AIが脆弱性を見つける時代、古いPHP・WordPress のHPが危ない理由

AIが脆弱性（ぜいじゃくせい。プログラムの弱点で、攻撃の入口になるもの）を見つける動きは、OSやWebブラウザだけでなく、ホームページ（HP）を動かす PHP にも広がっています。2026年10月には、AIの助けで見つかった PHP の重大な脆弱性が公表され、IPA と JPCERT/CC が注意喚起を出しました。

AIで何が変わったのかを把握すると、自社のHPが「先に狙われる側」かどうかを判断し、限られた予算と時間をどこに使うかを決められます。特に、何年も触っていない古いHPは、早めに手を打つほど選べる方法が多くなります。

本記事では、AIによる脆弱性の発見で変わった3つのこと、古い PHP・WordPress のHPが危ない4つの理由、自社のHPが対象かを確かめる3STEPをまとめています。さらに、修正できない場合の暫定対策を含めた、やることの優先順も紹介します。

AIが脆弱性を見つける時代に古いHPが危ない理由【早見表】

AIが脆弱性を見つける時代に古いHPが危ないのは、弱点が速く見つかるのに、古いHPは修正を当てられないか、当てる人がいないためです。見つかる弱点が増えるほど、更新しているHPとの差が広がります。

古い PHP・WordPress のHPが危ない理由と、当てはまりやすいHPを、以下の早見表にまとめます。

危ない理由	当てはまりやすいHP	最初にやること
古い PHP には通常の修正版が出ない	PHP 8.1 以前で動いている	PHP 8.3 以上への更新か移管を決める
古いテーマ・プラグインほど新しい弱点が見つかる余地がある	更新の止まったプラグイン・テーマを使っている	使っていないものを削除し、代わりを探す
深刻度の高い弱点だけ直しても漏れが出る	大きなニュースのときだけ対応している	定期的にすべての更新を当てる
古い PHP のHPはまだ多く、狙われる先が多い	PHP 7 以前のまま放置している	バージョンを確かめ、専門家に相談する

※2026年10月時点・php.net、W3Techs より

以下では、AIで何が変わったのかを確かめたうえで、4つの理由を具体的に解説します。

AIによる脆弱性の発見で変わった3つのこと

AIによる脆弱性の発見で大きく変わったのは、弱点が見つかる速さと量です。これまで腕の立つ専門家が時間をかけて探していた作業の一部を、AIが短い時間でこなせるようになりました。

ここでは、HPの持ち主に関わる変化を3つ紹介します。

長年見落とされていた弱点がAIで見つかる

AIは、何年も前に書かれ、誰も見直していないコードから弱点を見つけています。人や従来の検査ツールでは見落としていた弱点まで、AIが読み解けるようになったためです。

AIで長年の弱点が見つかった例は、以下のとおりです。

• OpenBSD（OSの1つ）に27年間残っていた脆弱性：Anthropic のAIモデル Claude Mythos Preview が発見（2026年4月発表）
• FFmpeg（動画を扱うソフト）に16年間残っていた脆弱性：自動テストが500万回実行していたコードの中から、同じAIが発見
• PHP の脆弱性 CVE-2026-109618／109619（通称 php2shell）：発見して報告したセキュリティ企業の Wiz が、発見にAIを使ったと公表（2026年10月）

IPA は php2shell の注意喚起で、Wiz によれば PHP 5.4 以降のバージョンはいずれかの脆弱性の影響を受けるとしています。何年も使われてきたソフトほど、まだ見つかっていない弱点が残っていると考えたほうが安全です。

修正が出てから攻撃されるまでの猶予が短くなる

修正版が出てから、実際に攻撃が始まるまでの時間は短くなっています。修正版の中身を比べると弱点の場所の見当がつき、その分析もAIで速くなるからです。

たとえば、Anthropic は2026年4月の文章で、インターネットに公開しているシステムは「攻撃コードが出てから24時間以内」に修正を当てるよう勧めています。大企業向けの目安ですが、方向ははっきりしています。

