PHPバージョンアップの方法と費用｜影響・注意点と安全な手順【2026年版】
- 保守管理・運用
最終更新日：2026年10月22日
PHPバージョンアップは、現在の環境と互換性を調べ、復元できるバックアップを用意し、検証環境で動作を確かめてから本番を切り替えるのが基本です。サーバーの設定変更だけで完了するケースもあれば、古いプログラムの修正が必要なケースもあります。費用と期間は「切り替え作業」だけでなく、調査・改修・テストをどこまで含むかで変わります。
特に2026年10月21日には、PHPの重大な脆弱性「php2shell」が公表されました。サポート期限まで余裕があっても、修正版が適用されていなければ対応が必要です。まずホスティング事業者や保守担当者に、利用環境の影響と修正状況を確認してください。
この記事では、企業のホームページ担当者に向け、PHPを更新する理由、WordPressや独自システムへの影響、安全な手順、トラブル時の切り戻し、外注費用の考え方を整理します。最初に押さえたい判断は次の3つです。
| 現在の状況 | 最初に行うこと | 費用・日程を左右する点 |
| サーバーから更新の案内が届いた | 対象サイト・現在版・変更期限を確認 | 互換性調査と事前テストの範囲 |
| 独自フォームや古いシステムがある | ソース・依存ライブラリ・仕様を調査 | プログラムの修正量と業務機能の数 |
| 重大な脆弱性への対応が必要 | 事業者に影響と修正版の提供状況を確認 | 緊急対応と中長期の移行を分けた計画 |
ホームページの保守・管理にお困りではありませんか？
ファーストネットジャパンでは、1998年の創業以来、4,000件を超える実績で培った知見をもとに、ホームページの更新・保守・セキュリティ対応から、他社で制作されたサイトの引き継ぎ・乗り換えまで総合的にサポートします。
連絡が取れない、放置してしまっているサイトのご相談も承ります。まずはお気軽にお問い合わせください。
PHPバージョンアップとは？必要な理由と放置するリスク
WordPressの更新とPHPの更新は別の作業
PHPは、WordPressやWebシステムをサーバー側で動かすために使われるプログラミング言語です。PHPバージョンアップは、その実行環境を新しい版へ更新することを指します。管理画面で記事を編集する作業や、WordPress本体を更新する作業とは対象が異なります。
たとえばWordPress本体が更新済みでも、サーバーで古いPHPが動いている可能性があります。反対に、PHPだけ新しくしても、非対応のテーマやプラグインが自動で修正されるわけではありません。PHP、CMS本体、テーマ、プラグイン、独自コードを組み合わせた環境全体で動くことを確認します。
更新には、不具合や脆弱性の修正、対応するソフトウェアを継続利用するための環境整備という意味があります。処理速度が改善する場合もありますが、効果はプログラムやサーバー構成によって異なります。「更新すれば必ず速くなる」として、性能測定なしで成果を約束するものではありません。
2026年10月公表の重大な脆弱性「php2shell」と更新の必要性
2026年10月21日、PHPプロジェクトは「php2shell」と呼ばれる重大な脆弱性、CVE-2026-109618・CVE-2026-109619を公表しました。影響を受ける構成では、認証していない第三者によるリモートコード実行につながるおそれがあります。WordPress本体の更新だけでは、PHP実行環境の修正を代替できません。
公式発表における各系列の最初の修正版は、次のとおりです。これは2026年10月22日時点で確認した情報であり、以後の更新も含めて適用状況を確認してください。
| PHPの系列 | php2shellの最初の修正版 |
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
OSの提供元が修正を既存のパッケージに取り込む場合もあるため、画面に表示されたPHPの番号だけで未対策と決めつけず、利用サービスの告知とパッケージの修正履歴を照合します。共有サーバーでは、契約者の設定変更が必要か、事業者側で適用されるかも確認してください。
WAFなどによる一部の緩和策だけを恒久対策とせず、公式の修正適用を軸に対応します。被害の有無は個別調査が必要であり、脆弱性があることだけで侵入済みとは断定できません。なお、本記事は特定の読者サイトの安全性を診断したものではありません。
出典：PHP公式の2026年発表／CVE-2026-109618の公式アドバイザリ／CVE-2026-109619の公式アドバイザリ
