古いPHPで、
何が起きる？
サイトは動いている。
でも、PHPは古いまま？
PHPは、WordPressなどをサーバー上で動かすプログラムです。画面が普段どおり表示されても、サポートが切れていれば、PHP公式からの修正は届きません。
保守で見つかる例 · 実際の検出結果ではありません
PHP 7.4公式サポート終了
見た目の崩れがなくても、更新計画が必要な状態。
困るのは、表示の古さではなく、事業への被害です。
古いPHPの欠陥が攻撃に使われると、サーバー上のデータや処理に手を加えられるおそれがあります。影響は欠陥の種類・設定・権限で異なりますが、例えば次のような被害につながり得ます。
- お客様の情報を持ち出される
- 侵入された範囲にある顧客情報や接続情報を読まれ、調査・お客様への連絡・再発防止が必要になることがあります。
- 自社サイトが、偽サイトの入口になる
- ページやリンクを書き換えられると、訪れた人を偽の決済画面などへ誘導され、会社の信用にも影響します。
- 営業が止まる・他社への攻撃に使われる
- 改ざんの調査や復旧のために受付・販売を止める場合があります。サーバーが他の組織を攻撃する中継点として悪用されることもあります。
実際に起きた例：IPAは2024年、PHPの脆弱性「CVE-2024-4577」を悪用し、国内の複数組織のサーバーへ外部から操作する不正なプログラムが設置された事例を公表しています。特定の環境で成立する脆弱性で、すべてのPHP環境が同じ攻撃を受けるという意味ではありません。IPAの被害報告を読む
まず確認したいのは、サポートが終わった系統。
PHP 5系・7系・8.0・8.1は、PHP公式のサポートが終了しています。新たな問題が見つかっても、終了した系統には公式の修正が届きません。8系というだけで安心せず、小数点以下の番号まで確認します。
| PHP | 現在の状態 | 最終期限 |
|---|---|---|
| 5.6 | 終了 | 2018-12-31 |
| 7.4 | 終了 | 2022-11-28 |
| 8.0 | 終了 | 2023-11-26 |
| 8.1 | 終了 | 2025-12-31 |
| 8.2 | セキュリティ修正のみ | 2026-12-31 |
| 8.3 | セキュリティ修正のみ | 2027-12-31 |
| 8.4 | 通常サポート中 | 2028-12-31 |
| 8.5 | 通常サポート中 | 2029-12-31 |
終了した5系・7系は、それぞれ最後の系統を代表として掲載しています。「終了」は更新計画が必要な目安で、侵入済みという診断ではありません。通常サポートとセキュリティ修正期間は異なります。サポート中でも同じ系統の最新修正版へ更新が必要です。ホスティング会社などの延長保守は、提供範囲と期限を別途確認します。
弊社が更新時に確認すること
CMSや追加機能の対応が切れると、必要な更新を入れられなくなる場合もあります。PHPだけを急に切り替えず、サイト全体の互換性を確認します。
- 構成を確認する。ホスティングの管理画面で実際に使うPHP・CMS・追加機能を確認。確認用の詳細情報ページを一般公開しない。
- 戻せる状態をつくる。ファイルとデータベースのバックアップ、復元方法、作業日時を用意する。
- 検証用の環境で試す。対応するサポート中のバージョンを選び、ログイン・フォーム・購入・通知を確認。決済はテストモードで行う。
- 切り替えた後も見る。本番反映後の表示・処理・エラーを確認。問題があれば用意した復旧手順で戻す。
根拠：PHP公式：サポート中のバージョン ／ 終了済みバージョン ／ 更新の重要性。更新手順は、これらを踏まえた当サイトの運用上の考え方です。