5年以上前に作った WordPress のホームページを、作ったときのまま使い続けているなら、その土台（PHP）はほぼ確実に、公式の修正が届かなくなった版です。明日いきなり止まるわけではありません。ただ、不正なプログラムを仕込まれたり乗っ取られたりしたときに起きることは、見た目の書き換えでは済みません。作ってから何年も中身に手を入れていない、という経営者や担当の方に向けて書いています。
なぜ「5年」なのかは本文で根拠を示します。10月21日に公表された PHP の重大な脆弱性（php2shell）の中身と当日の経緯は、前の記事「PHPの重大な脆弱性と10月21日の更新」に書いたので、ここでは繰り返しません。この記事は、まず起きうる被害、次になぜ古いサイトが危ないのか、最後に上げ方と今後の運用、の順に書きます。攻撃の手順は書きません。
- 不正なプログラムを仕込まれる・乗っ取られると、迷惑メールの踏み台、中身の書き換え、問い合わせ内容の盗み見、検索結果の警告、法律上の報告義務が一度に来ます。国内の Web サイト改ざんの報告は 2026年7〜9月で 603件、前の期の 3.3倍です。
- 「5年」の根拠は、2021年8月の時点で WordPress サイトの 99.1% が PHP 7.4 以下で動いていたこと、国内最大手のエックスサーバーが告知した初期値は 7.3 の次が 2025年7月の 8.3 で、WordPress 公式の推奨も 2025年7月まで「7.4 以上」だったこと、そして使っているサイトの PHP を、サーバー会社は自動では上げないことです。作ったまま触っていなければ、サポートの終わった 7.x が残ります。
- 上げる先は 8.3 以上です。壊れやすいのは WordPress 本体ではなく、古いプラグイン・テーマ・自作の改造部分で、バックアップ → 本体とプラグインの更新 → 複製で試す → 切り替え → 確認、の順に、いつでも戻せる状態で進めます。
不正プログラムを仕込まれた場合・乗っ取られた場合に起きうること
最初に、一番重いところから書きます。当社の調査報告書では「乗っ取られた場合に起きうること」を1章立てています。見た目が書き換えられるだけだと思われていることが多いからです。外から不正なプログラムを置かれる（仕込まれる）段階と、管理者の権限まで取られる（乗っ取られる）段階がありますが、起きうることは共通です。
これは想像で書いているのではありません。JPCERT/CC の最新の四半期レポート（10月22日公開）によると、2026年7〜9月の国内の Web サイト改ざんの報告は 603件で、前の期の 181件から 3.3倍に増えました。事例として、国内の複数の正規サイトに海外のオンラインカジノなどへのリンクを含む HTML が非表示で 5,000行以上埋め込まれた件と、国内の複数の通販サイトに購入画面かどうかを判定する JavaScript が埋め込まれ、クレジットカード情報などを盗む目的の可能性がある件が載っています。その前の 4〜6月には、正規サイトに偽のログインページと遠隔操作ツールが置かれ、ネットバンキングの認証情報を盗む電話詐欺の誘導先に使われた事例があります。どの事例も、原因が PHP の版だとは書かれていません。古いまま放っておかれたサイトで、いま国内で起きていることとして読んでください。
もう1つ、中小企業でも避けられないのが法律上の義務です。2022年4月1日から、不正の目的をもって行われた漏えい（不正アクセスなど）は、人数に関係なく、個人情報保護委員会への報告と本人への通知が義務になりました。期限は、速報が発覚からおおむね 3〜5日以内、確報が 60日以内（不正の目的による場合）です。問い合わせフォームに入力された氏名・電話番号・メールアドレスが盗まれた、という事態は、件数が少なくてもこの対象になり得ます。
サイバー攻撃の被害に遭うと、信用を失ったり、損害賠償を求められたり、事業の継続が困難になったりするおそれがあります。
IPA「情報セキュリティ6か条 解説編」2026年9月
IPA の「中小企業の情報セキュリティ対策ガイドライン」（2026年3月、第4.0版）の6か条の1番目は「OS やソフトウェアは常に最新の状態にしよう！」で、対策例に「サポートのある OS、ソフトウェア、ネットワーク機器を利用する」と書かれています。なぜ 5年以上前に作ったサイトが、この1番目に当てはまらない状態になりやすいのか。ここから仕組みの話です。
