レンタルサーバーのPHP脆弱性対策｜バージョン確認と安全な更新手順

レンタルサーバーでWordPressを運営している場合、PHPの脆弱性（プログラムの安全性に関わる欠陥）は、サイトのセキュリティに直接関係します。

2026年10月21日には、PHPの重大な脆弱性2件に対応するセキュリティ更新が公開され、WordPress公式も早急な確認を呼びかけました。

ただし、レンタルサーバーを契約しているだけで、PHPの更新状況まで把握できているとは限りません。この記事では、現在のPHPバージョンの確認方法、サーバー会社への問い合わせ方、安全な更新手順を整理します。

レンタルサーバーのPHP脆弱性が心配なときに最初に確認すること

最初に必要なのは、PHPを無条件に変更することではありません。現在のバージョン、修正済みかどうか、更新の管理者を確認することが先決です。

2026年10月の重大脆弱性については、PHPの重大脆弱性2件とWordPressへの影響も関連情報として確認できます。

PHPの脆弱性とは？レンタルサーバーにどのような影響がある？

PHPは、WordPressをはじめとする多くのWebアプリケーションで使用されるプログラミング言語です。投稿内容の取得、データベースとの連携、ページの生成など、Webサイトの動的な処理に関係しています。

PHP自体に脆弱性が存在すると、攻撃者が特定の条件を悪用して、サーバー上で想定外の処理を実行するなどの危険が生じる場合があります。

PHPの脆弱性とWordPressの脆弱性は別の問題

WordPressの安全性には、複数のソフトウェアが関係しています。

• PHP：WordPressを動作させるプログラムの実行環境
• WordPress本体：サイト管理やコンテンツ表示を担当するシステム
• テーマ：サイトの表示や一部機能を担当するプログラム
• プラグイン：WordPressに追加する機能
• Webサーバー・OS：通信やシステムの実行基盤

これらは、それぞれ異なる更新・修正の対象です。WordPress本体を最新版にしても、サーバー上のPHPに残っている脆弱性が自動的に修正されるとは限りません。

逆に、PHPを更新しても、脆弱性のあるプラグインまで修正されるわけではありません。

2026年10月21日に公開された重大なPHPセキュリティ更新

PHPプロジェクトは2026年10月20日、CVSS v4.0（脆弱性の深刻度を評価する共通指標）で9.2と評価された重大な脆弱性2件に対応する更新を予告しました。

翌21日には修正版が公開され、WordPress公式も緊急告知を発表しています。

今回の問題はWordPress固有ではなく、PHPアプリケーションを動作させるサーバー全般に関係するものです。WordPress公式は、この問題に対応するためのWordPress本体の更新は予定していないと説明しています。

つまり、確認すべきなのはWordPress本体のバージョンだけでなく、サーバー上のPHPの修正状況です。

公式情報：WordPress.org「Critical PHP Security Release」

レンタルサーバーのPHPバージョンを確認する方法

WordPressを利用している場合は、管理画面から実際に使用されているPHPバージョンを確認できます。

WordPressのサイトヘルスで確認する

1. WordPressの管理画面にログインします。
2. 左側メニューから「ツール」を開きます。
3. 「サイトヘルス」を選択します。
4. 「情報」タブを開きます。
5. 「サーバー」の項目を展開します。
6. 表示されるPHPバージョンを確認します。

この操作は、WordPress公式が2026年10月のセキュリティ告知で案内している確認方法です。

PHPバージョンには「8.4.27」のような番号が表示されます。先頭の「8.4」は系列を、末尾の数字は同系列内の更新段階を表します。

「PHP 8.4を使っている」という情報だけでは、必要なセキュリティ修正が適用済みか判断できません。末尾まで含めたバージョン番号を記録してください。

レンタルサーバーの管理画面でも確認する

多くのレンタルサーバーでは、契約者向け管理画面からPHPの設定を確認できます。

管理画面の名称や配置は事業者ごとに異なりますが、PHP設定、PHPバージョン切替、Webサイト設定などに相当する項目を探します。

複数のドメインを運用している場合、ドメインごとにPHPの設定が異なることもあります。対象サイトに対応する設定を確認する必要があります。

ただし、管理画面に表示される選択肢が、そのままサーバー内部の修正適用状況を示しているとは限りません。

PHP 8.2・8.3・8.4・8.5のサポート期限

PHPには系列ごとにサポート期限が設定されています。PHP公式では、原則として最初の2年間を通常サポート、その後の2年間を重要なセキュリティ修正のサポート期間としています。

