PHP直書きサイトの保守問題とは？放置のリスクと3つの選択肢
サイトを作った会社と、今も連絡は取れていますか？PHPで直接書かれたサイトなら、一度確かめていただきたいことがあります。
もう何年も連絡していません。PHPで直接書かれた、それってどういう意味ですか？
WordPressのような既製の土台を使わず、一から手作りされたサイトです。家でいえば、図面の残っていない注文住宅にあたります。
うちのサイトがそうかもしれません。まだ普通に動いているのですが、大丈夫なのでしょうか。
PHP直書きサイトの保守問題は、サイトの中に更新の通知がなく、PHPのバージョンを上げると動かなくなることがあり、直すにも調査から始まる点です。W3Techsの調査では、PHPで動くサイトの半数近くが、開発元の修正が終わった8.1以前で動いています。まずバージョンと機能を確かめ、続ける、減らす、作り直すの3つから選びましょう。
はじめに
「うちのサイトはWordPressではないらしい」「作った会社とは、もう連絡を取っていない」。2026年10月のPHPの脆弱性（攻撃に悪用されうる弱点）のニュースをきっかけに、こうした不安を抱えた方も多いでしょう。世の中の対処法はWordPress向けが多く、自社に当てはまるのか分からない。そう感じるのは自然なことです。
結論からお伝えすると、PHPで直接書かれたサイトの保守問題は、サイトの中に更新を知らせる仕組みがなく、直すにも調査から始まることです。今も表示されているかどうかは、安全の目安になりません。
本記事では、見分け方、保守で起きる4つの問題、3つの選択肢、依頼前の準備を順に解説します。WordPress以外で作られたサイトをお持ちの経営者やWeb担当者の方に向けた内容です。
PHP直書きサイトとは何か
まずは言葉の意味と、自社のサイトが当てはまるかどうかを整理します。
WordPressとの違いは「規格品の部品があるか」
PHPとは、お問い合わせフォームや会員ログインなどの機能を作るプログラムの言語です。PHP直書きサイトとは、WordPressのような既製の土台を使わず、制作者がプログラムを一から書いたサイトです。
家づくりにたとえると、WordPressは規格の決まった部材で建てる家です。PHP直書きサイトは、職人が部材から手作りした注文住宅にあたります。自由に作れる反面、同じ部材はお店に売っていません。直すときは、作りを調べるところから始まります。
直書きそのものが悪いわけではありません。INTERNET Watchの解説記事は、大切なのはPHPかどうかではなく、関わり続ける人がいるかどうかだと述べています。同じことは直書きにも当てはまります。問題になるのは、書いた人が離れたあと、誰も関わっていないサイトです。
自社のサイトがどちらか見分ける方法
次の3つが、専門知識がなくても確かめられる目安です。
- パソコンでページを右クリックして「ページのソースを表示」を開き、Ctrlキー＋F（Macはcommandキー＋F）で「wp-content」を検索しても見つからない
- サイトのURLの後ろに「/wp-admin/」を付けて開いても、WordPressのログイン画面が出ない
- ページのURLの末尾が「.php」になっている
1と2に当てはまれば、WordPressではない可能性が高いといえます。ログイン画面を隠しているWordPressもあり、末尾が「.php」でなくてもPHPのサイトはあるため、どれも目安です。当時の見積書や契約書に「独自開発」「スクラッチ」「独自CMS」といった言葉がないかも確かめましょう。HTMLだけで作られたサイトなら、PHPの心配はいりません。判断がつかなければ、専門家に見てもらうのが確実です。
PHP直書きサイトの保守で起きる4つの問題
手作りのサイトには、WordPressにはない難しさがあります。代表的なものは次の4つです。
更新の通知もボタンもない
WordPressなら、管理画面に更新の案内が出て、ボタンひとつで本体やプラグインを更新できます。本体の軽微な更新は、自動で当たる仕組みもあります。PHP直書きサイトには、こうした仕組みがありません。
メーカーの点検案内が届かない家のようなものです。自分から確かめに行かない限り、サイトが古くなったことに社内の誰も気づきません。サーバー会社から提供終了の案内が届くこともありますが、届くのは契約者のメールです。制作会社の名義や退職者のアドレスのままだと、誰も読まないまま切り替え日を迎えます。
PHPのバージョンはサイトの中では見られないため、サーバー会社の管理画面で確かめるか、管理している人に聞きます。
PHPのバージョンを上げると動かなくなる
PHPは、新しいバージョンで古い書き方を廃止していきます。開発元の資料によると、PHP 7.0ではデータベースとつなぐ古い命令群などが削除されました。PHP 8.0でも、一部の命令が削除されています。こうした命令を使っているサイトは、バージョンを上げたとたんにエラーで止まることがあります。
