WordPressの管理画面に「PHPの更新を推奨」と出ていて、気になっている方も多いはずです。PHPの重大な脆弱性「php2shell」が発表されてから、ツクリコにもPHPの更新についての相談や調査の依頼が続いています。この記事では、WordPressのPHPのバージョンアップを安全に進めるためにツクリコが実際にやっていることを、専門知識がない方にも分かるように説明します。
WordPressの「PHPの更新を推奨」の表示は、放っておいても大丈夫？
表示が出てもすぐにサイトが止まるわけではありませんが、放っておいてよいものではありません。PHPは、ホームページを動かしている「エンジン」のようなものです。WordPressはそのエンジンの上で動く「車体」、テーマやプラグインは車体に付ける「部品」にあたります。エンジンが古いままだと、車体や部品がどれだけ新しくても安全に走れません。
管理画面に出る「PHPの更新を推奨」は、「今使っているPHPは古く、安全面で心配があります」というWordPressからのお知らせです。表示が出た日にサイトが見られなくなるわけではないので、慌てて自分で切り替える必要はありません。
ただし、2026年10月に発表されたPHPの脆弱性「php2shell」は、ログインしていない第三者がサーバー上で好きなプログラムを動かせてしまうおそれがある、とても重大な弱点です。WordPressも影響を受けます。修正版のPHPに上げていないサイトは狙われやすい状態にあります。php2shellの概要と確認方法は、【緊急】PHPの脆弱性「php2shell」とは？WordPressサイトの確認方法と対策で詳しく説明しています。
PHPのバージョンアップをしないと、どんな困りごとが起きる？
一番の困りごとは、サイトの乗っ取りや改ざんのリスクが高いままになることです。PHPにはそれぞれサポート期間があり、期間が終わったバージョンは弱点（脆弱性）が見つかっても直されません。
- セキュリティ：改ざんされたり、不正なプログラムを置かれたりするおそれがある
- 機能：新しいWordPressやプラグインが古いPHPに対応せず、更新できなくなる
- 表示：新しいPHPに比べてパフォーマンスが落ち、表示が遅くなることがある
経営者の目線で言いかえると、「改ざんされたサイトを見たお客さまの信用を失う」「表示が遅くて問い合わせの前に離れられる」という損につながります。
ツクリコでも、古いPHPのまま何年も更新されていないサイトの相談を受けることがあります。そうしたサイトは、PHPだけでなくWordPress本体・プラグイン・データベースも古いことがほとんどです。PHPだけを上げれば済む状態ではなく、まとめて見直す必要があります。
自社のホームページのPHPバージョンは、どこで確認できる？
WordPressの管理画面の「サイトヘルス」で確認できます。メニューの「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開くと、PHPのバージョンが表示されます。
レンタルサーバーの管理画面でも確認できます。サーバー会社によって画面は違いますが、「PHPバージョン設定」などの項目にあります。
確認するときは「8.3」ではなく「8.3.36」のように、小数点の後ろまで見てください。php2shellの修正が入っているかどうかは、最後の数字で決まります。ツクリコが相談を受けたときも、まず今のPHPのバージョンを小数点の後ろまで確認し、あわせて次の項目を調べます。調べている間は、本番のサーバーやWordPressには一切書き込みません。
- WordPress本体・テーマ・プラグインのバージョン
- 契約しているサーバー会社
- PHPの切り替え方（サーバーの管理画面で切り替えるのか、設定ファイルで指定しているのか）
困るのは、制作会社に任せきりで「サーバーの名義もログイン情報も手元にない」状態です。いざというときに誰も切り替えられません。サーバーの契約者が誰か、ログイン情報を誰が持っているかを、まず社内で確かめてください。
WordPressで使えるPHPのバージョン（推奨バージョン）はどれ？
WordPress公式はPHP 8.3以上を推奨しています（2026年10月時点）。PHPの公式サイトで公開されているサポート期間は次のとおりです。
| バージョン | セキュリティの修正が出る期限 | php2shellの修正版 |
|---|---|---|
| PHP 8.2 | 2026年12月31日 | 8.2.35以上 |
| PHP 8.3 | 2027年12月31日 | 8.3.36以上 |
| PHP 8.4 | 2028年12月31日 | 8.4.27以上 |
| PHP 8.5 | 2029年12月31日 | 8.5.12以上 |
PHP 8.1以前（7系・5系を含む）は、すでにサポートが終わっています。PHP 8.2もあと2か月ほどでサポートが終わるため、これから上げるなら8.3以上を目安にしてください。