2026年10月23日時点のPHP公式情報は次のとおりです。

出典：PHP公式「Supported Versions」

PHP 8.1以前は、2026年10月時点でPHPプロジェクトによるセキュリティサポートが終了しています。ただし、OS提供元などが独自に修正を提供する場合があるため、バージョン番号だけで個々のサーバーの修正状況を完全に判断することはできません。

サポート期間内のPHPでも、必要な修正が適用されていなければ安全とはいえません。

また、PHP 8.2は2026年末にサポート終了を迎えるため、利用しているサイトでは新しい系列への移行計画も必要になります。

2026年10月21日の修正版を確認する

2026年10月21日付で公開されたPHPの修正版には、次のバージョンがあります。

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12

これらは、2026年10月21日のセキュリティ更新に対応する各系列のリリースです。

現在のPHPが同じ系列の古いバージョンであれば、修正版への更新が必要か確認してください。

ただし、レンタルサーバー事業者が独自の修正を適用している環境では、表示される番号だけで判断できない場合があります。

公式の配布情報：PHP公式ダウンロードページ

PHPの脆弱性はレンタルサーバー会社と利用者のどちらが対応する？

PHPの更新責任は、利用しているサーバーの提供形態や契約内容によって異なります。

共用レンタルサーバーの場合

共用レンタルサーバーでは、PHPの実行環境そのものを事業者が管理していることが一般的です。

利用者は管理画面でPHP系列を変更できても、内部のセキュリティ修正を直接適用できない場合があります。

そのため、今回のような重大な脆弱性では、サーバー会社が必要な修正を適用したかどうかを確認することが重要です。

PHPのバージョンを選択できることと、脆弱性の修正を管理できることは別の問題です。

VPS・専用サーバーの場合

VPS（仮想専用サーバー）や専用サーバーでは、利用者がOSやPHPを管理する契約もあります。

その場合は、OSのパッケージ管理機能などを通じてセキュリティ修正を適用する必要があります。

ただし、更新方法はOSの種類、PHPの導入方法、利用中のリポジトリ（ソフトウェアの配布元）によって異なります。

本番サーバーで環境を確認せずに更新コマンドを実行することは避けてください。

レンタルサーバーでPHPを安全に更新する手順

PHPの更新はセキュリティ上必要ですが、WordPressのテーマやプラグインとの互換性にも影響します。

更新前のバックアップ、互換性確認、更新後の動作確認を一連の作業として進めてください。

STEP1：WordPressとデータベースをバックアップする

最初に、現在のサイトを復旧できる状態にします。

• WordPressのファイル一式
• データベース
• アップロード済み画像などのメディア
• テーマとプラグインの設定
• 必要に応じてサーバー固有の設定

バックアップは取得しただけでなく、復元方法や保存場所も確認します。

復元可能なバックアップを確保せずに、本番サイトのPHPを変更することは避けてください。

サーバー会社が自動バックアップを提供している場合でも、対象ファイル、保存期間、復元可能な時点、復元費用などは契約内容によって異なります。

STEP2：テーマ・プラグインとPHPの互換性を確認する

次に、現在使用しているWordPress本体、テーマ、プラグインが、更新先のPHPに対応しているか確認します。

特に注意したいのは、長期間更新されていないテーマやプラグイン、独自開発したPHPコードです。

WordPress公式には、WordPress本体とPHP系列の互換性を整理した資料があります。

WordPress公式のPHP互換性一覧

ただし、WordPress本体が対応していても、導入しているすべてのプラグインまで動作保証されるわけではありません。

可能であれば、ステージング環境（本番サイトに影響を与えず変更を検証する複製環境）で更新後の動作を確認してください。

STEP3：レンタルサーバーのPHP更新方法を確認する

利用しているサーバー会社の公式マニュアルを確認し、対象ドメインのPHP設定画面を開きます。

PHPの変更操作や適用範囲は事業者によって異なるため、管理画面の名称を一律に断定することはできません。

一般的には、次の順番で確認します。

1. サーバー会社の公式管理画面にログインします。
2. 対象のドメインまたはWebサイトを選びます。
3. PHP設定に相当する項目を開きます。
4. 現在のPHP系列と利用可能な更新先を確認します。
5. 互換性の確認が取れた更新先を選び、事業者の手順に従って適用します。

