--- title: "PHPの脆弱性とは。サポートの終わった版を使い続けると何が起きるのか｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/php-vulnerability-support/ description: "PHPの脆弱性には、PHPそのものの不具合と、PHPで作ったサイトや部品の不具合の2つがあります。版ごとのサポートの期限、2026年10月の緊急の修正の例、サポートの終わった版を使い続けるリスクと、自社のサイトの版の確かめ方を説明します。" updated: 2026-11-07 publisher: "アメリア・テクノロジー株式会社" --- # PHPの脆弱性とは。サポートの終わった版を使い続けると何が起きるのか PHPの脆弱性には、PHPそのものの不具合と、PHPで作ったサイトや部品の不具合の2つがあります。版ごとのサポートの期限、2026年10月の緊急の修正の例、サポートの終わった版を使い続けるリスクと、自社のサイトの版の確かめ方を説明します。 2026.11.07 [Webとシステム開発](https://www.ameliatechnology.co.jp/blog/category/web/) 執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO） ## この記事の要点 - PHPは版ごとに、不具合とセキュリティの修正が出る2年間と、重大なセキュリティの修正だけが出る2年間が定められ、期限を過ぎた版には修正が出なくなります。 - 2026年10月21日には、Webの要求を受けるPHPに広く関わる重大な脆弱性の修正版が公開され、php.net は更新だけが完全な対策であると案内しています。 - 自社のサイトの版はサーバーの管理画面などで確かめ、サポートの終わった版であれば、試験の環境で確かめてから版を上げる計画を立てます。 PHPの脆弱性とは、PHPそのもの、またはPHPで作ったサイトやシステムにある、攻撃に悪用されるおそれのある弱点のことです。PHPには版ごとにサポートの期限があり、期限を過ぎた版には修正が提供されなくなります。そのため、まず自社のサイトがどの版のPHPで動いているかを知ることが、対策の出発点になります。 ## PHPの脆弱性には2つの種類がある [PHP](https://www.ameliatechnology.co.jp/glossary/php/)に関わる[脆弱性](https://www.ameliatechnology.co.jp/glossary/vulnerability/)は、大きく2つに分けて考えると整理しやすくなります。 1. PHPそのものの脆弱性：PHPを動かす仕組み（実行の環境）の不具合です。PHPの開発元が修正版を公開し、サーバーのPHPを新しい版に入れ替えることで直します 2. PHPで作ったものの脆弱性：WordPress などの[CMS](https://www.ameliatechnology.co.jp/glossary/cms/)の本体、テーマやプラグイン、独自に作った処理、使っているライブラリの不具合です。それぞれの提供元や制作会社が修正し、サイトの側で更新します この2つは、直し方も直す担当も違います。サーバーのPHPを新しい版にしても、プラグインの脆弱性は残ります。反対に、プラグインを更新しても、PHPそのものが古ければ、PHPの脆弱性は残ります。両方を別々に確かめることが大切です。 ## PHPには、版ごとにサポートの期限がある PHPの開発元（php.net）は、版（8.2、8.3 などの系統）ごとのサポートの期間を定めています。最初の正式な公開から2年間は、報告された不具合とセキュリティの問題が直され、定期的に修正版が出ます。その後の2年間は、重大なセキュリティの問題だけが、必要に応じて直されます。この4年間を過ぎた版は、サポートの終了となり、修正版が出なくなります。2026年11月の時点で、php.net がサポートしている版と期限は次のとおりです。 | 版 | 不具合とセキュリティの修正 | 重大なセキュリティの修正だけ | |---|---|---| | PHP 8.5 | 2027年12月31日まで | 2029年12月31日まで | | PHP 8.4 | 2026年12月31日まで | 2028年12月31日まで | | PHP 8.3 | 2025年12月31日に終了 | 2027年12月31日まで | | PHP 8.2 | 2024年12月31日に終了 | 2026年12月31日まで | PHP 8.1 以前の版は、すでにサポートが終わっています。PHP 8.2 も、2026年12月31日に重大なセキュリティの修正の提供が終わる予定です。 出典：[Supported Versions（php.net）](https://www.php.net/supported-versions.php)／[Unsupported Branches（php.net）](https://www.php.net/eol.php) PHPの版ごとのサポートの期間（php.net の定め） **最初の2年間**：報告された不具合とセキュリティの問題が直され、定期的に修正版が出る **その後の2年間**：重大なセキュリティの問題だけが、必要に応じて直される **サポートの終了**：修正版が出なくなる 2026年11月の時点で、PHP 8.1 以前の版は**すでにサポートが終わっています** 期限は変わることがあるため、最新の期限は php.net か、当社の[PHPのサポート期限の一覧](https://www.ameliatechnology.co.jp/diagnosis/php/versions/)でご確認ください。