この記事の要点：PHPの重大な脆弱性では、7系・8.0・8.1などの古いバージョンは本体の更新対象外とされました。古いPHPで動くホームページや業務システムを抱える会社・医院が、今から取れる現実的な選択肢を整理します。
PHPの重大な脆弱性で、特に対応が難しいのが「サポートが終わった古いバージョンを使っているシステム」です。IPAも事前の注意喚起で、サポート終了の古いPHPを使い続けているサイトやサービスが見受けられると触れています。
何が問題なのか
今回の修正版は、PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35です。8.1以前については本体の更新が出ず、7.4・8.0・8.1向けに最小限のパッチが提供されたと報じられています。それ以前のバージョンは、そもそも公式の修正の対象外になりえます。
古いPHPを使っているシステムには、こんな事情があることが多いはずです。
- 数年前に制作会社が作ったきり、中身を誰も把握していない
- 新しいバージョンに上げたら動かなくなるかもしれず、手をつけにくい
- 制作会社が廃業している、あるいは担当者が代わっている
現実的な選択肢は4つ
私が相談を受けるときは、次の4つに整理してお伝えしています。
- サーバー・OS提供元のパッチを確認する：LinuxディストリビューションやLTS（長期サポート）の提供元が、古いPHP向けに修正を出している場合があります
- 仮想パッチを使う：WAF（Webアプリケーションファイアウォール）などで、攻撃を入り口で防ぐ方法です。ただし、これは補完的な対策です
- PHPをサポート中のバージョンに上げる：基本の解決策です。事前に動作確認とバックアップが必要です
- 作り直す、または仕組みを変える：古い仕組みの延命に費用をかけ続けるより、作り直したほうが総額が下がることもあります
「作り直す」の判断ポイント
次の質問に「はい」が多いなら、作り直しを検討する時期です。
- 更新できる人が社内にも外部にもいない
- 毎年のように、セキュリティの話題のたびに不安になる
- 機能の多くが、今は使われていない
- 保存している個人情報が多い
業務システムなら「DX化」の機会にもなる
予約管理や顧客管理など、PHPで作られた業務システムの場合は、単なる延命ではなく、業務そのものを見直す機会にもなります。リシンプルでは、AIを活用した業務システムの構築（DX化）をお手伝いしています。「今のシステムを、そのまま新しい環境へ移せるか」「いっそ別の形にしたほうがよいか」といった整理からご相談いただけます。
費用と期間について
作り直しの費用は、機能の数や保存データの量で大きく変わるため、ここで目安の金額はお伝えできません。まずは現状の棚卸しをして、「残すもの」「やめるもの」を分けるところから始めるのがおすすめです。
前回までの記事：PHPの重大な脆弱性とは？／WordPressのサイトは大丈夫？／PHPの脆弱性情報が公表前に漏れた件
参考にした情報
よくある質問
古いPHPのままでも、修正されないのですか？
PHPプロジェクトは8.1以前の本体更新を出さず、7.4・8.0・8.1向けに最小限のパッチ（ソースコードの修正）を提供したと報じられています。実際に適用できるかは、利用しているサーバーやOSの提供元に確認が必要です。
PHPのバージョンを上げれば解決しますか？
サポート中のバージョンへ上げることが基本の解決策です。ただし、古い作りのプログラムは新しいバージョンで動かないことがあるため、事前の動作確認が必要です。