なお、今回のように同一系列内のセキュリティ修正が必要な場合、利用者による系列切替ではなく、事業者側の更新作業で対応されることもあります。

WordPress公式も、利用中のサーバー会社に応じた更新方法を確認するよう案内しています。

WordPress公式のPHP更新ガイド

STEP4：更新後のサイト動作を確認する

PHP更新後は、トップページが表示されるだけで正常と判断せず、サイトの主要機能を確認してください。

• トップページと記事ページが表示されるか
• WordPress管理画面にログインできるか
• 記事編集や保存が正常に行えるか
• お問い合わせフォームが動作するか
• 検索機能や会員機能などが動作するか
• ECサイトの場合、商品表示や購入処理に問題がないか
• PHPエラーログに新しいエラーが出ていないか

アクセスの少ない時間帯に更新すると影響を抑えやすい場合がありますが、重要なのは更新後の検証を省略しないことです。

問題が発生した場合は、変更内容と発生時刻を記録し、サーバー会社の復旧手順に従ってください。

PHP更新後にWordPressでエラーが発生した場合の対処

PHPを更新すると、古いテーマやプラグイン、独自コードとの互換性問題が表面化することがあります。

エラーが発生したからといって、必ずしもPHP自体に不具合があるとは限りません。

画面が真っ白になる・重大なエラーが表示される

まず、サーバーのエラーログを確認し、エラーが発生しているファイルやプログラムを特定します。

PHPのエラーログに特定のプラグイン名やテーマのファイルが記録されていれば、互換性問題を調べる手がかりになります。

管理画面にアクセスできない場合でも、サーバーのファイル管理機能などから原因を調査できることがあります。

プラグインが原因と考えられる場合の関連手順は、WordPressプラグインをレンタルサーバーから削除する方法で扱っています。

ただし、原因が特定できていない段階で、プラグインやデータベースを削除しないでください。

PHPのバージョンを戻してもよい？

WordPress公式の更新ガイドでは、更新後に問題が発生した場合、以前のPHPバージョンへ戻すことやサーバー会社への相談を案内しています。

ただし、セキュリティ修正が適用されていない古いバージョンへ戻すと、脆弱性が再び残る可能性があります。

重大な脆弱性への対応中は、古い環境への恒久的な切り戻しを前提とせず、原因を特定して修正済み環境で動作させることを優先してください。

安全な復旧方法が確保できない場合は、サーバー会社や保守担当者に相談する必要があります。

PHPの修正状況が分からない場合はサーバー会社へ問い合わせる

共用レンタルサーバーでは、PHPの内部更新状況を利用者が直接確認できない場合があります。

その場合は、現在使用しているPHPの系列と、対象となるセキュリティ修正の適用状況を問い合わせます。

次の文面を利用すると、確認したい内容を具体的に伝えられます。

件名：PHPのセキュリティ更新状況について

お世話になっております。

現在利用しているレンタルサーバーについて、
2026年10月21日に公開されたPHPの重大な
セキュリティ更新への対応状況を確認したく、
お問い合わせいたしました。

以下についてご教示いただけますでしょうか。

1. 対象サーバーのPHPに必要な修正は適用済みでしょうか。
2. 現在のPHPバージョンと修正適用状況を確認する方法はありますか。
3. 利用者側でPHPの変更操作が必要でしょうか。
4. 更新が必要な場合、推奨される手順と注意点を教えてください。

