PHPバージョンアップを後回しにする中小製造業サイトのリスク

「サイトは動いているから問題ない」と思いながら、PHP 8.1以前のバージョンを何年も放置している中小製造業・技術商社の担当者に向けて書いています。

WordPressで構築したBtoBサイトの場合、PHPのバージョンは社内のシステム担当者でなければ確認すら難しい項目です。しかし「動いている」と「安全に動いている」は別の話で、サポートが終了したPHPバージョンを使い続けることには、営業活動にも採用活動にも影響しうるリスクが存在します。

この記事では、PHPのサポート終了が何を意味するか、バージョンアップ時に何が壊れうるか、そして制作会社とどう役割分担して進めるかを、製造業の実例を交えながら整理します。

PHP バージョンアップとWordPressの関係を中小企業が知るべき理由

WordPressはPHPというプログラム言語の上で動くソフトウェアです。サーバー上でPHPが動き、その結果としてWebページが表示される、という構造になっています。WordPressを使っていても、土台のPHPが古ければ、家の基礎が劣化した状態で営業を続けているのと同じ状況です。

たとえば、産業用ベルトの商社A社（従業員40名・WordPressで製品カタログを公開）は、2022年に制作会社に依頼してサイトを作りましたが、その後保守契約を結ばなかったため、PHPバージョンの確認を3年間していませんでした。問い合わせフォームから怪しいデータが送信されるようになって初めて、PHP 7.4という2022年末にセキュリティサポートが終了したバージョンで動いていることに気づいた、というケースは珍しくありません。

サポート終了（EOL）後に脆弱性が修正されない理由

PHPの開発チームは、各バージョンに「アクティブサポート期間」と「セキュリティサポート期間」の2段階を設けています。セキュリティサポートが終了した状態（EOL：End of Life）になると、新たにセキュリティ上の欠陥（脆弱性）が発見されても、公式の修正プログラムは提供されません。

PHPのバージョン別のサポート終了時期は以下のとおりです（PHP公式サイトの情報をもとに整理）。

PHPバージョン	セキュリティサポート終了	現在の状態
7.4	2022年11月	EOL（修正なし）
8.0	2023年11月	EOL（修正なし）
8.1	2025年12月	セキュリティサポート中
8.2	2026年12月	アクティブサポート中
8.3	2027年12月	アクティブサポート中

注意すべきは「EOLになった瞬間に攻撃される」わけではない点です。しかし、時間の経過とともに未修正の脆弱性は公開情報として蓄積されます。攻撃者は古いバージョンの脆弱性一覧を参照しながらスキャンをかけるため、時間が経つほど標的にされやすくなります。問い合わせフォームの改ざん、スパムメールの踏み台利用、顧客情報の漏洩といった被害につながるリスクがあります。

BtoB企業の場合、取引先からサイトのセキュリティ状況を確認されるケースも増えています。「古いPHPを使っているサイトから見積依頼が来た」と取引先のIT担当者に気づかれれば、商談に影響することもあります。

バージョンアップでプラグインやテーマが壊れるリスクと回避手順

PHPをバージョンアップすれば問題解決、と単純ではありません。PHPの文法や処理の仕様は新しいバージョンで変更されることがあり、古い書き方に対応していないプラグインやテーマは、バージョンアップ後に正常に動かなくなる場合があります。

たとえば、樹脂成形メーカーB社のサイトでは、製品検索に使っていたプラグインがPHP 8.2に対応しておらず、バージョンアップ後に検索機能が白画面になりました。バックアップなしで本番環境に適用したため、復旧に丸1日かかったというケースがあります。

こうした事態を避けるための手順は以下のとおりです。

1. 現状の棚卸し：使用中のPHPバージョン・WordPressバージョン・プラグイン一覧を確認する。サーバー管理画面かWordPress管理画面で確認できる。
2. 互換性の確認：各プラグインの公式ページで「テスト済み最新バージョン」と「必要なPHP最低バージョン」を確認する。
3. ステージング環境での検証：本番とは別にテスト用の環境を用意し、そこでPHPバージョンを上げてサイトの表示・機能を確認する。
4. バックアップの取得：本番環境のファイルとデータベースを必ず取得してから作業に入る。
5. 段階的なバージョンアップ：7.4から8.3に一気に上げるのではなく、8.1→8.2→8.3と段階的に進めることでエラーの原因を特定しやすくする。
6. 本番への適用と動作確認：フォーム送信・製品ページの表示・管理画面の動作を一通り確認する。

制作会社と社内担当者の役割分担をどう決めるか

PHPバージョンアップは、サーバー設定・コード修正・テストと多岐にわたるため、社内担当者だけで進めるのは現実的でないケースがほとんどです。一方で、制作会社任せにするだけでも「いつ対応したか」「何を変えたか」が社内に残りません。

以下のように役割を分けると、後からのトラブル対応がしやすくなります。

• 社内担当者の役割：対応の優先度判断・承認・作業スケジュールの調整・作業後の動作確認（フォーム送信など業務側の確認）
• 制作会社の役割：PHPバージョンの確認・プラグイン互換性の調査・ステージング環境での検証・本番環境への適用・作業内容の記録と報告

金属切削部品メーカーC社では、年1回の保守レポートを制作会社が提出する契約に変更してから、PHPとWordPressのバージョン管理が社内で可視化されました。「対応が必要かどうか」の判断を社長や総務担当が自分でできるようになったことで、後回しにせず予算化するサイクルが生まれています。

保守契約がない場合でも、年1回程度の「サイト健康診断」として単発で依頼できる制作会社を探しておくことが、リスクを最小化するための現実的な選択肢です。

BtoB企業の技術発信と採用コンテンツを、制作から月次運用まで担当しています。まず現状のサイトを無料で診断します。