PHP 7.4 を使い続けるリスクとは？ 放置するとどうなるか

PHP 7.4 は、WordPress などで作られた会社のHPで、いまも多く使われているバージョンです。普通に表示されているため「このままでいいのでは」と考えがちですが、開発元のサポートはすでに終わっています。

PHP 7.4 を使い続けるリスクを把握すると、いつまでに・どの順番で上げるべきかを自社で判断することが可能です。2026年10月の PHP の脆弱性で何が起きたかを知れば、「今回は大丈夫だった」で止まらずに済みます。

本記事では、PHP 7.4 を使い続けると起きること・2026年10月の脆弱性との関係・自社が対象かの確かめ方をまとめています。さらに、8.3 以上へ上げるときにやることを優先順位つきで紹介します。

PHP 7.4 を使い続けるリスクとは【早見表】

PHP 7.4 を使い続けるリスクとは、新しく見つかった脆弱性（攻撃に使われる弱点）に、開発元の修正が出ない状態でHPを動かし続けることです。PHP とは、WordPress などのHPを動かしているプログラムの言語で、開発元はバージョンごとに決めた期限までしか修正を出しません。

リスクはセキュリティだけでなく、プラグインの更新やサーバー選びにも広がります。ここでは、リスクの全体像を早見表で示したうえで、サポート終了の時期と、7.4 が多く残っている理由を2つの視点で解説します。

リスク	起きること	影響が出る時期
脆弱性に修正が出ない	新しい弱点が見つかっても開発元が直さない	2022年11月28日から続いている
プラグインを最新にできない	8.3 以上を求めるプラグインの新しい版に上げられない	すでに起きている
移れるサーバーが減る	新しいサーバーでは 7.4 を選べない	サーバーの移行・見直しのとき
WordPress の推奨から外れる	動くが「互換性のためだけ」の扱い	すでに起きている

※2026年10月時点・PHP 公式サイト・WordPress.org・各社公式サイトより

上記の4つのリスクは、どれも時間がたつほど大きくなります。

PHP 7.4 のサポートはいつ終わったか

PHP 7.4 のサポートは、2022年11月28日に終わりました。PHP 公式サイトによると、最後の版は 7.4.33 で、それ以降は開発元から修正が出ていません。

ほかのバージョンの期限は、以下のとおりです。

バージョン	開発元のサポート
PHP 7.4	2022年11月28日に終了（最後は 7.4.33）
PHP 8.0	2023年11月26日に終了
PHP 8.1	2025年12月31日に終了
PHP 8.2	2026年12月31日まで
PHP 8.3	2027年12月31日まで
PHP 8.4／8.5	2028年12月31日／2029年12月31日まで

※2026年10月時点・PHP 公式サイトより

PHP 公式は、サポートが終わったバージョンを使っている人は修正されていない脆弱性にさらされるおそれがあるとして、早めに上げるよう呼びかけています。年末に期限を迎える 8.2 を含めた全体の話は、以下の記事にまとめています。

あわせて読みたい
PHP 8.2 のサポート終了で中小企業のHPがやること

PHP 7.4 が多く残っている理由

PHP 7.4 は、サポートが終わった今も多くのサイトで使われています。WordPress の開発チームが2026年1月に公開した記事では、WordPress のサイトのうち PHP 7.4 で動いているのは 22.20% でした。

7.4 が残りやすいのは、サポートが終わっても表示は止まらず、困ったことが目に見えないためです。たとえば、制作会社に作ってもらってから誰も管理画面に入っていないサイトでは、PHP のバージョンを気にする人がいません。

ただし、表示が普通であることと、守られていることは別です。以下では、7.4 を使い続けると具体的に何が起きるかを解説します。

PHP 7.4 を使い続けると起きること4つ

PHP 7.4 を使い続けると、セキュリティ・更新・サーバー・推奨の4つの面で問題が出ます。どれもすぐにHPが止まる問題ではないため、気づかないうちに積み重なっていくのが特徴です。

いずれも、公式の発表やマニュアルで確かめられる事実です。ここでは、使い続けると起きることを4つ紹介します。

新しい脆弱性に開発元の修正が出ない

PHP 7.4 の最大のリスクは、新しい脆弱性に開発元の修正が出ないことです。開発元の PHP プロジェクトは、サポートが終わったバージョンに通常の修正版を出さないからです。

たとえば、2026年10月に公表された PHP 本体の重大な脆弱性でも、修正版が出たのは 8.2〜8.5 だけでした（詳しくは次の章で解説します）。

ただし、レンタルサーバーでは、サーバー会社が独自に修正を当てることがあります。それでも、手当てがあるかどうかは毎回サーバー会社しだいです。

プラグインやテーマを最新にできなくなる

PHP 7.4 のサイトでは、プラグインやテーマを最新にできなくなっていきます。新しい版のプラグインほど、新しい PHP を前提に作られているからです。

たとえば、問い合わせフォームのプラグイン Contact Form 7 は、2026年10月時点の WordPress.org のプラグインのページで、動く PHP を「8.3 以上」としています。7.4 のサイトでは新しい版に上げられず、古い版に脆弱性が見つかっても直せません。

