サーバー会社から、「PHP」という言葉の入ったメールが届いた。WordPress の管理画面にも、PHP の更新をすすめる表示が出ている。でも、PHP が何なのか分からない。うっかり触って、ホームページが真っ白になったら仕事に差し支える——。
2026年10月には、PHP に重大な弱点（脆弱性）が見つかり、多くのサーバー会社から一斉にお知らせが出ました。PHP 8.2 も、2026年12月31日で安全のための修正が終わります。この記事では、届いたお知らせの見分け方と、WordPress のサイトでやることを、5つの手順と図でまとめました。むずかしい言葉は、できるだけ使いません。
この記事のポイント
- お知らせは、大きく3種類です。どれかによって、やることが変わります。
- 2026年10月の PHP の脆弱性（PHP2Shell）は、レンタルサーバーなら、サーバー会社が対策を済ませていることが多いです。まず、お知らせの文を確かめます。
- PHP 8.1 以前には、もう開発元の修正が出ません。PHP 8.2 も 2026年12月31日までです。WordPress は 8.3 以上をすすめています。
- 切り替える前にバックアップと更新。切り替えたら、お問い合わせフォームまで確かめます。おかしければ、前の版に戻します。
目次
PHP とは：ホームページを動かす「エンジン」
WordPress は、PHP（ピーエイチピー）というプログラムの言葉で作られています。だれかがページを開くたびに、サーバーの上で PHP が動いて、記事や写真を組み合わせたページを作っています。
図1 車にたとえると
届くお知らせは3種類。まず、どれかを見分けます
お知らせの件名や本文の言葉で、だいたい見分けられます。種類によって、やることが違います。
図2 お知らせの3つの種類と、やること
① 弱点（脆弱性）の緊急のお知らせ
「脆弱性」「CVE-」「安全対策」などの言葉が入っています。
やること：「お客様の作業は不要」「対策を実施しました」などと書かれているかを確かめます。レンタルサーバーは、サーバー会社が PHP を直していることが多いです。
② 古い PHP の終了・切り替えのお願い
「提供終了」「サポート終了」「バージョンの変更」などの言葉と、期限の日付が入っています。
やること：期限までに、新しい版（WordPress がすすめる 8.3 以上）へ切り替えます。手順は下にまとめました。
③ WordPress の画面の表示
管理画面の「サイトヘルス」などで、PHP の更新をすすめられます。
やること：今の版を確かめて、② と同じく切り替えを考えます。
なお、VPS や、ご自身で用意したサーバー（クラウドなど）を使っている場合は、① のお知らせでも、ご自身で PHP を修正版に更新する必要があります。
2026年10月の「PHP2Shell」で起きたこと
2026年10月21日（日本時間の夜）、PHP の開発元は、2件の重大な弱点を直した新しい版（8.5.12・8.4.27・8.3.36・8.2.35）を出しました。悪用されると、外からサーバーの上でプログラムを動かされるおそれがあるもので、この2件の組み合わせは「PHP2Shell」と呼ばれています（IPA＝情報処理推進機構の注意喚起）。
この弱点は PHP そのものにあるため、WordPress やプラグインを更新しても直りません。直すには PHP を更新します。レンタルサーバーでは、サーバー会社が PHP を更新することが多いです（対応は会社によって違うため、契約先の案内を確かめてください）。たとえばエックスサーバーは、レンタルサーバーで提供しているすべての版に、10月26日までに対策を済ませたと案内しています。あわせて、今回の脆弱性への対策としては、PHP の版を急いで変える必要はないとも案内しています（2026年11月2日版）。同じエックスサーバーでも、VPS は利用者が修正版に更新します。
ただし、PHP 8.1 以前には、開発元の修正が出ません。IPA も、8.1 以前を使っている場合は、サポートの続いている PHP への更新や、対策済みの製品・サービスへの移行を考えるよう呼びかけています。サーバー会社が古い版に独自の対策を入れていても、この先に見つかる弱点への開発元の修正は出ません。