現在のサポート期限を確認する
PHPには、通常の不具合修正を含むサポート期間と、その後の重大なセキュリティ問題を対象とする期間があります。2026年10月22日時点の公式情報では、PHP 8.2のセキュリティサポートは2026年12月31日、8.3は2027年12月31日、8.4は2028年12月31日、8.5は2029年12月31日までです。
期限は移行計画を決める目安ですが、期限内なら更新不要という意味ではありません。重大な問題への修正は随時確認します。また、サポート終了版を延長サポート付きで利用する場合は、提供元、対象パッケージ、対応する問題、契約期限を確認し、PHP本体の通常サポートと区別してください。
現在のPHPバージョンと移行先はどう確認する？
WordPress・サーバー管理画面・実行環境を照合する
WordPressでは、管理画面の「ツール」から「サイトヘルス」を開き、「情報」のサーバー項目でPHPバージョンを確認できます。サーバー管理画面にもPHPの設定欄がありますが、複数ドメインを契約している場合は、対象サイトのドメインを選んでいるかを確かめます。
独自システムでは、開発・保守担当者にWeb画面、定期処理、コマンド実行で使うPHPを確認してもらいます。ターミナルのphp -vで分かるのは、そのコマンドが参照するPHPです。Webサーバー側のPHPと違うことがあるため、コマンドの結果だけでサイト全体を確認したと判断しないでください。
調査結果は、対象URL、PHPの系列とパッチ版、サーバー会社、CMSとバージョン、主要機能、保守担当者、更新期限を1枚に整理すると引き継ぎやすくなります。調査用の詳細情報ページを公開したまま放置せず、必要な確認は管理画面や権限を限定した方法で進めます。
移行先はサポート期間と互換性の両方で選ぶ
移行先は、利用サービスで選択できる安定版の中から、CMS・テーマ・プラグイン・独自コードが対応する組み合わせを選びます。リリース候補版を本番運用の移行先として安易に選ぶことは避けてください。WordPress公式はPHP 8.3以上を推奨していますが、この推奨だけで個別の追加機能の互換性が保証されるわけではありません。
古いPHPから離れるための移行と、同じ系列内での脆弱性修正は分けて考えると計画を立てやすくなります。大きな改修が必要なサイトでも、現在の系列で修正版を適用できるかを先に確認し、そのうえで余裕のあるサポート期間を確保する移行を検討します。
出典：WordPressの推奨動作環境／WordPress公式・PHPの更新
PHPバージョンアップの影響はどこに出る？
PHPの仕様変更によって、以前は動いていた書き方がエラーになったり、必要な拡張機能が見つからなくなったりすることがあります。独自開発のコードだけでなく、プラグインや外部ライブラリも確認の対象です。バージョン間の変更内容は、移行先までに通過する各版の公式移行ガイドで確認します。
| 確認対象 | 起こり得る問題 | 確認する業務・操作 |
| WordPress本体・テーマ | 表示崩れ、管理画面のエラー | 主要ページ、検索、投稿編集・保存 |
| プラグイン・独自PHP | 廃止機能の使用、型の扱いの違い | フォーム、予約、会員登録、ファイル出力 |
| ライブラリ・PHP拡張 | 依存条件の不一致、機能不足 | 画像処理、PDF生成、データベース接続 |
| 外部連携・定期処理 | 通信・認証・バックグラウンド処理の失敗 | 決済連携、CRM登録、通知、予約処理 |
よくある確認漏れは、トップページが表示された時点で作業を終えてしまうことです。フォームの完了画面が出ても通知メールが届いていない、管理画面で保存した内容が反映されない、といった問題は見た目だけでは分かりません。利用者の操作から社内の受付完了までを、一連の流れとして確認します。
更新が止まったテーマやプラグインは、対応版への更新で解決できるのか、代替機能への置き換えが必要なのかを調べます。独自システムでComposerなどを使っている場合は、依存関係と固定されているライブラリの版も確認します。一括更新して動かなくなった後に原因を探すより、変更対象を先に絞ることが大切です。
PHPを安全にバージョンアップする手順
1．対象と完了条件を一覧にする
最初に、サイトと機能の一覧を作ります。同じサーバーに置かれている別サイト、サブドメイン、予約システム、管理用プログラム、定期実行も対象に含まれるかを確認してください。切り替えの設定がドメイン単位なのか、契約全体へ影響するのかも事業者の仕様で確かめます。