さらに、サーバー会社によっては、古いバージョンの提供を終えると自動で別のバージョンに切り替わり（提供方針の例）、ある日突然止まる場合もあります。直書きのサイトでは、新しいバージョンに合わせて直す相手は、サイトのプログラムそのものです。何年分も放置するほど、直す量も増えていきます。
安全対策の出来が書いた人次第になる
IPA（情報処理推進機構）の「安全なウェブサイトの作り方」は、11種類の弱点を取り上げています。たとえば、入力欄に細工をしてデータベースを不正に操作する「SQLインジェクション」です。
WordPressなら、本体の弱点は開発チームが直して配布します（プラグインの分は別に気を配る必要があります）。一方、直書きのサイトの対策は、書いた人の知識と、書いた時点の常識で止まっています。玄関の鍵が今も十分かどうかは、中のプログラムを読むまで分かりません。
書いた人がいなくなると調査から始まる
仕様書が残っていないサイトでは、別の人が引き継ぐとき、プログラムを読んで作りを調べることになります。図面のない家をリフォームするようなもので、壁を開けるまで配管の位置は分かりません。
そのため、費用と期間は事前に読みにくくなります。たとえば、1か所を直したら、別の画面が動かなくなることもあります。別の会社に相談して「まず中を見せてください」と言われるのは、この事情があるからです。
「小さなサイトだから狙われない」は誤解
「有名なサイトでもないし、独自のプログラムだから狙われにくいはず」。そう考える方もいますが、これは誤解です。なぜなら、攻撃の下調べは不特定多数を相手に行われているからです。警察庁の報告によると、弱点を探すなどの不審なアクセスは、2025年に1日・1つのIPアドレス（ネット上の住所）当たり約9,600件検知されました。公開中のサイトは、常に探られていると考えるのが現実的です。
2026年10月の脆弱性は直書きのサイトも対象
2026年10月21日、PHPの開発元は2件の重大な脆弱性を公表しました。対象はWebサイトの表示に使われている全てのPHPです。動かし方によっては、サイトのプログラムが動く前に攻撃が成立することも実証されています。つまり、WordPressかどうかは関係ありません。
修正版は8.2.35、8.3.36、8.4.27、8.5.12です。バージョンの前半が8.1以前なら、開発元からの正式な修正は届かないため、8.3以上への切り替えが必要です。
どのバージョンでも、まずサーバー会社のお知らせで対応状況を確かめましょう。ただし、管理画面の切り替えボタンは、調査の前に押さないでください。直書きのサイトは、切り替えた瞬間に止まることがあります。バージョンの読み方は「WordPressのPHP脆弱性、今日確かめる3つと安全な更新手順」で解説しています。WordPress向けの記事ですが、読み方は同じです。
「動いている」は安全の証拠にならない
W3Techsの調査では、2026年11月2日時点で、PHPで動くサイトの約34%が7以前のバージョンです。8.0と8.1を合わせると、半数近くになります。WordPressなども含めた数字ですが、修正の届かないバージョンのサイトが多く残っています。さらに、8.2のサポート（修正の提供）も2026年12月31日で終わります。
築年数の古い家は、雨漏りをしていなくても、耐震性までは見た目で分かりません。サイトが表示されていることと、安全であることは別の話です。お問い合わせフォームや会員機能で個人情報を預かっているなら、被害は自社だけにとどまらなくなります。
放置しないための3つの選択肢
取れる道は、大きく3つです。どれが正解かは、サイトの機能と使い方で変わります。
PHPのバージョンを上げて保守を続ける
動かない箇所だけを直し、新しいバージョンで使い続ける方法です。予約や会員管理など、業務に欠かせない独自機能があるサイトに向いています。ただし、直したあとも関わり続ける人を決めておく必要があります。
機能を減らしてサイトを小さくする
使っていないページや機能を外すだけでも、攻撃の入口は減ります。ただし、PHPが動いている限り、PHP本体の弱点は残ります。サイト自体を使っていないなら、公開をやめるのも選択肢です。
更新が年に数回で、動く機能がお問い合わせフォームだけの場合もあるでしょう。それなら、ページをPHPのいらないHTMLに置き換え、フォームを外部のサービスに任せる方法があります。置き換えたあとは、控えを取ったうえで、古いPHPのファイルとデータベースの削除まで済ませましょう。過去のお問い合わせなど、個人情報の扱いも決めておきます。PHPを使わなくなれば、PHPのバージョンを追いかける仕事そのものがなくなります。
WordPressなどへ作り直す
