← ブログ一覧へ戻る

古いPHPを使い続けるリスクとは？PHP 8.1以前・8.2の注意点

「ホームページは問題なく見えているから、PHPが古くてもそのままでいいのでは」と考える方は少なくありません。けれども、PHPにはサポートの期限があり、期限が過ぎた版には、新しい弱点が見つかっても公式の修正が出ません。

2026年10月に公開された重大な脆弱性では、まさにその差がはっきり出ました。2026年10月22日時点の情報をもとに、古いPHPを使い続けるリスクと、現実的な選択肢を整理します。ニュースの全体像は【2026年10月】PHPの重大な脆弱性とは？をご覧ください。

PHPには「サポートの期限」があります

PHPの各版は、公開から2年間は通常のサポート、その後の2年間はセキュリティの修正だけのサポートが受けられます。その後は、サポートが終了します。PHP公式のページでは、次の予定が示されています。

PHPの系列	セキュリティサポートの終了日	状況（2026年10月22日時点）
8.5系	2029年12月31日	サポート中
8.4系	2028年12月31日	サポート中
8.3系	2027年12月31日	サポート中
8.2系	2026年12月31日	サポート中ですが、年内に終了します
8.1系	2025年12月31日	終了済み（最後の版は8.1.34）
8.0系	2023年11月26日	終了済み（最後の版は8.0.30）
7.4系	2022年11月28日	終了済み（最後の版は7.4.33）

サポートが終わると、何が困るのですか？

新しい弱点が見つかっても、公式の修正が出ません

今回の脆弱性では、8.2〜8.5系には修正版が出ました。一方で、8.1以前については、PHPの開発元から更新が提供されません（一部のOS・ベンダーが独自に修正を出す場合や、ソースから自分でビルドする人向けの最小限の修正が提供されている場合はあります）。

IPAも、PHP 8.1以前は公式の修正が提供されないため、更新や、対策済みの製品・サービスへの移行を検討するよう呼びかけています。また、IPAは調査に関わったセキュリティ会社の見解として、PHP 5.4以降は少なくとも1件の影響を受けると紹介しています。

WordPressなどが、新しいPHPにしか対応しなくなっていきます

WordPressの公式サイトの動作要件のページでは、2026年5月7日更新の時点で、PHP 8.3以上が推奨されています。PHP 7.4については、公式にサポートが終了しており、サイトがセキュリティ上の問題にさらされるおそれがあると注意されています。

古いPHPのままだと、WordPressやプラグインの最新版が使えなくなり、更新できないまま古くなる、という悪循環に入りやすくなります。

サーバー会社が、古い版の提供をやめることがあります

サーバー会社は、古いPHPの提供を順次終了します。提供が終わると、ホームページが突然表示されなくなることがあります。契約先からの「PHPの提供終了のお知らせ」のメールは、見落とさないようにしましょう。

「うちは小さなホームページだから狙われない」は本当ですか？

脆弱性を悪用する攻撃には、特定の相手を狙うものだけでなく、インターネット上のサイトを機械的に探して、弱点が残っているものを狙うものもあります。このため、小さなホームページや、福祉事業所のホームページだからといって、安心とは言い切れません。

2026年10月の脆弱性でも、公開後に悪用を試みる動きがあったと、複数のセキュリティ会社が報告しています。

8.2系をお使いの方へ：年内に準備を

PHP 8.2系には、今回、修正版（8.2.35）が出ています。そのため、8.2.35以上に更新すれば、今回の弱点には対応できます。

ただし、8.2系のセキュリティサポートは2026年12月31日で終わります。8.2系をお使いの方は、2026年中に次の版への移行を計画してください。PHP公式も、8.2.35の公開に合わせて、サポート中の版への計画的な移行を促しています。

移行先は、WordPress公式が推奨する8.3以上が目安です。サポートの期間が長い8.4や8.5も選べますが、お使いのWordPress・テーマ・プラグインが対応しているかの確認が必要です。

古いPHPのまま使っているときの、現実的な選択肢

1. サポート中の版へ更新する

もっとも基本的な方法です。サーバーの管理画面で切り替えられる場合もあります。WordPressやプラグインが対応しているかを確認し、バックアップを取ってから進めます。費用と手順はPHPのアップデート費用はいくら？で、うまくいかないときはPHPを更新できないときの対処方法で説明しています。

2. 新しいPHPで動く形に作り直す・乗り換える

古いテーマや独自のプログラムが原因で更新できない場合は、ホームページの作りそのものを見直す方法があります。WordPressで作り直す方法もあれば、PHPを使わない静的なホームページに乗り換える方法もあります。違いはPHPホームページの更新・乗り換え方法を比較で整理しています。

3. 一時的に公開を止める・アクセスを制限する

IPAは、有効な暫定対策が難しい場合は、外部からのアクセスを遮断したり、サービスを一時停止したりする必要があるかを、被害や業務への影響を踏まえて判断するよう呼びかけています。問い合わせや情報発信にどうしても必要なページは、別の方法（SNSや紙の案内など）に切り替えて、サイトの公開を止めるという判断もあり得ます。

4. 維持できる見通しがないなら、移行や公開終了も含めて考える

IPAは、更新や保守を続けるための人・予算・体制の見通しが立たないときは、移行、機能の縮小、公開の終了、廃止も含めて検討するよう案内しています。維持できる見通しがないなら、移行や公開終了も含めて考えることは、決して後ろ向きな判断ではありません。

先延ばしにしないための、小さな習慣

• 契約しているサーバー会社の「PHPの提供・終了のお知らせ」を、年に数回は確認する
• 使っているPHPの終了日を、カレンダーやメモに書いておく
• WordPress・テーマ・プラグインの更新を、「誰が」「いつ」行うかを決めておく

どれも、特別な知識がなくてもできることです。