PHP脆弱性に注意！サポートやセキュリティ修正バージョンを確認しよう

WordPressなど多くのWebサイトは、PHPというプログラミング言語で動いています。PHPには、ときどき脆弱性（セキュリティ上の弱点）が見つかります。見つかった脆弱性は、新しいバージョンで修正されます。

ただし、修正されるのはサポート期間中のバージョンだけです。サポートが終わったPHPを使い続けると、脆弱性が見つかっても修正されません。この記事では、PHPの脆弱性の危険性と、2026年10月時点のサポート状況を紹介します。

PHPの脆弱性で起こること

PHPなどプログラミング言語の脆弱性を悪用されると、次のような被害につながるおそれがあります。

• ・Webサイトの改ざん（ページの書き換え、不正なリンクの埋め込み）
• ・お問い合わせフォームなどから入力された個人情報の流出
• ・迷惑メールの送信や他サイトへの攻撃に使われる。

特に危険なのは「リモートコード実行」と呼ばれる脆弱性です。

外部から、サーバー上で好きなプログラムを動かされてしまいます。2026年10月21日に公開されたPHP 8.5.12・8.4.27・8.3.36・8.2.35でも、認証なしでリモートコード実行ができる重大な脆弱性が修正されました。

PHPのサポートは2種類

PHPの各バージョンは、リリースから約4年間サポートされます。

サポートは次の2段階です。

アクティブサポート（約2年）

不具合の修正とセキュリティ修正の両方が行われます。

セキュリティサポート（約2年）

重大なセキュリティ問題だけが修正されます。

セキュリティサポートが終わると「サポート終了（EOL）」となり、PHP公式による修正は行われなくなります。

PHPのバージョン別サポート期限（2026年10月時点）

※2026年10月時点の情報です。最新の情報はPHP公式サイト（Supported Versions）でご確認ください。

PHP 8.2は、2026年12月31日でサポートが終わります。8.2以前を使っている場合は、早めにPHP 8.4や8.5への切り替えを検討しましょう。

古いPHPを使えるレンタルサーバーもある

レンタルサーバーによっては、公式サポートが終わった古いPHPにも対応しています。

たとえばエックスサーバーでは、PHP 7系のバージョンも使えます。

ただし、対応の内容はサーバー会社ごとに違います。PHP公式の修正は行われないため、古いバージョンはあくまで移行までのつなぎとして使いましょう。

古いPHPを使い続ける場合は、契約しているサーバー会社の公式サイトで、対応状況を確認しておくと安心です。

WordPressで使っているPHPのバージョンを確認する方法

WordPressの場合は、管理画面の「ツール」→「サイトヘルス」→「情報」タブを開きます。「サーバー」の項目に、PHPのバージョンが表示されます。

レンタルサーバーの場合は、サーバーの管理画面（コントロールパネル）の「PHPバージョン設定」などでも確認できます。

PHPのバージョンを上げるときの注意点

PHPのバージョンを上げる場合、サイトが表示されなくなる可能性があります。

• 切り替えの前に、サイトのファイルとデータベースのバックアップを取りましょう。
• WordPressの場合は、本体・テーマ・プラグインが、PHPのバージョンに対応している必要があります。
• 古いテーマやプラグインは、新しいPHPで動かないことがあります。テスト環境があれば、先に動作を確認しましょう。
• PHPを切り替えた後は、トップページ・記事ページ・お問い合わせフォームなどが正しく動くか確認してください。

レンタルサーバーの多くは、管理画面からPHPのバージョンを切り替えられます。

サブドメインなどで確認して、テスト不具合が出た場合は、元のバージョンに戻すこともできます。

まとめ

PHPは、サポート期間中のバージョンを使い、最新のマイナーバージョンに更新することが大切です。年に1回はバージョンとサポート期限を確認し、期限が近ければ早めに切り替えましょう。