完了条件は「新しいPHPの番号が表示される」だけにせず、問い合わせが社内へ届く、予約内容が保存される、管理者が更新できる、エラーログに重大な問題がない、といった具体的な状態で決めます。確認担当者と作業の可否を判断する責任者も指定します。
2．ファイルとデータベースを復元できる状態で保存する
WordPressでは、プログラムや画像などのファイルと、記事・設定などを保存するデータベースの両方が必要です。独自システムでは、設定ファイルやアップロードデータなども調べます。サーバーの自動バックアップがある場合も、保存時点、対象範囲、取得方法、復元に必要な時間を確認してください。
バックアップは取得成功の表示だけで判断せず、検証環境で復元できるかを確認します。PHP設定、必要な拡張機能、変更前の構成も記録し、元のPHPを選び直せる期間を調べます。障害が起きてから初めて復元手順を探す状態では、安全な切り戻しは難しくなります。
3．検証環境で互換性を調べ、必要な修正を行う
本番の構成に近い検証環境へ複製し、更新予定のPHPで動作を確かめます。検証環境は認証などで閲覧を制限し、検索対象にもならないようにします。個人情報を含むデータは必要性と取り扱いを確認し、可能な範囲でテスト用データへ置き換えてください。
本番のメール配信、CRM登録、決済、外部APIへ誤って送信しないよう、送信先や接続先を検証用へ変更します。表示を複製しただけで安心せず、定期処理や通知も含め、検証環境から本番業務へ影響しない構成になっているかを確かめます。
WordPress本体・テーマ・プラグインとPHPを更新する順序は、現在と移行先の対応条件によって決めます。古いPHPでは新しいプラグインが動かず、新しいPHPでは古いテーマが動かないケースもあるため、「必ず全部を最新版にしてからPHPを変える」と一律に決めません。必要なら段階的な更新を組み立てます。
4．重要機能を操作し、結果を記録する
ページ閲覧、サイト内検索、ログイン、投稿の保存、問い合わせ、予約、ファイルのアップロードなどを確認します。フォームは入力エラー、確認・完了、保存、通知までを対象にします。決済を伴う場合は事業者が用意するテストモード等を使い、本番の課金や顧客通知と分けて進めます。
確認表には、操作内容、期待する結果、実際の結果、確認日時、担当者を残します。たとえば「フォームOK」より「検証用送信で受付データ保存と管理者通知を確認」と書くほうが、確認範囲が明確です。警告の非表示だけでエラーを解決したことにせず、原因と対応内容を記録します。
5．本番の切り替え日時と切り戻し条件を決める
アクセスや受付の少ない時間帯を選び、必要に応じて事前告知と受付停止を行います。停止が必要か、何分程度を見込むかは検証結果と作業範囲で判断します。作業時間とサイト停止時間を同じ意味で使わず、停止中の代替連絡先や社内の対応方法も決めてください。
切り替え直前に最新データを保存し、本番で検証済みの変更だけを反映します。ログイン不可や予約受付不可など、どの症状で作業を中止するかを先に決めておくと判断が遅れません。切り替え中も注文や問い合わせを受ける運用なら、その間に増えたデータをどう保護するかまで計画します。
6．本番の動作とログを確認する
切り替え後は、実際のサイトをPCとスマートフォンで開き、重要機能と管理画面を確認します。キャッシュが残っていると古い表示を見てしまうため、必要なキャッシュ更新も実施します。PHPの反映状況は、Web側と定期処理側を分けて確かめてください。
本番で送信テストを行う場合は、社内で承認した識別用の内容を使い、通知や外部サービスへの影響を把握したうえで実施します。後から動く定期処理もあるため、直後の確認に加えて次の実行結果を確認し、作業記録と新しい環境情報を保守担当へ引き継ぎます。
ホームページの保守・管理にお困りではありませんか？
ファーストネットジャパンでは、1998年の創業以来、4,000件を超える実績で培った知見をもとに、ホームページの更新・保守・セキュリティ対応から、他社で制作されたサイトの引き継ぎ・乗り換えまで総合的にサポートします。
連絡が取れない、放置してしまっているサイトのご相談も承ります。まずはお気軽にお問い合わせください。
バージョンアップ後にエラーが出たらどうする？
変更前後の情報とログから原因を絞る
画面が真っ白になる、HTTP 500が出る、特定の操作だけ失敗する場合は、発生時刻、対象URL、操作、変更したPHP・プログラムの版を記録します。サーバーやアプリケーションのエラーログを、同じ時刻の記録と照合してください。公開画面に詳細なエラーや内部パスを表示するのではなく、権限のある担当者がログで調べます。
