WordPressがPHP 7系のままは危険！サーバー会社のパッチだけでは不十分な理由と、今すぐやるべき対策

「ホームページは今日も普通に表示されている」

「レンタルサーバー会社がセキュリティ対策をしてくれている」

「制作会社にお任せしていたので、PHPのバージョンは見たことがない」

こうしたサイトで私が気になるのは、「最後に誰が、どこまで点検したか」が分からなくなっていることです。記事を毎月更新していても、その記事を表示する仕組みは、制作当時のまま何年も動いているかもしれません。

一方で、久しぶりにWordPressの管理画面を開き、更新のお知らせがいくつも並んでいると、「更新ボタンを押して、サイトが見られなくなったらどうしよう」と迷う方もいらっしゃると思います。

その心配には理由があります。PHPやWordPress本体を更新すると、今まで使えていたテーマやプラグインの一部が動かなくなることがあるからです。この記事では、ご自身のサイトでまず確かめられることと、不具合に備えながら更新を進める方法をご紹介します。

WordPressを支える「PHP」「テーマ」「プラグイン」

たとえば、お客様がホームページから問い合わせをする場面を思い浮かべてください。ページを開くと、会社のロゴやメニューが表示され、その下に入力欄と送信ボタンがあります。

このとき、ページや記事を管理しているのがWordPress本体です。ロゴやメニュー、記事一覧の見せ方などを決めているのが「テーマ」です。お問い合わせフォームや予約カレンダーなど、サイトに機能を追加するのが「プラグイン」です。そして、サーバー側でWordPressやテーマ、プラグインの処理を動かしているのが「PHP」です。

そのため、「WordPressは更新しています」というサイトでも、PHPやテーマが何年も前のバージョンのまま、ということがあります。管理画面でWordPress本体に「最新」と表示されていても、ほかの部分の更新状況は個別に確認する必要があります。

PHP 7.4の公式サポート終了から、まもなく4年

PHP 7系の最終系列であるPHP 7.4は、2022年11月28日に公式サポートを終了しました。2026年11月現在、まもなく4年になります。サイトは引き続き表示できても、新しい脆弱性に対して継続的に修正を受けられる期間は終了しています。

2026年10月に公表された「PHP2Shell」とは？

2026年10月21日、PHP自体に見つかった2件の重大な脆弱性（攻撃に悪用されるおそれのある弱点）について、PHPの開発チームが修正版を公開しました。この2件（CVE-2026-109618、CVE-2026-109619）は「PHP2Shell」と呼ばれ、影響を受ける環境では、第三者がログインせずにサーバー上でプログラムを実行できるおそれがあります。IPA（情報処理推進機構）も翌日に注意を呼びかけました。

ここで気をつけたいのは、「うちはPHP 8.3だから大丈夫」と、最初の数字だけで判断してしまうことです。今回の問題がPHP公式の8.3系で修正されたのは「8.3.36」です。同じ8.3系でも、末尾の数字には意味があります。

「サーバー会社がパッチを当ててくれた」あとも、点検が必要な4つの理由

「PHPの脆弱性に対応しました」というお知らせを受け取ったら、まず、ご自身が契約しているサービスが対象かを確認しましょう。パッチとは、プログラムの特定の不具合や弱点を直すための修正です。たとえば今回、エックスサーバーは対象のレンタルサーバーで、PHP 7系を含む旧バージョンにも、利用者が設定したバージョンを変えずにパッチを適用しました。

では、そのお知らせを読んだあと、サイトの運営者には何ができるでしょうか。

1. パッチで直るのは、お知らせに書かれている問題です

今回の「対策済み」は、対象サービスでPHP2Shellへの修正が済んだ、という意味です。この対応は有効です。今後、別の弱点が見つかったときには、改めてその弱点に合った修正が必要になります。サーバー会社からのお知らせは、件名だけで済ませず、「対象サービス」と「利用者側で必要な作業」の2か所を読むと、ご自身で対応する必要があるか分かります。

2. PHP 7系は、公式の継続サポートを終了しています

サポート期間中のPHPでは、重大な弱点が見つかると、PHPの開発チームが必要に応じて修正版を提供します。PHP 7.4はその期間を過ぎています。今回は問題の深刻さを考慮して、開発チームも例外的に7.4向けの修正コードを提供しました。今後の問題にも同じ対応が続く保証はないため、PHP 7系をお使いの方は、サーバー会社の対応範囲を確認し、サポート期間内のPHPへ移る計画を立てましょう。

3. PHPが古いと、WordPress本体やプラグインを更新できないことがあります

サーバー会社がPHPの弱点を修正しても、サイトで使えるPHPの機能は、そのバージョンのままです。たとえば、WordPress 7.0を動かすにはPHP 7.4以上が必要です。PHP 7.3のサイトでは、今回のパッチが適用されていても、そのままWordPress 7.0に更新することはできません。

テーマやプラグインにも、それぞれ動作に必要なPHPのバージョンがあります。たとえば、お問い合わせフォームの修正版が出ても、その版が新しいPHPを必要とする場合は、先にPHPを移行するか、別の対応方法を探すことになります。更新が必要になったときに修正版を利用できることも、早めに環境を点検しておく理由です。

