「PHP対策済み」と報告した方へ｜8.2は年末サポート終了

サーバー会社から「PHPの脆弱性への対策は完了しました」と連絡があり、社内にも対応済みと報告した。ただ、自社のWordPressサイトは、まだPHP 8.1や8.2のまま。

「追加の更新は必要なのか」「制作会社にどこまで依頼すべきか」「今期の予算で対応する必要があるのか」と、判断が止まっていないでしょうか。

制作会社に確認したものの、「サーバー会社の対応待ちです」と言われたまま、次の連絡時期が分からない。対応済みとの説明はあっても、何を確認したのかが見えず、社内への報告に迷っている。そうした方もいらっしゃるかもしれません。

今回の脆弱性について

2026年10月21日、PHPの深刻度「Critical」の脆弱性2件について、同日23時（日本時間）に修正版が公開される予定であることが、IPAから案内されました。国家サイバー統括室は修正パッチの速やかな適用を呼びかけ、すぐに適用できない場合はウェブサイトの一時停止も有効な手段の一つと案内しています。同日夜には高市早苗首相も、自身のXで同様の対応を呼びかけました。

出典：IPAの事前準備の案内／国家サイバー統括室の注意喚起／高市早苗首相のX投稿（2026年10月21日）

この呼びかけは、今回の修正パッチの適用についてのものです。一方、この記事で扱う「PHPのサポート期限に向けた更新」は、今回の対策が完了した後も残る別の課題です。

企業サイトでは、今回の脆弱性への対策と、今後も保守できる環境を整えることを分けて考える必要があります。問い合わせや予約、採用応募を受け付けているサイトなら、更新後もそれらの機能が使えることまで確認が必要です。

プラスシーブイでは今回、サーバー環境やPHPのバージョンが異なるクライアントサイトについて、各社の公式告知を確認し、状況に応じたPHPの切り替えや一時閉鎖などを進めました。その中で実感したのは、「サーバー会社が対応した」という情報だけでは、個別サイトの次の判断まで決められないということです。

PHP 8.2の公式セキュリティサポートは2026年12月31日に終了し、8.1以下はすでに終了しています。

この記事では、企業のWeb・広報・マーケティング担当者に向けて、現在の対応状況の整理から、制作会社への依頼範囲、見積もり、実施時期の決め方までを解説します。

「今回の対策」と「今後の更新計画」は別です

まず、自社サイトについて次の3点を確認してください。

サーバー側で修正パッチが適用されていても、個別のWordPressサイトにあるテーマやプラグイン、独自機能まで確認されたとは限りません。担当範囲は契約によっても異なります。

また、古いPHPに今回の修正パッチが適用されたことと、そのPHP系列への公式サポートが継続していることは別です。

社内には、「今回の脆弱性へのサーバー側の対策は確認済み。サイトの動作確認と、サポート期限に向けた更新計画は別途進める」と分けて報告すると、対応状況を正確に共有できます。

自社サイトのPHPバージョンを確認する方法

WordPressの管理画面にログインし、「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開くと、「PHPバージョン」が表示されます。管理画面に入れない場合は、サーバー会社の管理パネルや、制作会社・保守担当者に確認してください。

なお、表示されるバージョン番号だけでは、サーバー会社独自の修正パッチの適用状況まで判断できない場合があります。今回の対策状況は、契約サービスの公式告知とあわせて確認してください。

3点のうち、確認先や回答が分からない項目がある場合は、ご相談ください。現在のPHPバージョンとサイトで使っている機能をお知らせいただければ、確認すべき点と進め方の目安をお伝えします。

PHP更新のご相談フォームへ

PHP 8.2は2026年末にサポート終了。8.1以下はすでに終了しています

PHPには、開発元によるサポート期限があります。

期限が来た瞬間にサイトが動かなくなるわけではありません。問題は、新たな脆弱性が見つかった際、その系列への公式な修正提供が終了することです。

PHPの公式サポート期限早見表

情報確認日：2026年10月30日

アクティブサポートでは通常の不具合修正も行われ、その後のセキュリティサポートでは重大なセキュリティ問題への対応が行われます。上表はPHP公式の期限であり、サーバー会社などが独自に提供する保守とは異なります。