PHP の版と、安全のための修正が続く期限
PHP の版ごとに、開発元が安全のための修正を出す期限が決まっています。期限を過ぎた版には、新しい弱点が見つかっても修正が出ません。
図3 PHP の版ごとの期限（開発元の発表・2026年11月時点）
今（2026年11月） あと少しで終わる版 終わった版 （PHP 8.0 以前も、すでに終わっています）
2026年11月の時点で、開発元の修正が出るのは 8.2・8.3・8.4・8.5 です。8.2 は 2026年12月31日で終わるので、いま 8.2 以前を使っているなら、8.3 以上へ切り替える準備をおすすめします。WordPress も、8.3 以上をすすめています（WordPress.org の「要件」のページ）。
どの版にするかは、お使いのテーマとプラグインが対応しているかで決めます。テーマやプラグインの説明のページに、対応している PHP の版が書かれていることが多いです。
WordPress でやる5つのこと（ご自身で切り替える場合）
お知らせが ② か ③ だったときの流れです。順番に進めれば、おかしくなっても前の状態に戻しやすくなります。
図4 5つの手順
- 1種類を見分けるお知らせが3種類のどれか
- 2今の版を確かめるサイトヘルスか、サーバーの画面で
- 3準備するバックアップと更新
- 4切り替えるサーバーの画面で、ドメインごとに
- 5確かめるフォームまで動かしてみる
1. お知らせの種類を見分ける
上の3種類のどれかを確かめます。① だけで、「お客様の作業は不要」と書かれているなら、お知らせの案内どおりで足ります。② か ③ なら、次へ進みます。
2. 今の PHP の版を確かめる
WordPress の管理画面で「ツール」→「サイトヘルス」→「情報」を開き、「サーバー」の欄を見ます。サーバーの管理画面でも確かめられます（エックスサーバーなら、サーバーパネルの「PHP Ver.切替」）。ドメインごとに違う版になっていることがあるので、ホームページのドメインの欄を見てください。
図5 版を確かめる2つの場所（見取り図）
WordPress の管理画面：ツール → サイトヘルス → 情報 → サーバー
サーバーの管理画面：ドメインを選んで、PHP のバージョンの画面へ
3. 切り替える前の準備（バックアップと更新）
- バックアップ：サーバー会社の自動バックアップがあるか、何日前まで戻せるか、戻し方を確かめます。あわせて、手元にも控えを取っておくと安心です。
- 更新：WordPress 本体・テーマ・プラグインを、新しい版にしておきます。古いプラグインが、新しい PHP で動かないことがあるためです。更新の作業でも表示が崩れることがあるので、バックアップを確かめてから1つずつ更新し、そのつど画面を確かめてください。
- 整理：使っていないプラグインは、止めて（無効化して）おきます。
- 時間帯：お問い合わせや予約が少ない時間に行います。
4. サーバーの管理画面で切り替える
サーバーの管理画面で、ホームページのドメインを選び、新しい版を選んで切り替えます（エックスサーバーなら「PHP Ver.切替」）。サーバー会社によっては、切り替えが終わるまで数分かかることがあります。サーバーの画面と、WordPress のサイトヘルスで、新しい版になったことを確かめてから、次の確かめに進みます。
5. 表示と動きを確かめる
- トップページと、よく見られるページ（料金・会社案内など）が、いつもどおり出るか
- お問い合わせフォームが出るか。試しに送って、届くか
- 管理画面にログインできるか。記事を保存できるか
トップページが出ていても、ほかのページの一部や、お問い合わせフォームだけが出なくなることがあります。フォームは、送って届くところまで確かめてください。
作業するときの注意
- サーバーの中のファイルを、直接書き換えないでください。
- 表示がおかしくなっても、プラグインを慌てて削除しないでください。削除すると、設定が消えることがあります。止めるときは「無効化」にとどめます。
- パスワードや管理画面の情報を、メールや SNS に書かないでください。
表示がおかしくなったら：前の版に戻す
切り替えたあとに表示や動きがおかしくなっても、多くの場合、同じ画面から前の版に戻せます。流れは次のとおりです。
