MENU
セキュリティの視点で見るサーバー・メール・ドメイン
  1. ホーム
  2. レンタルサーバー
  3. 【2026年】レンタルサーバーの不正アクセス・障害の記録｜さくら・エックスサーバーほか

【2026年】レンタルサーバーの不正アクセス・障害の記録｜さくら・エックスサーバーほか

レンタルサーバー
当ページのリンクには広告が含まれています。掲載内容については正確性の確保に努めていますが、最新性や完全性を保証するものではありません。ご契約前には必ず公式情報をご確認ください。
レンタルサーバーの不正アクセス・障害の記録

2026年は、国内のレンタルサーバー・メールサービスで不正アクセスの公表が相次ぎました。この記事では、各社が自社サイトで発表した内容だけを日付順に記録しています。契約中の会社で事案が公表されたときに、何が起きたのか、自分は何をすればよいのかを確かめるのに使ってください。

この記事の執筆・監修CyberSec note 編集部
執筆Kazu編集部ITエンジニア／情報処理安全確保支援士
  • 情報処理安全確保支援士
  • データベーススペシャリスト
  • AWS 認定
  • Microsoft Azure 認定

大規模システムとネットワーク機能の設計・開発を担当。2025年に情報処理安全確保支援士として情報処理推進機構（IPA）に登録。

続きを読む閉じる

情報処理技術者試験のデータベーススペシャリストに合格。AWS 認定と Microsoft Azure 認定を取得しています。

当サイトでは、各社の管理画面や公式資料を自分で確認したうえで採点しています。情報処理安全確保支援士の登録番号は非公開です。

大学院修了。

監修情シス担当者編集部インフラエンジニア／社内情報システム部門
  • サーバー保守15年以上
  • 社内システム

サーバー保守を15年以上経験。現在は社内システムの導入から運用・保守まで担当。

続きを読む閉じる

サーバー保守の実務に15年以上携わり、現在は企業の情報システム部門で、メールや Web サイト、AWS をはじめとするクラウド環境を含む社内システム全般の導入・運用・保守を担当しています。

