さくらインターネットがレンタルサーバ・VPSを緊急メンテナンス、最大1時間程度の通信断も―Linuxカーネル脆弱性への対応進む|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月21日更新日時: 2026年10月21日

さくらインターネットは2026年10月21日、「さくらのレンタルサーバ」「さくらのマネージドサーバ」「さくらのVPS」などで緊急メンテナンスを実施すると公表しました。レンタルサーバ・マネージドサーバの対象ホストでは数分から30分程度、VPSでは1台あたり約1時間の通信断が予定されています。全契約環境を期間中ずっと停止する措置ではありません。

同社は10月16日から、Linuxカーネルの重大な脆弱性「CVE-2026-99999」（通称PwnEscape）について影響調査と対策を進めています。今回のVPS向けメンテナンスではホストサーバーを順次再起動すると説明しており、仮想化基盤を含む安全対策が進む状況と一致します。ただし、10月21日のメンテナンス個別告知は原因となるCVEを明示していないため、すべての作業が同脆弱性への修正であると断定はできません。

また同日には、これとは別にバックボーンネットワーク障害が発生し、すでに復旧しています。PHPの脆弱性対応によるデータベース管理画面の一部停止も公表されており、各事象を区別して把握する必要があります。

緊急メンテナンスのサマリー

レンタルサーバ・マネージドサーバ（一部ホスト）： 10月21日13時～22日8時ごろ。個別の接続断は数分～30分程度。
さくらのVPS： 10月21日15時～22日18時。東京・大阪・石狩の対象リージョンなどで、1VPSあたり約1時間の通信断を予定。
Windows Server向けVPS： 大阪・石狩リージョンが対象。VPSのホストを順次再起動し、利用者の仮想マシンは一時停止状態となる見込み。
これに先立つ10月20日夜～21日未明にも、一部VPSの緊急メンテナンスを実施。21日2時3分に完了しました。
同社は10月16日、Linuxカーネルの脆弱性CVE-2026-99999への対応を発表。レンタルサーバの新規申込やVPSの一部機能の受付制限を実施しています。
10月21日12時25分～14時7分： 別途、バックボーンネットワーク障害が発生。複数サービスでパケットロス・通信不安定が起きましたが、14時7分までに復旧しました。
同日： さくらのクラウド「データベースアプライアンス」のWeb UI機能を、PHPの脆弱性対応を理由に停止。データベースクラスタは対象外です。

対象サービス	公表された作業期間（日本時間）	1環境あたりの影響	主な内容
さくらのレンタルサーバ・さくらのマネージドサーバの指定ホスト	10月21日13:00～22日8:00頃	数分～30分程度	再起動を伴うメンテナンス。Web、メール、FTPなどが一時接続不可
さくらのレンタルサーバ・リセール向けの指定ホスト	同上	数分～30分程度	同上
さくらのVPS（東京・大阪・石狩）	10月21日15:00～22日18:00	1VPSあたり約1時間	ホストサーバーの順次再起動。通信断・一時停止
さくらのVPS for Windows Server（大阪・石狩）	同上	1VPSあたり約1時間	同上

※作業期間は、全対象サーバーが連続停止する時間ではなく、保守を順次実施する予定枠です。対象ホスト・契約の確認は、同社のメンテナンス案内や個別通知で行ってください。

対象ホスト・リージョンと実際の停止時間

さくらのレンタルサーバ・マネージドサーバについては、公式告知に対象ホスト名の範囲が列挙されています。ホスト名はwww801.sakura.ne.jp～www1900.sakura.ne.jp、www2101.sakura.ne.jp～www3700.sakura.ne.jp、www5101.sakura.ne.jp～www5400.sakura.ne.jp、www104b.sakura.ne.jp～www713b.sakura.ne.jpなどで、マネージドサーバ用のwww***m.sakura.ne.jp系ホストも含みます。リセール向けサービスではwww50201.sakura.ne.jp～www50203.sakura.ne.jpが対象とされています。

同社は10月21日11時40分、当日午後から翌朝にかけた作業時間と対象範囲を変更しました。10月21日1時～8時の早い時間帯の作業は4時42分に完了したと報告しています。今回の対象かどうかは、利用サービス名だけでなく割り当てられたホスト名を確認する必要があります。

VPSについては東京・大阪・石狩の各リージョンが対象となり、Windows Server版は大阪・石狩が対象です。先行する10月20日21時～21日3時の緊急メンテナンスを受けた一部契約は、後続作業から除外されます。ホスト再起動に伴い仮想サーバーは一時停止しますが、同社は予期しない事態がなければ、利用者のVPS自体を再起動させない予定としています。

