- WordPressのサイトは、ドメイン、サーバー、PHP、WordPress本体、テーマ・プラグイン、バックアップなど、いくつかの層でできています。層ごとに更新する人が違います。
- PHP本体の更新は、共用レンタルサーバーなら主にサーバー会社、VPSやクラウドなら自社か自社が頼んだ会社の仕事です。WordPressやプラグインを更新しても、PHPは新しくなりません。
- 保守契約があっても、PHPの更新やバックアップの復元が範囲に入っているとは限りません。チェックリストの質問を制作会社とサーバー会社に送り、答えを1枚にまとめておきます。
- 緊急時に備えて、連絡先、止めるかどうかを決める人、夜間や休日の連絡手段を連絡表に書いておきます。
PHPの緊急更新で「誰がやるの？」となった理由
2026年10月21日、PHPの重大な脆弱性2件（php2shell）を直した修正版、PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35が公開されました。PHPプロジェクトは、すべての利用者にすぐ更新するよう呼びかけています［php.net］。脆弱性の中身は「php2shellとは」で説明しています。
同じ日、WordPress.orgも公式ニュースでこの件を取り上げました。要点は次のとおりです［WordPress.org News「Critical PHP Security Release」］。
- この脆弱性はWordPress固有のものではなく、PHPのアプリケーションを動かすすべてのサーバーが影響を受ける
- この件でWordPressの更新は必要なく、予定もない
- サーバー会社がすでにPHPの更新や、WAF（不正な通信を止める仕組み）のルールの追加を進めているかもしれないが、それでもサーバー会社の告知を確かめ、必要ならできるだけ早くPHPを更新する
- PHP 8.2より前のバージョンは、PHPプロジェクトのセキュリティ更新がもう出ない。自分でサーバーを管理していてこれらを使っている場合は、新しいPHPに上げる準備ができるまでサーバーを止めることも検討する
つまり、ふだんの「WordPressとプラグインを最新にする」保守だけでは、今回の問題は直りません。ここで「PHPは制作会社が見てくれていると思っていた」「サーバー会社がやるものだと思っていた」と、担当があいまいなことに気づいた会社も多かったはずです。この記事では、層ごとの担当を整理し、保守契約で確かめる項目をまとめます。
WordPressのサイトを形づくる8つの層
WordPressのサイトは、下の層の上に次の層が乗る形で動いています。どの層が古くなっても、サイトは危険になります。
| 層 | 中身 | 更新・管理の例 |
|---|---|---|
| ドメイン・DNS | サイトの住所（example.co.jp など）と、その住所をサーバーに結びつける設定 | ドメインの更新料の支払い、サーバーを移すときの設定変更 |
| SSL証明書 | 通信を暗号化し、URLを https にするための証明書 | 証明書の更新（期限が切れると警告が出る） |
| サーバー機器・OS | サイトのファイルを置くコンピューターと、その基本ソフト | OSのセキュリティ更新、機器の交換 |
| PHP | WordPressを動かすプログラミング言語の実行環境 | 修正版への更新、サポート中のバージョンへの切り替え |
| WordPress本体 | 管理画面や投稿の仕組みなど、WordPressそのもの | 新しいバージョンへの更新 |
| テーマ・プラグイン | 見た目（テーマ）と、フォームなどの追加機能（プラグイン） | 更新、使っていないものの削除、作った会社が更新をやめたものの入れ替え |
| バックアップ | データベース（投稿や設定）とファイルの控え | 定期的な取得、保管場所の分散、復元の練習 |
| 記事・管理画面の権限 | ページの中身と、管理画面に入れる人のアカウント | 記事の更新、退職者や取引終了先のアカウントの削除 |
PHPを使えるバージョンを決めるのはサーバー会社で、多くのサーバー会社は利用者が自分でバージョンを切り替えられるようにしています［WordPress.org「Update PHP」］。WordPress.orgが推奨しているのはPHP 8.3以上です。7.4以上でも動きますが、サポートが終わったバージョンはサイトを脆弱性にさらすおそれがあるとしています［WordPress.org「Requirements」］。
