WordPressを古いPHPで動かし続けるとどうなる？3つのリスクと、安全にPHPを上げる手順

WordPressのサイトは、PHPが古いままでも、表示されているうちは問題がないように見えます。しかし、古いPHPで動かし続けると、セキュリティの危険が高まるだけでなく、WordPressやプラグインを更新できなくなるという問題が起きてきます。この記事では、そのリスクと、安全にPHPを上げる手順を説明します。

WordPressが求めるPHPのバージョン

WordPress公式の動作環境とサーバー環境の案内では、次のように示されています（2026年11月時点）。

項目	PHPのバージョン
推奨	PHP 8.3以上
WordPress 7.0・7.1の最低要件	PHP 7.4以上（WordPress 7.0で、7.2.24から引き上げ）
サポートが終わったPHP（7.4・8.0・8.1）	古いサイトのために動作はするが、セキュリティ上の危険があるとされている

つまり、WordPressは古いPHPでも「動く」ことはありますが、公式にはサポート中のPHP（8.2以降、できれば8.3以降）で使うことがすすめられています。今のサイトのPHPのバージョンは、管理画面の「ツール」→「サイトヘルス」→「情報」で確認できます（確認方法の詳細）。

古いPHPで動かし続ける3つのリスク

リスク1：PHP本体の脆弱性が直らない

サポートが終わったPHPには、新しく見つかった脆弱性の修正が出ません。WordPressやプラグインをどれだけ最新にしていても、その土台であるPHPに弱点が残ったままになります。2026年10月に見つかった脆弱性「php2shell」でも、公式の修正はPHP 8.2以降だけが対象でした（弊社の対応の記録）。

リスク2：WordPress本体を新しいバージョンに更新できなくなる

WordPressは、新しいバージョンになるたびに、必要なPHPのバージョンを少しずつ引き上げています。たとえばWordPress 7.0からは、PHP 7.4以上が必要になりました。PHP 7.3以前のサイトは、WordPress 7.0以降に更新できません。

WordPress本体の更新には、機能の追加だけでなく、セキュリティの修正も含まれます。本体を更新できない状態が続くと、WordPress自体の弱点も残りやすくなります。

リスク3：プラグインやテーマを更新できない・動かなくなる

プラグインやテーマにも、それぞれ必要なPHPのバージョンがあります。必要なバージョンより古いPHPのサイトでは、管理画面に「お使いのPHPのバージョンでは動作しません」といった表示が出て、新しいバージョンに更新できなくなります。

WordPressで見つかる脆弱性の多くは、本体ではなくプラグインやテーマのものです。プラグインを更新できない状態は、攻撃の入口を残したままにすることにつながります。

それでもPHPを上げられないのは、なぜか

「それなら上げればいい」と思っても、すぐには上げられない事情があることも少なくありません。

• 開発が止まったプラグインを使っていて、新しいPHPでエラーになる
• 制作会社が作った独自のテーマや機能が、古いPHPの書き方のままになっている
• サイトを作った会社と連絡が取れず、中身が分かる人がいない

こうしたサイトで、サーバーの管理画面からPHPだけを切り替えると、画面が真っ白になったり、エラーが出てお問い合わせフォームが使えなくなったりすることがあります。

安全にPHPを上げる手順

PHPを上げるときは、いきなり本番のサイトで切り替えず、次の順に進めると安全です。

1. バックアップを取る：ファイルとデータベースの両方。問題が起きたときに戻せるようにします。
2. WordPress本体・プラグイン・テーマを、今のPHPで更新できるところまで更新する：新しいバージョンほど、新しいPHPに対応していることが多いためです。
3. 使っていないプラグインを削除する：確認する範囲が減り、攻撃の入口も減ります。
4. テスト用の環境で、新しいPHPに切り替えて確かめる：本番と同じ内容のコピーを用意し、トップページ・お問い合わせフォーム・管理画面など、主な画面が動くかを確認します。
5. 動かない部分を直す：プラグインを別のものに替える、独自のテーマや機能を修正する、などの対応をします。
6. 本番のPHPを切り替え、すぐに表示と動作を確認する：問題があれば、すぐ元のバージョンに戻せるようにしておきます。

テスト用の環境が用意できない、エラーの原因が分からない、といった場合は、専門の会社に任せるほうが安全で、結果的に早く済むこともあります。

すぐに上げられないときは「延命」という方法も

改修に時間がかかる、予算の都合ですぐには進められない、という場合は、今のサイトをそのままに、セキュリティ修正を取り込んだPHP（延命PHP）で動かす方法があります。サポートの終わったPHPをそのまま使うより安全な状態で、改修の準備期間を確保できます。

ただし、延命PHPで防げるのはPHP本体の脆弱性です。WordPress本体やプラグインを更新できない問題は残るため、延命はあくまで改修までのつなぎと考えてください。

フォーザピープルにご相談ください

フォーザピープルでは、古いPHPで動くWordPressサイトのPHP対応の改修と、すぐに対応できない場合の「PHP延命ホスティング」（月額4,800円から・最短2営業日で移行）の両方に対応しています。どちらが合っているかは、サイトのURLを伺えば無料で確認します。

サイトを作った会社と連絡が取れない場合や、中身が分からない場合もご相談ください。お電話なら、技術者が直接お話を伺います。