出典：PHP公式のサポート一覧／終了済み系列の一覧

「今回の対策済み」「今は問題なく動いている」という状態でも、サポート終了済み、または終了が近いPHPを使い、更新日程が未定なら、運用上の黄色信号です。

PHP 8.2をお使いなら、残りは約2か月です

企業サイトでは、予算の承認、制作会社の工数確保、社内での動作確認に時間がかかります。12月は年末年始の休業や、制作会社の繁忙期も重なる場合があります。年内に移行する場合の進め方の一例は次のとおりです。

1. 11月中：現状調査と見積もり、社内の予算承認
2. 12月上旬：テスト環境での更新・動作検証、必要な修正
3. 12月中旬：本番切り替えと、問い合わせ・予約などの動作確認
4. 年末年始の休業前：変更内容と残る課題の報告

実際の日程は、サイトの構成や修正量によって変わります。期限直前ではなく、検証や修正に使える時間を残して相談することが大切です。

更新先は、サーバーが提供するPHPの中から、サポートの残存期間とサイトの互換性を確認して決めます。新しい系列を候補にしつつ、実際に使用しているテーマやプラグインで検証することが必要です。

今回の対応から学んだ、古いPHPを使い続ける際の注意点

今回、複数のサーバー会社の告知を確認すると、PHPの系列や契約プランによって、対応範囲や進め方が異なっていました。

新しい系列から旧系列へ、対応を広げた事例

エックスサーバーは、修正版の公開後、PHP 8.2〜8.5から順次修正を適用し、その後、公式サポートが終了した旧系列にも対応を広げたと説明しています。PHP 5.1〜8.5のすべての対象サーバーへの対応完了は、2026年10月26日6時20分です。

旧系列まで幅広く対応した点は、利用企業にとって心強い対応です。ただし、すべてのサーバー会社・契約プランで、同じ範囲・同じ速さの対応を受けられるとは限りません。

これは「常に最新版から厳密な順番で修正される」と示すものではありません。企業担当者が押さえたいのは、公式サポートがある系列への修正と、終了した系列への独自対応を、同じ前提で考えないことです。

参考：エックスサーバーの対応告知
公式告知の確認日：2026年10月30日

古い環境では、サイト側の修正が残る場合も

今回は、古いPHP環境でバージョンアップが必要になり、更新後の表示や動作にエラーが生じた場合は、利用者側でプログラムを修正するよう案内された事例もありました。

サーバー側の対策が終わっても、個別サイトの調整まで完了するとは限りません。「サーバー会社が対応するから待つ」という判断だけでは、その後に必要な作業を見落とす可能性があります。

参考：旧PHP環境の更新と利用者側の対応に関する公式告知
公式告知の確認日：2026年10月30日

平時にサポート中のPHPで動く状態を整えておけば、緊急時に大幅なバージョン変更や互換性の修正から始める負担を減らせます。

対応を待っている間も、確認すべきことがあります

サーバー会社によって、対策の対象範囲や完了時期、告知の更新頻度には違いがありました。プラスシーブイでも、公式情報だけでは対応完了を確認できない段階で、サイトの公開を続けるか、一時的に停止するかを検討する場面がありました。

対応に時間がかかることと、対応状況が分からないことは別です。検証やサーバー側の作業待ちなど、すぐに完了できない理由がある場合もあります。

制作会社・保守担当者から「対応待ち」と説明された場合は、次の3点を確認しましょう。

• 何を待っているのか：サーバー側の修正、サイト側の検証、作業日程の確保など
• 待っている間はどうするのか：現在の対策状況と、公開継続・一時停止などの判断
• 次はいつ確認・報告するのか：再確認の予定と、その結果を共有する相手

作業の完了を待つ間も、暫定的な対応と再開前の確認事項を決めておくことが重要です。理由と次の予定が共有されていれば、企業担当者も社内に状況を説明しやすくなります。

現在の制作会社・保守担当者から説明を受けたものの、内容が妥当か判断できない場合は、第三者の立場で確認します。説明の内容や見積書をお送りいただければ、追加で確認すべき点を整理してお伝えします。現在の制作会社との継続を前提にしたご相談も歓迎です。