当サイトでは、各社の仕様やセキュリティ機能が実際の社内運用に見合うかを、管理者の立場で確認しています。

最終確認日：2026年10月23日

目次

2021〜2026年の障害・不正アクセス

会社名をクリックすると、下の「各事案の詳細と対応」に移ります（不正アクセスのみ）。

日付会社・サービス内容
2026年10月21〜22日エックスサーバー／さくらインターネット／ConoHa WING／ロリポップ！／ヘテムル／mixhost／KAGOYA脆弱性への対応・緊急メンテナンス
PHP の開発元が10月21日（日本時間23時ごろ）に修正版を出した重大な脆弱性2件（CVE-2026-109618・CVE-2026-109619、認証なしで外部からプログラムを実行される恐れ）への対応。各社は修正版の公開前後に管理画面などを予防的に止め、サーバーの PHP に修正を適用した。エックスサーバーは10月21日16時から公式サイト・管理画面などを一時停止、さくらは同日22時30分から緊急メンテナンス、ヘテムルは同日夜からコントロールパネル・FTP などを止め10月22日18時ごろ全面復旧。ロリポップ！は新規申し込みなどを、ConoHa WING はファイルマネージャー・Webメールを一時停止。mixhost は10月22日10時ごろ全サーバーで修正を適用。KAGOYA は共用サーバーなどの恒久的な対応を調整中と発表（10月22日時点）
影響：エックスサーバーはサイトの表示とメールは影響なし。さくらはウェブに数秒つながらない時間あり。さくら・KAGOYA は「悪用による被害は確認されていない」、エックスサーバーは「不正アクセスの発生によるものではない」と発表
2026年10月16〜19日さくらインターネット／KAGOYA／エックスサーバー／ロリポップ！脆弱性への対応・緊急メンテナンス
10月15日公表の Linux カーネルの脆弱性（CVE-2026-99999）を理由に、さくらは10月16日からレンタルサーバ・マネージドサーバの新規申し込みを停止、KAGOYA は10月19日から VPS・メール・レンタルサーバーなどの新規申し込みを停止。同じ10月19日に、エックスサーバーは「セキュリティ対策のため」全サーバーで短時間の停止を伴う緊急メンテナンス、ロリポップ！は「セキュリティ強化のため」ユーザー専用ページ・新規申し込みなどを一時停止（エックスサーバーとロリポップ！の発表には脆弱性名の記載はありません）
影響：さくら・KAGOYA は契約中のサービスは通常どおり。KAGOYA は「本脆弱性を悪用した攻撃や情報漏えい等の被害は確認されていない」と発表。ロリポップ！はホームページの表示とメールは通常どおり。エックスサーバーは10〜20分ほど（一部は40分ほど）の停止あり
2026年9月20日ConoHa WING不正アクセス
一部サーバーの顧客領域に不正なプログラムが置かれていた
影響：426アカウント
2026年8月17日さくらのレンタルサーバ不正アクセス・漏えいの可能性
一部アカウントへの不正ログイン、販売管理システムへの不正アクセス
影響：レンタルサーバ 951アカウント、会員情報 1,360,563アカウント（最大数で確定ではない）
2026年7月26日スマイルサーバ不正アクセス
サーバー2台で不正アクセスの痕跡を公表（7月24日に2台の全サービスを停止）。8月31日の調査結果で「漏えい・改ざんを示す痕跡は確認されなかった」と発表
影響：サーバー2台（件数の発表なし）
2026年6月23日CPI（KDDIウェブコミュニケーションズ）不正アクセス・漏えい
KDDI が ISP 向けに提供するメール基盤に組み込まれた第三者製ソフトウェアの脆弱性が悪用された
影響：メールアカウント 1,250,543件（CPI の全プラン）
2026年6月23日WebARENA SuiteX 一部サーバー不正アクセス
5月10日に停止。不正アクセスの痕跡、同じ環境では再開せず
影響：385契約（メール 8,203、Web 269アカウント）
2026年6月23日WebARENA 大容量ファイル転送機能不正アクセス
4月21日からの不正アクセスの痕跡、機能を停止
影響：1,510契約、メールアドレス 7,446件、ファイル 4,463件
2025年11月18日Cloudflare大規模障害
世界規模の障害（日本時間 20:20〜翌2:06ごろ）。攻撃ではなく、ボット対策機能の設定ファイルが想定より大きくなったことによる不具合
影響：Cloudflare を使う多くのサイトでエラー（HTTP 5xx）
2025年9月16〜19日お名前.com障害
9月16日 16:35ごろ〜9月19日 0:20ごろ。お名前.com Navi で DNSSEC の設定が正しく反映されない不具合
影響：DNSSEC を設定したドメインの名前解決が一部で不安定に
2025年8月25〜27日エックスサーバーDDoS
DDoS 攻撃の影響を避けるため、一部の環境からのアクセスを制限（3日間）
影響：サーバー1台（sv13279）
2025年3月19日エックスサーバー対策の発表
DDoS 対策システムを導入
影響：ネットワーク全体に影響する DDoS 障害が、導入前後の3か月で90%以上減ったと発表
2023年11月Cloudflare不正アクセス
社内の Atlassian（Jira・Confluence など）に不正アクセス（2024年2月1日公表）
影響：顧客データやシステムへの影響はなかったとしている
2022年6月21日Cloudflare大規模障害
日本時間 15:27〜16:42ごろ、東京を含む19拠点で障害。ネットワーク設定の変更の誤りで、攻撃ではないとしている
影響：19拠点は全リクエストの約半分を処理していたため、日本を含む多くの地域で Cloudflare を使うサイトにつながらなかった
2022年4月10〜11日エックスサーバー大規模障害
4月10日 23:53ごろ〜翌1:50ごろ、データセンターの電源設備の故障で複数の電源回路が同時に止まり、中核のネットワーク機器が停止
影響：公式サイト・お客様アカウント収容サーバー・ネームサーバーにアクセスできない状態

※日付は会社が最初に発表した日です（スマイルサーバは不正アクセスを公表した7月26日）。さくらの販売管理システムへの不正アクセスは、2023年4月から2026年3月の間に起きていたと、2026年9月の第三報で発表されています。

