PHP（WordPressを動かしているプログラミング言語）が古いままのサイトは、いま更新を急ぐ理由があります。 2026年10月21日、PHPの開発元が「認証なしで外部からプログラムを実行されうる」重大な脆弱性を公表し、修正版を出しました。PHP 8.1以前は、開発元による修正の対象外です。 この記事では、自分のサイトのPHPの版の確かめ方と、古いWordPressを壊さずに上げる順番を整理します。
2026年10月に公表されたPHPの脆弱性とは？
PHPの開発元が、すべての利用者に「すぐ更新を」と呼びかける重大な脆弱性（プログラムの弱点）を公表しました。 内容は、2026年10月22日にPHP公式サイトのセキュリティ勧告の原文（英語）で確認したものです。以下の要約は当社によります。
CVE-2026-109618 と CVE-2026-109619。ログインなどの認証なしで、外部からサーバー上のプログラムを実行されうる種類の弱点です
PHP-FPM・Apacheのmod_php・php-cgiなど、Webのリクエストを処理するPHPが対象。mod_phpでは、WordPressのプログラムが動く前に攻撃が成立する例が示されています
修正版は 8.5.12／8.4.27／8.3.36／8.2.35。勧告は「完全な回避策はなく、更新だけが安全」としています
ポイント: PHP 8.1以前は、開発元からの更新がありません。 重大性を考えて 7.4・8.0・8.1 向けに最小限の修正のソースが公開されましたが、これは自分でPHPを組み立てる人向けのものです。レンタルサーバーを使っている一般的なサイトでは、サポートが続いている版へ上げることが現実的な対策になります。
各版のサポート期限は次のとおりです（2026年10月22日にPHP公式のサポート状況と終了済みの一覧で確認）。
| PHPの版 | 開発元のサポート | この記事時点の状況 |
|---|---|---|
| 7.4 | 2022年11月28日に終了 | 終了から約4年。今回の脆弱性も修正の対象外 |
| 8.0／8.1 | 終了済み | 今回の脆弱性も修正の対象外 |
| 8.2 | セキュリティ修正のみ・2026年12月31日まで | 今回は修正版あり。年内で終了 |
| 8.3 | 2027年12月31日まで | 修正版あり |
| 8.4 | 2028年12月31日まで | 修正版あり |
| 8.5 | 2029年12月31日まで | 修正版あり |
8.2を使っている場合も、年内に8.3以降へ上げる計画が要ります。 いま上げるなら、8.4か8.5を選ぶと次の更新まで余裕が持てます。
自分のサイトのPHPは何版か、どう確かめるのか？
WordPressの管理画面か、レンタルサーバーの管理画面で確認できます。 どちらか一方で分かれば十分です。
| 確かめる場所 | 手順 | 注意点 |
|---|---|---|
| WordPressの管理画面 | 「ツール」→「サイトヘルス」→「情報」タブ →「サーバー」を開く | サイトヘルスはWordPress 5.2以降の機能。それより古い版には画面がない |
| レンタルサーバーの管理画面 | 「PHPバージョン設定」などの名前の画面 | ドメインごとに設定できるサーバーが多い。確認したいサイトのドメインを選ぶ |
| 保守を頼んでいる会社 | 版と、次にいつ上げる予定かを聞く | 答えが返ってこない場合は、保守が実際には止まっている可能性がある |
ポイント: サイトヘルスの画面がない＝WordPress本体が2019年より前の版のままということです。その場合はPHPだけでなく、本体も長く更新されていません。次の章の順番で、本体から上げていく必要があります。
PHPを上げると、なぜ「重大なエラー」で止まるのか？
古いテーマやプラグインの書き方が、新しいPHPで使えなくなっているからです。 PHPは版が上がるたびに、古い命令の削除や、書き方の決まりの厳格化を行っています。何年も前に作られたテーマやプラグインは、その変化についていけず、新しいPHPに切り替えた瞬間に動かなくなります。
このとき画面に出るのが「このサイトで重大なエラーが発生しました」という表示です。WordPressがエラーを検知して、それ以上の表示を止めている状態です。
テーマを長く更新していないと、新しいPHPに対応していないことがある。テーマを最新版にしたら表示が戻った、というのが典型的なパターン
制作会社がテーマを部分的に書き換えるために入れた「子テーマ」や、functions.php への追加コード。親テーマを更新しても、ここは古いまま残る
更新が止まったプラグインや、配布が終わったプラグイン。代わりのプラグインへの入れ替えが必要になることもある
ポイント: 管理画面にはログインできるのに、表のページだけが止まる場合は、テーマ側が原因の可能性が高いです。逆に管理画面まで止まる場合は、プラグインかWordPress本体側を先に疑います。
古いWordPressは、どの順で上げればいいのか？
「今のPHPのまま中身を新しくしてから、最後にPHPを上げる」順番が安全です。 いきなりPHPを上げると、どこが原因で止まったのか切り分けられません。WordPress本体は、PHP 7.4以上で動く作りになっています（2026年10月22日にWordPressの動作環境のページで確認。推奨はPHP 8.3以上）。