PHP更新のご相談フォームへ

制作会社への依頼は「PHPの切り替え」だけで十分でしょうか

管理画面でPHPを切り替える操作自体は、短時間で終わる場合があります。

しかし、企業サイトで必要なのは、切り替え後も業務に必要な機能が使える状態にすることです。WordPress本体に加え、テーマ・プラグイン・独自コードとの互換性を確認する必要があります。

WordPress公式のPHP更新ガイドでも、更新前のバックアップや、WordPress本体・テーマ・プラグインの更新確認などが案内されています。

見積もりを依頼する際は、次の範囲を確認しましょう。

「PHP更新一式」という見積もりでも、含まれる作業は会社によって異なります。既存の保守契約がある場合も、サーバー設定の変更までなのか、テーマやプラグインの修正まで含むのかを確認しておくと、追加費用や担当範囲の認識違いを防げます。

動作確認では、問い合わせ・予約・採用応募を優先する

PHP更新後にトップページが表示されても、それだけで確認完了にはできません。

企業サイトでは、問い合わせや予約、採用応募などの受付が止まると、営業や採用の機会に影響します。制作会社には、サイトの役割と、止められない機能を事前に伝えてください。

例えば、次のような確認が必要です。

• 問い合わせ・資料請求：フォーム送信、担当部署への通知、自動返信
• 予約・申込：入力から受付完了までの流れ、外部サービスとの連携
• 採用応募：応募情報の送信、添付ファイル、採用担当者への通知
• 情報発信：記事の編集・公開、画像のアップロード
• 会員機能：ログイン、会員情報の表示・更新

フォームでは、送信完了の画面を見るだけでなく、担当部署にメールが届くところまで確認します。

技術的な検証は制作会社が担っても、「どの部署が、何に使っている機能か」は自社で共有する必要があります。制作会社と社内担当者の両方で確認範囲を決めることが、見落としの防止につながります。

PHP更新の見積もりは、金額と「含まれる作業」をセットで確認する

PHP更新の費用は、「8.3なら安く、8.5なら高い」と一律に決まるものではありません。費用を左右するのは、現在の構成と更新先の環境で、どこまで検証・修正が必要になるかです。

特に、独自開発したテーマや機能、更新が止まっているプラグイン、予約・会員機能、外部サービスとの連携がある場合は、事前調査が重要になります。夜間作業や停止時間の制約、サーバー移転の有無によっても、必要な作業は変わります。

見積もりは、次の3つに分けて確認すると判断しやすくなります。

1. 調査・検証：何を調べ、どの機能まで確認するか
2. 必要な修正：どこまで含まれ、追加費用はどの時点で決まるか
3. 本番反映・確認：切り替え、復旧準備、動作確認、報告まで含むか

調査前に修正量を確定できない場合は、まず調査範囲と費用を決め、その結果をもとに追加作業を判断する進め方もあります。見積もりを比較するときも、金額だけでなく、確認範囲と不具合が起きた場合の対応をそろえて比較することが大切です。

サーバー移転が近い場合は、二重の作業コストを避ける計画に

近くサーバー移転やリニューアルを予定しているなら、PHP更新の時期も合わせて検討します。

現在のサーバーで更新と調整を行った直後に移転すると、移転先でも環境差の確認や調整が必要になります。

その場合は、移転先に現在のWordPressを複製し、そこでPHPの更新・検証・必要な修正を行ってから、本番を切り替える方法があります。更新と移転の検証をまとめることで、作業の重複を減らせます。

プラスシーブイでも今回、サーバー移転を予定しているご相談先とこの進め方で合意し、これから実施する段階です。

ただし、移転予定があるからといって、現在必要な対策を先送りすることはできません。現環境の対策状況を確認し、必要な公開停止やアクセス制限などを維持したうえで、実施時期を決めます。

