社会・くらし｜ITのきほん
PHPとは？しくみとWordPressとの関係、バージョン確認の方法
2026年10月21日、PHPに深刻度が最高ランクの欠陥が見つかり、修正版が緊急公開されました。ニュースで名前を聞いて「そもそもPHPって何？」と思った人も多いはずです。PHPは、ウェブサイトのサーバーの中でページをその場で組み立てるプログラミング言語。ブログやネットショップでおなじみのWordPressも、PHPの上で動いています。しくみ、歴史、なぜこれほど使われているのか、そして自分のサイトのPHPを確かめる方法まで、専門用語をできるだけ使わずに解説します。
この記事の結論
- PHPは、サーバーの中で動いて、ページをその場で組み立てるプログラミング言語です。見る人のブラウザに届くのは完成したHTMLだけで、PHPのコードそのものは見えません。
- WordPressはPHPで書かれたソフトです。WordPressを最新にしても、土台のPHPは別に新しくする必要があります。レンタルサーバーの場合、PHP本体を入れ替えるのはサーバー会社です。
- 始まりは1994年、ひとりのプログラマーが自分の履歴書の訪問者を数えるために作った小さな道具。いまはサーバー側の言語が分かるサイトの69.3%がPHPです（W3Techs）。
- 公式の修正が届くのはPHP 8.2〜8.5だけ。PHPサイトの約48.5%はすでにサポートが切れた版で、8.2が終わる2027年の年明けには約3分の2になる計算です（筆者集計）。
- WordPressなら、管理画面の「ツール→サイトヘルス→情報→サーバー」でPHPのバージョンが分かります。8.1以前なら、バックアップを取ったうえで8.3以上への切り替えを検討しましょう。
動画で見る｜PHPってなに？（約15分）
記者ずんだもんが4人の専門家に取材する形で、この記事の内容を解説しています（取材先は架空の設定です）。
分かるサイトのPHP比率
サポート切れの版（筆者集計）
（Personal Home Page Tools）
PHPのバージョン
PHPとは？サーバーでページを組み立てるプログラミング言語
PHP（ピーエイチピー）は、ウェブサイトを作るためのプログラミング言語です。公式サイトは「特にウェブ開発に向いた、広く使われている汎用のスクリプト言語」と紹介しています。最大の特徴は、見る人のスマホやパソコンではなく、ネットの向こうのサーバーで動くことです。
ページが表示されるまでの流れ
スマホでページを開くと、ブラウザがサーバーに「このページをください」とお願いします。サーバーは、HTMLという「ページの設計図」を送り返し、ブラウザはそれを読んで文字や画像を並べます。PHPが働くのは、サーバーがHTMLを送り返す前です。
| HTMLだけのページ | PHPで作るページ | |
|---|---|---|
| 作りかた | 1枚ずつ手で書いて置いておく | 見られるたびに、サーバーでその場で書き上げる |
| 見る人による違い | 誰が見ても同じ | 日付・ログインした人の名前・新着一覧などが変わる |
| ブラウザに届くもの | HTML | 完成したHTMLだけ（PHPのコードは見えない） |
| たとえ | 作り置きのお弁当 | 注文を聞いてから作る料理 |
たとえるなら、HTMLだけのページは「作り置きのお弁当」、PHPで作るページは「注文を聞いてから作る料理」です。PHPは厨房の料理人で、お客さんの席（ブラウザ）には、できあがった料理（HTML）だけが届きます。だからブラウザで「ページのソースを表示」しても、PHPのコードは見えません。
ブログの記事ページもPHPが毎回組み立てている
WordPressは、記事の文章を「データベース」という倉庫にしまっています。誰かが記事を開くたびに、PHPが倉庫から文章を取り出し、テーマの「ひな形」に流しこんでページを作ります。当サイトも公開記事は948本（2026年10月22日時点）ありますが、記事ページのひな形は共通です。実際には表示を速くするため、できあがったページを一時的に保存しておく「キャッシュ」も使われます。
PHPとWordPressの関係｜更新するのは誰？
WordPressは、PHPで書かれたソフトです。言いかえると、PHPはWordPressを動かしている土台です。ここを混同すると、「WordPressは最新にしているから安全」と思いこんでしまいます。
レンタルサーバーでサイトを運営している場合、サイトは次のような「層」でできていて、それぞれ新しくする人が違います。
| 層 | 中身 | 新しくする人 |
|---|---|---|
| 記事・商品 | ページの中身（文章・画像・商品情報） | サイトの運営者 |
| WordPress | WordPress本体・テーマ・プラグイン | サイトの運営者（管理画面） |
| PHP | WordPressを動かしている言語 | サーバー会社（運営者は版を選ぶ） |
| サーバー | 機械・OS（基本ソフト） | サーバー会社 |
WordPress本体やプラグインの更新は管理画面からできますが、PHPそのものを入れ替えるのはサーバー会社です。利用者にできるのは、サーバー会社の管理画面で「どのバージョンのPHPを使うか」を選ぶことまでです（多くのレンタルサーバーで切り替えられます）。
PHPの歴史｜1994年の個人の道具から世界の7割へ
