PHPバージョンを3年目にしなかったサイトで起こること

画面は遠いですが、バージョンだけが停止しています

ホームページが昨日と同じように開かれるので、サーバー内で何が止まっているのかは外から見えません。 PHPのバージョンはそうです。バージョンが古くても画面が遅くならずエラーも出ないので、担当者が変わる間、確認対象から静かに抜けます。

そこで、他人の調査を引用せずに直接数えてみました。BlueCanvas レビューアーカイブに対象サイトアドレスが残っている641箇所に順番に接続し、サーバが自ら貼り付けた送信ヘッダの X-Powered-By と Server 読んだだけです。脆弱性を突き刺す試みは行っておらず、最初の画面を一度受けたのがすべてです。 615件の回答

バージョンを明らかにした26のうち22がサポート終了

レスポンスヘッダにPHPバージョンがそのまま書かれていたところは 26か所でした。その中でセキュリティサポートが残っているバージョンは4つだけで、残りの22ヶ所はすでにサポート済みのバージョンでした。

表に少なくない5.3一箇所、7.1一箇所、7.2二箇所、8.1一箇所まで加えると26ヶ所になります。支援が終わった22か所のうち 21か所は終了日から3年以上経っており、最も古いところは2011年に終わった5.2.17でした。

サポート終了は修正しないことを意味します

セキュリティサポートが終了したということは、パフォーマンスが少し低下するという意味ではありません。新しい脆弱性が発見されても そのバージョンの修正はもはやありません。という意味です。 PHPの公式サポートポリシーに書かれています。

攻撃する側から見ると、バージョン番号は、どの脆弱性が残っているかを示すリストと同じです。画面をいくら新しくしても、その下で回るバージョンがそのままであれば条件は変わりません。

バージョンを隠したところが5倍以上多かった

今回の測定でもう一つ確認しました。クッキーと最終アドレス、レスポンスヘッダで見てPHPで回ることが確認されたところは 157スポットでしたが、バージョンまで読んだところは26ヶ所だけでした。残り 131スポットはバージョン番号をエクスポートしない設定（expose_php = Off）でした。

この設定は自動的に見て回るリストから抜けてくれるので、オンにしたほうが良いです。ただ 隠すことと上げるのは違うことです。 番号を隠してもサーバーに残っている脆弱性はそのまま残ります。だから今回の数字は「数パーセントが危険だ」ではなく、「バージョンをあらわしたところがいくつか、そのうちのいくつがサポート終了だった」までしか言いません。

30秒で確認できます

1. ブラウザで F12 を押して開発者ツールを開きます。
2. ネットワークタブを開き、更新してから、一番上の文書要求を選択します。
3. 右 応答ヘッダーから x-powered-by: PHP/7.4.33 のように書かれた行を探します。
4. その行がない場合はサーバーに接続してください。 php -v 1行で確認してください。

バージョンを確認したら PHP公式サポートバージョン表と対照してみてください。終了日がすでに前のバージョンである場合は、アップロードする予定を取得する必要があります。

上げるときは順序を守らなければなりません

1. 今バージョンを書き留めます。 応答ヘッダー php -v で確認した値をそのまま記録します。
2. 互換性を最初に確認してください。 CMSとプラグイン、ライブラリが必要とするバージョンを合わせてみてください。
3. レプリカで最初にアップロードします。 同じ構成のコピーを作成し、エラーをキャッチします。
4. それからシルサーバーを上げる、バージョンを隠す設定は最後にオンになります。

3番目のステップをスキップしてシルサーバーから上げると、元に戻すことはできません。バージョンが大きくなるほど、古い関数が消えて画面がフリーズすることがありますので、レプリカで一度行く時間が最終的に最短です。

PHPのバージョンだけが問題になることはまれです。 ホームページがハッキングされたか10秒で確認する方法と 証明書の確認を一緒に確認すると、サーバーの状態をおおよそ把握できます。

測定は2026年8月30日に行われました。特定の会社を指さないように、画面と本文のドメインはすべて example.com に置き換えて書き留め、ヘッダ値だけを測定から出たまま書きました。