記載ルール
  • 会社の公式サイト（お知らせ・プレスリリース・障害情報）で発表された事案。報道やまとめサイトだけで、公式の発表が確認できないものは載せていません
  • 障害の基準：年表に載せる障害は、全サーバー規模のもの、複数日にわたったもの、または会社がプレスリリースや事後報告を出したものです。サーバー1台ごとの短時間の障害（DDoS を含む）は年表に載せず、「各社の障害情報ページ」で確認できるようにしています
  • 書き方：公式発表に書かれている事実だけを書きます。原因の推測や、会社の責任についての評価はしません
  • 期間：2021年1月から
  • 対象：レンタルサーバー・メールサーバー・ドメイン・Windows VPS等
  • 数字：件数は公式発表のとおりです。続報で数字が変わったものは、最新の発表に合わせています

各事案の詳細と対応

年表のうち、不正アクセスの6件について「何が起きたか・影響の範囲・会社の対応・利用者がやること」をまとめています。

さくらのレンタルサーバの不正アクセス（2026年8月）

何が起きたか：2026年8月9日、さくらインターネットのメンテナンス用サーバーで異常が見つかりました。調べると、「さくらのレンタルサーバ」の一部アカウントへの不正ログインとマルウェアの設置がわかりました。さらに、会員の契約情報を管理する販売管理システムにも、2023年4月から2026年3月の間に不正アクセスがあったと発表されています。2つの事案が関係しているかどうかは、明確な根拠が確認されていないとしています。

影響の範囲：

  • さくらのレンタルサーバ：951アカウント（第一報の583件に368件が追加）。メールやウェブサイトのデータ、ログなどが閲覧・取得された可能性
  • 会員情報：1,360,563アカウント（影響の可能性がある最大数で、確定した数ではないとしています）。氏名・住所・電話番号・メールアドレス・契約サービスなど。このうち30アカウントは、ハッシュ化された会員IDのパスワード情報が閲覧された可能性
  • クレジットカード情報は保存していないとしています
  • 販売管理システムには、一部のレンタルサーバーの初期パスワードと、一部の VPS の管理者初期パスワードが、ハッシュ化されない形で保存されていたと発表されています

会社の対応：外部の専門機関による調査（フォレンジック）を行い、2026年9月10日の第三報で調査結果を公表しました。データが外部に持ち出されたことを裏付ける事実と、二次被害は確認されていないとしています。今後の対策として、「さくらのレンタルサーバ」全サーバーの再構築などを挙げています。

利用者がやること（公式の案内）：

  • さくらから個別の案内が届いた人は、その内容に従ってサーバーパスワード、または VPS の管理者初期パスワードを変更する（第三報）
  • 身に覚えのないファイルや管理者アカウントが増えていないか確認する
  • ウェブサイトに不審な変更がないか、心当たりのないログインやメール送信がないか確認する
  • 便乗したフィッシングメール・不審な電話・SMS に注意する（さくらがパスワードやカード情報をメールや電話で尋ねることはない）
  • 問い合わせは、さくらの公式 FAQ（本件の案内ページ）と専用窓口から

CPI のメールアカウント漏えい（2026年6月）

何が起きたか：CPI（KDDIウェブコミュニケーションズ）のメールは、KDDI が ISP 向けに提供するメール基盤を使っていました。この基盤に組み込まれていた第三者製ソフトウェアの脆弱性が悪用され、2026年6月8日から不正アクセスが起きていました。KDDI は6月17日に脆弱性を確認し、同日にシステムを改修しています。KDDIウェブコミュニケーションズが報告を受けたのは6月21日、公表は6月23日です。

影響の範囲：CPI の全プランで、メールアカウント 1,250,543件が外部に漏えいしました。

  • ビジネス スタンダード・KWCメール：メールアカウントとパスワード（パスワードはハッシュ化されており、そのものは漏えいしていないとしています）
  • そのほかのプラン：メールアカウントのみ（パスワードは別のシステムで管理しており、影響はないとしています）