ただし、すべてのプラグインが 8.3 以上を求めているわけではありません。自社で使っているプラグインの「必要な PHP バージョン」を、プラグインのページで確かめてください。

移れるサーバーが減っていく

PHP 7.4 のサイトは、移れるサーバーの選択肢が減っていきます。サーバー会社は、新しいサーバーほど古い PHP を選べないようにしているからです。

たとえば、ロリポップ！のマニュアル（2026年10月時点）では、新しい番号のサーバーで選べる PHP は 8.3・8.4・8.5 だけです。サーバーの値上げや契約の見直しで引っ越しを考えたとき、7.4 のサイトはそのまま移せないことがあります。

ただし、7.4 を選べるサーバーもまだあります。とはいえ、サーバー会社の提供方針は変わることがあるため、選べるうちに上げておくほうが安全です。

WordPress の推奨から外れたままになる

PHP 7.4 は、WordPress が動く範囲には入っていても、推奨からは外れています。WordPress.org の動作環境のページが PHP 8.3 以上を推奨し、7.4 などは公式のサポートが終わっていてサイトが脆弱性にさらされるおそれがあると書いているからです。

WordPress のサーバー向けの公式資料（ホスティングハンドブック）でも、7.4・8.0・8.1 は WordPress 7.1 で「後方互換性のためだけ」に対応していると説明されています。推奨の詳しい根拠は WordPress の推奨 PHP バージョン にまとめています。

PHP 7.4 と2026年10月の脆弱性（php2shell）

2026年10月21日、PHP 本体の重大な脆弱性が2件（CVE-2026-109618／109619、通称 php2shell）公表されました。ログインなしで外からプログラムを実行されるおそれがあるもので、PHP 7.4 を使い続けるリスクが現実になった出来事です。

国内でも、IPA と JPCERT/CC が2026年10月22日に注意喚起を出しています。ここでは、7.4 がどう扱われたかを2つに分けて解説します。

PHP 公式は 7.4 に修正版を出さなかった

PHP 公式は、php2shell の修正版を 8.5.12・8.4.27・8.3.36・8.2.35 の4つだけ公開しました。8.1 以前には PHP プロジェクトから更新を出さないと案内したからです。

PHP 公式の発表では、8.1 以前を使っている場合は OS の配布元や長期サポートの業者に修正があるか問い合わせるか、サポート中のバージョンへ上げるよう勧めています。あわせて、7.4・8.0・8.1 向けに最小限の修正コードも公開しました。

ただし、最小限の修正コードは、自分で PHP を組み立てる人向けのものです。レンタルサーバーの利用者が自分で当てるものではありません。

サーバー会社の手当ては次も続くとは限らない

今回は、多くのレンタルサーバー会社が PHP 7.4 にも独自に修正を当てました。ConoHa WING・さくらのレンタルサーバ・ロリポップ！などが、7.4 を含む全バージョンへの対応を発表しています。

一方で、ロリポップ！は報告の中で、PHP 8.1 以下への対策は応急的なもので、今後の脆弱性には修正が提供されない可能性があると明言しています。たとえば、次に同じような脆弱性が見つかったとき、7.4 のサイトが同じように守られる保証はありません。

各社の対応は、以下の記事にまとめています。

あわせて読みたい
PHP の脆弱性、レンタルサーバー各社の対応状況まとめ

自社のHPが PHP 7.4 か確かめる方法

自社のHPが PHP 7.4 かどうかは、WordPress の管理画面かサーバーの管理画面で確かめられます。どちらも確認するだけなら、設定は何も変わりません。

管理画面に入れない場合は、制作会社や保守会社に聞くのが近道です。ここでは、バージョンの見方と、状況をつかむチェック表を紹介します。

バージョンを見る

PHP のバージョンは、以下の3つのどれかで確かめます。

確かめる場所	見方
WordPress の管理画面	「ツール」→「サイトヘルス」→「情報」→「サーバー」の PHP のバージョン
サーバーの管理画面	各社の PHP の設定画面
制作会社・保守会社	「PHP のバージョンはいくつですか」と聞く

詳しい手順は 自社HPの PHP バージョンを確認する方法 にまとめています。サーバー会社ごとの画面は、各社のマニュアルの PHP の設定のページで確かめられます。

