PHP 7.1を使っているだけで、すぐに攻撃されたり、マルウェアに感染したりするわけではありません。ただし、セキュリティ修正が届かない実行環境を、そのまま公開し続けることは大きなリスクです。
PHP 7.1のリスクは「1つの脆弱性」ではなく、サポート終了後に修正が提供されないことです。バックアップとテストを行い、ホスティング会社が提供するサポート対象のPHPへ更新してください。
PHP 7.1の脆弱性と一言で言えない理由
PHPは、WordPressやECサイト、問い合わせフォームなどを動かすためのプログラム言語です。PHP本体に脆弱性が見つかると、通常は修正版が公開されます。しかし、サポートが終了したバージョンには、新しい修正版が提供されません。
PHP 7.1の最後のリリースは7.1.33です。その後、PHP 7.1向けのセキュリティ修正は提供されていません。つまり、PHP 7.1のリスクは「1つの脆弱性」ではなく、サポート切れの環境を維持すること全体にあります。
- 新しい脆弱性が修正されない
- 古いライブラリやプラグインとの組み合わせが危ない
- ホスティング会社のサポート対象外になることがある
- 新しいWordPressやプラグインが動作しないことがある
PHP 7.1の何が危ないのか
セキュリティ修正が届かない
サポート終了後に見つかった脆弱性は、PHP 7.1向けに修正されません。インターネット上の攻撃は自動化されていることがあり、古いソフトウェアを探して既知の弱点を試す攻撃は日々行われています。
WordPressやプラグインの足を引っ張る
WordPress本体やプラグインは、新しいPHPバージョンを前提に開発が進みます。PHP 7.1のままだと、新しいWordPressに更新できない、プラグインが動作しない、セキュリティ修正を含む更新ができない、といった問題が起きやすくなります。
どんなサイトが影響を受けるのか
PHP 7.1は、WordPressサイト、ブログ、問い合わせフォームのある企業サイト、ECサイト、予約サイト、古い独自システム、制作会社が過去に納品したサイトなどで使われてきました。
サイトの所有者だけでなく、制作会社、運用担当者、サーバー管理者、EC事業者も影響を受けます。「サイトは問題なく表示されているから大丈夫」とは限りません。見た目が正常でも、実行環境がサポート切れのまま残っていることがあります。
利用中のPHPバージョンを確認する方法
多くのレンタルサーバーでは、管理画面の「PHP設定」「PHPバージョン」「PHP Ver.切替」「言語のバージョン設定」「MultiPHP Manager」「Select PHP Version」などから確認できます。
WordPressの管理画面では、「ツール → サイトヘルス → 情報 → サーバー」でPHPバージョンを確認できる場合があります。管理画面に入れない場合は、制作会社やホスティング会社に確認を依頼してください。
確認のためにphpinfo()を公開ページに置くのは避けてください。サーバー情報を攻撃者に与える可能性があります。
無料スキャンでわかること・わからないこと
PHPのバージョンがHTTPレスポンスのX-Powered-Byヘッダーなどに表示されている場合、公開情報から手がかりが得られることがあります。ただし、バージョンが隠されている場合は、外部からのスキャンだけでは特定できません。
無料の基本スキャンでは、公開情報から見えるPHP・サーバーの手がかり、WordPressや公開ファイルの状態、TLS証明書、セキュリティヘッダーなどを確認し、スコア、リスク判定、カテゴリ別の優先度を表示します。
一方で、公開情報に表示されない正確なPHPバージョン、php.iniなどのサーバー設定、独自コードの脆弱性、データベースの状態、マルウェア感染、実際に攻撃が成功するかどうかはわかりません。PHP 7.1が検出されなかったからといって、安全とは限りません。
PHPを更新するときの手順
- バックアップを取る。ファイルとデータベースをバックアップし、可能なら復元も確認します。
- ステージング環境を用意する。本番環境を直接変更する前に、コピーした環境で新しいPHPを試します。
- プラグイン・テーマの対応状況を確認する。WordPress本体、プラグイン、テーマが新しいPHPに対応しているか確認します。
- PHPを更新する。2026年10月時点では、PHP 8.3または8.4を第一候補にし、ホスティング会社とプラグインの対応状況を確認します。PHP 8.1は2025年末にセキュリティサポートが終了しています。
- 表示と機能を確認する。トップページ、下層ページ、画像、フォーム、会員ログイン、ECのカート・決済、メール通知、管理画面、予約・検索機能を確認します。
- 問題があれば戻せるようにする。元のPHPバージョンに戻せるか、バックアップから復元できるかを確認します。
PHPを更新できないときの選択肢
ホスティング会社がPHP 7.1しか提供していない場合は、更新できない理由を確認します。ホスティング会社に新しいPHPへの変更を依頼する、サポートされているPHPを提供するサーバーへ移行する、制作会社に移行作業を依頼する、といった選択肢があります。
WAF（Web Application Firewall）や不要な関数の無効化は、攻撃の影響を減らす助けになることはあります。ただし、サポート終了したPHPそのものを安全にするものではありません。根本的な対策は、サポートされているPHPへの更新です。
サイトがすでに改ざんされている可能性がある場合
不審なリンク、見覚えのない管理ユーザー、検索結果の変化などがある場合は、PHPの更新だけで解決しようとしないでください。まず証拠を保存し、管理者、制作会社、ホスティング会社に連絡します。
本サービスは、マルウェアの除去、改ざんの復旧、フォレンジック調査を行いません。被害が疑われる場合は、専門家やホスティング会社に相談してください。
よくある質問
PHP 7.1には、特定の危険な脆弱性があるのですか？
特定の1つの脆弱性がある、というわけではありません。PHP 7.1のセキュリティサポートが終了しており、その後見つかった脆弱性が修正されないことが問題です。
PHP 7.1のままでもサイトが動いています。大丈夫ですか？
いいえ。動作していることと、安全であることは別です。サポート終了後はセキュリティ修正を受け取れません。更新を検討してください。
PHPのバージョンはどうやって確認しますか？
ホスティング会社の管理画面、WordPressのサイトヘルス、制作会社・サーバー管理者への確認が確実です。phpinfo()を公開ページに設置するのは避けてください。
PHPを更新するとサイトが壊れませんか？
互換性の問題で表示や機能が変わる可能性はあります。バックアップとステージング環境を用意し、更新後に表示、フォーム、決済、メールを確認してください。
無料スキャンでPHP 7.1か必ずわかりますか？
いいえ。PHPのバージョンが公開情報から隠されている場合は特定できません。スキャン結果だけで判断せず、管理画面やホスティング会社にも確認してください。
まとめ
PHP 7.1のリスクは、特定の1つの脆弱性ではなく、サポート終了した環境を公開し続けることにあります。まずは、自分のサイトがどのPHPで動いているのか確認してください。