会社の対応：6月21日までに全サーバーへ EDR（外部との通信を見張り、止めるソフト）を導入し、外部の専門機関による調査（フォレンジック）で、脆弱性以外の不審なアクセスや痕跡がないことを確認したとしています。7月1日にパスワード変更のお願い、7月6日に影響範囲の確定を発表し、7月21日には「ビジネス スタンダード」と「KWCメール」でパスワードを変えていなかった利用者のパスワードを強制的に変更しました。8月24日に対応完了を報告し、新たな被害は確認されていないとしています。

利用者がやること（公式の案内）：

  • メールのパスワードをまだ変えていなければ変更する
  • 「ビジネス スタンダード」「KWCメール」の人は、強制変更の対象だったかどうかを管理者用コントロールパネルで確認できる（7月8日から表示）
  • そのほかのプランは、パスワードへの影響はないと発表されています

WebARENA の不正アクセス（2026年4〜6月）

NTTPC コミュニケーションズの「WebARENA」では、2つの事案が発表されました。

大容量ファイル転送機能（WebARENA メールホスティング・SuiteX の付帯機能）：2026年4月21日からの不正アクセスの痕跡が見つかり、4月29日深夜から機能を止めています。サーバーには 1,510契約分の情報（認証ログのメールアドレス 7,446件、アップロードされたファイル 4,463件、ダウンロード用の URL やパスワードを含むアップロード関連の情報など）がありました。漏えいを示す痕跡は確認されていませんが、可能性は完全には否定できないとしています。機能の再開は2026年12月ごろの予定です。

SuiteX の一部サーバー（dc70.etius.jp）：2026年5月10日に攻撃とみられる通信があり、サーバーを止めました。不正アクセスの痕跡、暗号化された管理情報の一部の閲覧、7契約の領域への不審なファイルの設置が確認されています。サーバーには 385契約（メール 8,203、Web 269アカウント）の情報がありました。漏えいの痕跡は確認されていませんが、可能性は完全には否定できないとしています。情報の外部漏えいや不正利用などの二次被害も、発表時点では確認されていません。同じ環境では再開せず、このサーバーの契約は終了扱いとなり、希望する人には代わりの SuiteX 環境が用意されています。ほかの SuiteX のサーバーでは同じ不正アクセスは確認されていない、としています。

利用者がやること（公式の案内）：

  • 2件とも、対象の人には契約 ID が書かれた個別連絡が届く。送り主と内容を確かめてから開く
  • dc70.etius.jp を使っていた人で、同じパスワードをほかのサービスでも使っていた場合は、メール・Web・Web コンテンツのパスワードを変更する
  • 2026年4月19〜30日に大容量ファイル転送でファイルを送った人は、送ったファイルとダウンロード用 URL・パスワードが対象のサーバーにあったことを前提に、受け取った相手と確認する

スマイルサーバの不正アクセス（2026年7月）

何が起きたか：2026年7月24日、NTTスマートコネクトの「スマイルサーバ」のサーバー2台（jm9.etius.jp・jm10.etius.jp）で第三者による不正アクセスが確認され、同日にこの2台の全サービスを止めました。ほかのサーバーは影響がないとしています。

影響の範囲：件数は発表されていません。2026年8月31日に外部の専門機関による調査（フォレンジック）が完了し、「お客さまの情報の漏えいまたは改ざんを示す痕跡は確認されなかった」と発表されています。第三者が一部の領域に不審なファイルを置いたことは確認されています。

会社の対応：7月27日から代わりのサーバーを無償で用意し、調査が終わるまで2台のデータは利用者に返していませんでした。8月31日の発表で、7月24日時点の環境（復旧環境）を2026年9月中旬に提供し、そこからデータを代わりのサーバーへ移すか、復旧環境をそのまま使い続けるかを選べるとしています。再発防止策として、脆弱性情報の収集・評価体制の強化、監視・検知体制の改善、専門機関による定期的な診断を挙げています。

利用者がやること（公式の案内）：

  • jm9・jm10 で使っていたサイト管理者・Web・FTP・メールのパスワードを変える
  • 同じパスワードをほかのサービスでも使っていたら、そちらも変える
  • 便乗した不審なメールや電話に注意する（NTTスマートコネクトがパスワードやカード情報を尋ねることはない）