ただし、中小企業がすべてを24時間以内に直すのは現実的ではありません。自動更新を使い、更新を当てる担当と手順を先に決めておくことが、猶予の短さへの現実的な備えです。

公表された古い脆弱性も狙われ続ける

攻撃者が狙うのは、新しく見つかった弱点だけではありません。公表から何年もたった弱点でも、直されていないサイトが残っている限り、攻撃に使えるからです。

たとえば、IPA は php2shell の注意喚起で、PHP 8.1 以前はサポートが終わっていて修正版が提供されないとして、サポートされているバージョンへの更新や移行を検討するよう求めています。修正版が出ないバージョンでは、公表された弱点がそのまま残り続けます。

ただし、AIで攻撃の準備が速くなるのは守る側にも同じです。修正版を早く当てているHPにとっては、古い弱点の危険は小さくなります。

古いPHP・WordPress のHPが危ない4つの理由

古い PHP・WordPress のHPは、AIで弱点が速く見つかる状況に、最も対応しにくい立場にあります。修正版が出ない、作った人が見直していない、直す範囲が限られている、という条件が重なりやすいからです。

ここでは、古いHPが危ない理由を4つに分けて解説します。

理由1 古い PHP には通常の修正版が出ない

PHP 8.1 以前は、公式のサポートが終わっていて、弱点が見つかっても通常の修正版が出ません。PHP は、バージョンごとにセキュリティ修正を出す期限が決まっているからです。

PHP のバージョンごとのセキュリティ修正の期限を、以下の表にまとめます。

バージョン	セキュリティ修正の期限	状態
8.1 以前	終了済み	通常の修正版は出ない
8.2	2026年12月31日	まもなく終了
8.3	2027年12月31日	セキュリティ修正のみ
8.4	2028年12月31日	サポート中
8.5	2029年12月31日	サポート中

※2026年10月23日時点・php.net より

php2shell の修正版は PHP 8.5.12／8.4.27／8.3.36／8.2.35 として出ましたが、PHP 8.1 以前には通常の修正版がなく、自分で PHP を組み立てる方向けの最小限の修正コードだけが公開されました。PHP 8.2 も年末で同じ立場になります。詳しくは PHP 8.2 のサポートは12月31日で終了。中小企業のHPでやること で解説しています。

理由2 古いテーマ・プラグインほど新しい弱点が見つかる余地がある

更新の止まったテーマやプラグインは、AIで新しく弱点が見つかる余地が大きい部品です。作った会社や開発者がもう見直しておらず、弱点が見つかっても修正版が出ないことがあるからです。

たとえば、何年も前に制作会社が入れたプラグインが、作者の更新停止のまま使われ続けていることがあります。誰も見ていないコードを、AIを使う攻撃者が先に読むことになります。

ただし、更新が止まっていても、すぐに危険とは限りません。使っていなければ削除し、使っているなら代わりのプラグインを探すのが基本です。見分け方は 更新が止まった WordPress プラグインの見分け方と、代わりの探し方 にまとめています。

理由3 深刻度の高い弱点だけ直しても漏れが出る

大きなニュースになった弱点だけを直す方法では、AIの時代には漏れが出ます。AIで見つかる弱点の数が増え、ニュースにならない弱点も攻撃に使われるからです。

たとえば、Anthropic の Project Glasswing の参加組織は、深刻度が高い・重大な脆弱性だけで1万件以上を見つけたと報告しています（2026年5月時点）。一つひとつがニュースになるわけではありません。

古いHPでよく見られる、漏れの出やすい対応は以下のとおりです。

• ニュースになったときだけ PHP を確かめる
• WordPress 本体は更新するが、プラグインやテーマは放置する
• 管理画面の更新通知を、表示が崩れるのが怖くて無視し続ける

上記の対応を続けるより、定期的にすべての更新を当てる仕組みに切り替えたほうが、結果として手間も危険も小さくなります。

理由4 古い PHP のHPはまだ多い

古い PHP で動いているHPは、世界でまだ多く残っています。攻撃者から見れば、狙える先が多いということです。

W3Techs の調べでは、サーバー側の言語が分かるサイトの69.3%が PHP を使っています。PHP を使うサイトのうち、バージョンの内訳は以下のとおりです。