上げる先は「最新」ではありません。ツクリコでは、サポート中で修正版が出ているバージョンを選びます。たとえばPHP 8.3なら8.3.36以上です。最新にしても、テーマやプラグインが対応していなければサイトが動きません。
PHP 7からPHP 8へ上げるときに不具合が出やすいのは、PHP 8で「昔は大目に見てもらえた書き方」がエラーとして扱われるようになったり、古い機能がなくなったりしたためです。何年も前に作られたプラグインやテーマほど、昔の書き方が残っています。
レンタルサーバー会社が古いPHPにも修正を当ててくれるなら、上げなくていい？
上げなくてよいわけではありません。今回、一部のレンタルサーバー会社は、公式の修正版が出ない古いPHP（8.1以前）にも、独自に修正を当てています。ただし、あくまで応急処置です。
| サーバー会社 | 古いPHP（8.1以前）への対応 | あわせて案内していること |
|---|---|---|
| さくらのレンタルサーバ | サポートが終わったバージョンも含めて、提供しているPHPに対策 | サポート中の最新のPHPを使うことをすすめている |
| ロリポップ！ | 公式の修正内容をもとに、独自の修正を適用 | 8.1以下への対策は応急的なもので、今後見つかる脆弱性は直せない可能性がある。8.2以上への切り替えを依頼 |
| エックスサーバー | 独自の修正を、確認が済んだものから順に適用 | 8.2〜8.5は修正の適用が完了 |
※2026年10月23日時点の各社の案内です。最新の状況は、契約しているサーバー会社のお知らせで確認してください。
どの会社も、古いPHPのまま使い続けてよいとは案内していません。次に脆弱性が見つかったとき、古いPHPには修正が出ない可能性があります。今回守られたからといって安心せず、サポート中のPHPへ上げる準備を進めてください。
サーバー会社が自動で直してくれないこともある
サーバー会社が修正を当てるのは、共用のレンタルサーバーで、その会社が用意しているPHPです。次のような場合は、自動では直りません。
- VPS・クラウドサーバー・専用サーバーなど、自社や制作会社がPHPを入れて管理しているサーバー
- 制作会社が独自に用意したサーバーで、サイトを動かしている
さくらインターネットも、利用者が自分で管理している環境は、利用者がPHPの状況を確認して修正版へ更新するよう案内しています。自分のサイトがどのサーバーで動いているか分からない場合は、制作会社に「サーバーの種類」と「PHPに修正が当たっているか」を確認してください。
PHPのバージョンアップは、どんな流れで進めれば安全？
本番のサイトでいきなり切り替えず、複製したサイトで確かめてから本番に反映するのが安全な進め方です。ツクリコでは次の流れで進めています。
- 戻す準備：元のPHPに戻せることを確かめ、バックアップから戻す手順も用意する
- 手元で確認：サイトを複製し、ツクリコの手元で新しいPHPに切り替えて確認する
- テスト環境で確認：本番に近いテスト環境で、もう一度動作を確かめる
- お客さまの確認：お客さまに画面を見てもらい、OKをもらう
- 本番に反映：本番を切り替え、完了の確認をする
確認では、主要なページを切り替え前と後の画面で見比べます。全ページはツールで自動で巡回し、エラーが出ないかを調べます。本番で切り替えたあとは、次の項目がそろって初めて「完了」と判断します。
- 主要なページの画面が、切り替え前と比べて崩れていない
- 全ページを自動で巡回して、エラーが出ない
- WordPressの管理画面に入れる
- お問い合わせフォームが送信でき、通知メールが届く
フォームの確認では、通知先を一時的に変えて送信し、確認後すぐに元に戻します。お客さまのもとにテストのメールが届いて混乱しないようにするためです。
バージョンアップ後に画面が真っ白・エラーが出たら、どうすればいい？
慌てずに、レンタルサーバーの管理画面で元のPHPバージョンに戻してください。多くの場合、それだけで表示が戻ります。設定ファイルでPHPを指定しているサーバーでは、元の記述に戻します。
PHP 8へ上げるときによくあるのが、更新が止まった古いプラグインが新しいPHPで動かず、表の画面は普通に見えるのに、WordPressの管理画面だけが「重大なエラー」で入れなくなるケースです。表の画面だけを見て「大丈夫」と判断すると、WordPressの更新も記事の投稿もできなくなります。
ほかに、制作会社が独自に作ったテーマ（オリジナルテーマ）で警告（Warning）が出るケースもあり、テーマの修正が必要になります。ツクリコでは、こうした不具合を本番で起きる前に複製の段階で見つけて直しています。
バージョンアップの前に確認しておきたいことは？
作業の前に、元に戻せる準備と、作業に必要な情報がそろっているかを確認してください。
- バックアップがあり、戻す手順が分かっている
- WordPressの管理画面とサーバーのログイン情報がある
- 使っているプラグインとテーマの一覧と、それぞれのバージョン
- 何年も更新が止まっているプラグインがないか
- 制作会社が独自に作ったテーマを使っていないか