自動更新でまかなえる範囲
WordPressには自動更新の機能があります。WordPress本体の小さな更新（保守・セキュリティのリリース）は、多くのサイトで初めから自動更新が有効です。WordPress 5.6以降に新しく入れたサイトでは、大きなバージョンアップも自動更新が既定です［WordPress.org「Upgrading WordPress」］。テーマとプラグインは、WordPress 5.5から1つずつ自動更新を有効にできるようになりました。有効にしたものは、既定で1日2回確認されます［WordPress.org「Plugin and themes auto-updates」］。
ただし、自動更新が扱うのはWordPress本体、テーマ、プラグイン、翻訳ファイルです。PHPやサーバーのOSは対象外です。また、更新のあとに表示がおかしくなっていないかを見るのは人の仕事です。
サーバーの種類で担当が変わる
層ごとの担当は、サイトを置いているサーバーの種類で大きく変わります。
共用レンタルサーバー
1台のサーバーを多くの契約者で分けて使う形です。サーバー機器、OS、PHP本体の更新はサーバー会社が行うのが一般的です。一方で、管理画面でどのPHPのバージョンを選ぶかは契約者が決めます。8.1以前を選んだままだと、PHPプロジェクトからの修正版は出ません［php.net］。今使っているバージョンの確かめ方は「PHPのバージョンを確認する方法」、各社の告知は「レンタルサーバー各社の対応状況」にまとめています。
VPS・クラウド
サーバーを1台まるごと借りる形です。サーバー会社が受け持つのは主に機器と回線で、OSやPHPの更新は契約した側（自社か、自社が頼んだ保守会社）の仕事になるのが一般的です。誰も作業しなければ、PHPは古いまま残ります。WordPress.orgが「自分でサーバーを管理している場合はサーバーを止めることも検討する」と書いたのは、この形の利用者に向けた部分です［WordPress.org News］。
WordPress専用サーバー（マネージド）
WordPressを動かすことに絞ったサーバーで、サーバー会社がPHPやWordPress本体の更新、バックアップまで受け持つサービスもあります。どこまで受け持つかはサービスやプランごとに違います。「専用だから全部やってくれる」と考えず、利用規約やマニュアルで範囲を確かめてください。
制作会社がサーバーを契約し、その中に自社のサイトを置いている場合があります。この場合、サーバー会社からの告知は制作会社に届き、自社には届きません。PHPの切り替えも、契約者でないと管理画面から操作できません。
役割分担表（誰が実行し、誰が決めるか）
役割分担は、作業ごとに「実行する人」と「決める人」を分けて書くと抜けが見つかります。プロジェクト管理でよく使うRACI（実行・最終責任・相談・報告の4つに分ける書き方）を、中小企業向けに簡単にした表です。共用レンタルサーバーを使い、制作会社と保守契約を結んでいる場合を例にしています。
| 作業 | 自社 | 制作会社・保守会社 | サーバー会社 |
|---|---|---|---|
| PHP本体の修正版への更新 | 告知を確認 | 更新後の動作確認 | 実行 |
| PHPのバージョン切り替え（8.1→8.3など） | 決める（費用・時期） | 実行（事前の検証・修正） | 切り替えの機能を提供 |
| WordPress本体・プラグインの更新 | 報告を受ける | 実行 | － |
| バックアップの取得 | 保管場所を把握 | 実行 | 自動バックアップ（プランによる） |
| バックアップからの復元 | 決める | 実行 | 復元の機能・依頼窓口 |
| 緊急時にサイトを一時的に止める | 決める | 相談・実行 | 規約に基づいて止める場合あり |
| 管理画面のアカウントの見直し | 決める・実行 | 相談 | － |
| ドメイン・SSLの更新 | 決める（支払い） | 契約の範囲なら実行 | SSLの自動更新（機能がある場合） |
VPS・クラウドの場合は、「PHP本体の修正版への更新」の実行が、サーバー会社から自社または保守会社に移ります。この行が空欄になっていないかを最初に確かめてください。
表のうち、自社に残るのは「決める」役割です。サイトを止めるかどうか、費用をかけてPHPを切り替えるかどうかは、制作会社には決められません。社内で誰が決めるかも書いておきます。
保守契約チェックリスト（印刷用）