ConoHa WING の不正アクセス（2026年9月）

何が起きたか：2026年9月3日から、第三者が ConoHa WING の一部サーバーの顧客領域に不正アクセスし、不正なプログラムを置いていました。GMOインターネットは9月16日に検知して調査を始め、9月18日に原因と影響範囲を特定し、不正なプログラムを取り除きました。

影響の範囲：426アカウントの Web サーバー領域のデータ。会員情報・契約情報・支払い情報は別の環境で管理しており、漏えいはないとしています。

利用者がやること（公式の案内）：

  • 対象の人には、契約情報に登録したメールアドレスに個別の連絡が届いています。個別の連絡がない人は対象外と発表されています
  • 便乗したフィッシングに注意する（GMO がパスワードやカード情報をメールで尋ねることはない）

エックスサーバー・さくらの障害情報はどこで見る？（各社の障害情報ページ）

エックスサーバー・ロリポップ！・ヘテムルなどは、DDoS 攻撃による短時間のアクセス障害もサーバーごとに1件ずつ公開しています。たとえばエックスサーバーの2026年10月（21日時点）は、DDoS 攻撃によるアクセス障害が6件（1件あたり11〜22分）、DDoS 対策のための一部環境からのアクセス制限が3件で、いずれもサーバー1台ずつでした。障害の件数は「どこまで細かく公開しているか」で変わるため、件数だけで会社を比べることはできません。自分のサーバーで障害が起きているか知りたいときは、各社の障害情報ページで自分のサーバー名（例：sv○○○○、lit○○○、users○○○）を探してください。

各社を装った詐欺メールの注意喚起

サーバー会社やドメイン会社を装って、ログインやカード情報の入力をさせようとする詐欺メール（フィッシング）が続いています。各社の注意喚起ページには、実際に出回った件名や文面が載っているので、届いたメールと見比べてください。

会社公式の注意喚起ページ掲載日・更新日
さくらインターネット注意喚起ページ2021年3月17日
KAGOYA注意喚起ページ2023年3月21日掲載、2026年6月15日更新
お名前.com注意喚起ページ2025年4月23日
ロリポップ！注意喚起ページ2026年10月2日
ヘテムル注意喚起ページ2025年3月21日掲載、2025年4月7日追記
バリュードメイン注意喚起ページ2024年3月29日

エックスサーバーは2022年3月に、DDoS・Emotet・不正アクセスの増加を受けて、2段階認証や SMTP 認証の国外アクセス制限などの対策を呼びかけています（詐欺メールの件名一覧はありません）。

お問い合わせフォームの自動返信を悪用したスパムについても、ヘテムル（2022年1月）とロリポップ！（2023年2月・2025年3月）が注意を呼びかけています。両社が挙げている対策は、自動返信をやめる、reCAPTCHA を入れる、海外の IP アドレスからのアクセスを .htaccess で制限する、の3つです。

契約中のサーバーで事案が公表されたら（チェックリスト）

各社の発表に共通する「利用者がやること」をまとめました。

  1. 公式サイトで発表を読む：届いたメールのリンクからではなく、ブックマークや検索から公式サイトを開く
  2. 自分が対象か確かめる：対象の人には個別にメールが届くことが多い。管理画面で確認できる会社もある
  3. 個別の案内に従う：パスワードの変更や設定の確認など、会社から指定された手順を先にやる
  4. パスワードを変える：サーバーの管理画面・メール・FTP・WordPress。同じパスワードをほかのサービスで使っていたら、そちらも変える
  5. 2段階認証をオンにする：管理画面と WordPress の両方
  6. メールの設定を確かめる：知らない転送先や自動振り分け、受信しない設定が追加されていないか
  7. サイトを確かめる：見覚えのないファイル、WordPress の管理者ユーザー、改ざんがないか
  8. 便乗した詐欺メールに注意する：パスワードやカード情報をメールや電話で聞く会社はない
  9. バックアップを自分でも持つ：会社のバックアップとは別に、サイトとメールのデータを手元に残す。サーバーが長く止まったときに、別のサーバーへ移せる（スマイルサーバの件では、データが1か月以上返ってきませんでした）
  10. 使っていないものを消す：使っていないメールアドレス、公開をやめた WordPress、不要なアカウントは削除する

