PHPのサポート終了と重大な脆弱性｜会社のホームページで今確認すること

「ホームページはちゃんと表示されているし、特に問題はないはず」。そう考えていませんか。

2026年10月21日、ホームページを動かす仕組みの一つであるPHPに重大な脆弱性(セキュリティ上の欠陥)が見つかり、国内のレンタルサーバー各社が緊急対応に追われました。

この記事では、PHPとは何か、放置すると何が起きるのか、自社で今確認すべきことを、専門知識がなくても判断できるように整理します。

この記事でわかること

PHPとは何か、自社のホームページと関係があるか
10月に見つかった脆弱性で、何が起こり得るのか
12月31日に迫る「PHP 8.2のサポート終了」の意味
自社のPHPのバージョンを確かめる方法と、更新の進め方

PHPは、ホームページの「エンジン」

PHPは、サーバーの上でホームページを組み立てるプログラムの言語です。WordPress(ワードプレス)もPHPで動いています。

PHPが担っていること	例
ページを組み立てて表示する	ブログやお知らせの一覧、各ページの表示
入力された情報を受け取る	お問い合わせフォーム、資料請求、予約フォーム
管理画面を動かす	社内の担当者が記事や画像を更新する画面

見た目は同じでも、裏側では常にPHPが動いています。WordPressで作ったホームページなら、ほぼ確実にPHPを使っています。

10月に見つかった重大な脆弱性

PHPの開発元は10月21日(日本時間23時)、2件の重大な脆弱性を修正した新しい版を公開し、すべての利用者に「直ちに更新する」よう強く求めました。

項目	内容
何が起こり得るか	ログインなしで、外部から任意のプログラムを実行される可能性がある
深刻度	10点満点の評価(CVSS)で9.2。最も深刻な部類
修正版	8.2.35 / 8.3.36 / 8.4.27 / 8.5.12
8.1以前	開発元のサポートが終わっており、通常の修正版は出ない

国内でも、IPA(情報処理推進機構)とJPCERT/CCが10月22日に注意喚起を出しています(出典: PHP公式 / IPA / JPCERT/CC)。

放置すると何が起きるのか

外部からプログラムを実行されると、PHPが持つ権限の範囲で、相手がサーバー上で自由にプログラムを動かせる状態になります。考えられる被害は次のとおりです。

考えられる被害	会社への影響
ホームページの改ざん	偽のページや詐欺サイトへの誘導を仕込まれる。訪問したお客様が被害に遭う
情報の流出	お問い合わせフォームに届いた氏名・電話番号・相談内容が盗まれる
踏み台にされる	自社のサーバーから迷惑メールや攻撃が送られ、加害者側として扱われる
信用の低下	検索結果やブラウザに警告が出る。取引先への説明と復旧に時間と費用がかかる

やっかいなのは、被害を受けてもホームページは普段どおり表示されていることがある点です。「表示されているから大丈夫」とは言えません。

レンタルサーバーなら今回は対応済み。ただし

中小企業のホームページの多くは、レンタルサーバーで動いています。主要各社は今回、サーバー側で修正を当てました(2026年10月26日時点)。

サーバー会社	公式の案内(要旨)
エックスサーバー	全バージョンに修正を適用済み。急いでPHPを変える必要はない。ただしVPSは利用者自身の対応が必要
さくらのレンタルサーバ	選べる全バージョンに対応済み。緊急の対応は不要だが、サポート期間中の新しいPHPへの移行を検討するよう案内
ロリポップ!	旧バージョンにも修正を適用。ただし8.1以下への対策は応急的で、今後の脆弱性には対応できない可能性があるとして、8.2以降への切り替えを推奨

出典: エックスサーバー / さくらインターネット / ロリポップ!