PHPの公式サイトの「History of PHP」によると、PHPは大きな会社が作ったものではありません。
- 1994年ひとりのプログラマーの道具として誕生ラスマス・ラードフ氏が、ネットに載せた自分の履歴書に何人訪れたかを数えるために作った小さな道具が始まり。名前は「Personal Home Page Tools」で、その頭文字がPHPです。
- 1995年6月中身を公開ソースコードを誰でも使えるように公開。世界中の人が直したり機能を足したりするようになりました。
- 1998年6月PHP 3と名前の意味の変更イスラエルの大学でPHPを使っていたアンディ・ガトマンス氏とジーブ・スラスキ氏が中身を作り直し、PHP 3が誕生。名前は「PHP: Hypertext Preprocessor」になりました。頭のPの中にまたPHPが入っている「再帰的な略語」です。
- 2000年5月PHP 4（Zend Engine）ふたりの名前（ジーブとアンディ）からとった新しいエンジン「Zend Engine」を採用し、速くなりました。
- 2003〜04年WordPressやFacebookが登場2003年にWordPressがPHPで作られ、翌年に始まったFacebookの最初のプログラムもPHPで書かれていました。ウィキペディアのソフト（MediaWiki）もPHP製です。
- 2015年12月PHP 7で最大2倍速に公式によると、PHP 5.6と比べて最大2倍の速さになりました。PHP 6は計画が中止され、欠番になっています。
- 2020年〜PHP 8の時代2020年11月にPHP 8.0、2025年11月に最新のPHP 8.5が公開されました。次のPHP 8.6は2026年10月時点で試験版です。
PHPはなぜこんなに使われている？シェアは69.3%
ウェブの技術を調べている海外の調査サイトW3Techsによると、サーバー側で使っている言語が分かるサイトのうち69.3%がPHPです（2026年10月21日時点）。2位のJavaScript（8.1%）を大きく引き離しています。また、WordPressは世の中の全サイトの39.6%で使われています。
| 言語 | サーバー側の言語が分かるサイトに占める割合 |
|---|---|
| PHP | 69.3% |
| JavaScript（2位） | 8.1% |
ここまで広まった理由は、主に次の3つと言われます。
- 無料で使える：誰でも無償で使え、中身も公開されている
- 手軽に書ける：HTMLの中にそのまま書きこめるので、少しずつ覚えられる
- どこでも動く：安いレンタルサーバーのほとんどで、最初から使える
WordPressのような大きなソフトがPHPで作られたことも追い風になりました。「古い言語」と言われることもありますが、実際には見えないところでいちばん働いている言語です。
PHPのバージョンとサポート期限（2026年10月時点）
PHPには「8.3」「8.4」のような系列があり、系列ごとに公式のサポート期限があります。スマホのアップデートが古い機種から終わっていくのと同じで、期限を過ぎた系列には、欠陥が見つかっても公式の修正版が出ません。
| 系列 | 最新版（10月21日） | セキュリティ修正の期限 | 状態 |
|---|---|---|---|
| PHP 8.5 | 8.5.12 | 2029年12月31日 | サポート中 |
| PHP 8.4 | 8.4.27 | 2028年12月31日 | サポート中 |
| PHP 8.3 | 8.3.36 | 2027年12月31日 | サポート中 |
| PHP 8.2 | 8.2.35 | 2026年12月31日 | あと約2か月 |
| PHP 8.1以前 | — | 8.1は2025年12月31日に終了 | サポート終了 |
8.2は2026年12月31日でセキュリティ修正が終わります。8.1以前はすでにサポートが終了しています。
PHPサイトの約半分はサポート切れの古い版【独自集計】
W3Techsが公開しているバージョン別の割合（メジャー版の割合×系列内の割合）を掛け合わせ、公式のサポート期限と突き合わせました。対象は、外部からバージョンが分かったPHPサイトです。
緑＝サポート中／金＝2026年12月31日で終了／赤＝サポート終了。W3Techs（2026年10月21日）から筆者計算
公式サポート中の8.2〜8.5は合わせて51.5%で、48.5%はサポートが終わった版でした。最も多いのは7系の27.0%です。さらに8.2（18.1%）が年末で終わると、単純計算で約66.6%がサポート切れになります。
WordPressの公式統計でも、サポート切れの版で動いているWordPressは36.4%でした（2026年10月21日取得）。WordPressはPHP 8.3以上を推奨しています。
「サポート切れ＝必ず危ない」とは限らない
一部のサーバー会社やLinuxの配布元は、古い番号のPHPに独自の修正を当てて提供していることがあります。番号だけで安全・危険は決まりません。ただ、公式の修正版が出ない以上、手当てされるかどうかは提供元しだいです。
2026年10月の重大な脆弱性で何があった？
2026年10月21日（日本時間23時）、PHPの開発チームは深刻度9.2（10点満点）の欠陥2件を直す修正版PHP 8.5.12／8.4.27／8.3.36／8.2.35を公開しました。外から送られたリクエストだけで、ログインなしにサーバー上でプログラムを動かされるおそれがある種類の欠陥です。