背景にLinuxカーネルの重大脆弱性「CVE-2026-99999」

さくらインターネットは10月16日、LinuxカーネルのIPv4ネットワーク処理に関係する脆弱性「CVE-2026-99999」について、仮想化環境でホストシステムへの影響につながる可能性があると公表しました。さくらのクラウド、VPS、レンタルサーバ、高火力DOK、高火力VRTについて影響調査と対策を進めており、必要に応じてメンテナンスを実施する方針を示しています。

この脆弱性は「PwnEscape」とも呼ばれ、研究者による検証では、仮想マシン内部からホスト側のメモリ情報取得やホストへの影響につながる動作が示されました。問題があるのはLinuxカーネルのネットワーク処理であり、仮想化ソフトウェアそのものの欠陥と同一ではありません。商用サービスで実際に侵害されたことを意味するものでもありません。

同社は脆弱性への対処に伴い、10月16日からレンタルサーバ・マネージドサーバの新規申込を停止しました。さくらのクラウドの新規プロジェクト作成については10月20日に再開し、既存の機能は通常どおり利用できると説明しています。同時に、クラウドの対象利用者には今後のメンテナンス日程を原則約1週間前に通知する方針を示しました。

従来の影響調査と新規申込制限については、セキュリティ対策LabのさくらインターネットとCVE-2026-99999の対応まとめでも整理しています。

PHPの重大脆弱性への対応では、クラウドの管理画面の一部を停止

同じ10月21日、さくらインターネットは「さくらのクラウド」のデータベースアプライアンスで、PHPの脆弱性への対応としてWeb UI機能を停止すると別途発表しました。対象はphpMyAdmin、phpPgAdmin、pgAdminの管理画面で、再開時期は未定です。データベースクラスタは今回の停止対象に含まれません。代替手段として、MariaDBまたはPostgreSQL互換のSQLクライアントが案内されています。

PHP開発チームは10月20日、CVSS v4.0でいずれも9.2と評価される重大脆弱性2件に対するセキュリティ修正版を、10月21日23時（日本時間）に公開予定と予告しました。IPAも更新準備を呼びかけています。

ただし、PHPに関するWeb UIの停止と、VPS基盤のホスト再起動を伴うメンテナンスを同じ事象と断定することはできません。さくらインターネットの発表は別々で、公開された対象サービス・作業内容も異なります。

同日12時25分からのネットワーク障害は14時7分に復旧

さくらインターネットは10月21日、バックボーンネットワークで12時25分から14時7分まで障害が発生したと公表しました。対象には、さくらのレンタルサーバ、VPS、さくらのクラウド、さくらのIoT、ImageFlux、AppRun、さくらのAI Engine、ハウジングサービスなどが含まれます。

事象はパケットロスや通信不安定で、障害が疑われる箇所を切り離した後、復旧を確認したとしています。同日の緊急メンテナンスと時間が一部重なっていますが、両者が同一原因だったとの説明はありません。利用者側の障害記録でも、計画的な接続断と広域ネットワーク障害を区別して扱う必要があります。

利用企業・Webサイト管理者が確認すること

利用中のレンタルサーバのホスト名、VPSのリージョン、さくらからの個別メンテナンス通知を照合し、停止時間帯を確認する。
ECサイト、問い合わせフォーム、メール受信・送信、FTP・API連携、バッチ処理など、数分～約1時間の接続断でも影響する業務を洗い出す。
VPSでは保守後に監視・自動処理が正常動作しているか点検する。公式案内は、Linux上でntpdを使用している場合、保守後に同サービスが停止する可能性にも言及している。
自社でOSを管理するVPS・専用サーバーでは、提供元のメンテナンスとは別に、ゲストOS側のLinuxカーネルとアプリケーションの更新要否を確認する。
データベースアプライアンスの管理Web UIを利用している場合は、必要に応じて互換SQLクライアントへ切り替える。
10月21日の広域ネットワーク障害に該当するアクセス失敗は、メンテナンス予定の停止と混同せず、時刻・ログを分けて記録する。

今回の緊急メンテナンスや予防的な機能停止について、さくらインターネットが新たな不正アクセスや情報漏えいを確認したという発表ではありません。復旧時刻や作業範囲は変更される場合があるため、運用中のシステムごとに最新のメンテナンス告知を確認してください。