確認できた原因から、非対応のプログラム、必要な拡張機能、依存ライブラリ、実行設定などを切り分けます。テーマやプラグインを無計画に削除すると、設定や業務データへの影響が増えます。まず影響範囲を把握し、検証できる状態で修正案を確かめてから本番へ反映します。
切り戻しはPHP・ファイル・データの整合を取る
PHPを元に戻せば解消することもありますが、事業者が旧版の提供を終了していたり、更新したCMSやプラグインが旧版では動かなかったりする場合があります。切り替え前に、戻せる版と条件を確認する必要があります。
ファイルとデータベースを復元する場合は、対応する時点をそろえます。更新後に受け付けた注文や問い合わせがあるのに、データベースを丸ごと過去へ戻すと、その情報を失うおそれがあります。受付データの退避、再反映、照合まで担当者と相談し、業務を再開できる状態を確認してください。
また、脆弱性のある旧版への復帰は恒久対策になりません。復旧を優先する場合も、公開範囲の制限など必要な対応と、修正版へ移る期限を合わせて決めます。何度も本番の設定を変更して様子を見るのではなく、復旧と原因調査の作業を整理して進めましょう。
PHPバージョンアップの費用は何で変わる？
PHP自体を利用するためのライセンス料と、作業を依頼する費用は別です。ホスティング契約内でPHPの切り替え機能が提供されていても、互換性調査や不具合修正まで無償とは限りません。「PHPの更新一式」という見積もりは、何を調べ、何を修正し、どこまで確認するかを分けて読みます。
| 依頼範囲 | 主な作業 | 見積もりで確認する条件 |
| 実行環境の切り替え | 設定変更と反映確認 | 事前調査・復元・機能テストを含むか |
| 調査・検証を含む更新 | 構成調査、検証環境、バックアップ、動作確認 | 対象サイト数、確認機能、再テストの範囲 |
| 非互換部分の改修 | 独自コード、ライブラリ、テーマ等の修正 | 修正量、仕様の有無、追加費用の承認方法 |
| 古いCMS・システムの移行 | 本体更新、代替機能、データ移行 | 設計変更、移行対象、停止・切り戻し計画 |
小規模な会社案内サイトでも、独自フォームや更新の止まったテーマがあれば調査が必要です。反対にページ数が多くても、同じ仕組みで構成されていれば、ページ数に比例してすべての作業が増えるとは限りません。画面数だけでなく、異なる機能と修正対象の数が判断材料になります。
期間も、実際の切り替え時間に加えて、環境調査、検証、社内確認、修正、作業日調整が必要です。改修内容が不明な段階では、先に調査の範囲と費用を決め、結果を受けて本作業を見積もる方法があります。納期を相談するときは、サーバー会社の期限と自社の繁忙期の両方を伝えます。
ファーストネットジャパンへのご相談でも、PHP更新だけの固定価格を一律に当てはめず、現在の構成と必要な改修・検証を確認して対応範囲を整理します。WordPress本体の更新料金や月額保守料金が、そのままPHP互換性改修を含むと考えず、契約ごとの対象と対象外を確かめてください。
見積もりは、調査、バックアップ、検証環境、改修、本番反映、切り戻し準備、公開後の確認を並べると比較しやすくなります。検証で不具合が見つかった場合に、追加調査や修正へ進む前の連絡・承認方法も決めておくと、途中の認識違いを防げます。
自社で対応できるケースと外注を検討するケース
復元と業務機能の確認まで担当できるかで判断する
自社対応を検討しやすいのは、構成を把握し、対応条件を確認でき、検証環境と復元手順があり、エラー時に調査できる担当者がいる場合です。サーバー管理画面のボタンを押せることと、サイト全体の更新を担当できることは同じではありません。
独自開発のフォーム、会員・予約・決済機能がある場合や、前の制作会社と連絡が取れず仕様が分からない場合は、外注による調査を検討してください。過去のコードを確認できない、バックアップから戻した経験がない、停止時の事業影響が大きいといった条件も判断材料です。
保守会社へ依頼するときは、PHPの更新だけでなく、アプリケーションの互換性修正、復元作業、公開後の監視までどこが担当するかを確認します。サーバー会社と制作会社が別なら、作業の窓口を決め、設定変更とプログラム修正の間に対応の空白ができないようにします。
更新を機に保守の依頼先も見直す場合は、対応範囲・障害時の連絡・バックアップ体制を整理しておくと相談が進めやすくなります。次の資料は、継続的なホームページ保守の依頼先を検討する際に活用してください。
ホームページの保守・管理会社を比較・選定するときに確認しておきたい、対応範囲・料金・管理権限・契約条件・引き継ぎのポイントを実務用チェックリストにまとめました。