緊急時の対応を早めるには、技術面と社内体制の両方を整える

英国の国家サイバーセキュリティセンター（NCSC）は、AIによって脆弱性の調査・悪用が効率化され、公表から悪用までの時間がさらに短くなる可能性を評価しています。

これは、今回のPHP脆弱性の悪用にAIが使われたと示すものではありません。ただ、企業側が対応に使える時間が短くなり得ることは、運用を考えるうえで重要です。

出典：NCSC：2027年までのサイバー脅威に対するAIの影響評価

問題が発覚してから依頼先や承認者を探すと、技術的には対応可能でも、着手までに時間がかかります。

保守担当者、緊急時の連絡先、作業費用の承認者、公開停止・再公開の判断者を、平時に整理しておきましょう。サポート中のPHPで動く環境と、作業を依頼できる体制をそろえることが、対応の遅れを減らします。

よくある質問

Q. サーバー会社が対策済みなら、サイト側は何もしなくてよいですか？

今回の脆弱性へのサーバー側の対策と、サイトの動作確認・サポート期限に向けた更新は別です。PHP 8.2以下をお使いの場合は、更新計画を立てる必要があります。

Q. PHPを更新すると、サイトは止まりますか？

切り替え自体は短時間で終わる場合が多いですが、テーマやプラグインが新しいPHPに対応していないと、表示崩れやエラーが起きることがあります。テスト環境で検証してから本番を切り替えれば、停止のリスクを抑えられます。

Q. 費用はどのくらいかかりますか？

サイトの構成と、必要な修正の量によって大きく変わります。まず現状調査で作業範囲を整理し、そのうえで見積もりを出す進め方が、想定外の追加費用を減らすうえでも有効です。

Q. 今の制作会社に依頼したまま、相談だけすることはできますか？

できます。説明内容や見積もりの確認、追加で確認すべき点の整理だけのご相談も承ります。

自社サイトに必要な対応から、ご相談ください

「今回の対策済み」と確認できたら、次は自社サイトの更新計画を決める段階です。

プラスシーブイは、企業のデジタルマーケティングやブランディングを支援しています。Webサイトについても、集客から問い合わせ・申込につながる導線まで、事業上の役割を踏まえて改善・運用をお手伝いしています。

今回のPHP対応でも重視しているのは、バージョン番号の更新だけでなく、問い合わせや予約などの機能を維持し、今後の運用予定に合った進め方を整えることです。

• 「PHPは古いままだが、何から確認すればよいか分からない」
• 「今の制作会社から説明を受けたが、対応内容や今後の進め方を第三者にも確認したい」
• 「サーバー移転に合わせて、二重の作業コストを避けたい」

このような段階からご相談いただけます。PHP更新や一時的な公開停止など、今回必要な対応に絞ったご相談も可能です。

ご相談の対象

企業・医療機関・学校・店舗など、事業でお使いのWordPressサイトが対象です（個人で運営するブログなどは対象外です）。

ご相談の進め方

1. 無料相談フォームでいただいた情報をもとに、確認すべき点と進め方の目安、事前調査が必要かどうかをお伝えします。この段階で、サイトの安全性を判定することはありません。
2. 事前調査・お見積もり詳細な調査が必要な場合は、調査内容と費用を事前にご案内し、ご了承いただいてから着手します。PHP・WordPress・テーマ・プラグイン・独自機能などを確認し、更新先や必要な作業範囲、更新作業のお見積もりをご提示します。
3. 更新作業作業内容・費用・日程に合意したうえで、検証、必要な修正、本番切り替え、動作確認、報告を行います。

ご相談時に分かる範囲でお知らせください

お問い合わせフォームの相談項目で「PHP更新のご相談」を選び、お問い合わせ内容にサイトURLと、現在お困りのことをご記入ください。

以下の情報もわかる範囲でお知らせいただけると、ご案内がスムーズになります。

• 現在のPHPバージョン、またはサーバー会社名
• サイトで使っている機能（問い合わせ・予約・EC・採用応募・会員など）
• 現在の保守体制（制作会社との保守契約の有無など）
• ご希望の時期や、サーバー移転・リニューアルの予定
• 制作会社から受けている説明や、ご不安な点

PHPのバージョンや契約内容がわからなくても、ご相談いただけます。ご予算や具体的な依頼範囲が決まっていない段階でも構いません。

お問い合わせには、原則3営業日以内にご返信します。作業の実施時期は、サイトの状況と必要な対応を確認したうえでご案内します。

企業サイトのPHP更新について相談する

プラスシーブイの事業内容や会社情報については、会社概要をご覧ください。