次の質問を制作会社・保守会社とサーバー会社に送り、答えを書き込んでおきます。答えが「分からない」「範囲外」でもかまいません。範囲外と分かれば、別に手当てできます。
制作会社・保守会社に聞くこと
- □ PHPの更新は誰がやるか。修正版への更新と、バージョンの切り替え（8.1から8.3など）のそれぞれについて
- □ PHPのバージョンを上げるときの検証（テスト用の環境での確認）と、動かない部分の修正は保守の範囲か。範囲外なら費用の目安
- □ WordPress本体・テーマ・プラグインの更新の方針。自動更新か手動か、どのくらいの頻度か、更新後に何を確認するか
- □ 作った会社が更新をやめたプラグインを見つけたとき、入れ替えの提案をしてくれるか
- □ バックアップの保管場所と取得の頻度。何世代分を残しているか
- □ 復元のテストをしたことがあるか。復元を頼んだら何時間くらいで戻せるか
- □ 管理画面に誰のアカウントがあり、どの権限か。制作会社のアカウントは何人分か
- □ 緊急時の連絡手段（電話・メール・チャット）と、夜間・休日に連絡がつくか
- □ 緊急時に、自社の許可なくサイトを止めてよいか。止める前に誰へ連絡するか
- □ 不正なファイルや改ざんが疑われるときの調査は保守の範囲か
- □ 月額の保守費用に入る作業と、別料金になる作業の線引き
- □ 契約が終わったとき、サーバー・ドメインの契約、管理画面のアカウント、バックアップをどう引き渡すか
サーバー会社に聞くこと（マニュアルや告知で確かめること）
- □ 契約者は誰か（自社か制作会社か）。告知メールはどのアドレスに届くか
- □ PHP本体の修正版への更新はサーバー会社が行うか。行う場合、どのバージョンが対象か
- □ 選べるPHPのバージョンと、古いバージョンの提供を終える予定
- □ 自動バックアップの有無、保存期間、復元の方法（自分で操作できるか、申し込みが必要か、費用がかかるか）
- □ 安全のためにサーバー会社がサイトを止めることがあるか。その場合の連絡方法
- □ SSL証明書は自動で更新されるか
- □ 障害や緊急メンテナンスの情報が載るページのURL
自社で用意しておくこと
- □ サイトの一覧（URL、作った会社、サーバー会社、ドメインの管理会社、契約者の名義）
- □ ドメインとサーバーの契約の更新日と支払い方法
- □ 管理画面のアカウントの一覧と、退職者や取引が終わった会社のアカウントの削除
- □ バックアップが手元（自社のパソコンやクラウドストレージ）にも1組あるか
- □ 緊急時にサイトを止めるかどうかを決める人と、その代わりの人
バックアップについて、WordPress.orgは、データベースとファイルの両方がないとサイトを元どおりに戻せないとしています。直近のバックアップを3〜5個、サーバー、クラウドストレージ、手元のパソコンなど別々の場所に置くことも勧めています。多くのサーバー会社がサーバー全体をバックアップしていますが、そこからサイトの控えを取り出してもらうには時間がかかる、とも書いています。自動バックアップがちゃんと取れているかを、ときどき手動のバックアップで確かめることも勧めています［WordPress.org「Backups」］。「バックアップがある」と「戻せる」は別の話なので、復元のテストは保守契約の質問に入れておきます。
管理画面の権限は、WordPressの標準で「管理者」「編集者」「投稿者」「寄稿者」「購読者」と、複数のサイトをまとめる場合の「特権管理者」の6つです。管理者は、そのサイトの管理機能をすべて使えます［WordPress.org「Roles and Capabilities」］。記事を書くだけの人には、管理者より狭い権限を割り当てます。
IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版では、はじめに取り組む項目に「バックアップを取ろう!」が加わり、自社診断の項目には「ウェブサイトを安全に運用する」が加わりました［IPA］。社内で点検するときの資料としても使えます。
緊急時の連絡フローの作り方
今回のPHPの件では、IPAが修正版の公開前に、PHPを使っているものの棚卸しと、公開後すぐに修正を当てる準備を呼びかけていました［IPA］。いざというときに「誰に連絡するか」「誰が止めると決めるか」を探していると、その分だけ対応が遅れます。次の3つの手順で連絡表を作っておきます。
- 窓口を1人決める：社内で、制作会社・サーバー会社とやり取りする人を1人決めます。代わりの人も決めておきます。
- 決める人を決める：サイトを止める、費用のかかる作業を頼む、といった判断を誰がするか決めます。窓口と同じ人でもかまいません。
