PHPのバージョンは新しければいいわけではない|WordPressサイトの選び方

こんにちは、株式会社ソライルの波多野です。

10月22日、PHPの脆弱性への対応で、保守でお預かりしているサイトのPHPのバージョンを確かめました。8.1以前で動いていたサイトは、多くをPHP 8.3系（8.3.36）へ切り替え終えています。一部は新しいバージョンでページが止まったため、その部分を直してから切り替えました。まず確かめることは「PHPの脆弱性（2026年10月）WordPressで確かめること・しなくていいこと」にまとめています。

PHPには、8.4や8.5という、もっと新しいバージョンもあります。それでも今回は8.3を選びました。
新しいバージョンのほうが安全なのでは、と思われるかもしれません。けれども、PHPのバージョンは高ければ高いほどよいわけではありません。

私が勧めるのは、次のようなバージョンです。

新しすぎず、古すぎない。サポートの期間中で、自分のサイトで動くことを確かめたバージョン。

この記事では、PHPやWordPress、サーバー会社の公式の情報をもとに、理由を3つ書きます。あわせて、ご自分でバージョンを選ぶときの手順と、ソライルの進め方もまとめました。

PHPのバージョンには、修正が届く期限がある

PHPは、毎年11月ごろに新しいバージョンが出ます。それぞれのバージョンは、出てからおよそ2年は不具合も含めて直され、その後のおよそ2年はセキュリティの修正だけが出ます。期限を過ぎたバージョンには、脆弱性が見つかっても公式の修正が出ません。

PHP公式のサポート期間とサポートが終わったバージョンの一覧を、10月22日に確かめました。

10月21日に公表された脆弱性（CVE-2026-109618、CVE-2026-109619）でも、PHPの公式の修正版が出たのは、サポート期間中の8.2〜8.5だけでした。サポートが終わった7.4・8.0・8.1向けには、最小限のソースの修正が出ただけです（PHP公式の告知、2026年10月21日）。8.2も、あと2か月ほどでセキュリティの修正が終わります。

古すぎるバージョンを避けるのは、修正が届かなくなるからです。

新しいバージョンでは、古い書き方が使えなくなる

一方で、PHPはバージョンが上がるたびに、古い書き方の一部を使えなくしています。PHP公式の移行ガイドには、バージョンごとに「下位互換性のない変更」が並んでいます。前のバージョンと同じようには動かなくなる変更、という意味です。

たとえばPHP 8.0では、配列を順に読み出す古い関数などが削除されました（PHP 8.0の移行ガイド）。PHP 8.4では、メールを扱う機能（IMAP）など4つの機能が、PHP本体から外されています（PHP 8.4の移行ガイド）。

WordPressのテーマやプラグインに古い書き方が残っていると、新しいバージョンに切り替えたときにエラーが出たり、画面が表示されなくなったりします。

サーバー会社も、同じ注意をしています。エックスサーバーは、PHP 8.5を導入したときのお知らせで、プログラムによっては8.5への対応が不十分な場合があり、切り替えるとサイトが正常に動かなくなる可能性がある、と案内しています。切り替えたら表示を必ず確かめ、動かなければ元のバージョンに戻すように、とも書いています（エックスサーバーのお知らせ、2026年1月29日）。

WordPressの公式の案内も、テーマやプラグインはPHPを上げても動くはずだとしたうえで、問題が起きないとは保証できないので確かめるように、と書いています（WordPressのPHP更新の案内）。

あまり知られていないことも、ひとつあります。WordPressの公式サイトに載っているプラグインには、動くのに必要なPHPの「最低のバージョン」を書く欄があります。ところが、「どのバージョンまで動作を確かめたか」を書く欄はありません（プラグインの説明書きの決まり）。新しいバージョンで動くかどうかは、使う側で確かめるしかないのです。

今回の切り替えでも、古い書き方が残っていたサイトがありました。文字コードを調べる関数に、PHP 8からはエラーになる古い指定が残っていて、切り替え先のバージョンではページが止まったのです。その部分を直して、あらためて切り替えました。

WordPress本体も、時間をかけて新しいバージョンに対応してきた

WordPress本体は、毎年11月ごろに出る新しいPHPに、同じ時期のWordPressの大きな更新で対応することを目指しています。ただし、対応を始めてしばらくは「ベータ対応」と呼んでいました。WordPressのサイトの1割以上がそのバージョン以降を使うようになるまで、という基準です。WordPressはテーマやプラグインと組み合わせて使うのが普通だから、というのが理由でした（WordPressのPHP対応表）。

PHP 8.3を例にとると、2023年11月に出て、WordPress 6.4でベータ対応になりました。完全に対応した扱いになったのは2025年7月です。1年半以上かかっています。なお、「ベータ対応」という呼び方は2026年5月にやめています。

