公式）。新規なら、停止のお知らせが出ていない 4GB（1ヶ月契約で2,640円） が最も小さなプランになりますが、受付状況は申し込み画面で確認してください。
まとめ
XServer VPS のセキュリティ対策のポイントをまとめます。
- 役割分担：OS から上は利用者が管理（10月の PHP 脆弱性でも VPS は利用者が更新）
- ① 更新：sudo apt update → sudo apt upgrade。Ubuntu 24.04 の PHP は 8.3.6-0ubuntu0.24.04.13 が修正版
- ② バックアップ：作業前に イメージ保存（50GBまで無料、保存前にシャットダウン）
- ③ 通信制限：パケットフィルターを ON、WordPress は 80・443、SSH は自分の IP だけ
- ④ ログイン：SSH Key で鍵認証、秘密鍵のダウンロードは1度だけ
- ⑤ 締め出し対策：VNC / シリアルコンソール
- ⑥ 管理画面：二段階認証、不審なメールのリンクから開かない
- 申し込み：2026年10月28日時点で通常プラン（2GB を除く）・ビジネスプランは受付中。2GB は2026年7月14日から新規受付停止中（再開の告知なし）、無料VPS も停止中。4GB は36ヶ月契約で月2,035円
申し込んだら、まずは ① 更新と ② イメージ保存から始めてみてください。
国内シェアNo.1のエックスサーバーが提供するVPSサーバー『XServer VPS』
ABOUT ME
IT Picks 編集部。VPS・クラウド・AIツール・SaaSを中心に、実際に検証した情報を届けるITメディアです。「本当に使えるか」を基準に、初心者からエンジニアまで役立つ記事を制作しています。