PHP のバージョン	割合	状態
PHP 8	65.3%	8.1 以前は修正版なし、8.2 は年末に終了
PHP 7	26.9%	サポート終了
PHP 5	7.7%	サポート終了

※2026年10月23日時点・W3Techs より

PHP 8 の中にも、サポートの終わった 8.0・8.1 が含まれます。PHP を使うサイトの3割以上が、サポートの終わったバージョンで動いていることになります。

自社のHPが対象か確かめる方法【3STEP】

自社のHPが「古いHP」に当たるかは、HPの部品とそのバージョンを確かめると判断できます。作業は見るだけなので、HPが壊れることはありません。

ここでは、HPの部品の一覧を作り、PHP と WordPress の状態を確かめる3STEPを紹介します。

【STEP1】HPの部品の一覧を作る

最初に、HPがどの部品で動いているかを一覧にします。どの部品が古いか分からなければ、修正版が出たときに自社が対象か判断できないからです。

一覧に書く項目は、以下のとおりです。

項目	例	確かめる場所
サーバー	〇〇レンタルサーバー（プラン名）	契約書・請求書
PHP のバージョン	8.1	サーバーの管理画面、WordPress のサイトヘルス
CMS とバージョン	WordPress 6.8	WordPress の管理画面
テーマ・プラグイン	名前と最終更新日	WordPress の管理画面
管理している人	社内の担当者・制作会社	契約書、社内の聞き取り

部品の一覧があれば、次に脆弱性のニュースが出たときに、自社が対象かを数分で判断できます。

【STEP2】PHP のバージョンを確かめる

PHP のバージョンは、古いHPかどうかを判断するいちばんの手がかりです。PHP 8.1 以前か 8.2 かで、急ぐ度合いが変わるからです。

PHP のバージョンを確かめる方法を、HPの種類別にまとめます。

HPの種類	確かめ方
WordPress	管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」
WordPress 以外	レンタルサーバーの管理画面で、PHP のバージョンの設定を見る
分からない	制作会社かサーバー会社に「PHP のバージョンを教えてください」と聞く

サーバー会社ごとに画面の名前が違うため、分からない場合はサーバー会社のマニュアルで「PHP バージョン」を検索します。

【STEP3】WordPress・プラグイン・テーマの状態を確かめる

WordPress を使っている場合は、本体・プラグイン・テーマの更新が残っていないかを確かめます。PHP が新しくても、更新の止まった部品が弱点になるためです。

確かめる場所は、管理画面の「ダッシュボード」→「更新」と、「ツール」→「サイトヘルス」の「ステータス」です。3STEPの結果を、以下の表で判定します。

状態	判定	やること
PHP 8.3 以上・更新も残っていない	今のところ問題は小さい	更新を続ける体制を決める
PHP 8.2	年末にセキュリティ修正が終わる	12月までに 8.3 以上へ
PHP 8.1 以前	通常の修正版が出ない	早めに更新。上げられなければ移管・作り直し
PHP 7 以前、または分からない	危険が大きい	専門家に見てもらう
更新が半年以上残っている	弱点が残っている可能性	バックアップを取ってから更新

判定に迷う場合は、危険が大きい側として扱ってください。

古いHPを守るためにやること【優先順5つ】

古いHPを守るためにやることは、バックアップ・PHP の更新・部品の更新・暫定対策・体制づくりの5つです。順番を守ると、表示が崩れたときにも元に戻せます。

ここでは、やることを優先順に紹介します。

【1】バックアップを取る

更新の前に、ファイルとデータベースの両方のバックアップを取ります。PHP や WordPress を上げたあとに表示が崩れても、元に戻せるようにするためです。

たとえば、レンタルサーバーの自動バックアップがあっても、何日前まで戻せるか、自社で戻す操作ができるかを確かめておきます。方法は WordPress のバックアップの取り方と、戻せるかの確認 をご覧ください。

【2】PHP を 8.3 以上に上げる計画を立てる

PHP は 8.3 以上に上げる計画を立てます。WordPress.org は推奨環境として PHP 8.3 以上を挙げており、PHP 8.2 は2026年12月31日でセキュリティ修正が終わるからです。