なぜ「5年以上前」なのか ── 作ったときの PHP が、そのまま残っている
この先は仕組みの言葉が増えるので、先に言い換えておきます。当社がお客様に出す調査報告書と同じ言い換えです。
| 言葉 | この記事での意味 |
|---|---|
| WordPress（ワードプレス） | ホームページを管理画面から更新できる仕組み |
| プラグイン | WordPress に機能を足す部品。問い合わせフォームもプラグインです。部品ごとに更新が必要です |
| PHP（ピーエイチピー） | サーバー側でホームページを動かしている土台の言語。WordPress もプラグインもこの上で動きます。7.4 や 8.3 のような版の番号があります |
| 脆弱性（ぜいじゃくせい）・不具合 | 開発元や公的な機関が公表している既知の問題。公表された不具合は、攻撃する側にも手順が知られている状態です |
| ログインなしで | 管理者の ID やパスワードを知らない第三者でも実行できる、という意味です |
WordPress サイトの PHP の版は、作ったときにサーバー会社が用意していた版で決まり、その後は誰かが切り替えない限り変わりません。当社が WordPress.org の公開データ（過去の値は保存版）と国内サーバー会社のお知らせを 10月25日に確認したところ、次のことが分かりました。
- 2021年8月の時点で、WordPress サイトの 99.1% が PHP 7.4 以下で動いていました（WordPress.org の集計。世界全体の数字で、8.x は 0.9%）。2021年10月より前に作ったサイトは、ほぼすべて 7.x で動き始めています。
- 国内最大手のエックスサーバーが告知した「新しいドメインの初期 PHP」は、2017年2月に 7.0、2018年6月に 7.2、2020年3月に 7.3。次に初期値の変更を告知したのは 2025年7月の 8.3 です。WordPress 公式の推奨環境も、2020年6月から 2025年7月までの約5年間「7.4 以上」のままでした。
- 使っているサイトの PHP は、どの大手も自動では上げません。エックスサーバーは「現在稼働中のサイトのPHPバージョンは自動変更されません」、ロリポップ！も「ご利用のPHPバージョンが自動で切り替わることはございません」と書いています。さくらインターネットは 2023年まで 7.3 → 7.4 のように 7 系の中では自動で上げていましたが、8 系へは上げていません。
- WordPress 本体も古いまま残りやすい。6.8 → 6.9 のような大きな更新が標準で自動になったのは、2020年12月の WordPress 5.6 以降に新しく入れたサイトだけです。しかも 5.5 以前の本体は PHP 8 で動かないので、本体を上げずに PHP だけを 8 系へ切り替えることもできません。
つまり、5年以上前に作って、契約が「作って終わり」で、サーバーの設定も触っていないサイトは、作ったときの 7.x のまま、本体も当時のまま、になりやすい。これが題の「5年」の根拠です。3〜4年前（2022〜2023年）のサイトも、エックスサーバーのマニュアルが 2023年9月まで 7.4 を「WordPress 推奨バージョン」と表示していたので 7.4 が中心で、8.0・8.1 も混じります。どれもサポートは終わっています。
ただし、作った年と PHP の版は一致しません。制作会社やサーバー会社が途中で切り替えている場合もあれば、去年作ったのに 7.4 で動いている場合もあります。作った年は「疑うきっかけ」で、答えはサーバーの管理画面か WordPress のサイトヘルスにあります。確かめ方は最後の「よくある質問」に書きました。
PHP 7.4 はいつ終わり、いまどれだけ残っているか
PHP のサポートには決まりがあります。新しい版が出てから2年は通常の修正、その後2年は重大なセキュリティ修正だけ、合計4年で終了です。終わった版について PHP 公式は、修正されていない脆弱性にさらされるおそれがあるので、できるだけ早く更新するように、と書いています。古いサイトに入っていそうな版の状態を並べます。