- 夜間・休日の連絡手段を確かめる：制作会社・保守会社とサーバー会社のそれぞれについて、営業時間外に連絡がつく手段があるかを確かめ、表に書きます。
連絡表のひな形
| 項目 | 記入欄 |
|---|---|
| 対象サイト（URL） | |
| 社内の窓口（氏名・電話） | |
| 社内の窓口の代わり（氏名・電話） | |
| サイトを止めるかを決める人 | |
| 制作会社・保守会社（社名・担当・電話・メール） | |
| 制作会社・保守会社の夜間・休日の連絡手段 | |
| サーバー会社（社名・契約ID・契約者名義） | |
| サーバー会社の障害情報ページ（URL） | |
| ドメインの管理会社（社名・契約者名義） | |
| バックアップの保管場所 | |
| 最後に復元のテストをした日 |
最初の連絡の文面
緊急時に制作会社・保守会社へ送る最初の連絡は、短くてかまいません。【】の部分を書き換えて使ってください。
件名：【至急】【サイト名】のセキュリティ対応のご相談
【制作会社名】【担当者名】様
【自社名】の【氏名】です。
【脆弱性の名前や、公的機関の注意喚起の名前】について、下記のサイトへの影響と対応を確認させてください。
対象サイト：【URL】
1. 影響があるかどうか
2. 対応が必要な場合、誰が、いつまでに行うか
3. 対応が終わるまでサイトを止めるべきか
4. 保守契約の範囲か。範囲外なら費用の目安
本日の連絡先：【電話番号】（【時刻】まで対応できます）
サイトを止めるかどうかは【決める人の氏名】が判断します。
PHPの件に絞った、制作会社・サーバー会社・保守会社それぞれへの問い合わせ文面は「エンジニアがいない会社の対応」に載せています。
よくある質問
WordPressの自動更新を有効にしていれば、保守契約はいりませんか？
自動更新が扱うのはWordPress本体、テーマ、プラグイン、翻訳ファイルで、PHPやサーバーのOSは対象外です［WordPress.org「Upgrading WordPress」］。更新後の表示の確認、PHPのバージョンの切り替え、バックアップからの復元も、自動更新ではまかなえません。これらを自社でできるなら契約は必須ではありませんが、できないなら誰かに頼む必要があります。
保守契約書に「PHP」という言葉がありません
「サーバー保守」「セキュリティ対応」などの言葉にPHPの更新が含まれているかどうかは、書き方だけでは分かりません。チェックリストの1つ目の質問を送り、答えをメールで残してもらってください。
制作会社と連絡がつきません
サーバーの契約者が自社なら、PHPのバージョンの確認や切り替えは自社でもできます。手順は「WordPressのPHPバージョンアップ手順」で説明しています。契約者が制作会社の場合は、サーバー会社に事情を伝えて相談します。あわせて、別の保守会社を探すことも考えてください。
PHP 8.2はまだ使い続けて大丈夫ですか？
php.netでは、8.2のセキュリティサポートは2026年12月31日までです。8.3は2027年12月31日まで、8.4は2028年12月31日まで、8.5は2029年12月31日までです［php.net］。8.2を使っている場合は、年内に切り替える予定を保守会社と決めておくと安心です。
今のサイトの構成（サーバー、PHPのバージョン、プラグイン、バックアップ）を調べ、誰が何を受け持つかの整理からお手伝いします。PHPのバージョンアップやサーバーの引っ越しもお受けします。無料相談はこちら
参考にした情報
- WordPress.org News「Critical PHP Security Release」（2026年10月21日）
- WordPress.org「Requirements」 / 「Update PHP」 / 「Roles and Capabilities」 / 「Plugin and themes auto-updates」
- WordPress.org「Upgrading WordPress」 / 「Backups」
- php.net「Security advisory: Critical remote code execution vulnerabilities, update now」 / 「Supported Versions」
- IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」
- IPA「中小企業の情報セキュリティ対策ガイドライン」
