ホームページのセキュリティ対策は「バージョン管理」から｜PHP・WordPressを安全に更新するには？

• セキュリティ対策が必要なのはわかるけれど、何から始めればいいのかわからない
• WordPressの管理画面に『更新してください』と出ているけれど、押すのが怖い

そう感じている方も多いのではないでしょうか。

ホームページのセキュリティ対策にはさまざまな方法がありますが、私たちアライブが最初の一歩としておすすめしているのが、PHPやWordPressのバージョン管理です。

ただし、「とにかく最新版に上げればいい」というわけではありません。バージョンを上げることで、サイトに不具合が出ることもあるからです。

この記事では、なぜバージョン管理がセキュリティ対策の土台になるのか、どのバージョンを目指せばいいのか、そして不具合を防ぎながら安全に更新する進め方をご紹介します。

なぜ「バージョン管理」がセキュリティ対策の第一歩なのか

WordPressで作られたホームページは、主に次の4つの組み合わせで動いています。

• PHP：WordPressを動かしているプログラミング言語。サーバー側で設定されています
• WordPress本体：記事の更新やページ管理を行うCMS
• テーマ：サイトのデザインや表示を決めるもの
• プラグイン：ギャラリー機能やお問い合わせフォームなどの機能を追加するもの

どのソフトウェアにも、あとから「脆弱性（ぜいじゃくせい）」と呼ばれるセキュリティ上の弱点が見つかることがあります。脆弱性が見つかると、開発元が修正版を公開します。

ところが、修正版に更新していないサイトは、弱点が世の中に知られた状態のまま公開され続けることになります。攻撃する側は、公表された脆弱性を手がかりに、古いバージョンのまま放置されているサイトを機械的に探しています。

WAF（不正なアクセスを防ぐ仕組み）やCloudflareのように、サイトの「手前」で攻撃を防ぐ対策もあります。ただ、サイト本体に弱点が残っていれば、そこが入口になってしまいます。だからこそ、本体のバージョンを安全な状態に保つことが、すべての対策の土台になるのです。

目指すのは「最新版」ではなく「サポート期間内のバージョン」

「では、常に最新版にしておけばいいのか」というと、もちろん最新版であることが理想です。ただ、PHPやWordPress、プラグインの新しいバージョンは次々に公開されるため、すべてを常に最新に保ち続けるのは、多くの会社にとって現実的ではありません。

そこで私たちが考える最初の目標は、「脆弱性が見つかったときに、修正版が提供されるバージョンを使っていること」です。

PHPにはバージョンごとに「サポート期間」がある

PHPは、バージョンごとにセキュリティ修正が提供される期間が決まっています。この期間が終わると、新たな脆弱性が見つかっても修正版は提供されません。

2026年10月時点の、主なバージョンのセキュリティサポート期限は次のとおりです（出典：PHP公式サイト）。

注目していただきたいのは、PHP 8.2のサポートが2026年12月31日で終了することです。8.2を使っているサイトは、年内に8.3以降への移行を検討するタイミングです。8.1以前を使っている場合は、すでにサポートが終了しているため、早めの対応をおすすめします。

WordPressは「最新版のみ」が公式サポート

WordPressは、公式には最新版のみをサポートしています。古いバージョンにもセキュリティ修正が提供されることはありますが、これはあくまで「好意（courtesy）」によるものと説明されています（出典：WordPress公式サイト）。

また、WordPressが推奨するPHPのバージョンは、2026年10月時点で8.3以上です（出典：WordPress公式サイト）。

プラグインやテーマも同じです。開発が止まってしまったプラグインは、脆弱性が見つかっても修正されないことがあります。

まずは「サポート切れ」をなくすことから

すべてを一度に最新にしようとすると、作業も確認も大がかりになります。まずは、

1. サポートが終了した（または終了間近の）PHPを、サポート期間内のバージョンに上げる
2. 脆弱性が公表されているWordPress本体・プラグインを、修正済みのバージョンに更新する
3. 開発が止まったプラグインを、代わりのものに置き換える

という順番で、リスクの大きいところから対応していくのが現実的です。

バージョンを上げると、サイトに不具合が出ることもある

ここで、正直にお伝えしておきたいことがあります。バージョンを上げることには、サイトに不具合が出やすくなるというデメリットもあります。

新しいバージョンのPHPやWordPressでは、古いプログラムの書き方が使えなくなることがあります。そのため、更新した途端に次のようなことが起こる場合があります。

• ページが真っ白になる、エラーが表示される
• プラグインが動かなくなる
• デザインやレイアウトが崩れる
• お問い合わせフォームのメールが届かなくなる
• 管理画面で記事を更新できなくなる