| PHP の版 | サポートの終了日 | いまの状態 |
|---|---|---|
| 7.0〜7.3 | 2019年1月〜2021年12月 | すべて終了。7年以上前に作ったサイトに残っていることがあります |
| 7.4 | 2022年11月28日 | 最後の版は 7.4.33。それ以降、公式の修正版は1つも出ていません |
| 8.0 | 2023年11月26日 | 最後の版は 8.0.30。修正なし |
| 8.1 | 2025年12月31日 | 最後の版は 8.1.34。修正なし |
| 8.2 | 2026年12月31日 | あと約2か月でサポートが終わります |
| 8.3 | 2027年12月31日 | サポート中。WordPress 公式の推奨は「8.3 以上」 |
| 8.4 | 2028年12月31日 | サポート中 |
| 8.5 | 2029年12月31日 | サポート中。最新 |
WordPress.org の集計を 10月25日に当社が取得したところ、PHP 7.4 で動く WordPress サイトは 15.21%、7.3 以下を合わせると 20.72%（約5サイトに1つ）、サポートの切れた 8.1 以下まで含めると 33.98%（約3サイトに1つ）でした。年末で切れる 8.2 は 23.29% です。8 系が 7.4 以下を上回ったのは 2024年の秋で、7.4 が終わってから2年近く、多数派は古い版のままでした。
php2shell で 7.4 に起きたこと ── 特例で守られた、次は分からない
10月21日の勧告で PHP 公式は、「PHP 8.1 以前はもう PHP プロジェクトから更新が出ない」と書いたうえで、重大さを踏まえて 7.4・8.0・8.1 向けに最小限のソース修正を例外として用意しました。国内のサーバー会社はこれや自社の修正を使って 7.4 にも手当てをし、エックスサーバーは「急いで PHP バージョンを変更いただく必要はございません」と案内しています。一方でロリポップ！は、修正を適用したうえで 8.2 以降への切り替えを利用者に求めました。その理由がそのまま、古い PHP を使い続けることの意味になっています。
この機会に、開発元のサポートが続いている新しいバージョンのPHP（8.2 以降）への切り替えをお願いいたします。今後見つかる脆弱性には、公式の修正が提供されない、または弊社での対応ができない可能性がございます。
ロリポップ！ 2026年10月22日のお知らせ
さらに 10月23日、PHP 公式は3件目の関連する脆弱性（CVE-2026-115560）を告知しました。影響する版は公式に示されておらず、7.4・8.0・8.1 への言及はありません。7.4 でこの3件目が起きるのか、7.4 向けの修正が出るのかは、10月25日の時点で分かりません。各社が手当てをしたので「7.4 だから今回やられる」とは言えません。言えるのは「今回は特別対応で守られた。次も同じとは限らない」ということです。
使い続けると起こること ── すぐ起きること、じわじわ起きること
最初に書いた被害は、ある日突然ではなく、順に悪くなった先で起きます。古い PHP のまま使い続けると何がどの順で起きるかを、時間の順に2段階で書きます。どの段階まで進んでいるかで、打つ手と急ぎ方が変わるからです。
すぐ起きること ── 赤い警告と、押せない更新ボタン
WordPress は、PHP の版を WordPress.org に問い合わせて判定しています。7.4 のサイトのダッシュボードには、「PHP の更新が必要です」という見出しの警告が出ます。本文はこうです。
このサイトは古いバージョンの PHP (7.4.33) を実行しています。このバージョンではセキュリティアップデートを受け取れず、また、まもなく WordPress でサポートされなくなります。サーバーの PHP をできるだけ早く更新してください。そうでないと、WordPress をアップグレードできなくなります。
WordPress 7.1 系 管理画面の公式日本語訳
