PHP のバージョンアップだけで大丈夫？上げたあとにやることと「いたちごっこ」の終わらせ方

PHP を修正版に上げれば、これからの PHP2Shell の攻撃は防げる。ただし、それまでに入り込まれていたら、上げただけでは何も直らない。PHP2Shell は修正版が出る前に内容が漏れていたので、上げたあとの確認が欠かせない。

更新で直ること・直らないこと

上げたあとにやること

1. 実際に動いている PHP の版を確かめる（修正版 8.5.12・8.4.27・8.3.36・8.2.35 以降か）
2. 見覚えのない管理者・ファイル・書き換えがないか確かめる
3. サーバー・データベース・FTP・管理画面のパスワードを変える
4. WordPress なら、wp-config.php の認証用の鍵（ソルト）を作り直す
5. 定期実行の処理（cron）に、知らない命令が足されていないか確かめる
6. Search Console の「セキュリティの問題」を確かめる

見落としやすい所

• 同じサーバーにある、別のドメインや使っていない古いサイト
• テスト用に作って、そのままのサイト
• 古い PHP の版を選んだままのドメイン
• 問い合わせフォームなど、一部だけ PHP で動いている所

バージョンアップは「いたちごっこ」

今回上げても、数年後にはまた上げる日が来る。新しい脆弱性は見つかり続け、どの版にも保守の期限があるからだ。

• 2024年には、PHP の脆弱性（CVE-2024-4577）を狙う攻撃について IPA が注意を呼びかけた
• 2026年10月の PHP2Shell は、修正版の公開前に内容が漏れ、急ぎの対応が必要になった
• これからも、同じように急ぎの対応が必要になる日は来る

無理なく付き合う方法

1. 年に1回、PHP の版を見直す日を決める（11月に新しい版が出るので、その後がよい）
2. テスト環境を残しておく。急ぎのときに、すぐ試せる
3. プラグインを減らす。少ないほど、上げるときに困らない
4. 知らせを受け取る。php.net・IPA・JPCERT/CC の注意喚起
5. 期限の1年前に動く。終わる直前は、サーバー会社も制作会社も混む
6. バックアップを、サーバーとは別の場所にも取っておく

PHP 8.2 は 2026年12月31日で保守が終わる。8.2 のままなら、年内に 8.4 か 8.5 へ移る。

いたちごっこを終わらせる方法

会社案内やブログのように、その場で動く仕組みが少ないサイトなら、PHP のいらない形にして Cloudflare などへ移せる。PHP がなければ、PHP の更新そのものが要らなくなる。くわしくは Cloudflare へのサーバー移行 にまとめた。

よくある質問

PHP を上げれば、もう安心ですか？

これからの攻撃は防げますが、それまでに入り込まれていた場合は残ります。
見覚えのない管理者やファイルがないか確かめ、パスワードも変えてください。

何も変わったところが見つかりません

それなら一安心です。
念のため、パスワードの変更とバックアップの取り直しはしておいてください。

一度上げたら、何年くらい大丈夫ですか？

版によって違います。
PHP 8.4 なら 2028年12月31日まで、8.5 なら 2029年12月31日まで公式の修正を受けられます。
ただし途中で新しい脆弱性が見つかれば、その都度更新が必要です。

毎回自分でやるのは無理です

保守を任せる先を決めておくのがおすすめです。
PHPチェッカーでも、移行や更新の相談を無料で受け付けています。

無料ツールPHP2Shell 脆弱性チェッカーPHP のバージョンとサーバー会社を選ぶだけで、危険度と今やることが分かります。

参考にした情報

• php.net（2026年10月21日のセキュリティ告知）
• php.net：Supported Versions
• php.net：Unsupported Branches
• php.net：付録（移行ガイド）
• IPA：PHPの脆弱性対策について（PHP2shell）
• サービス再開は修正版適用済みとは限らない（情報システム部のブログ）
• IPA：PHPの脆弱性（CVE-2024-4577）を狙う攻撃について