チェック表で状況をつかむ

バージョンが分かったら、以下のチェック表で自社の状況をつかみます。

チェック	当てはまる場合
PHP が 7.4（または 7.x・5.x）	本記事の対象。上げる計画を立てる
プラグインに「PHP のバージョンが必要」と出て更新できない	すでに更新が止まり始めている
HPを作ってから5年以上、大きな手入れをしていない	上げると崩れる可能性が高い。検証が必須
誰が管理しているか分からない	先に管理者とログイン情報をそろえる
サーバー会社の今回の対応を確かめていない	各社のお知らせで手当ての有無を確かめる

上記に1つでも当てはまれば、上げる準備を始める時期です。

PHP 7.4 から上げるときにやること【優先順位つき】

PHP 7.4 から上げる先は、PHP 8.3 以上が目安です。8.2 は2026年12月31日でサポートが終わるため、いま 8.2 に上げてもすぐに次の引き上げが必要になります。

7.4 から 8.x への引き上げは、8.2 から 8.3 のような小さな上げ方より崩れやすいのが特徴です。ここでは、崩れる理由を押さえたうえで、やることを優先順位の高い順に紹介します。

PHP 8.0 で何が変わったかを知る

PHP 7.4 から上げると崩れやすいのは、PHP 8.0 で古い書き方がエラーになる変更がいくつも入ったからです。PHP 公式のマニュアルには、互換性のない変更として次のような項目が載っています。

• each() と create_function() という古い命令の削除
• 数字と文字の比べ方の変更（「0 と文字列の比較」の結果が変わる）
• これまで警告だった一部の誤りが、処理を止めるエラーに変わった

古いテーマやプラグイン、制作会社の独自のプログラムが、上記の変更に引っかかります。どこまで影響するかは、サイトの作りしだいです。

【1】バックアップを取る

最初にやることは、サイト全体のバックアップです。崩れたときに PHP のバージョンを戻しても、途中で壊れたデータは元に戻らないからです。

たとえば WordPress なら、ファイルとデータベースの両方を保存します。バックアップは取るだけでなく、戻せるかを一度確かめておきます。

【2】WordPress 本体・テーマ・プラグインを上げられるところまで上げる

次に、7.4 のまま上げられるところまで、WordPress 本体・テーマ・プラグインを更新します。新しい版ほど PHP 8.x に対応しているからです。

ただし、制作会社が作った独自のテーマは、配布元の更新がありません。作った会社に、PHP 8.3 で動くかを確かめてください。

【3】更新が止まったプラグインを洗い出す

長く更新されていないプラグインは、PHP 8.x で動かない可能性が高いため、先に洗い出して代わりを探します。たとえば、プラグインのページで最終更新日と「必要な PHP バージョン」を見ます。

【4】確認用の環境で 8.3 以上を試す

本番を切り替える前に、確認用の環境（ステージング）で 8.3 以上にして試します。7.4 からの引き上げは崩れる可能性が高く、本番でいきなり試すと問い合わせや注文を取りこぼすからです。

たとえば、表示・問い合わせフォーム・管理画面での投稿の保存を、確認用の環境で一通り動かします。

【5】本番を切り替え、崩れたらすぐ戻す

確認用の環境で問題がなければ、本番を切り替えます。崩れた場合は、すぐ元のバージョンに戻して表示を復旧させてから、原因を調べます。

崩れたときの直し方は PHP を上げたらサイトが崩れたとき にまとめています。

なお、php.ini（PHP の動きを決める設定ファイル）の設定で攻撃をしにくくする方法もあります。ただし、PHP 公式はそうした緩和策は攻撃の経路を減らすだけで、環境を安全にするものではないと明記しています。

PHP 7.4 から自力で上げられないとき

PHP 7.4 のサイトは、作ってから何年も手を入れていないことが多く、どこが崩れるかは中を見ないと分かりません。作った会社と連絡が取れない場合に本番を自分で触るのは危険です。

上げる費用が作り直しと変わらないほどかかる場合は、移管や作り直しも選択肢になります。ここでは、相談を考えたい場面を整理します。

• 確認用の環境を作れる人がいない
• 制作会社と連絡が取れず、独自のプログラムか分からない
• 8.3 で動かないプラグインに代わりがない
• 直す費用の見積もりが作り直しと変わらない

移管と作り直しの判断のしかたは、移管で済む？ 作り直す？ にまとめています。

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。

まとめ

• PHP 7.4 は2022年11月28日にサポートが終わり、新しい脆弱性に開発元の修正が出ない
• 2026年10月の php2shell でも 7.4 に公式の修正版は出ず、サーバー会社の臨時の手当てに頼った
• プラグインの新しい版や新しいサーバーは 8.3 以上を求め始めていて、7.4 のサイトは選択肢が減っていく
• バックアップ → 部品の更新 → 確認用の環境で 8.3 以上を試す → 本番の切り替え、の順に進める

まずは管理画面で、自社のHPの PHP のバージョンを確かめてください。