- バックアップを取る — ファイルとデータベースの両方。復元できることまで確かめたものだけをバックアップと呼ぶ
- ステージング環境（本番の複製）を用意する — 本番のサイトはいじらない。レンタルサーバーの「ステージング」機能や、別のサブドメインに複製して試す
- 今のPHPのまま、WordPress本体を上げる — 今のPHPが7.4以上なら、本体の最新版はそのまま動くので、ここは先に済ませられることが多い。7.4より古い場合は、本体とPHPを段階的に上げる
- プラグインを1つずつ上げる — まとめて上げると、壊れたときにどれが原因か分からなくなる。更新が止まっているものは代わりを探す
- テーマを上げる — 子テーマがある場合は、ここで見た目が崩れやすい（次の章）
- PHPを上げる — 止まったら、エラーの記録（エラーログ）から原因のファイルを特定して直す
- 全ページを確認してから、本番に同じ手順を当てる — お問い合わせフォームの送信まで試しておく
ポイント: 本体の更新は、手順そのものは WordPressのアップデート — 壊さない手順と戻し方 で詳しく扱っています。PHPを上げる前の準備として、あわせてご覧ください。
テーマを上げたら見た目が崩れた。どうするか？
多くの場合、テーマ本体ではなく「子テーマ」と「追加CSS」の直しで元に近づけられます。 テーマは大きな版の変更で、ページを組み立てる部品（HTMLの構造）が作り変わることがあります。子テーマや追加CSSは、古い部品の形を前提に書かれているため、親テーマを上げると指定が当たらなくなり、レイアウトが崩れます。
| 崩れ方 | よくある原因 | 直し方の方向 |
|---|---|---|
| 色・余白・文字の大きさが変わった | 追加CSSが新しい部品の名前に当たっていない | 新しい構造に合わせて、CSSの指定先を書き直す |
| ヘッダーやフッターの形が変わった | 子テーマが古いテンプレート（header.php など）を丸ごと上書きしている | 新しいテンプレートをもとに作り直す。量が多いと工数が増える |
| 表示されない部品がある | 古い版にしかない機能や、配布が終わったプラグインに頼っていた | 新しい版の機能や、別のプラグインに置き換える |
崩れたからといって、テーマやPHPを古い版に戻したままにするのはおすすめしません。 一時的に戻すのは構いませんが、今回のように重大な脆弱性が出たとき、手の打ちようがなくなります。見た目の調整は、ステージング環境で時間をかけて直せます。
すぐに上げられない場合は、どうするか？
まずはサーバー会社とバックアップの状況を確認し、上げる日程を決めてください。 PHPの開発元は、すぐ更新できない場合の設定変更（メモリの上限や、ファイル受け取りの上限の調整など）も示しています。ただし勧告自身が「これで安全になるわけではない」と明記しています。また、こうした設定の多くはサーバー全体の設定で、レンタルサーバーの利用者が自分で変えられる範囲ではありません。
- サーバー会社のお知らせを確認する — サーバー会社によっては、サーバー側のPHPを修正版へ入れ替える対応を行う。ただしサイトに開発元の修正がない古い版（7.4など）を選んでいると、その対応の対象にならない場合がある
- 今すぐ使えるバックアップがあるか確かめる — 改ざんに気づいたとき、戻す先があるかどうかで被害の大きさが変わる
- 上げる日程を決める — 8.1以前なら今月中、8.2なら年内が目安。ステージングでの確認期間を逆算して決める
ポイント: 長く更新されていなかったサイトは、すでに侵入されていて、気づいていないだけという可能性もあります。見慣れないファイルや管理者ユーザーがある、検索結果に覚えのないページが出る、といった兆候があれば、更新より先に WordPressが乗っ取られたときの復旧手順 を確認してください。
まとめ
- 2026年10月21日、PHPに認証なしで遠隔からプログラムを実行されうる重大な脆弱性が公表された。修正版は 8.5.12／8.4.27／8.3.36／8.2.35
- PHP 8.1以前は開発元の修正の対象外。 8.2も2026年12月31日でサポートが終わる
- 版の確認は、WordPressの「ツール」→「サイトヘルス」か、レンタルサーバーの管理画面で
- 「重大なエラー」で止まる原因は、古いテーマ・子テーマ・プラグインであることが多い
- 上げる順番は、バックアップ → ステージング → 本体 → プラグイン → テーマ → PHP → 本番
- 見た目が崩れても、古い版に戻したままにせず、子テーマと追加CSSを新しい構造に合わせて直す
JIT株式会社では、古いPHPやWordPressのまま止まっているサイトの更新と、その後の保守を月額でお引き受けしています。制作した会社と連絡が取れないサイト、テーマを上げたら表示が崩れたサイトからのご相談も承ります。まず現状を確認したい場合は サイト診断、更新と保守をまとめて任せたい場合は WordPress保守・セキュリティ対応 をご覧ください。相談は無料です。