4. サイトが普通に表示されていても、修正の適用状況は分かりません

トップページが開き、昨日と同じように記事が読める。そこから分かるのは、そのページが表示できたことです。PHPの弱点は画面に警告として現れるとは限らず、パッチを適用しても見た目が変わらないことがあります。

そこで、PHPの対策状況は契約先のお知らせで、WordPress本体・テーマ・プラグインの更新状況はWordPressの管理画面や各製品の提供元で確認します。見る場所を分けておくと、「サーバー会社は対応済み。あとは自分のサイトのテーマを確認しよう」と、次の作業が分かります。

PHP 8.3以上への移行で、何が変わるのでしょうか？

WordPress公式が推奨しているのはPHP 8.3以上です。PHP 7系をお使いなら、契約先で選べるサポート期間内のPHPから、テーマやプラグインの動作を確認できたバージョンを移行先に選びます。ここで、サーバー会社のパッチ・PHPの移行・WordPressの更新の違いを整理しておきましょう。

対策	何に役立つか	運営者が確認すること
サーバー会社がPHPにパッチを適用する	告知の対象になったPHPの弱点が修正される	契約中のサービスが対象か。利用者側の作業はあるか
サポート期間内のPHP 8.3以上に移行する	その系列で今後提供されるセキュリティ修正を利用できる	テーマなどが移行先で動くか。移行後も契約先で修正版が適用されているか
WordPress本体・テーマ・プラグインを更新する	それぞれの製品で修正された弱点や不具合に対応できる	更新に必要なPHPの条件を満たすか。更新後も必要な機能が動くか

移行を計画するときは、次の4点が目安になります。

セキュリティ修正を受けられる期間が分かります。 PHP 8.3の公式セキュリティサポート期限は2027年12月31日です。移行後も、同じ系列の修正版を適用していくことが大切です。
WordPressやプラグインを更新しやすくなります。 PHPが古いために更新できなかった製品でも、必要な条件を満たせば、新しい版を利用できるようになります。
画面が速く表示される場合があります。 PHPの処理が速くなると、記事の表示や管理画面の操作にかかる時間が短くなることがあります。効果はテーマやプラグイン、画像などの構成によって異なります。
次に移行する時期も計画できます。 たとえばPHP 8.4の公式セキュリティサポート期限は2028年12月31日です。8.3と8.4の両方で動作を確認できたサイトなら、残りのサポート期間も比較して選べます。

「更新するとサイトが壊れそうで怖い」という方は、まず現在のバージョンを控えるところから始めてください。切り替えるときは、バックアップを取り、公開中のサイトを複製したテスト環境で動作を確かめてから、本番に反映すると、営業中のサイトに影響が出るリスクを抑えられます。制作会社や保守担当者に依頼する場合も、どの機能を試してから切り替えるのかを一緒に決めておくと安心です。

PHPやWordPressを更新すると、なぜ不具合が起きるのか

一つ目は、PHPの変更が影響するケースです。PHP 7系で使えていたプログラムの機能には、PHP 8系で廃止されたものがあります。古いテーマがその機能を記事一覧の表示に使っていた場合、トップページは開けても、記事一覧を開いたときにだけエラーが出ることがあります。制作時に子テーマへ追加した独自の処理があれば、その部分も確認対象です。

二つ目は、WordPress本体の変更が影響するケースです。過去には、WordPressに同梱される、画面上のボタンやメニューを動かすための仕組みが更新され、古いテーマやプラグインで使われていた書き方の一部が動かなくなることがありました。この場合は、PHPの設定を変えていなくても、WordPress本体を更新したことがきっかけで不具合が表れます。

実際の点検で気づいた、リンクを押したあとの見落とし

以前、WordPressサイトを点検した際、リンクを押すとページは開くものの、案内とは違う内容が表示される箇所がありました。画面に大きなエラーが出るわけでもなく、「リンクを押せた」「何か表示された」という確認だけなら見逃してしまいます。

たとえば記事一覧の「次へ」なら、ボタンの位置や見た目に加えて、押したあとに別の記事が並ぶかまで見ます。スマートフォンなら、メニューを開き、その中から目的のページを選んで、見出しや本文が合っているかも確かめます。運営者にとって見慣れたサイトほど、初めて訪れた方と同じ順番でたどってみると、気づくことがあります。

また、更新後の点検で初めて見つかった不具合には、以前からあったものも考えられます。更新前の状態を再現できれば、同じページで同じ操作を試します。比較できる記録がないときは、「いつ見つけたか」と「何が原因か」を分けて考えることが大切です。