「まもなくサポートされなくなります」は脅しではありません。WordPress 7.0・7.1 の本体のソースには、「最低要件を将来、少なくとも 8.0 に引き上げる」というコメント付きの判定が入っていて、8.0 未満なら必ず警告を出す作りです。公式の日程はまだなく、最新の 7.1 はまだ 7.4 で動きます。「打ち切った」のではなく「打ち切る予定がコードに書かれ、管理画面が警告を出している」が正確な状態です（7.2・7.3 は利用が 5% を下回ったところで、2026年5月の 7.0 で切られました）。
もう1つ、今日すでに起きていることがあります。プラグインが必要とする PHP の版がサーバーの PHP より高いと、更新ボタンが押せなくなります（「新バージョンの ○○ が利用可能ですが、お使いの PHP バージョンでは動作しません。」）。問い合わせフォームで有効インストール数が最大級の Contact Form 7（1,000万以上）は、2026年10月6日の 6.2 から PHP 8.3 以上と WordPress 7.1 以上が必要になりました。一つ前の 6.1.7 までは 7.4 で動いていたので、7.4 のサイトではここで止まります。
| プラグイン | 最新版が必要とする PHP | 有効インストール数 |
|---|---|---|
| Contact Form 7（問い合わせフォーム） | 8.3（6.2 以降。WordPress も 7.1 以上） | 1,000万以上 |
| MW WP Form（問い合わせフォーム） | 8.0 | 20万以上 |
| WooCommerce（通販） | 7.4 | 700万以上 |
| Yoast SEO | 7.4 | 1,000万以上 |
| Elementor（ページ作成） | 7.4 | 1,000万以上 |
| Site Kit by Google | 7.4 | 500万以上 |
| Wordfence（防御） | 7.0 | 500万以上 |
この「押せない」の重さは、数字で見ると分かります。Patchstack の集計では、2025年に WordPress 周りで見つかった脆弱性は 11,334件（前年比 42% 増）で、91% がプラグイン、本体はわずか 6件でした。よく狙われるものは公表から中央値 5時間で大量に悪用されています。WordPress サイトの安全はほぼプラグインの更新で決まり、古い PHP はその更新を止めます。
じわじわ起きること ── 直らない穴、止まる部品、サーバー会社の判断
次に、月や年の単位で進むことです。1つ目は、PHP 本体に見つかる不具合が直らないまま積み重なることです。当社が PHP 公式の変更履歴から数えたところ、7.4 の終了後に PHP 8 系で修正された脆弱性（CVE 番号付き）は、2023年1月から 2026年9月までで 60件を超えます。8.x の新しい機能にしかない不具合も含むので 7.4 に当てはまる数はこれより少ないのですが、7.4 向けの正式な修正版はこの間1つも出ていません。PHP の商用サポート会社 Zend が 7.4 も影響を受けると挙げる CVE-2024-4577（Windows 上の PHP-CGI）は、米 CISA の「悪用が確認された脆弱性の一覧」に 2024年6月に載りました。Windows でしか起きませんが、古い版には、実際に悪用された重大な穴が直らずに残るという例です。
2つ目は、作ったときに入れたプラグインの作者が、更新をやめることです。当社が WordPress.org の公開データから 10月25日に数えたところ、公開中のプラグイン 76,603件のうち 46.4% は 2年以上更新が出ていません（利用 10万サイト以上では 1.1%）。よく使われる部品は続いていますが、数年前に入れた小さな部品は、不具合が見つかっても直す人がいないことが珍しくありません。3つ目は、サイトの外側の変化です。
共用レンタルサーバーなら3つ目はサーバー会社の管理範囲ですが、1つ目と2つ目は利用者側に直接かかります。
さくらインターネットの方針のように「ある日サーバー会社の判断で PHP が自動で上がる」ことは起こり得ます。そのとき古いプラグインやテーマが動かなくなっても、試す時間も戻す選択肢もありません。自分で計画して上げれば、複製で試して、壊れる部品を先に見つけて、都合のよい日に切り替えられます。同じ「上げる」でも、自分で決めるか、決められるかの違いです。