よろしくお願いいたします。

サーバー会社が独自のセキュリティ修正を提供している場合は、単純なPHPバージョン番号だけでなく、対象脆弱性への対応状況を確認することが重要です。

PHPの脆弱性対策を考えたレンタルサーバーの選び方

レンタルサーバーを新規契約する場合や、現在のサービスから移行を検討する場合は、PHPの更新管理も比較項目に含めるとよいでしょう。

ただし、特定の事業者について最新の脆弱性対応状況を確認せず、安全性の順位を付けることはできません。

PHPの更新情報が分かりやすいか

重要なセキュリティ更新が発生した際に、事業者がどのような方法で利用者へ通知するのか確認します。

障害情報、メンテナンス情報、セキュリティ情報などが公開されているかは、判断材料の一つです。

サポート対象のPHP系列を利用できるか

PHP公式のサポート期間内にある系列を選べるか、更新先の提供予定が案内されているかを確認してください。

PHPの新しい系列が提供されていることだけでなく、同じ系列内のセキュリティ修正が適切に管理されることも重要です。

バックアップと復元方法が用意されているか

PHPの変更後に互換性問題が発生した場合、サイトを復旧できることが重要です。

バックアップの保存期間、取得対象、復元操作、追加料金の有無などを確認します。

また、ステージング環境を利用できれば、PHP更新前の検証に役立ちます。

サーバーの選択では、料金だけでなく、セキュリティ更新の運用と復旧手段を合わせて比較してください。

レンタルサーバーのPHP脆弱性に関するよくある質問

PHPを最新版にすれば脆弱性はすべて解消しますか？

いいえ。PHPの更新によって修正されるのは、その更新で対応したPHPの問題です。WordPress本体、テーマ、プラグイン、サーバー設定などに存在する別の問題まで解消するわけではありません。

レンタルサーバー会社が対応するなら利用者は何もしなくてよいですか？

必ずしもそうではありません。事業者がPHPの修正を適用していても、利用者側でPHP系列の切替が必要な場合や、古いPHPを選択したまま運用できる場合があります。契約しているサービスの管理範囲を確認してください。

PHP 8.2を使っていれば安全ですか？

PHP 8.2は2026年10月23日時点ではセキュリティサポート期間内ですが、それだけで安全とは断定できません。必要な修正の適用状況と、2026年12月31日のサポート終了に向けた移行計画を確認する必要があります。

PHPの更新だけでサイトが改ざんされていないと確認できますか？

いいえ。PHPを更新することと、すでに不正な変更が加えられていないか調査することは別です。不審なファイル、管理者アカウント、アクセスログなどに異常がある場合は、適切なセキュリティ調査が必要です。

まとめ｜PHPの脆弱性対策はバージョンと修正状況の確認から

レンタルサーバーでPHPの脆弱性に対応する際は、まずWordPressのサイトヘルスから現在のPHPバージョンを確認してください。

続いて、PHP公式のサポート期間とサーバー会社の更新情報を照合し、必要な修正が適用されているか調べます。

更新が必要な場合は、バックアップと互換性確認を行ったうえで、サーバー会社が案内する方法に従って作業します。

PHPの脆弱性対策では、バージョン番号だけで安心せず、修正の適用状況と更新後の動作まで確認することが大切です。

あわせて読みたい記事

次に知りたいことや、役立つ情報をまとめました。

【新着NEWS】最新ネット情報

PHP2Shellとは？PHPの重大な脆弱性とWordPressで今すぐ確認したい対策

PHP2Shellは、PHPを使用するWebサイトに影響する重大なセキュリティ問題です。WordPress利用者も無関係ではありませ…

記事を読む →

【WordPress】Web制作

【WordPress】新規や追加で独自ドメイン取得する手順(画像付き)｜レンタルサーバーでサイト作成する方法

「WordPress(ワードプレス)」レンタルサーバーで新規ドメインを取得するまでの手順を解説しています。実際にレンタルサーバーにロ…

記事を読む →

【WordPress】ドメイン取得・設定

【WordPress】独自ドメインとは？取得方法・費用・決め方を初心者向けに解説

WordPressを始めるときに必要となる独自ドメインについて、意味や種類、選び方、取得手順、料金までまとめました。.comと.jp…

記事を読む →

関連記事の一覧を見る →