更新前後に、同じ操作を試してみましょう

確認する順番は、「この機能が止まったら、お客様が一番困るのはどこか」で決めると分かりやすくなります。

会社やお店のサイトなら、お問い合わせフォームからテスト送信し、担当者の受信箱に通知が届くところまで確かめます。自動返信を設定している場合は、入力した側にも届くか確認します。「送信しました」という画面と、実際のメールの到着は、それぞれ確認したい項目です。
記事の多いサイトなら、トップページから個別記事を開き、カテゴリーや記事一覧の2ページ目にも進んでみます。以前から掲載している記事も一つ開くと、古い記事だけで使っている表示機能の不具合に気づきやすくなります。
予約サイトなら、カレンダーを開き、日付を選び、予約完了の通知が届くまでをテストします。ネットショップなら、テスト用の決済方法を使い、商品をカートに入れて注文が記録されるところまで確かめます。
運営者側では、管理画面にログインし、テスト用の記事を下書き保存して、画像を追加できるか試します。公開ページが正常でも、次にお知らせを掲載しようとしたとき、初めて編集画面の不具合に気づく場合があります。

これらは、できれば更新前にも一度試しておきましょう。たとえばフォームの通知が更新前から届いていなかったと分かれば、メール設定も含めて原因を調べられます。更新前後に同じ条件で試した記録が一つあるだけで、その後の対応が変わります。

有料テーマや、制作時に追加した機能がある場合

制作会社にサイトを作ってもらった方は、有料テーマやプラグインを誰が購入し、どの契約で更新できるのかも確認しておくと安心です。製品によっては、更新版の入手に購入時のアカウントや有効なライセンスが必要です。管理画面のライセンス欄が空欄でも、それだけで購入履歴や期限までは分かりません。買い直す前に、購入時のメールや引き継ぎ資料を確認してみてください。

また、テーマの最新版が新しいPHPに対応していても、ご自身のサイトに入っているのは数年前の版かもしれません。「このテーマは対応済み」という案内を見つけたら、手元のバージョンと、提供元が対応を案内しているバージョンを見比べてください。

更新が止まったプラグインが見つかった場合は、そのプラグインをどのページで何のために使っているかを先に確認します。たとえばフォームを別の製品に替えるなら、入力欄だけでなく、通知先や自動返信の内容も引き継ぐ必要があります。先に用途を整理しておくと、残したい機能を保ちながら更新を進められます。

まずは設定を変えずに、現在の状態を確認できます

WordPressの管理画面に管理者としてログインし、「ツール」→「サイトヘルス」→「情報」→「サーバー」を開くと、「PHP バージョン」を確認できます。表示された数字は、最後の桁まで控えておきましょう。「ダッシュボード」→「更新」では、WordPress本体や、テーマ・プラグインに届いている更新のお知らせも確認できます。

更新に進む際は、画像・テーマ・プラグインなどのファイルと、記事や設定を保存しているデータベースの両方をバックアップし、戻す手順を確かめておきます。何年も更新していないサイトや予約・販売を受け付けているサイトでは、公開中のサイトを複製したテスト環境で先に更新し、先ほどの操作を一通り試すと安心です。

予約や注文が入るサイトでは、バックアップを取った時刻も大切です。古いバックアップを本番に丸ごと戻すと、そのあとに受け付けた注文や予約が失われるおそれがあります。作業する時間帯や、新しく入ったデータをどう残すかも、事前に決めておきましょう。

よくあるご質問

Q. テーマで不具合が出たら、ホームページを作り直す必要がありますか？

A. たとえば、テーマの一部を修正すれば、今ある記事やデザインを活かして使い続けられる場合があります。一方、提供元の更新が止まっている場合は、今後の保守も考えてテーマの変更を検討します。「今回の不具合を直せるか」と「次の更新に対応できるか」を分けて考えると、必要な作業を判断しやすくなります。

Q. リニューアルを依頼する予定ですが、今から確認することはありますか？

A. 新しいサイトをどのPHP・WordPress環境で制作するか、公開後は誰がテーマやプラグインを更新するかを、制作担当者と決めておくことをおすすめします。有料製品を使う場合は、ライセンスの名義や更新方法も引き継ぎ事項に加えておくと、担当者が変わっても困りにくくなります。

制作会社と連絡が取れない方、点検からご相談いただけます

「制作をお願いした方と連絡が取れない」「保守契約がなく、どこまで自分で更新してよいか分からない」という方は、現在の状況を調べるところからご相談いただけます。

私は、レンタルサーバーで使用しているPHPのバージョン確認、WordPress本体・テーマ・プラグインの更新状況の点検を承っています。点検後は、更新できる箇所と、テストや修正が必要な箇所を分けてご説明します。サーバー内のプログラムを確認・修正する必要がある場合は、対象と作業内容をお伝えし、ご了承いただいてから進めます。費用は、サイトの構成とご希望の作業範囲に応じてお見積もりします。

ご相談の際は、「お問い合わせだけは止めたくない」「スマートフォンからの予約が多い」など、普段特に大切にされている機能をお聞かせください。お客様がそのサイトで何をされるのかを踏まえて、優先して点検する箇所をご案内します。

ランサーズで見積もり・カスタマイズの相談を承ります
「 WordPressのウェブサイトが表示されない時に、復旧作業請負います」#ランサーズ #ランサーズを活用して売上アップ
 https://t.co/YnhSpnNbV4
— エンジニアM168 (@masaru21) November 5, 2026