つまり今回の穴は、レンタルサーバーなら会社側で塞がれています。問題は次に穴が見つかったときです。古いPHPには、今回のような救済が毎回あるとは限りません。

12月31日、PHP 8.2もサポート終了

現在のPHPは、バージョンごとに約4年のサポート期間が決まっています。期限を過ぎると、脆弱性が見つかっても開発元からは修正が出ません。メーカーが修理部品を出さなくなった車のような状態です。

バージョン	サポート終了日
7.4 / 8.0	終了済み(2022年11月 / 2023年11月)
8.1	終了済み(2025年12月31日)
8.2	2026年12月31日(あと約2か月)
8.3	2027年12月31日
8.4	2028年12月31日
8.5	2029年12月31日

出典: PHP公式「Supported Versions」

WordPressのサイトで、どれくらいが古いPHPで動いているかを見てみます。

PHPのバージョン	WordPressサイトの割合
すでにサポート切れ(8.1以前)	約34%
12月31日に終わる(8.2)	約23%
年明けにサポート切れになる合計	約57%

出典: WordPress.org 統計(2026年10月26日時点)。WordPress自身はPHP 8.3以上を推奨しています。

自社のPHPのバージョンを確かめる方法

確かめ方	見る場所
WordPressの管理画面	「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」の欄に表示される
レンタルサーバーの管理画面	「PHPバージョン」などの設定画面に、現在の設定が表示される
制作会社・管理会社に聞く	「うちのホームページのPHPは何バージョンですか」と聞けば答えられるはず

サイトヘルスの「ステータス」タブに「古いバージョンのPHPを実行しており、更新が必要です」という趣旨の表示が出ていたら、更新が必要なサインです(参考: WordPress公式ドキュメント)。

8.3以上なら、まずは安心です。8.2以前なら、年内に更新の段取りを始めてください。

バージョンを上げる手順と注意点

PHPの切り替えそのものは、レンタルサーバーの管理画面で行えます。ただし、古いテーマやプラグインが新しいPHPに対応しておらず、表示が崩れたりフォームが動かなくなったりすることがあります。次の順で進めると安全です。

バックアップを取る。問題が起きても元に戻せるようにする
WordPress本体・テーマ・プラグインを最新にする。更新が何年も止まっているプラグインは、代わりを検討する
サーバーの管理画面でPHPを8.3以上に切り替える
表示とお問い合わせフォームを確かめる。実際にテスト送信して、メールが届くかまで見る
不具合が出たら元のバージョンに戻し、原因のテーマやプラグインを直してから再挑戦する

手順の詳細はWordPress公式の「PHPの更新」ページにまとまっています。テーマが古く、作り直しが必要になった場合の費用感はホームページリニューアルの費用相場で整理しています。

よくある質問

Q. レンタルサーバーが対応済みなら、何もしなくてよいですか。

A. 今回の脆弱性はサーバー会社が塞いでいます。ただし8.1以前は今後の修正の保証がなく、8.2も年末で終わります。年内にバージョンの確認と、8.3以上への切り替えの段取りをおすすめします。

Q. 自社のホームページがWordPressかどうか分かりません。

A. 管理画面にログインするときのアドレスに「wp-admin」や「wp-login」が含まれていれば、WordPressです。分からなければ、制作会社に問い合わせるのが確実です。

Q. 自社でサーバーを持っている、またはVPSを使っています。

A. その場合、PHPの更新は契約者側の責任です。サーバー会社は修正を当ててくれません。管理している担当者や会社に、修正版(8.2.35以降など)への更新が済んでいるかを確認してください。

Q. 制作会社と連絡が取れなくなっています。

A. まずレンタルサーバーの契約者情報とログイン情報が自社の手元にあるかを確認してください。それさえあれば、PHPのバージョン確認や切り替えは自社でも進められます。

まとめ

PHPはホームページを動かす「エンジン」。WordPressのサイトはほぼ確実に使っている
10月21日に深刻度9.2の脆弱性が公表された。主要レンタルサーバーは対応済み
8.1以前はすでにサポート切れ。8.2も12月31日で終了する
「表示されている＝安全」ではない。まずバージョンを確かめる
8.2以前なら、バックアップを取ってから年内に8.3以上へ切り替える

オフィスフジタは岐阜県美濃加茂市を拠点に、岐阜・愛知の中小企業のホームページ制作とIT環境づくりを手がけています。「自社のPHPが何バージョンか分からない」という段階からご相談ください。ご相談とお見積りは無料です。お問い合わせフォームから相談する