PHPのサポート期限はいつまでか、8.2は年末で終了とさくら・ロリポップの旧版

公式に直してもらえるPHPは、10月26日時点で8.2〜8.5の4つだけ

PHPは出てから4年で公式の修正が止まります。2026年10月26日時点で、PHP公式が修正を出すのは8.2・8.3・8.4・8.5です。

PHPは、ウェブサイトの裏側で動くプログラムの言葉です。WordPressもPHPで動いています。

PHP公式（php.net）の「Supported Versions」の説明は次のとおりです。どの版も、出てから2年は不具合と弱点の両方を直します。その後の2年は、重い弱点だけを必要なときに直します。合わせて4年が過ぎると「サポート終了（EOL）」になります。

出典：PHP公式「Supported Versions」「Unsupported Branches」（10月26日確認）。8.1以前の最後の版は8.1.34・8.0.30・7.4.33です。

「弱点だけ直す期間」は、修正版が定期的に出るとはかぎりません。PHP公式は、報告の数によって複数回出ることも、一度も出ないこともあると書いています。

8.2は2026年12月31日で公式の修正が止まり、次の区切りは8.3の2027年末

いま修正版が出ている8.2も、あと約2か月で公式の修正が止まります。PHP公式は8.2.35の告知で、移る準備を始めるよう書いています。

PHP公式は2026年10月21日、8.2.35の公開の告知に一文を加えました。「PHP 8.2は2026年12月31日にサポート終了となり、その後は弱点の修正を受け取れない」という内容です。あわせて、サポート中の版へ移る計画を立てるよう呼びかけています。

8.2を選んでいるサイトにとって、10月の修正版は公式から届く最後の部類になる可能性があります。年明け以降に見つかった弱点は、公式の修正版としては出ない見込みです。

次の版の8.6は、PHPの開発予定表で2026年11月19日の公開が予定されています。予定は変わることがあると書かれています。

移る先を選ぶときは、使っているCMSの案内も手がかりになります。WordPressの公式の動作環境では、PHP 8.3以上を推奨しています。

サポートが終わった版には、新しい弱点の修正が公式から出ないのが原則

EOLの版は、新しい弱点が見つかっても公式の修正版が出ません。10月のphp2shellでは例外的な手当てがありましたが、続く約束ではありません。

PHP公式は、サポートが終わった版の利用者に、できるだけ早く上げるよう求めています。直されていない弱点にさらされるおそれがあるためです。サイトが普段どおり動いていても、裏で弱点が残ることがあるという意味です。

2026年10月21日に修正が出た重い弱点で、それがはっきりしました。報道などで「php2shell」と呼ばれているものです。公式の修正版は8.5.12・8.4.27・8.3.36・8.2.35の4つで、8.1以前の番号付きの修正版はありません。弱点の中身と更新の手順は、当社の次の記事にまとめています。「php2shellで何をするか、PHP修正版8.5.12〜8.2.35とエックスサーバー・コドモンが始めた対策」

ただしPHP公式は今回、弱点の重さを理由に、7.4・8.0・8.1向けに最小限の修正のもと（ソースコード）を出しました。自分で組み立てる人や、長期の保守を受けられない人向けだと書いています。

出典：PHP公式ニュース 2026年10月21日（Security advisory）。

当社の見方では、この例外は「重さが特別だったから」の手当てです。次の弱点でも同じことがあるとは、どこにも書かれていません。

UbuntuやDebian、Red Hatは、古い番号のPHPにも修正を入れ続ける

Linuxの配布元は、PHP公式とは別の期限で古い版を直しています。番号が古く見えても、配布元の期限内なら修正済みのことがあります。

自社でサーバーを借りてLinuxを入れている場合、PHPは配布元（UbuntuやDebianなど）から届くのが普通です。配布元は、新しい版の修正を古い版に移し替えて配ります。これを「バックポート」と呼びます。

たとえばUbuntuの公開情報では、22.04のPHPは番号が8.1.2のまま、今回の弱点の修正が入りました。PHP公式では8.1は終了していますが、Ubuntuの期限内なので直っています。

出典：Ubuntu「Release cycle」とCVE-2026-109618のページ。Debian「Releases」とセキュリティトラッカー。Red Hat「Application Streams Life Cycle」（いずれも10月26日確認）。Ubuntu 20.04のPHP 7.4の修正は「Ubuntu Pro」の印つきで配られています。

見分けるときは、PHPの番号ではなく「OSの版」と「その配布元の期限」を見ます。配布元の期限が切れていると、番号が新しめでも修正は届きません。

Debian 12のPHP 8.2は、PHP公式の期限とは別に、DebianのLTSの期限まで直る見込みです。続くかどうかは、Debianの告知で確かめる必要があります。

レンタルサーバーは今回は旧版も直したが、続けるとは約束していない

レンタルサーバー3社は、10月の弱点で8.1以前にも手当てをしました。一方で、旧版を今後も直すとは書いていません。

レンタルサーバーでは、PHPの更新を提供会社が行います。各社の10月22日以降の公式のお知らせを見ると、旧版への手当ての仕方が分かれました。

出典：エックスサーバー（10月22日付・26日更新）、ロリポップ！（10月22日）、さくらのレンタルサーバ（10月22日）の各お知らせ。エックスサーバーのVPSは利用者が自分で更新する扱いです。

ロリポップ！は、8.1以前の修正は応急的なもので、今後の弱点は直らないおそれがあると書いています。さくらインターネットは、2023年9月に定めた方針を公開しています。サポートが終わった版も提供を続けますが、重い弱点が見つかれば予告なく提供を終えることがある、という内容です。

当社が確かめた範囲（3社の公式のお知らせと方針のページ）では、旧版の提供を終える日付は書かれていませんでした。提供が続いていることは、修正が続く約束とは別の話です。

サービス各社のお知らせの読み方は、当社の次の記事で整理しています。「PHP脆弱性の影響のお知らせはどう読むか、マネーフォワード・さくら・LINE WORKSと流出を公表したバルテック」

自社サイトは、版を見て、期限を書き出し、上げる日を決める

まず今のPHPの版を見ます。次に、その版を誰がいつまで直すかを書き出し、8.3以降へ移す日を決めます。

1. 今のPHPの版を見る：レンタルサーバーなら管理画面の「PHP設定」などに出ます。WordPressなら管理画面の「サイトヘルス」の情報にも出ます。
2. 誰が直すかを分ける：レンタルサーバーなら提供会社、自社のサーバーならLinuxの配布元、自分で組み立てたならPHP公式です。
3. 期限を書き出す：PHP公式の期限と、配布元や提供会社の案内を並べます。
4. 移る先と日を決める：8.2なら年内に、8.1以前なら早めに8.3以降を目安にします。
5. 試してから切り替える：問い合わせフォームや画像の登録など、よく使う動きを確かめます。

よくある質問