一覧は php.net の情報から自動で更新しています。 ## 2026年10月の緊急の修正 サポートの期限が大切であることは、2026年10月の例からも分かります。php.net は2026年10月20日に、重大な脆弱性2件を直す修正版を翌日に公開すると事前に知らせ、10月21日に PHP 8.5.12・8.4.27・8.3.36・8.2.35 を公開しました。 2件の脆弱性（CVE-2026-109618・CVE-2026-109619）は、いずれも CVSS v4.0 で 9.2 と評価され、外から細工した要求を送ることで、サーバーの上で任意のプログラムを実行されるおそれがあるものです。php.net は、Webの要求を受けるすべてのPHPの環境（PHP-FPM・Apache の mod_php など）が対象になると案内し、設定による対策は一部にとどまり、更新だけが完全な対策であるとしています。 このとき、サポートの終わった PHP 8.1 以前の版には、開発元から正式な修正版（リリース）は出ていません。ただし php.net は、重大さを踏まえ、7.4・8.0・8.1 向けの最小限の修正をソースコードの形で公開し、一部の配布元が独自に修正を提供していると案内していますが、レンタルサーバーなどで古い版を使い続けている場合には、修正が届かないことがあります。 出典：[PHP News Archive 2026（php.net）](https://www.php.net/archive/2026.php) [CVSS](https://www.ameliatechnology.co.jp/glossary/cvss/)の値が高い脆弱性は、公表の後に攻撃の手口が広まることがあります。サポート中の版を使っていれば、修正版に入れ替えるだけで済みますが、サポートの終わった版では、まず版を上げるところから始めることになり、対応に時間がかかります。 ## サポートの終わった版を使い続けると サポートの終わった版のPHPでも、サイトはそのまま動き続けます。見た目には何も変わらないため、気づかないまま使い続けている会社も少なくないと考えられます。ただし、次のような問題が時間とともに大きくなります。 ### 新しく見つかった脆弱性が直らない サポートが終わった後に見つかった脆弱性は、修正されないまま残ります。公表された脆弱性の情報は攻撃する側も見ているため、古い版で動いているサイトは、手口の知られた攻撃を受けやすい状態が続きます。 ### CMSやプラグインの更新もできなくなる CMSやプラグインの新しい版は、古いPHPに対応しなくなることがあります。たとえば WordPress は、推奨の環境を「PHP 8.3 以上」とし、PHP 7.4 以上でも動作はするものの、サポートが終わった版はセキュリティの脆弱性にさらされる可能性があると案内しています。PHPが古いままだと、プラグインの脆弱性を直す更新も当てられなくなり、2つの種類の脆弱性が重なって残ります。 出典：[必須要件（WordPress.org 日本語）](https://ja.wordpress.org/about/requirements/) ### ある日、版が切り替わってサイトが崩れる レンタルサーバーでは、古い版のPHPの提供が順に終わり、お知らせのうえで新しい版に切り替わることがあります。準備のないまま切り替わると、古い書き方の処理が動かず、サイトの表示が崩れたり、お問い合わせのフォームが動かなくなったりするおそれがあります。 ## 自社のサイトの版を確かめる 自社のサイトのPHPの版は、次の方法で確かめられます。 1. サーバーの管理画面で確かめる：レンタルサーバーの多くは、管理画面でドメインごとのPHPの版を表示しています（エックスサーバーの「PHP Ver.切替」など） 2. CMSの画面で確かめる：WordPress では、管理画面の「ツール」→「サイトヘルス」→「情報」の「サーバー」の項目に、PHPの版が表示されます 3. 制作会社や保守の委託先に問い合わせる：サーバーの管理を任せている場合は、使っている版と、版を上げる予定を尋ねます 外から確かめる方法もあります。サーバーによっては、応答の情報（X-Powered-By など）にPHPの版を表示しています。PHPのマニュアルでは、設定の expose_php を有効にすると、PHPの版がHTTPの応答に含まれると説明されています。版を外に出すと、古い版を探す攻撃の目印になることがあるため、表示を止めておくことをおすすめします。 出典：[php.ini ディレクティブのリスト（php.net）](https://www.php.net/manual/ja/ini.core.php) 当社の無料の[PHPバージョン診断](https://www.ameliatechnology.co.jp/diagnosis/php/)では、URLを入れるだけで、サイト内のページをたどり、PHPで動いているページと、表示されている版、サポートの状況を確かめられます。版を外に表示していないサーバーでは、外からは版を判定できないため、上の方法で確かめてください。 ## 当社のご支援 サポートの終わった版で動いていることが分かったら、次は版を上げる計画です。