社内で文章や写真を頻繁に更新したい場合や、デザインも古くなっている場合に向いています。
ただし、作り直しても保守の仕事は消えません。WordPressにも本体、テーマ、プラグイン、PHPの更新があります。自社で見るか任せるかは「WordPress保守は外注すべき？自社運用に潜むリスクと判断基準」を参考にしてください。
迷ったときは、機能ごとに「今も使っているか」を書き出すと、答えが見えてきます。残す機能が少なければ減らす道、独自機能が業務の中心なら続ける道、更新の手間が悩みなら作り直す道が候補になります。
依頼する前にそろえること
専門家に相談するなら、準備と頼み方で、費用の読めなさを減らせます。
手元で確かめて渡す情報
相談の前に、次の情報を探しておくと話が早く進みます。
- サーバーとドメインの契約名義、管理画面に入るための情報
- プログラムのファイルを置くための接続情報（FTPなど）と、当時の資料
- サイトの機能の一覧（フォーム、予約、会員、決済など）と、今も使っているかどうか
- 個人情報を預かっているか、どこに保存されているか
特に大切なのは、サーバーとドメインの名義です。制作会社の名義のままだと、作業の許可を取るところから始まります。
見積もりは「調査」と「修正」に分けて頼む
中を見ないまま「いくらで、何日で」と決めるのは、壁を開ける前にリフォームの総額を決めるようなものです。そこで、次の順番で頼むことをおすすめします。
- ファイルとデータベースのバックアップ（控え）を取ってもらい、PHPのバージョン、動かなくなる箇所、機能の一覧を調査してもらう
- 報告をもとに、続ける、減らす、作り直すのどれにするか決める
- 決めた内容で、修正や作り直しの見積もりを取る
調査の結果は、次の担当者にも渡せるよう、書面で受け取りましょう。それが図面の代わりになり、同じ問題を繰り返さずに済みます。作業は本番とは別の環境で試してから進めるのが基本です。考え方は「WordPressのPHPバージョンアップ、テスト環境で確かめる手順」で解説しています。
よくある質問
- PHPで直接書かれたサイトは、WordPressより危険ですか？
-
直書きだから必ず危険というわけではありません。書き方が適切で、バージョンの更新を続けている人がいれば、安全に使い続けられます。危険なのは、書いた人が離れたまま、誰も中を確かめていない状態です。
- 制作会社と連絡が取れず、サーバーの契約者も分かりません。どうすればよいですか？
-
まず、サーバー代やドメイン代の請求書とメールを探し、請求元と契約名義を確かめましょう。自社が支払っていなければ、制作会社の名義になっている可能性があります。制作会社と連絡が取れないときは、請求元のサーバー会社やドメイン会社に、名義変更の手続きを問い合わせましょう。
- PHPのバージョンを確かめるために、自分で確認用のファイルを置いてもよいですか？
-
PHPの情報を表示するファイルを置く方法はありますが、サーバーの内部情報まで外から見えるようになるため、おすすめしません。まずはサーバー会社の管理画面を見るか、サーバー会社に問い合わせましょう。設置した場合は、確認後すぐに削除してください。
- 作り直すと、検索順位は下がりますか？
-
URLが変わるページの転送を設定しないと、順位が下がるおそれがあります。末尾が「.php」のURLは、作り直すと変わることが多いため、旧URLの一覧を先に作っておきましょう。進め方は「ドメインそのままでホームページをリニューアルする手順と注意点」で解説しています。
あわせて読みたい
ドメインそのままでホームページをリニューアルする手順と注意点 「ホームページを作り直したいけれど、URLは変えたくない」というご相談、実はとても多いんです。 うちもまさにそれです。名刺にもアドレスを載せていますし……。そもそ...
まとめ
PHP直書きサイトの保守問題は4つです。更新の通知がないこと、バージョンを上げると止まる場合があること、安全対策が書いた人次第であること、直すにも調査から始まることです。
まずは今日、自社のサイトの仕組みとPHPのバージョンを確かめ、機能の一覧を書き出してください。8.1以前なら、開発元からの正式な修正はすでに届きません。サーバー会社に対応状況を問い合わせ、すぐに調査を依頼しましょう。8.2でも2026年12月末でサポートが終わるため、年内に動き出すのが安全です。続ける、減らす、作り直すのどれにするかは、調査の結果をもとに決めましょう。
まずは機能の書き出しからです。PHPのバージョンは、管理画面に入れなければ、請求書から契約先を探して確かめます。
それなら今日できそうです。使っていない機能もありそうです。
減らせる機能が見つかれば、保守の手間も費用も軽くできる場合があります。調査を先に頼めば、金額も読みやすくなります。
作り直すしかないと思っていましたが、選べるのですね。まず書き出してみます。