- 保守・管理の対応範囲
- バックアップ・障害対応
- 月額料金・追加費用・契約条件
- 更新・修正対応の条件
- 管理権限の確認
- 保守会社変更時の引き継ぎ項目
フォーム入力後、メールでダウンロードURLをご案内します（PDF資料・無料）
相談前にそろえておきたい情報
- 対象サイトのURLと、問い合わせ・予約・会員などの重要機能
- 分かる範囲のPHP・CMS・テーマ・プラグインのバージョン
- サーバー会社、現在の保守先、独自開発の有無
- 更新の案内内容、対応期限、停止を避けたい日時
- 過去のエラー、バックアップ、検証環境の有無
不明な項目は不明と伝えて構いません。最初の相談フォームへパスワードや秘密鍵を記入する必要はありません。調査に認証情報が必要になった段階で、担当者間で安全な共有方法と権限を決めます。
ファーストネットジャパンは、1998年創業・大阪市中央区のWeb制作会社です。4,000件超の制作実績をもとに、ホームページ制作から公開後の保守・運用改善まで支援しています。PHP更新では、サイトの構成と業務への影響を確認し、必要な調査・改修・検証の範囲をご相談いただけます。
「サーバーから更新を求められたが、何から調べるべきか分からない」という段階から、ホームページ保守・管理サービスをご確認ください。対応期限がある場合は、お見積もりのご相談で案内内容と希望時期をお知らせください。
【関連記事】
WordPressバージョンアップの方法・安全な手順と注意点
WordPressのバックアップを業者に依頼するときの対応範囲と選び方
よくある質問
Q. PHPバージョンアップには費用がかかりますか？
サーバーの切り替え機能を契約内で使える場合もありますが、互換性調査、バックアップ、プログラム改修、機能テストを依頼する費用は別です。対象サイトと機能を伝え、作業範囲を分けた見積もりで確認してください。
Q. PHPを更新するとホームページは停止しますか？
必ず停止するとは限りませんが、変更範囲やサーバーの仕様によって一時的な停止が必要になる場合があります。検証結果をもとに作業時間と停止時間を分けて決め、受付への影響と切り戻し方法を準備します。
Q. 古いPHPから新しい版へ一度に更新できますか？
対応条件がそろえば可能ですが、CMSやライブラリの更新を段階的に行う必要があるケースもあります。現在版から移行先までの変更点と、各ソフトウェアが対応するPHPの範囲を確認して順序を決めてください。
Q. 不具合が出たらPHPを元に戻せますか？
旧版が提供されていて、更新したプログラムも旧版に対応する場合は戻せることがあります。常に戻せるとは限らないため事前に条件を確認し、ファイルとデータベースの復元、および更新後に増えた受付データの保護も計画します。
Q. WordPressを最新版にすればPHPの更新も完了しますか？
完了しません。WordPress本体とPHP実行環境は別の更新です。サーバー側のPHPの版と修正状況を確認し、テーマ・プラグイン・独自コードも含めた互換性を検証してください。
Q. php2shellにはどのPHPバージョンで対応していますか？
2026年10月21日公表のCVE-2026-109618・CVE-2026-109619について、各系列の最初の修正版は8.2.35、8.3.36、8.4.27、8.5.12です。OS提供元による修正取り込みもあるため、PHP公式と利用事業者の告知で適用状況を確認してください。
まとめ：PHPの切り替えと互換性の確認をセットで進める
PHPバージョンアップは、現在の構成を調べ、復元できるバックアップを用意し、検証環境で業務機能を確かめてから本番へ反映します。費用は設定変更だけか、プログラム改修やテストまで含むかで変わるため、対象範囲を分けて確認しましょう。
php2shellのような重大な脆弱性は、通常の更新計画とは別に速やかな確認が必要です。事業者の修正状況を確かめ、必要な対策と、サポート期間を見据えた移行の両方を進めてください。自社で調査や復元まで担うのが難しい場合は、現在の環境と期限を整理して保守担当へ相談しましょう。
ホームページの保守・管理にお困りではありませんか？
ファーストネットジャパンでは、1998年の創業以来、4,000件を超える実績で培った知見をもとに、ホームページの更新・保守・セキュリティ対応から、他社で制作されたサイトの引き継ぎ・乗り換えまで総合的にサポートします。
連絡が取れない、放置してしまっているサイトのご相談も承ります。まずはお気軽にお問い合わせください。
