「WordPressは最新にしたのに、PHPも更新してほしいと言われた」。サイト運営で戸惑いやすい点ですが、この2つは別のソフトウェアです。

WordPressは記事やページを管理する仕組みで、PHPはサーバー上でWordPressのプログラムを動かすための土台です。WordPressの更新完了だけでは、PHPの更新まで終わったとは限りません。 サイトの制作や保守を外注している場合も、誰がどこまで対応する契約かを確認することが大切です。WordPress公式のPHP更新ガイド

この記事では、自社サイトを担当する非技術職の方向けに、更新の違い、依頼先、作業前後に確認することを整理します。特定の脆弱性への緊急対応では、対象製品の最新の注意喚起も併せて確認してください。

WordPress・PHP・サーバーは、役割が違う

サイトの構成は、大きく次のように分けて考えると整理しやすくなります。

  • WordPress本体： 記事の管理や公開など、サイトの基本機能を担います。
  • テーマ・プラグイン： デザイン、フォーム、予約、決済などの機能を追加します。
  • PHP： WordPressや追加機能のプログラムをサーバー上で実行します。
  • サーバーの基盤： OSやWebサーバーなど、PHPやサイトを動かす環境です。

Webサイト・CMS、その下で動くPHP、サーバーの3層構造。CMSを更新してもPHPには別の更新が必要であることを示す概念図

図では、上段がサイト・CMS、中段がPHP、下段がサーバーの基盤です。実際の構成を簡略化しています。それぞれの更新を別に管理する必要があり、上段を更新しただけで、下の層まで自動的に更新されるとは限りません。

そのため、「サイトは最新です」と報告を受けたら、WordPress、テーマ・プラグイン、PHPのどこまでを指すのか確認しましょう。

PHPは誰が更新する？ 契約サービスと保守範囲で確かめる

依頼先は、サイトの見た目ではなく、サーバーの契約と保守の分担で決まります。

レンタルサーバーで運営している場合

まずサーバー会社の公式案内と管理画面を確認します。会社側がPHPを更新する場合もあれば、利用者がドメインごとに利用するPHPを切り替える場合もあります。制作会社に保守を頼んでいるなら、切り替え作業や動作確認が契約に含まれるかを確認します。

VPS・クラウドなどを自社や開発会社で管理している場合

OSやPHPの更新を誰が担当するか、運用契約を確認します。サーバーを借りているだけで、中のソフトウェアまで自動で保守されるとは限りません。例えばエックスサーバーのPHP2Shell対応では、レンタルサーバーは同社が修正した一方、VPSは利用者側での対応と分かれていました。同社のサービス別案内

サービス型のサイト作成ツールなどを使っている場合

利用者がPHPを直接更新できるとは限りません。自社で変更する前提にせず、サービス提供元の保守範囲とセキュリティのお知らせを確認します。

事業者側で決めておきたいのは、「作業する人」「動作を確認する人」「サイトの一時停止などを判断する人」です。すべてを同じ会社が担う必要はありませんが、担当が不明のままだと緊急時に対応が止まります。

いま使っているPHPの版を確認する

WordPressでは、管理画面の「ツール」から「サイトヘルス」を開き、「情報」の中にある「サーバー」でPHPのバージョンを確認できます。権限によって見られない場合は、管理者や保守会社に確認してください。WordPress公式の確認方法

ただし、この番号は判断材料の一つです。

  • サイトごとに確認する。 同じ会社のサイトでも、ドメインや設置場所によってPHPの設定が違う場合があります。
  • 脆弱性への対応は、番号と提供元の案内を照合する。 修正部分だけを適用した環境では、古く見える番号でも、その脆弱性の修正が済んでいる場合があります。
  • 「サポート中」と「今回の脆弱性を修正済み」は別に確認する。 サポート中の系列でも、必要な修正版がまだ反映されていないことがあります。

サーバーの詳しい設定情報をインターネットに公開して調べてもらう必要はありません。確認に必要な情報は、契約している保守担当者と適切な窓口で共有しましょう。

「すぐ切り替える前」に決めること

PHPの版を変えると、古いテーマ、プラグイン、独自プログラムが動かなくなることがあります。WordPress公式も、バックアップ、各ソフトウェアの更新、互換性の確認を案内しています。WordPress公式の事前準備

事業者としては、次の内容を担当者と確認しておくと、作業の完了を判断しやすくなります。

  1. 対象と更新先。 どのサイトの、どのPHPを、どの版・パッケージへ変更するか。
  2. バックアップと復旧方法。 ファイルだけでなくデータベースも含むか。問題が起きたとき、誰がどう復旧するか。
  3. 確認する機能。 トップページの表示だけでなく、売上や問い合わせに関わる機能を挙げる。
  4. 作業時間と影響。 サイト停止や注文受付への影響があるか。誰が利用者向けの案内を判断するか。
  5. 問題が出た場合の連絡先。 制作会社とサーバー会社のどちらに、どの情報を伝えるか。

検証用の環境があるなら、本番への適用前に確認する方法を相談します。ただし、緊急の脆弱性対応を通常の改修と同じ日程で先延ばしにしてよいわけではありません。確認に時間がかかる場合は、その間のアクセス制限なども担当者と決めます。

更新後は「表示できた」で終わらせない

以下は、サイトの目的に合わせて使う動作確認の例です。すべてのサイトで同じ確認が必要という意味ではありません。

  • 問い合わせサイト： 入力、送信完了、受付メール、担当者への通知。
  • ECサイト： 商品選択、カート、注文確定までの流れ、注文通知。
  • 会員・予約サイト： ログイン、会員情報の表示、予約、変更・キャンセル。
  • 運用担当者向け： 管理画面へのログイン、記事更新、画像アップロード。

決済や予約の確認は、テスト環境や検証用の手順を使い、実際の請求や予約が意図せず発生しないようにします。メールや外部サービスとの連携も、受信側まで含めて確認できると安心です。

技術担当者からは、更新後に実際に使われているPHP、必要な再起動の完了、エラーの有無も報告してもらいます。報告を残すときは、対象URL、適用日時、確認した機能、残っている課題が分かる形にしましょう。

動かなくなったら、古いPHPに戻して放置しない

更新後に不具合が起きたとき、復旧のため一時的に設定を戻す判断が必要になる場合があります。ただし、脆弱性のある状態へ戻すと、解消しようとした危険も戻ります。

保守担当者と、問題のあるテーマやプラグインの修正・置き換え、機能の一時停止、公開範囲の制限などを検討し、再度安全な環境へ移す期限を決めてください。通常の復旧作業と、侵害が疑われる場合の調査は別です。不審な改ざんなどがある場合は、証拠を保全したうえで調査を進めます。JPCERT/CCのPHP2Shell注意喚起

次回の更新に備えて、サポート終了日も確認する

PHPは、同じ系列が無期限に更新されるわけではありません。2026年11月7日時点のPHP公式予定では、PHP 8.2のセキュリティサポートは2026年12月31日に終了します。8.3は2027年末、8.4は2028年末、8.5は2029年末です。PHP公式のサポート期間

一度の脆弱性対応が終わっても、古い版を使い続けられる保証にはなりません。新しい版への移行は、対応しているテーマ・プラグインやサーバーの提供状況を確認して計画しましょう。

まず確認したいのは、自社サイトのPHPを誰が管理し、更新後の動作まで誰が確認するのかです。その分担が分かれば、緊急のお知らせが届いたときにも、必要な相手へ具体的に依頼できます。

情報確認日：2026年11月7日。管理画面の表示やサポート期間は変わることがあるため、作業時は公式の最新案内を確認してください。