PHP 8.2のサポート終了（12月31日）までに決めておくこと

PHP 8.2のサポートが終わると、何が変わるのか？

穴が見つかっても、原則として修正版が出なくなります。

PHPにはバージョンごとにサポート期間があり、PHP 8.2のセキュリティサポートは2026年12月31日に終わります。PHPの公式ページは、サポート期間が終わったバージョンは「もうサポートされない」と書いています。¹ 車でいえば、メーカーの整備工場がその車種の受け付けをやめるようなものです。車は走りますが、壊れても直してもらえません。

今回は、すでにサポートが終わっていた7.4・8.0・8.1にも、例外的に最小限の修正が公開されました。² 「例外的」とは、次もしてもらえる保証はないということです。

次の期限は、もう決まっています。

車は走りますが、壊れても直してもらえません。

ヤンのまとめ年が明けると、PHP 8.2も「直してもらえない側」に移ります。今8.2以前なら、年末までに方向を決めておきましょう。

サポートが終わったPHPは、珍しいのか？

決して珍しくありません。海外の調査会社CybelAngelの報告と、今回の修正直後の動きを数字で見るとこうなります。

10月23日、PHPの開発チームはセッション処理にかかわる別の脆弱性（CVE-2026-115560）を公表しました。10月21日の修正では解決しておらず、修正は次の定期更新に含まれる予定です。⁴ 条件が限られた小さな穴ですが、大きな修正の直後に関連する別の穴が出てきたのは事実です。

ヤンのまとめ「一度直せば終わり」ではありません。直してもらえる期間が残っているバージョンを使うことが基本です。

なぜ穴は見つかり続けるのか？

探す道具が変わったからです。今回のPHP2ShellはAIを使った調査で見つかり、発見者の一社であるWizは、AIのおかげで攻撃コードを作る手間も大きく減ったと指摘しています。⁵

守る側にとって、穴が早く見つかるのはよいことです。ただ、攻める側も同じ道具を使えます。古くて大きなプログラムほど、これからも穴が見つかり続けると私は考えています。

ヤンのまとめ今回を「一度きりの事故」ではなく「これから繰り返されること」と見て備えるほうが現実的です。

新しいPHPに上げれば、終わりなのか？

考え方は正しいのですが、実際にやるとつまずくことが多いのです。

WordPressは公式に「PHP 8.3以上」を勧めており、サポートが終わった古いバージョンはサイトを脆弱性にさらすおそれがあるとしています。⁶ 日本のレンタルサーバー各社も同じ方向です。

• 古いテーマやプラグインが新しいPHPに対応していない。数年前に作ったサイトでは、PHPを上げた瞬間に画面が真っ白になったり、一部のページが表示されなくなったりすることがあります。
• だから、本番に適用する前に試す。私たちの経験では、本番とは別の場所（テスト環境）で一度動かしてから切り替えるのがいちばん安全です。
• この作業は、ほぼ毎年回ってくる。8.3のサポートは2027年12月31日、8.4は2028年12月31日に終わります。¹ サイトを持っている限り、この作業は定期的に戻ってきます。

年末までのカレンダー

ヤンのまとめ11月に試しておけば、12月にあわてずに済みます。試す場所がないなら、まずそれを決めておきましょう。

では、御社はどうすればよいのか？

選べる道は三つあります。

ヤンのまとめ年末にあわてる理由を、来年もその次の年も抱えていく必要はありません。一度「うちのサイトに本当にPHPが必要か？」と問いかけてみてください。