トップ ／ コラム ／ 更新期限の案内

PHPのバージョンを上げられないとき何を確認し、どう判断し、誰に頼むか

2026年10月21日の夜、PHPというプログラムに重大な不具合が見つかり、修正版が公開されました。ウェブサイトやシステムの多くがPHPで動いているため、国内でも多くのサービスが緊急のメンテナンスに入りました。

翌朝、事務局のご担当者が「サイトのPHPを上げてください」と言われて、上げられなかった。あるいは、どこを見ればいいのか分からなかった。この記事はそういう方のために書いています。

技術的な解説はしません。何を確認し、どう判断し、誰に何を頼めばいいかだけを書きます。この記事は2026年10月22日時点の情報にもとづいています。

起きていることを、短く

PHPに2件の深刻な不具合が見つかりました。外部から、ログインもせずに、サーバー上で任意のプログラムを動かされる恐れがあるものです。深刻度はCVSS v4.0で9.2。10点満点に近い数字です。

修正版は2026年10月21日に公開されました。

PHP公式は「更新だけが完全な解決策です」と書いています。設定を変えて被害の可能性を下げる方法も案内されていますが、公式自身が「これらは特定の攻撃経路への露出を減らすだけで、インストールを安全にするものではない」と明記しています。

まず、自分のサイトが何で動いているかを調べる

ここが抜けたまま慌てている事務局が多いところです。

WordPressをお使いの場合。管理画面にログインして、左のメニューから「ツール」、「サイトヘルス」と進み、上部の「情報」タブを開きます。「サーバー」の欄に「PHPのバージョン」という行があり、そこに数字が出ています。

WordPress以外の場合。制作を依頼した会社か、サーバーの契約先に聞くのが確実です。契約書やサーバーの管理画面に手がかりがあります。

そもそもPHPを使っていない場合もあります。Wixで作ったサイトは、公式のサポート記事にWixのサイトへPHPのコードを追加することはできないと書かれています。利用者側で行う作業はありません。ただし、別途ご自身でサーバーを借りてシステムを動かしている場合は、そちらが対象になります。

「9月に上げたばかり」は、対象外という意味ではありません

ここで取り違えが起きます。

PHPの前回のリリースは2026年9月24日で、8.5.11、8.4.26、8.3.35、8.2.34でした。今回の修正版は、そのさらに1つ上です。

9月に更新した記録が残っていても、それは今回の修正を含んでいません。数字を最後まで見てください。8.4.26と8.4.27は別物です。

上げられない理由は、3つのどれかです

「上げられない」と一言で言っても、中身が違います。打ち手も変わるので、まずどれなのかを見分けてください。

以下、それぞれについて書きます。

サーバー会社がまだ用意していない場合

2026年10月22日の時点で、国内の主要なレンタルサーバー各社が修正版を提供したと告知していることは確認できませんでした。公開から半日しか経っていないので、これから順次出てくるはずです。

いま事務局にできるのは次の3つです。

1. 契約しているサーバー会社のお知らせページを毎日見る。「PHP」「セキュリティ」で探します
2. 管理画面のPHPバージョン選択画面を開いて、選べる番号を確認する。「8.4.27」のようにパッチ番号まで表示される会社と、「8.4.x」とだけ表示される会社があります。後者の場合、中身が修正済みかどうかは番号だけでは分かりません
3. 分からなければ、サーバー会社に直接聞く。これが一番早いです

契約プランによっては、そもそも切り替えられません。たとえばお名前.comの一部の旧プランは、サポートページに「バージョン変更には対応しておりません」と明記されていて、PHP 5.5.38で固定されています。この場合はプランの移行か、サーバーの引っ越しが必要です。

システムが新しいPHPで動かない場合

ここがいちばん重い話です。

PHPは、新しい系列に上がるときに古い書き方が使えなくなります。5系や7系の前提で書かれたシステムは、8系に上げると動かなくなることがあります。会員管理、申込受付、集計。事務局の業務が止まります。

切り替えて画面が真っ白になったら、すぐ元に戻してください。そのうえで、次の3点を整理します。

• どこまで上げれば動くのか。8.2では動くが8.4では動かない、ということがあります
• 動かないのはシステム全体なのか、一部の機能だけなのか
• 修正にどれくらいかかるのか

ここは作った会社に見てもらう必要があります。連絡が取れるなら、この3点を聞いてください。

そして、避けて通れない話をひとつ。PHP 8.1のサポートは2025年12月31日に終わっています。今回あわてて確認して「8.1でした」と分かった組織は、1年前からすでに修正の届かない状態で動いていたことになります。今回の件がなければ、気づかないままでした。

さらに、PHP 8.2のセキュリティサポートは2026年12月31日に終わります。いま8.2.35に上げても、2か月後に同じことが起きます。上げるなら8.3以上を見てください。

誰に頼めばいいか分からない場合

今回いちばん多いのが、おそらくこれです。作った会社が連絡先を変えていた。担当者が辞めていた。そもそも何年も連絡を取っていない。管理画面のIDとパスワードが引き継がれていない。

まず、手元にあるものを探してください。

• 契約書。保守の条項があるかどうか。年額の保守費を払い続けているなら、今日連絡する先があります
• 納品時の資料。サーバーの情報や管理画面のURLが書かれていることがあります
• 請求書。サーバー代をどこに払っているかで、契約先が分かります
• ドメインの登録情報。管理している会社が分かります

保守契約がないまま何年も動いている場合、今日連絡する先はありません。これは今回に限った話ではなく、次に何かあったときも同じです。

今日のうちに、7行だけ書き留めておくことをおすすめします。サーバーの契約先、契約プラン名、PHPのバージョン、管理画面のURL、サイトを作った会社、保守契約があるかどうか、今日連絡が取れたかどうか。これがあるだけで、次は半日早く動けます。

設定の変更と、止めるという判断について

PHP公式は、すぐに更新できない場合の設定変更をいくつか案内しています。ただし、これらはすべてサーバー側の設定ファイルを直接書き換えるもので、レンタルサーバーの管理画面から事務局のご担当者が安全に行えるものではありません。公式も、アプリケーション側から上書きできない形で設定すること、設定後はすべてのPHPワーカーを再起動することと書いています。再起動は共用サーバーでは利用者が行えません。

ここは触らないでください。サーバー会社か、システムを作った会社に任せる範囲です。

修正が間に合わないとき、サイトを一時的に止めるという判断があります。実際、国内の多くのサービスが10月21日の夜から停止しました。報道によれば、内閣総理大臣も10月21日の夜にSNSで、パッチの適用がすぐに難しい場合にはウェブサイトを一時的に止めることもリスクを下げる手段のひとつだと述べています。

ただし、これは公的機関が正式な文書で推奨しているものではありません。IPAが2026年10月21日に出しているのは「事前準備のお願い」で、PHPの利用状況の棚卸しと、修正版公開後に速やかに適用できる準備を求める内容です。この記事を書いている2026年10月22日の時点で、JPCERT/CCと国家サイバー統括室からPHPに関する注意喚起は確認できませんでした。

止めるかどうかは事務局の判断です。判断の材料は、そのサイトで何を受け付けているかだと思います。会費の決済、個人情報を含む申込フォーム、会員の名簿。これらが動いているサイトと、案内を載せているだけのサイトでは、止めることの意味が違います。

よくあるご質問