不具合が出やすいのは、何年も更新が止まっているプラグインと、オリジナルテーマを使っているサイトです。当てはまる場合は特に注意してください。
サーバーへのログインは、原則としてお客さま側で行っていただきます。制作会社にパスワードを伝える必要があるときは、必要な場面だけ、安全な方法で共有してください。
古いPHPのまま長く更新されていないサイトでは、PHPとは別の問題が隠れていることもあります。たとえば、引っ越し用のプラグインで作ったバックアップファイルや、データベースを操作するツールが、外から見える場所に置かれたままになっているケースです。見覚えのない管理者アカウントや、不正なプログラムとみられる不審なファイルが見つかることもあります。
PHPを修正版に上げても、すでに置かれた不審なファイルやアカウントは消えません。別の対応が必要です。ツクリコでは、WordPress本体とプラグインのファイルを公式の配布物と照らし合わせ、書き換えられていないかを確かめています。不審なものが見つかった場合は、PHPの更新とあわせて、その対応もご相談ください。
自分でやるか、プロに任せるか、どう判断すればいい？
ページ数の少なさでは決められません。判断の目安は、サイトでお客さまの情報を受け取っているかと、どれだけ更新されてこなかったかです。
| 確認すること | 自分での対応を考えてもよい目安 | プロに任せたほうがよい目安 |
|---|---|---|
| 受け取っている情報 | お問い合わせなどのフォームがなく、お客さまの情報を受け取っていない | お問い合わせ・予約・申し込みのフォームで、名前や連絡先などを受け取っている |
| 更新してこなかった期間 | WordPress本体・プラグインを日ごろから更新している | 何年も更新していない、更新が止まったプラグインがある |
| 不審なものがないか | 見覚えのない管理者アカウントやファイルがないことを、自分で確かめられる | 確かめ方が分からない、見覚えのないアカウントやファイルがある |
| 元に戻す準備 | バックアップを取り、戻すところまで社内でできる | バックアップの取り方・戻し方が分からない、ログイン情報が手元にない |
お客さまの情報を受け取っているサイトは、ページ数が少なくてもプロに任せてください。万が一情報が漏れたとき、被害を受けるのはお客さまで、会社の信用にも関わります。
また、長く更新されていないサイトは、PHPの古さとは別の弱点から、すでに入り込まれている可能性もあります。前の章のとおり、PHPを上げても、すでに置かれた不審なファイルやアカウントは消えません。PHPを上げる前に、不審なものが入り込んでいないかを確かめることが大切です。
ツクリコの月額ホームページをご利用の方は、毎月の作業時間の中でPHPやWordPressの更新・確認に対応できます。
- スタート：月額11,000円（毎月の作業5時間）
- スタンダード：月額22,000円（毎月の作業10時間）
- プレミアム：月額33,000円（毎月の作業15時間）
いずれも税込・制作費0円・最低契約期間1年です。月額ホームページ以外のサイトは、状態を確認したうえでお見積もりします。作り替えが必要な所が多く、PHPのバージョンアップが難しいサイトでは、リニューアルも選択肢になります。リニューアルの費用は内容に合わせてお見積もりします。
WordPressやPHPを使わないサイトに変えることもできる？
PHPのバージョンアップは、一度やれば終わりではなく、サポートが切れるたびに必要になります。ツクリコでは、WordPressのホームページを、見た目とページのアドレスはそのままで、WordPressやPHPを使わないサイトに作り替える「ちゃんとホームページ」を始めました。中で動いているものがなくなるので、それらを更新する作業もいらなくなります。
社内で記事を毎日のように更新したい場合など、WordPressが合うこともあります。合うかどうかも含めてお答えしますので、まずは今のホームページのURLを送るだけの無料チェックからご相談ください。ツクリコで作っていないホームページも対象です。
まとめ
php2shell対策でPHPを上げるときは、本番でいきなり切り替えないでください。表の画面が見えていても管理画面が止まることがあり、調べるとPHP以外の問題が見つかることもあります。複製で確かめ、元に戻せる状態で進めることが、サイトを守る一番の近道です。
- PHPのバージョンは「サイトヘルス」で、小数点の後ろまで確認する
- 上げる先は「最新」ではなく、サポート中で修正版が出ているバージョン（例：8.3なら8.3.36以上）
- 複製→テスト環境→確認→本番の順で進め、元に戻す手順を先に用意する
- 表の画面だけでなく、管理画面とお問い合わせフォームも確認する
- 不審なファイルやアカウントは、PHPを上げても消えないので別に対応する
自社のサイトのPHPバージョンが分からない場合は、ツクリコが無料で確認します。ツクリコで作っていないサイトも、全国どこからでもオンラインで受け付けていますので、お問い合わせからお気軽にご連絡ください。毎月の更新まで任せたい方は、月額ホームページの料金もご覧ください。
