PHPの脆弱性とは。サポートの終わった版を使い続けると何が起きるのか

PHPの脆弱性とは、PHPそのもの、またはPHPで作ったサイトやシステムにある、攻撃に悪用されるおそれのある弱点のことです。PHPには版ごとにサポートの期限があり、期限を過ぎた版には修正が提供されなくなります。そのため、まず自社のサイトがどの版のPHPで動いているかを知ることが、対策の出発点になります。

PHPの脆弱性には2つの種類がある

PHPに関わる脆弱性は、大きく2つに分けて考えると整理しやすくなります。

1. PHPそのものの脆弱性：PHPを動かす仕組み（実行の環境）の不具合です。PHPの開発元が修正版を公開し、サーバーのPHPを新しい版に入れ替えることで直します
2. PHPで作ったものの脆弱性：WordPress などのCMSの本体、テーマやプラグイン、独自に作った処理、使っているライブラリの不具合です。それぞれの提供元や制作会社が修正し、サイトの側で更新します

この2つは、直し方も直す担当も違います。サーバーのPHPを新しい版にしても、プラグインの脆弱性は残ります。反対に、プラグインを更新しても、PHPそのものが古ければ、PHPの脆弱性は残ります。両方を別々に確かめることが大切です。

PHPには、版ごとにサポートの期限がある

PHPの開発元（php.net）は、版（8.2、8.3 などの系統）ごとのサポートの期間を定めています。最初の正式な公開から2年間は、報告された不具合とセキュリティの問題が直され、定期的に修正版が出ます。その後の2年間は、重大なセキュリティの問題だけが、必要に応じて直されます。この4年間を過ぎた版は、サポートの終了となり、修正版が出なくなります。2026年11月の時点で、php.net がサポートしている版と期限は次のとおりです。

PHP 8.1 以前の版は、すでにサポートが終わっています。PHP 8.2 も、2026年12月31日に重大なセキュリティの修正の提供が終わる予定です。

出典：Supported Versions（php.net）／Unsupported Branches（php.net）

期限は変わることがあるため、最新の期限は php.net か、当社のPHPのサポート期限の一覧でご確認ください。一覧は php.net の情報から自動で更新しています。

2026年10月の緊急の修正

サポートの期限が大切であることは、2026年10月の例からも分かります。php.net は2026年10月20日に、重大な脆弱性2件を直す修正版を翌日に公開すると事前に知らせ、10月21日に PHP 8.5.12・8.4.27・8.3.36・8.2.35 を公開しました。

2件の脆弱性（CVE-2026-109618・CVE-2026-109619）は、いずれも CVSS v4.0 で 9.2 と評価され、外から細工した要求を送ることで、サーバーの上で任意のプログラムを実行されるおそれがあるものです。php.net は、Webの要求を受けるすべてのPHPの環境（PHP-FPM・Apache の mod_php など）が対象になると案内し、設定による対策は一部にとどまり、更新だけが完全な対策であるとしています。

このとき、サポートの終わった PHP 8.1 以前の版には、開発元から正式な修正版（リリース）は出ていません。ただし php.net は、重大さを踏まえ、7.4・8.0・8.1 向けの最小限の修正をソースコードの形で公開し、一部の配布元が独自に修正を提供していると案内していますが、レンタルサーバーなどで古い版を使い続けている場合には、修正が届かないことがあります。

出典：PHP News Archive 2026（php.net）

CVSSの値が高い脆弱性は、公表の後に攻撃の手口が広まることがあります。サポート中の版を使っていれば、修正版に入れ替えるだけで済みますが、サポートの終わった版では、まず版を上げるところから始めることになり、対応に時間がかかります。

サポートの終わった版を使い続けると

サポートの終わった版のPHPでも、サイトはそのまま動き続けます。見た目には何も変わらないため、気づかないまま使い続けている会社も少なくないと考えられます。ただし、次のような問題が時間とともに大きくなります。

新しく見つかった脆弱性が直らない

サポートが終わった後に見つかった脆弱性は、修正されないまま残ります。公表された脆弱性の情報は攻撃する側も見ているため、古い版で動いているサイトは、手口の知られた攻撃を受けやすい状態が続きます。

CMSやプラグインの更新もできなくなる

CMSやプラグインの新しい版は、古いPHPに対応しなくなることがあります。たとえば WordPress は、推奨の環境を「PHP 8.3 以上」とし、PHP 7.4 以上でも動作はするものの、サポートが終わった版はセキュリティの脆弱性にさらされる可能性があると案内しています。PHPが古いままだと、プラグインの脆弱性を直す更新も当てられなくなり、2つの種類の脆弱性が重なって残ります。

出典：必須要件（WordPress.org 日本語）

ある日、版が切り替わってサイトが崩れる

レンタルサーバーでは、古い版のPHPの提供が順に終わり、お知らせのうえで新しい版に切り替わることがあります。準備のないまま切り替わると、古い書き方の処理が動かず、サイトの表示が崩れたり、お問い合わせのフォームが動かなくなったりするおそれがあります。

自社のサイトの版を確かめる

自社のサイトのPHPの版は、次の方法で確かめられます。

1. サーバーの管理画面で確かめる：レンタルサーバーの多くは、管理画面でドメインごとのPHPの版を表示しています（エックスサーバーの「PHP Ver.切替」など）
2. CMSの画面で確かめる：WordPress では、管理画面の「ツール」→「サイトヘルス」→「情報」の「サーバー」の項目に、PHPの版が表示されます
3. 制作会社や保守の委託先に問い合わせる：サーバーの管理を任せている場合は、使っている版と、版を上げる予定を尋ねます

外から確かめる方法もあります。サーバーによっては、応答の情報（X-Powered-By など）にPHPの版を表示しています。PHPのマニュアルでは、設定の expose_php を有効にすると、PHPの版がHTTPの応答に含まれると説明されています。版を外に出すと、古い版を探す攻撃の目印になることがあるため、表示を止めておくことをおすすめします。

出典：php.ini ディレクティブのリスト（php.net）

当社の無料のPHPバージョン診断では、URLを入れるだけで、サイト内のページをたどり、PHPで動いているページと、表示されている版、サポートの状況を確かめられます。版を外に表示していないサーバーでは、外からは版を判定できないため、上の方法で確かめてください。

当社のご支援

サポートの終わった版で動いていることが分かったら、次は版を上げる計画です。進め方はPHPのバージョンアップの進め方。サイトを止めずに版を上げる手順で説明しています。アメリア・テクノロジーでは、PHPの版上げ、古いシステムの作り直し、版上げの後の保守までをご支援しています。まずはPHPバージョン診断で現状を確かめ、PHPのバージョンアップのご相談からお問い合わせください。