危険度の目安 ── 作った時期から、自社のサイトを当てはめる
当社が中小企業のサイトを調べるときは、次のやり方で行います。報告書の冒頭に書いている「調べ方について」と同じです。
- 外から見える情報だけで調べます。通信の設定、証明書、ページに書かれている部品の版数、公開されている説明ファイルなどが材料です。
- サーバーの内部にログインしたり、攻撃を試したりはしません。そのため、内部に入らないと分からない点は「要確認」として報告します。
- PHP の版は外からは分かりません。WordPress 7.0 以降が動いていれば 7.4 以上、という下限までです。
そのうえで、危険度を「高・中・低」で付けます。PHP の版だけでなく何と組み合わさっているかで決めています。左の列が「だいたい何年前に作ったサイトか」の目安です。作った時期から入って、右の条件に当てはまる行を探してください。
| 作った時期の目安 | いまの状態（当てはまる条件） | 危険度（当社の目安） | 理由 |
|---|---|---|---|
| 7年以上前（2019年以前） 入っていそうな PHP: 7.0〜7.3 | PHP も WordPress 本体も作ったときのまま（本体 4.x〜5.2） | 高 | PHP にも本体にも修正が届きません。5.5 以前の本体は PHP 8 で動かないので、PHP だけを 8 系に上げることもできません |
| 5〜6年前（2020〜2021年） 入っていそうな PHP: 7.3〜7.4 | PHP 7.x ＋ 配布が停止した・更新が止まったプラグインがある ＋ 問い合わせフォームで氏名・電話・メールを受けている | 高 | 公表済みの不具合に修正が届きません。フォームの中身が盗まれると、人数に関係なく報告の対象になり得ます |
| 5〜6年前（2020〜2021年） | PHP 7.4 ＋ 本体・プラグインは最新。ただし問い合わせフォームが 7.4 で動く版のまま止まっている | 中 | いまは動きます。ただし「次の修正が届かない」状態がすでに始まっています |
| 3〜4年前（2022〜2023年） 入っていそうな PHP: 7.4 が中心、8.0・8.1 も | PHP 7.4・8.0・8.1 のどれか ＋ ログインなしで悪用できる不具合が公表された部品が未更新 | 高 | 3つとも公式の修正はありません。攻撃する側に手順が知られ、公表から時間が経つほど狙われやすくなります |
| 3〜4年前（2022〜2023年） | PHP 8.0・8.1 ＋ 本体・プラグインは最新 | 中 | 公式の修正はありません。php2shell では 7.4 と同じ扱いでした |
| 〜2年前（2024年末以降） 入っていそうな PHP: 8.2〜8.3 | PHP 8.2 ＋ 本体・プラグインは最新 | 低（年内に対応） | 2026年12月31日でサポートが終わります |
| 時期を問わず（2025年7月以降に作った、または途中で切り替えた） | PHP 8.3 以上 ＋ 本体・プラグインは最新 | 低 | 公式の修正が届きます。毎月の更新を続けることが条件です |
表のとおり、作った時期そのものより、「古い PHP ＋ 更新の止まった部品 ＋ 個人情報を受けるフォーム」の重なりで危険度が上がります。作った時期は当てはめの入口で、途中で切り替えていれば下の行に移ります。外から見て改ざんの形跡（検索サイト向けに隠されたページ、不審な転送）がなくても、危険度の高いものから順に対応することをおすすめしています。
8.x へ上げるときに気をつけること
何が壊れるかは、PHP 公式の移行ガイドにはっきり書かれています。壊れやすいのは WordPress 本体ではなく、古いプラグイン・テーマ・自作の改造部分で、5年以上前のサイトにはこの3つがそろっていることが多い。
- 削除された関数（create_function()、each()、money_format() など）を呼ぶと致命的エラーで画面が真っ白になる
- 数値と文字列の比較の変更。0 == “foo” が true から false になり、値をゆるく比べている古いコードで判定が変わる
- 多くの「警告」が「エラー」に格上げ（count() に数えられないものを渡す、など）
