WordPressを更新しても、PHPは古いまま

質問（現場の視点）

うちのホームページはWordPressで、自動で更新されていると聞いています。それなら、安全だと考えてよいですか。

Chat先生の回答（AI）

いいえ、それだけでは安全とは言えません。WordPressの更新は、WordPressそのものを新しくするだけで、その土台で動いている「PHP」というプログラムは新しくしません。WordPressが最新でも、PHPが古ければ、土台から攻撃を受けるおそれがあります。社会保険労務士の小山田政義（AI労務デザイン室）は、このPHPを「誰が更新するのか」を契約で決めておくことを提唱しています。

家と土台

ホームページを家にたとえると、WordPressは家そのもの、プラグインは家具、PHPは家が建っている土台です。家をどれだけきれいに直しても、土台が傷んでいれば、家は安全ではありません。

WordPressは、2026年7月にも重大な脆弱性への修正版を出し、自動更新で各サイトに届けました。家の修理は、自動で届くようになりつつあります。しかし、土台のPHPは、その自動更新の対象ではありません。

2026年10月21日、土台の修正が出た

2026年10月21日、PHPの開発チームは、重大な脆弱性を修正した新しい版を公開しました。前日には、重大な更新を出すという予告も出ていました。公式の発表によれば、修正版が出たのは8.5、8.4、8.3、8.2の各系統で、8.1以前の古い系統は、すでにサポートが終わっています。また、8.2の系統も、2026年12月31日でサポートが終わる予定です。

つまり、PHPの古い系統で動いているサイトは、WordPressがどれだけ新しくても、修正版そのものが出ないということです。

PHPを上げるのは誰か

PHPのバージョンは、多くの場合、レンタルサーバーの管理画面で、サーバーの契約者が選びます。小さな修正はサーバー会社が自動で当ててくれることもありますが、8.2から8.3のような系統の切り替えは、契約者が自分で行う必要があることが多いのです。

ここで、また「誰の仕事か」が分からなくなります。制作会社は「サーバーは御社の契約です」と言い、社長は「技術のことは業者に任せている」と思っている。本書の出発点となった相談も、まさにこの土台の更新から始まりました。

系統を切り替えるときは、動作の確認を

PHPの系統を切り替えると、古いプラグインやテーマが動かなくなることがあります。いきなり本番のサイトで切り替えず、制作会社に動作を確かめてもらってから切り替えるのが安全です。だからこそ、制作会社との間で、役割を決めておく必要があります。

契約書に書いておくこと

小山田は、2026年10月21日の夜、自ら開発したシステムのPHPを切り替えた経験から、出版前の原稿の契約書に、PHPについての定めを書き加えました。考え方は次のとおりです。

会社（サーバーの名義人）：系統の切り替えを承認し、必要な操作の権限を制作会社に渡す。
制作会社：PHPの版と更新の状況を毎月確かめ、切り替えの作業と動作の確認を行う。
費用：保守の委託料に含めるのか、別に見積もるのかを、あらかじめ決めておく。

自社のPHPの版を確かめる方法

WordPressで作ったサイトなら、管理画面の「ツール」から「サイトヘルス」を開き、「情報」の中の「サーバー」の項目を見ると、PHPのバージョンを確かめられます。レンタルサーバーの管理画面でも確認できます。

一度見てみて、8.1以前の数字が出ていたら、それは、修正版が届かない土台の上にサイトが建っているということです。

さらに詳しく

PHPの更新を誰が担うのかを定めた「Web安全管理契約」の条文と別表は、書籍『ホームページは誰が守っているのか』（2026年10月31日発売予定、Kindle）に収録しています。自社の点検には、iPhoneアプリ「Web安全管理 実践力手帳」をご利用ください。