公式の説明を要約すると、1件目はメモリが足りなくなって処理が途中で止まったとき、作りかけのデータを正しいものとして後片付けしてしまう欠陥、2件目は片付けたはずの内部の情報が残り、次のリクエストの処理で使われてしまう欠陥です。8.1以前は公式の更新対象外ですが、深刻さを理由に7.4〜8.1向けに最小限の修正が例外的に用意されました。
WordPressの更新だけでは直らない
この欠陥はPHP本体にあるため、WordPressやプラグインを更新しても直りません。サーバーのPHPが修正版に入れ替わる必要があります。過去のPHPの重大な欠陥では、修正版の公開から2〜7日で悪用が報告された例があります。
経緯や各社の対応、過去の悪用例はPHPの重大な脆弱性php2shellとは？修正版はいつ、何をすべきかで詳しくまとめています。
WordPressのPHPバージョンを確認・更新する方法
レンタルサーバーでWordPressを使っている人は、次の順番で確認しましょう。
- サイトヘルスでバージョンを見る：WordPressの管理画面で「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開くと、PHPのバージョンが表示されます。サーバー会社の管理画面でも確認できます。
- サーバー会社のお知らせを確認する：PHPそのものを修正版に入れ替えるのはサーバー会社です。メンテナンスの予定や、利用者がやるべき操作がないかを公式のお知らせで確かめます。
- 8.1以前なら8.3以上へ切り替える：多くのレンタルサーバーでは管理画面で選ぶだけですが、古いテーマやプラグインが動かなくなることがあります。先にバックアップを取り、プラグインとテーマを最新にしてから切り替え、元に戻せる準備をしておきましょう。
- 反映後にもう一度確かめる：サイトヘルスで番号が新しくなったか、サイトの表示がおかしくないかを確認します。
自分でサーバーを管理している場合
OSのパッケージでPHPを入れているなら、配布元の更新が出しだい適用します。PHPを使っているシステムを洗い出し、更新後の動作確認の手順を決めておくことも大切です（IPAの呼びかけ）。
PHPについてよくある質問
Q. PHPとは何ですか？
A. ウェブサイトのサーバーの中で動き、ページをその場で組み立てるプログラミング言語です。ブラウザに届くのは完成したHTMLだけで、PHPのコードは見る人からは見えません。
Q. PHPは何の略ですか？
A. 1994年の最初の名前は「Personal Home Page Tools」の略でした。1998年のPHP 3からは「PHP: Hypertext Preprocessor」の略とされ、頭のPの中にまたPHPが入っている「再帰的な略語」になっています。
Q. PHPとHTMLの違いは何ですか？
A. HTMLはページの設計図そのもので、ブラウザが読んで表示します。PHPはサーバーの中でそのHTMLを、見られるたびにその場で書き上げるプログラムです。日付やログインした人の名前、新着記事の一覧など、見るたびに変わる部分をPHPが作ります。
Q. PHPはもう古くて使われていないのですか？
A. いいえ。W3Techsによると、サーバー側の言語が分かるサイトの69.3%がPHPです（2026年10月21日時点）。WordPressもPHPで動いています。2025年11月には最新のPHP 8.5が公開されました。
Q. WordPressのPHPのバージョンはどこで確認できますか？
A. 管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」で確認できます。契約しているサーバー会社の管理画面でも確認できます。
Q. PHPはどのバージョンを使えばいいですか？
A. 公式の修正が届くのは2026年10月時点で8.2〜8.5です。8.2は2026年12月31日で終わるため、WordPressが推奨する8.3以上が目安です。切り替える前にバックアップを取り、テーマとプラグインを最新にしておきましょう。
まとめ
PHPは、世界のウェブサイトの約7割でページを組み立てている「見えない料理人」です。見る人からは見えず、WordPressを更新しても新しくならないため、自分から見に行かないと古いままになりがちです。2026年10月の重大な脆弱性をきっかけに、まずはサイトヘルスで自分のサイトのPHPのバージョンを確かめてみましょう。
あわせて読みたい
参考資料
- The PHP Group：PHPの歴史（History of PHP）／Supported Versions／News Archive 2026（2026年10月21日のセキュリティアドバイザリ）
- W3Techs：Usage statistics of PHP for websites（2026年10月21日）
- WordPress.org：Requirements／Site Health Screen
- IPA：【事前準備のお願い】PHPのセキュリティリリース公開予定について（2026年10月21日）
バージョン別の割合（サポート切れ48.5%・年明けの約66.6%）は、W3Techsのメジャー版の割合と系列内の割合を掛け合わせて筆者が計算したものです。外部からバージョンが分かったサイトのみが対象で、0.1%未満の版は除いています。
コメント