- 組み込み関数に null を渡す（strlen(null) など）。古いコードで大量に出やすい
- 宣言していないプロパティへの代入（動的プロパティ）
壊れる場所が分かっていれば、手順は決まります。当社が自社サイトを 8.3 へ切り替えるにあたって行った確認もこの型で、本番のデータベースを複製して 8.3 上で動かし、全ページの応答と本文を今の本番と突き合わせ、問い合わせフォームの送信・記事の保存・画像のアップロードまで試しました。PHP を上げたときに起きやすいのは、エラーは出ないのに表示が黙って変わる不具合で、ページを並べて比べないと見つかりません。
上げる先は 8.3 以上にしてください。8.2 は年内でサポートが終わるので、今から 8.2 に上げると年内にもう一度同じ作業になります。WordPress 公式の推奨も 8.3 以上です。
今後の運用 ── スポット対応と月額保守の2段階
入口を塞いだあとも、プラグインの不具合は毎月のように公表されます。そのため当社は、報告書の最後に次の2段階をおすすめしています。
| 段階 | すること | なぜ要るか |
|---|---|---|
| 1. 今回の対応（スポット） | 危険度の高いものから順に、更新・置き換え・設定の見直しを行い、PHP を 8.3 以上へ切り替えます。確認した日時・版・見た場所を1枚に残します。 | 入口を塞ぐ作業です。ここをやらないと、月額の保守を始めても最初の数か月は穴が開いたままになります |
| 2. 月額の保守 | 毎月の更新、更新前のバックアップ、稼働と改ざんの見守り、月次のご報告を続けます。 | 更新が止まると、数か月で今回と同じ状態に戻るからです |
「作って終わり」の契約では、更新を押す人も、警告を読む人もいません。5年以上前のサイトが古いまま残っているのは、たいていこの形が原因です。公開後に誰が何を見るか、緊急時に何時間以内に動くかを、保守の範囲として先に決めておきます。制作会社に頼む前に見ておく点は「福山でWEB制作を頼む前に」にまとめています。
参考にした一次情報
- PHP 公式: サポート終了の一覧 / サポート中の版 / 10月21日の勧告 / 10月23日の告知 / PHP 8 系の変更履歴 / 8.0 移行ガイド・8.1・8.2
- WordPress 公式: PHP の版の割合（元データ。過去の値は保存版） / 推奨環境（2020年6月・2025年7月の保存版） / PHP と WordPress の対応表 / 5.6 の自動更新の変更 / 7.2・7.3 終了の告知 / 7.0 の互換性 / 本体のソース
- プラグイン: Contact Form 7（readme）、各要件と最終更新日は WordPress.org の配布データ / Patchstack: State of WordPress Security in 2026
- 悪用・被害の実例: CISA KEV / Zend: PHP 7.4 の影響を受ける CVE / JPCERT/CC 四半期レポート 2026年7〜9月 / 同 4〜6月 / Google: ハッキングされたサイトの再審査 / Google: ハッキングの種類
- 法律上の義務と指針: 個人情報保護委員会: 報告・通知の義務化 / 同: 報告の期限 / IPA: 中小企業の情報セキュリティ対策ガイドライン 第4.0版 / IPA: 情報セキュリティ6か条 解説編
- サーバー会社: エックスサーバーの初期 PHP の告知（2017年 7.0・2018年 7.2・2020年 7.3・2025年 8.3） / 同: php2shell の対応 / 同: PHP のバージョンについて / ロリポップ！・同: 8.5 の提供開始 / さくらインターネット: PHP の提供方針・2020年の 7.3→7.4 自動変更（東京大学情報基盤センターの転載） / ConoHa WING
- 自社サーバー向け: Debian 11 の LTS 終了 / Ubuntu: CVE-2026-109618 / OpenSSL 1.1.1 の終了
よくある質問
自社サイトを作った時期と PHP の版、更新が止まっている部品の有無を、外から見える範囲で確かめるところから始められます。