乗り換えるべき？：事案があったかどうかだけで決める必要はありません。公表までの早さ、続報が出ているか、再発防止策の中身を見て判断してください。比較記事のセキュリティ採点では、2段階認証や WAF などの守りの機能に加えて、こうした公表の内容も確認しています。

→【リンク：個人向けレンタルサーバー比較】／【リンク：法人向けレンタルサーバー比較】／メールサーバー比較／【リンク：ドメイン比較】／【リンク：Windows VPS 比較】

よくある質問

Q. さくらインターネットの不正アクセスで、自分が対象かどうかはどう分かりますか？

A. 対象の人には、さくらから登録メールアドレスに個別の案内が届きます。案内が届いた人は、その内容に従ってサーバーパスワードや VPS の管理者初期パスワードを変更してください。会員情報 1,360,563アカウントは「影響の可能性がある最大数」で、確定した数ではないと発表されています。問い合わせは公式 FAQ と専用窓口からできます。

Q. エックスサーバーは障害が多いのですか？

A. エックスサーバーはサーバー1台ごとの短い障害（DDoS を含む）も1件ずつ公開しているため、件数が多く見えます。公開の細かさは会社によって違うので、件数だけで比べることはできません。自分のサーバー名で障害履歴を探すのが確実です。

Q. 不正アクセスがあった会社は避けたほうがいいですか？

A. それだけで避ける必要はありません。事案を公表していない会社が安全とは限りません。公表が早く、続報と再発防止策がきちんと出ているかを見てください。

Q. ニュースと公式発表で数字が違うのはなぜですか？

A. 調査が進むと、続報で件数が増えたり変わったりします。この記事では最新の公式発表の数字を載せています。

Q. 「漏えいの可能性」と「漏えい」は違いますか？

A. 違います。「可能性」は、見られた・取られたおそれがあるが、外に持ち出された証拠は見つかっていない状態です。CPI の件は「漏えいした」と発表されています。

用語集

  • 不正アクセス：権限のない人が、他人のアカウントやシステムに入り込むこと
  • マルウェア：サーバーやパソコンで悪いことをするプログラムの総称。今回の事案では、乗っ取ったサーバーに置かれた不正なプログラムを指す
  • フォレンジック調査：ログなどを調べて、いつ・どこから・何をされたかを明らかにする調査
  • DDoS 攻撃：たくさんの機器から大量のアクセスを送りつけて、サーバーを使えなくする攻撃
  • ハッシュ化：パスワードを元に戻せない形に変換して保存すること。ハッシュ化されていても、短い・単純なパスワードは推測で当てられることがあるので、各社は変更を求めている
  • EDR：パソコンやサーバーの不審な動きを見張り、止めるためのソフト
  • 脆弱性：ソフトウェアの弱点。悪用されると不正アクセスなどにつながる
  • CVE：世界共通の脆弱性の番号（例：CVE-2026-99999）。番号で検索すると、各社の対応状況を確かめられる
  • DNSSEC：ドメインの名前解決（ドメイン名を IP アドレスに変える仕組み）の答えが偽物でないことを、電子署名で確かめる仕組み。設定が正しく反映されないと、署名の確認に失敗して名前解決できなくなることがある
  • 2段階認証：パスワードに加えて、スマートフォンのアプリやメールの確認コードでも本人確認をする仕組み
  • WAF：Web サイトへの攻撃的な通信を見つけて止める仕組み
  • フィッシング：本物の会社を装ったメールなどで、偽のサイトにパスワードやカード情報を入力させる詐欺

出典・更新履歴

出典（各社の公式発表）

更新履歴

  • 2026年10月23日：PHP の重大な脆弱性（2026年10月21日）への各社の対応を追加
  • 2026年10月21日：公開（2021年1月からの記録）
レンタルサーバー
よかったらシェアしてね！
  • URLをコピーしました！
  • URLをコピーしました！

関連記事

目次