WordPress本体が古いままだと、新しいPHPには対応していません。同じ対応表では、PHP 8.4はWordPress 6.7以降、8.5は6.9以降が対象です。

使われている数も、8.4と8.5はまだ少ないのが実情です。WordPress.orgの統計では、10月22日の時点で、8.3が約27%、8.2が約24%、8.4が約9%、8.5が約4%でした。使われている数が少ないバージョンは、ほかのサイトで動いた実績もまだ少ない、ということです。

「推奨」は、ひとつのバージョンではなく幅で示されている

では、公式はどのバージョンを勧めているのか。確かめると、どこも「このバージョンだけ」ではなく、幅で示していました。

• WordPress：PHP 8.3以上（動作環境のページ）
• エックスサーバー：8.5・8.4・8.3の3つを、まとめて「WordPress推奨バージョン」としています。8.2以前は旧バージョンとして、新しく使うことは勧めていません（PHPのバージョンのマニュアル。公式サイトが止まっていたため、2026年9月30日時点の内容で確かめました）
• ロリポップ：WordPressを最新にしたうえで、8.3以上での運用を勧めています（ロリポップのお知らせ、2026年5月27日）

推奨の幅の中なら、どれを選んでも同じというわけではありません。幅の中から、サイトのテーマやプラグインが問題なく動くバージョンを選ぶ。そこまでが、ひと続きの作業です。

自分のサイトに合うバージョンを選ぶ手順

ご自分で確かめるときは、次の順で進めると迷いにくいと思います。

1. 今のバージョンを見ます。WordPressの管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」に、PHPのバージョンが出ています。
2. サポート期間の表と見比べます。セキュリティの修正が少なくとも1年は残っているバージョンを候補にする、というのが私の目安です。
3. 切り替える前に、サイト全体のバックアップを取ります。
4. WordPress本体、テーマ、プラグインを最新にします。
5. 使っているテーマやプラグインの公式ページや更新履歴で、候補のバージョンへの対応を確かめます。書かれていないことも多いので、そのときは次の確認を丁寧に行います。
6. サーバーの管理画面でバージョンを切り替え、トップページ、主なページ、お問い合わせフォーム、管理画面を順に確かめます。フォームは実際に送って、メールが届くかまで見ます。ネットショップなら、決済の流れも確かめます。
7. 問題が出たら、元のバージョンに戻します。多くのレンタルサーバーでは、管理画面から戻せます。

ソライルの進め方

保守先のサイトでバージョンを切り替えるときは、次の順で進めています。

• 切り替える前に、サイト全体のバックアップを取る
• 必要に応じてサイトの複製を用意し、先に複製で動きを確かめる
• 本番のサイトのバージョンを切り替える
• 表示とお問い合わせフォームを確かめる（フォームの送信は、お客さまにも一度お願いしています）
• 問題が出たらすぐ元のバージョンに戻せるよう、手順を先に決めておく

今回、8.4や8.5ではなく8.3を選んだのは、急いで切り替える場面だったからです。8.3は、セキュリティの修正が2027年末まで続き、WordPressのサイトでいちばん多く使われているバージョンです。多くのサイトを短い時間で切り替えるなら、8.3がいちばん確かだと判断しました。

切り替えて動かなかったサイトは、古い書き方の部分を直して、あらためて切り替えました。

8.3にも、いずれ期限が来ます。そのときは8.4以降を、時間をかけて確かめてから進めるつもりです。PHPのバージョンは、一度上げて終わりではありません。期限を見ながら、サイトに合わせて少しずつ上げていくものだと考えています。

ご自分のサイトのバージョンを見て迷ったときや、切り替えから確認までを任せたいときは、「PHPの脆弱性への対応」のページをご覧ください。確かめるだけのご相談でも構いません。

よくある質問

Q. PHPは、いちばん新しいバージョンにしておけば安全ですか？

A. 修正が長く続くという点では、新しいバージョンのほうが有利です。ただ、新しいバージョンでは古い書き方が使えなくなるため、テーマやプラグインが追いついていないと、サイトが動かなくなることがあります。サポート期間中で、ご自分のサイトで動くことを確かめたバージョンを選んでください。

Q. サーバー会社が「推奨」としているバージョンなら、どれを選んでも大丈夫ですか？

A. 推奨は、ひとつのバージョンではなく幅で示されていることがほとんどです。幅の中でも、サイトによって動くバージョンと動かないバージョンがあります。切り替えたら、表示とお問い合わせフォームを必ず確かめてください。

Q. 切り替えたあと、サイトの表示がおかしくなったらどうすればよいですか？

A. まず、元のバージョンに戻してください。多くのレンタルサーバーでは、管理画面から戻せます。戻したうえで、原因になっているテーマやプラグインを調べ、直すか、新しいバージョンに対応したものに更新してから、あらためて切り替えます。