進め方は[PHPのバージョンアップの進め方。サイトを止めずに版を上げる手順](https://www.ameliatechnology.co.jp/blog/php-version-upgrade-steps/)で説明しています。アメリア・テクノロジーでは、PHPの版上げ、古いシステムの作り直し、版上げの後の保守までをご支援しています。まずは[PHPバージョン診断](https://www.ameliatechnology.co.jp/diagnosis/php/)で現状を確かめ、[PHPのバージョンアップのご相談](https://www.ameliatechnology.co.jp/contact/?s=php)からお問い合わせください。 - PHP - 脆弱性 - サポート期限 - バージョンアップ - セキュリティ ## この記事に出てくる用語 - [PHP](https://www.ameliatechnology.co.jp/glossary/php/) - [脆弱性](https://www.ameliatechnology.co.jp/glossary/vulnerability/) - [サーバー](https://www.ameliatechnology.co.jp/glossary/server/) - [CMS](https://www.ameliatechnology.co.jp/glossary/cms/) - [ライブラリ](https://www.ameliatechnology.co.jp/glossary/library/) - [CVE](https://www.ameliatechnology.co.jp/glossary/cve/) - [CVSS](https://www.ameliatechnology.co.jp/glossary/cvss/) - [リリース・デプロイ](https://www.ameliatechnology.co.jp/glossary/release-deploy/) ## 関連する法令・指針（参考情報） - 指針 独立行政法人情報処理推進機構（IPA）「安全なウェブサイトの作り方」 Webサイトの開発者や運営者に向けて、SQLインジェクションやクロスサイト・スクリプティングなど、よく知られた脆弱性とその対策をまとめた資料です。運用の点検項目をまとめた「安全なウェブサイトの運用管理に向けての20ヶ条」も案内しています。 [発行元の公式ページで開く](https://www.ipa.go.jp/security/vuln/websecurity/index.html) - 指針 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」（第4.0版（2026年3月）） 中小企業の経営者と実務の担当者が、情報セキュリティ対策を進めるための手順と考え方をまとめたガイドラインです。付録に、自社の状況を確かめる「5分でできる！情報セキュリティ自社診断」などがあります。 [発行元の公式ページで開く](https://www.ipa.go.jp/security/guide/sme/about.html) 法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。 この記事を書いた人 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [脆弱性の情報を、どう集めて優先順位をつけるか。JVN・KEV・CVSSの使い方](https://www.ameliatechnology.co.jp/blog/vulnerability-information-sources/) - [VPN機器の脆弱性とランサムウェア。入り口になりやすい機器の守り方](https://www.ameliatechnology.co.jp/blog/vpn-device-vulnerability/) - [PHPのバージョンアップの進め方。サイトを止めずに版を上げる手順](https://www.ameliatechnology.co.jp/blog/php-version-upgrade-steps/) [Webとシステム開発のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/web/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### 業務で使うWebシステムをつくる 社内で使う業務システムやWebサービスを、要件定義から設計・開発・テスト、公開した後の運用まで受け持ちます。 [Webシステム開発を見る](https://www.ameliatechnology.co.jp/service/web-system/) ### まずは30分、オンラインで話してみる 何に使うかが決まっていない段階でも構いません。30分のオンライン相談は無料です。 [無料で相談する](https://www.ameliatechnology.co.jp/contact/) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「PHPの脆弱性とは。サポートの終わった版を使い続けると何が起きるのか｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/php-vulnerability-support/