図6 おかしくなったら、前の版へ
「このサイトで重大なエラーが発生しました」と出たり、画面が真っ白になったりしたら、慌てずに、サーバーの管理画面で切り替える前の版に戻します。エックスサーバーのお知らせ（PHP 8.3 導入のお知らせ）にも、切り替えたあとにウェブサイトが正常に動作しなくなった場合は、切り替える前の版に戻すよう書かれています。
戻して表示が直ったら、原因になりそうなテーマやプラグインを確かめてから、もう一度試します。WordPress から、管理者のメールあてに、原因の手がかりが書かれたメールが届くこともあります。
自分でやる？ 任せる？ 引っ越す？
ここまで読んで、「自分でできそう」「やっぱり任せたい」「そもそも WordPress をやめたい」と、考えが分かれると思います。目的に合わせて、次をご覧ください。
図7 目的別の分かれ道
保守の内容と料金を見る
引っ越しの流れ・日数・費用の目安を見る
LINE で相談する
よくある質問
Q. お知らせを放っておくと、どうなりますか？
すぐにホームページが止まるとは限りません。ただ、安全のための修正が終わった PHP は、新しい弱点が見つかっても直らないまま使い続けることになります。IPA（情報処理推進機構）も、サポートの終わった PHP を使っている場合は、サポートの続いている PHP への更新や移行を考えるよう呼びかけています。
Q. 脆弱性のお知らせが来たら、すぐに PHP の版を変えないといけませんか？
レンタルサーバーで、サーバー会社が対策を済ませている場合は、急いで版を変える必要はないと案内している会社もあります（例：エックスサーバー）。まず、お知らせの文を確かめてください。VPS や、ご自身で用意したサーバーを使っている場合は、ご自身で PHP を修正版に更新する必要があります。
Q. どの版にすればいいですか？
WordPress は、PHP 8.3 以上をすすめています。2026年11月の時点で開発元の修正が続いているのは 8.2・8.3・8.4・8.5 で、8.2 は 2026年12月31日までです。お使いのテーマとプラグインが対応している版を確かめてから選んでください。
Q. WordPress やプラグインを更新すれば、PHP の脆弱性も直りますか？
直りません。PHP の弱点は PHP そのものにあるため、直すには PHP を更新します。レンタルサーバーでは、サーバー会社が PHP を更新することが多いです（会社によって違うため、契約先の案内を確かめてください）。どの版を使うかを選ぶのは、利用者です。
Q. 切り替えたら、表示がおかしくなりました。
サーバーの管理画面で、切り替える前の版に戻してください。戻して表示が直ったら、原因になりそうなテーマやプラグインを確かめてから、もう一度試します。戻しても直らないときは、バックアップから戻すか、ご相談ください。
Q. 熊本以外のホームページでも、相談できますか？
はい。LINE とお問い合わせフォームで、県外からのご相談も承ります。
まとめ
- お知らせは3種類。① はレンタルサーバーならサーバー会社が直すことが多い話、② と ③ はご自身が切り替える話です。
- PHP 8.2 は 2026年12月31日まで。8.1 以前には修正が出ません。WordPress は 8.3 以上をすすめています。
- 切り替える前にバックアップと更新。切り替えたら、フォームまで確かめます。おかしければ、前の版に戻します。
当社も、自社のホームページで、WordPress を新しい PHP の版で動かす作業や、EmDash への引っ越しをしてきました。お知らせを見て迷ったら、気軽にご相談ください。
次に読むページ（目的別）
- 更新を任せたい方：保守（メンテナンス契約）の内容と料金
- WordPress をやめたい方：WordPress から EmDash・microCMS への引っ越しの目安
- 引っ越しの前に検索のことを確かめたい方：移行前の SEO 点検の実例
- 今のホームページを第三者に見てほしい方：ホームページ診断（33,000円〈税込〉）
出典（2026年11月12日に確認）
書いた人：AI右腕（実務AI設計室・株式会社アンドクレア／熊本）。確かめた日：2026年11月12日。