特に、何年も更新していないサイトや、独自にカスタマイズしたテーマを使っているサイトは、一度に上げるバージョンの幅が大きくなるため、不具合が起きやすくなります。

「セキュリティのために更新したら、問い合わせフォームが止まっていた」となっては本末転倒です。いきなり本番のサイトで「更新」ボタンを押すのは避けましょう。

安全にバージョンを上げるための5つのステップ

不具合のリスクを抑えながら更新するために、次の流れで進めることをおすすめします。

1. 今のバージョンを確認する

WordPressの管理画面の「ツール」→「サイトヘルス」→「情報」で、WordPress本体・PHP・プラグインのバージョンを確認できます。レンタルサーバーの管理画面でも、PHPのバージョンを確認できます。

2. 期限と優先順位を決める

上の表と照らし合わせて、サポートが切れている、または切れそうなものから優先順位をつけます。

3. バックアップを取る

万が一に備えて、サイトのファイルとデータベースの両方をバックアップしておきます。不具合が出ても、更新前の状態に戻せるようにしておくことが大切です。

4. テスト環境で先に確認する

本番のサイトをコピーしたテスト環境で先に更新し、表示や機能に問題がないかを確認します。不具合が見つかった場合は、ここでプログラムを修正しておきます。

5. 本番で更新し、動作をチェックする

本番のサイトを更新したら、主要なページの表示、お問い合わせフォームの送信、管理画面での記事更新など、大切な機能が動いているかを確認します。

そして、バージョン管理は一度やれば終わりではありません。新しい脆弱性は日々見つかるため、定期的に確認と更新を続けることが欠かせません。

どうしてもバージョンを上げられないときは

古いテーマやプラグインが新しいPHPに対応していないなど、すぐに更新できないケースもあります。その場合は、

• プログラムを改修して、新しいバージョンに対応させる
• 対応しているプラグインに置き換える
• サイトのリニューアルを検討する

といった選択肢を、費用と期間を比べながら検討することになります。

なお、Cloudflareのようにサイトの手前で攻撃を防ぐ仕組みは、更新までの間の守りを強める手段にはなりますが、本体の弱点がなくなるわけではありません。根本的な解決には、やはりバージョンの更新が必要です。

Cloudflareについては、「今すぐホームページを「速く・安全」に！サイトの門番「Cloudflare（クラウドフレア）」とは？」でご紹介しています。

アライブの「セキュリティ保守プラン」

「バージョン管理が大切なのはわかったけれど、社内で続けるのは難しい」という企業様のために、アライブでは「セキュリティ保守プラン」をご用意しています。

プランの内容

• WordPressの更新：WordPress本体やプラグインを定期的に更新します（毎月または隔月）
• PHPのアップデート：サポート期間に合わせて、PHPのバージョンを上げます
• サイトのバックアップ：万が一に備えて、サイトのデータを保管します
• サイトの復旧対応：不具合や被害が起きたときに、サイトを元の状態に戻します

アライブはWeb制作会社として、サイトの作りを理解したうえで更新を行います。「更新したら表示が崩れた」「フォームが動かない」といった不具合のリスクを踏まえて対応できるのが、制作会社に保守を任せる強みです。

Cloudflareと組み合わせると、さらに安心

セキュリティ保守プランでサイトの「本体」を守り、Cloudflareでサイトの「手前」を守る。この2つを組み合わせることで、より安心してホームページを運用できます。

料金は、サイトの状況や更新の頻度に合わせてご提案します。まずはお気軽にご相談ください。

まとめ｜セキュリティ対策は、足元のバージョン管理から

• セキュリティ対策の第一歩は、PHPやWordPressのバージョンを安全な状態に保つこと
• 目指すのは「常に最新版」ではなく、まず「サポート期間内のバージョン」
• PHP 8.2のサポートは2026年12月31日で終了。8.2以前を使っているサイトは移行の検討を
• バージョンを上げると不具合が出ることもあるため、バックアップとテスト環境での確認が欠かせない
• 一度で終わりではなく、定期的な確認と更新を続けることが大切

ホームページへの攻撃は、会社の規模に関係なく起こります。被害にあってから慌てるのではなく、まずは自社のサイトが「どのバージョンで動いているか」を確認するところから始めてみてください。

よくある質問

Q. WordPressの自動更新をオンにしておけば大丈夫ですか？

A. 自動更新は便利ですが、それだけでは十分ではありません。PHPはサーバー側の設定のため、WordPressの自動更新では上がりません。また、自動で更新されたあとに不具合が起きても気づきにくいため、更新後の動作確認が大切です。

Q. PHPのバージョンはどこで確認できますか？

A. WordPressの管理画面の「ツール」→「サイトヘルス」→「情報」で確認できます。契約しているレンタルサーバーの管理画面でも確認できます。

Q. 更新すると、必ず不具合が出ますか？

A. 必ず出るわけではありません。ただ、長く更新していないサイトや、独自のカスタマイズが多いサイトほど起きやすくなります。事前にバックアップを取り、テスト環境で確認してから本番を更新することで、リスクを抑えられます。

▶ セキュリティ保守プランについて相談する

▶ 資料ダウンロード：WordPressを安全に使い続ける方法と、新しい構築技術の選び方

▶ サーバ管理サービスを見る