Panelica と VestaCP
VestaCPは2018年以降メンテナンスされておらず、サプライチェーンにバックドアが混入した事案、未修正のCVE（RCE、コマンドインジェクション、権限昇格）が複数あり、PHP 8.xにも対応していません。まだVestaCPを運用している場合、残る問題は移行先をどこにするかです。
毎月実際にかかる費用
VestaCPには有料プランがありません。代わりにかかるのは、財布への負担ではなくセキュリティリスクです。
Panelicaが優れている点、VestaCPが優れている点
サードパーティ製アドオンを使わない場合の、各プラットフォームでの機能の有無を示します。「一部」は、機能はあるものの制限があるか、有料の拡張機能が必要です。
| 機能 | Panelica | VestaCP |
|---|---|---|
| 積極的な保守 | ✓ 毎週リリース | 2018年以降、開発停止 |
| PHP 8.3 / 8.4対応 | ✓ 常に最新 | PHP 7.xのみ |
| 公開済みCVEが未修正 | なし | 複数のRCE / コマンドインジェクション |
| サプライチェーンの完全性 | 署名付きリリース + チェックサム | 2018年のインストーラーのバックドア事件 |
| 最新のWebエンジン | ✓ Apache 2.4.67 + nginx 1.29 | 古く、パッチが適用されていないApache/Nginx |
| AIコパイロットを標準搭載 | OpsAI · 15人の専門家 | , |
| iOS・Androidネイティブアプリ | ✓ App Store / Google Playで配信 | , |
| 5層のカーネル分離 | ✓ cgroups + ns + chroot + FPM + 権限 | 基本的なFPMのみ |
| ワンクリック移行（VestaCPから） | ✓ ハッシュを保持したままインポート | N/A |
| Dockerマネージャー | ✓ 99種類のテンプレート | , |
| WordPressツールキット | ✓ フルツールキット + Redis Boost | , |
| 最新のUI | ✓ React 19 + リアルタイムSSE | 2014年当時のUI |
| 侵害発生時の事業者責任 | パッチ適用済みスタックでGDPR対応を強化 | 未解決のCVEは侵害リスク |
それぞれが適しているケース
VestaCPを使い続ける妥当な理由はありません。率直に言えば、移行すべきです。問題は、どのパネルに移行するかです。
次のような場合はPanelicaをお選びください…
- エンドユーザーが既存のパスワードをそのまま使える、ハッシュを保持した移行をお望みの場合。
- アプリケーションを問題なく動作させるために、PHP 8.3 / 8.4のサポートが必要な場合。
- 2018年から更新が止まったスタックではなく、継続的なセキュリティパッチをお望みの場合。
- AI・モバイルアプリ・リセラーモード・Dockerを標準搭載した環境をお望みの場合。
- GDPR / CCPA / 業界監査における侵害時の責任を軽減する必要がある場合。
VestaCPを使い続けるケース
- 2026年現在、該当するケースは見つかりませんでした。2018年のバックドア、未修正のRCE、更新が止まったPHP 7.xを考えると、本番環境で使い続けることには重大なリスクがあります。
- 似たUIをお求めなら、HestiaCPが最も近い後継です。Vestaからフォークされ、バックドアを修正し、現在もメンテナンスが続いています。
- 2026年のアーキテクチャと、より豊富な機能もお求めなら、Panelicaが最適です。
ワンクリックでVestaCPから移行
PanelicaのインポーターはVestaCPサーバーに接続してすべてのサイトを検出し、ファイル、MySQLデータベース、Eximメールボックス、DNSゾーン、SSL証明書をコピーします。その際、すべてのパスワードハッシュを1バイトも変えずに保持します。エンドユーザーがパスワードを再設定する必要はありません。VestaCPから安全に移行するには、これが唯一の方法です。
永久に無料。本当です。
クレジットカード不要、期限切れなし、機能制限なしで、3つのドメインを永久に無料でご利用いただけます。足りなくなったときだけ、Professional（$4.99/mo）にアップグレードできます。
実際の料金は料金ページでご確認いただけます。隠れたアップグレード料金、追加料金、アカウント数に応じた料金設定はありません。
Panelicaの料金を見るVestaCPからの移行について
VestaCPは本当に終了したのですか？
はい。公式インストーラーでサプライチェーン攻撃のバックドアが発見された2018年以降、Vestaプロジェクトの上流は実質的に保守されていません。複数のCVE（RCE、コマンドインジェクション、権限昇格、XSS）がパネルレベルで未修正のまま残っています。PHP 8.xのエコシステムは進化しており、VestaCPでは最新のPHPアプリケーションをホストできません。
2018年にVestaCPに何が起きたのですか？
攻撃者が公式インストーラースクリプトを侵害し、認証情報を外部に送信するバックドアを埋め込みました。侵害期間中にインストールされたサーバーには、すべてバックドアが仕込まれていました。その後まもなく、プロジェクトへの保守担当者の関与も薄れていきました。HestiaCPはコードベースをフォークしてバックドアを削除し、現在も保守を続けています。ただし、元のVestaCPコードベースをインストールするのは安全ではありません。
VestaCPからPanelicaに移行できますか？
はい。PanelicaのインポーターはVestaCPサーバーに接続し、ファイル、MySQLデータベース、Eximメールボックス、DNSゾーン、SSL証明書をコピーします。メールとMySQLのパスワードハッシュ（SHA512-CRYPT）はバイト単位で保持されるため、エンドユーザーがパスワードを再設定する必要はありません。Vesta 0.9.8-xサーバーでテスト済みです。
VestaCPからフォークしたHestiaCPはどうですか？
HestiaCPは確かなアップグレード先です。保守が続けられ、サプライチェーンの問題も修正され、基本的な機能を備えています。VestaCPのUIからなるべく変えずに移行したい場合は、HestiaCPが自然な選択肢です。2026年のアーキテクチャ（Go + React 19 + cgroups + AI + モバイルアプリ）を求める場合は、Panelicaが自然な選択肢です。どちらも無料です。
VestaCPのバックドアは、現在もインストール環境で有効ですか？
2018年の侵害期間中にインストールされたサーバーには、今もバックドアが残っている可能性があります。その前後にインストールされたサーバーでも、複数のCVEが未修正のままの2018年当時のコードが実行されている可能性があります。本番環境のVestaCPサーバーはすべて移行し、移行元サーバーは侵害されたものとして扱うのが唯一安全な前提です。