テーマやプラグインが新しい PHP に対応しているかを確かめ、テスト用の環境で表示を確かめてから本番を切り替えます。ただし、本番でいきなり上げると、画面が真っ白になることがあります。

【3】WordPress 本体・プラグイン・テーマを更新し、不要なものを消す

WordPress 本体・プラグイン・テーマを最新にし、使っていないものは削除します。使っていない部品でも、サーバーに置いてある限り攻撃の入口になるからです。

たとえば、昔のキャンペーンで使ったプラグインや、切り替える前のテーマが残っていないかを確かめます。

【4】上げられないときは暫定対策をとり、移管か作り直しを決める

古すぎて PHP を上げられないHPは、暫定対策をとりながら、移管か作り直しを決めます。IPA は php2shell の注意喚起で、更新や移行が終わるまでアクセス制限などの暫定対策をとり、有効な対策が難しい場合は外部からのアクセス遮断やサービスの一時停止も含めて判断するよう求めています。

暫定対策の例は、以下のとおりです。

• 管理画面に入れる場所（IPアドレス）を絞る
• 使っていないフォームやページを公開から外す
• WAF（Webサイトへの攻撃を手前で止める仕組み）を有効にする

暫定対策は、根本の修正の代わりにはなりません。判断のしかたは 移管で済む？ 作り直す？ HPの判断のしかた で解説しています。

【5】更新を続ける体制を決める

一度上げて終わりにせず、修正が出たら誰が当てるのかを決めます。AIで弱点が見つかる速さが上がると、修正が出る回数も増えるからです。

たとえば、月に1回は部品の一覧と管理画面を見直す担当を決めます。社内にいなければ、保守を頼むことを検討しましょう。

古いHPの更新でよくある失敗

古いHPの更新では、急いで作業したり、一部だけ直したりして、かえって問題を増やすことがあります。失敗のパターンを先に知っておくと、作業の順番を決めやすくなります。

ここでは、よくある失敗と、避けるための対策を表にまとめます。

よくある失敗	起きること	避けるための対策
本番でいきなり PHP を上げる	画面が真っ白になる、レイアウトが崩れる	テスト環境で確かめる。崩れたときは PHP を上げたらサイトが崩れた。原因と戻し方
WordPress を更新したから大丈夫と考える	PHP 本体の弱点が残る	サーバー側の PHP も上げる
「表示が崩れるから更新しないで」を何年も続ける	弱点が残り続ける	崩れない形で直すか、作り直しを検討する
セキュリティプラグインだけに頼る	PHP 本体の弱点は防げないことがある	サーバー側の更新を優先する
おかしな症状があるのに更新から始める	改ざんの跡が消え、原因が分からなくなる	先に症状を調べ、専門家に相談する

上記の失敗の多くは、作業の前にバックアップを取り、症状がないかを確かめるだけで避けられます。

古いHPを自社で直せないときの相談先

古いHPの更新は、サーバーの設定とHPの中身の両方にかかわるため、慣れていないと判断が難しい作業です。テスト環境を用意できない、制作会社と連絡が取れない、といった事情を抱える会社もあります。

専門家に相談したほうがよいのは、以下のような場合です。

• PHP のバージョンが分からない、または PHP 7 以前
• 制作会社と連絡が取れず、ログイン情報も分からない
• PHP を上げると表示が崩れると言われ、何年も止まっている
• すでに改ざんの症状が出ている

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。

まとめ

• AIで、何年も前のコードに残っていた弱点まで速く見つかるようになった
• PHP 8.1 以前は通常の修正版が出ず、PHP 8.2 も2026年12月31日でセキュリティ修正が終わる
• 修正が出てから攻撃されるまでの猶予も短くなり、更新を後回しにするHPほど危ない
• HPの部品の一覧を作り、PHP 8.3 以上への更新か、移管・作り直しを決める

AIで攻撃全体がどう変わるかは、AIで、サイバー攻撃はどう変わる？ 中小企業がいまやること で確かめ、自社のHPのバージョン確認から始めてください。