IN THIS ARTICLE

この記事でわかること

  • PHPの各バージョンが、いつまで修正を受けられるかを知る。
  • 管理画面とサーバーで、今のバージョンを確かめる。
  • 上げる前の準備と、依頼するときの伝え方を決める。

ホームページの見た目は、何年たっても変わらないように見えます。けれど、その下で動くプログラムには、家電と同じように修正を受けられる期間があります。WordPressを支えるPHPも、その一つです。10月21日に公開されたPHPの緊急修正をきっかけに、運用担当者が確かめておきたいことを順番に整理します。

01 / 05

PHPは、ページを「その場で組み立てる」仕組み

WordPressのサイトでは、訪問者がページを開くたびに、サーバー上のPHPがデータベースから文章や画像の情報を取り出し、ページを組み立てています。お知らせを管理画面から更新できるのも、この仕組みがあるからです。建物にたとえるなら、目に見える内装ではなく、壁の中の配管や配線にあたります。

そのため、WordPress本体やプラグインを最新にしていても、PHPそのものが古ければ守りに穴が残ります。PHPの切り替えは管理画面の更新ボタンには並ばず、サーバー側の設定で行うことが多いため、見落とされやすい部分です。なお、WordPress本体でも7月に、管理者権限がなくても遠隔でプログラムを実行されうる脆弱性が修正され、自動更新による強制的な更新が行われました。 [3]

02 / 05

2026年10月、PHPに何が起きたか

10月21日、PHPの開発チームは2件の深刻な脆弱性を修正したPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開しました。ログインしていない第三者が、外部からサーバー上でプログラムを実行できるおそれがあるもので、開発チームはすべての利用者に直ちに更新するよう強く求めています。 [1] IPAも修正版が公開される前の10月21日（日本時間の公開予定は同日23時）に、PHPを使うプログラムの棚卸しと事前準備を呼びかけ、サポートの終わった古いPHPを使い続けているサイトも見受けられると指摘しました。 [2]

今回の件では、報告した研究者が、欠陥を実際の攻撃につなげるまでの複雑な手順を、高性能なAIモデルが大きく短縮したと説明しています。また、公表の4日前に、この欠陥を狙ったとみられる通信が観測されたという報告もあります。 [4] 修正が出てから攻撃が始まるまでの時間は、以前より短くなっていると考えておくのが現実的です。

03 / 05

バージョンごとの「保証期間」

PHPは、公開から2年間は不具合と安全性の修正を、その後の2年間は重大な安全性の修正だけを受け、合計4年でサポートを終えます。期限はどの系列も12月31日にそろえられています。 [5] 2026年10月22日時点の状況は次のとおりです。

バージョン安全性の修正を受けられる期限今の状態
8.52029年12月31日通常のサポート中
8.42028年12月31日通常のサポート中（2027年からは安全性の修正のみ）
8.32027年12月31日安全性の修正のみ
8.22026年12月31日安全性の修正のみ。あと約2か月で終了
8.1以前終了済み（8.1は2025年12月31日）公式の修正なし

WordPressの公式サイトは、PHP 8.3以上を推奨しています。7.4以上でも動作はしますが、古いバージョンはすでにサポートが終わっており、安全性の問題にさらされる可能性があると明記しています。 [6] 今年中に8.2から移るなら、移行先は8.3以上から選ぶことになります。

04 / 05

今のバージョンを、管理画面で確かめる

WordPressのサイトなら、ブラウザーだけで確認できます。

  1. WordPressの管理画面にログインします。
  2. 左側のメニューから「ツール」を選び、「サイトヘルス」を開きます。
  3. 画面上部の「情報」タブを押します。
  4. 一覧から「サーバー」を開き、「PHPバージョン」の行を見ます。

多くのレンタルサーバーでは、8.3や8.4といった系列を利用者が選び、細かな修正版（8.3.36など）はサーバー会社が適用します。系列の切り替えはサーバーのコントロールパネルにあるPHPの設定画面で、修正版の適用状況はサーバー会社のお知らせで確認できることが一般的です。

見落としやすいのは、普段は管理画面を開かないサイトです。キャンペーン用の小さなサイト、試作のまま残したテスト環境、同じサーバーに置いた別のWordPress。触る機会が少ないサイトほど古いPHPのまま残りやすく、攻撃する側にとっては入りやすい入口になります。コントロールパネルでドメインごとの設定を一覧にして、すべてのサイトを確かめます。

05 / 05

上げる前に、上げた後に

PHPのバージョンを上げると、古い書き方のテーマやプラグインが動かなくなることがあります。作業の前にバックアップと戻し方を確認し、長く更新が止まっているプラグインがないかを見ておきます（戻せる状態のつくり方は、WordPressの更新ボタンを押す前にで整理しています）。上げた後は表示だけでなく、問い合わせフォームの送信と受信、予約や決済などの機能まで確かめます。

保守を外部に任せている場合は、次のような形で状況を尋ねると、確認する項目がそろいます。

コピーして使えるひな形
いつもお世話になっております。
2026年10月21日に公開されたPHPの修正に関する報道を受けて、
当社サイトの状況を確認させていただければと思います。

- 対象サイト（テスト環境や別サイトも含めて）：
- 現在のPHPバージョン：
- 修正版（8.5.12／8.4.27／8.3.36／8.2.35 以降）の適用状況：
- PHP 8.2の場合、12月31日のサポート終了までの移行予定：
- 移行前のバックアップと、移行後の動作確認の範囲：

お手数ですが、ご確認いただければと思います。

PHPのバージョンは、日々の更新作業では目に入りにくい場所です。サポート期限の表と自社サイトのバージョンを並べて見る日を、年に一度でも決めておくと、今回のような知らせが届いたときに、何から確かめればよいかで迷わずに済みます。

企画・編集：株式会社アクセシオ

参考情報

情報確認日：2026年10月22日。公開資料の説明と、アクセシオによる実践の提案を区別しています。脆弱性の情報は更新される場合があります。

関連するサービスを見る記事一覧へ戻る