サポート終了（EOL）ソフトウェアを使い続けるリスクと対策｜PHP2Shellの事例・棚卸し・延命策・移行計画
「サーバーのOSがサポート終了と言われたが、今も問題なく動いている」「古いPHPで動く業務システムを、予算がつくまでこのまま使いたい」。サポートが終わったソフトウェアを使い続けてよいのか、判断に迷う担当者は少なくありません。2026年10月に公表されたPHPの重大な脆弱性「PHP2Shell」では、サポートが終わったPHP 8.1以前に公式の修正版が出ず、この問題が改めて注目されました。
この記事では、EOL（サポート終了）の意味、使い続けるリスク、自社のソフトウェアの棚卸しの方法、延長サポートなどの延命策とその限界、移行計画の立て方と予算化の考え方を整理します。個別製品の終了日は、記事の後半で紹介するサポート期限カレンダーで確認できます。情報は2026年10月23日時点のものです。
- EOLを過ぎたソフトウェアは動き続けますが、新しい脆弱性が見つかっても修正が出ません。PHP2Shellでも、PHP 8.1以前には公式の修正版が出ませんでした。
- リスクは攻撃だけではありません。取引先の要求、監査、PCI DSSなどの基準、他のソフトウェアの対応打ち切りにも影響します。
- まずOS・ミドルウェア・言語・DB・アプリを台帳にまとめ、終了日と影響の大きさで優先順位をつけます。
- 延長サポート（ESU）やネットワークの分離は移行までの時間稼ぎです。終了日から逆算して、移行の計画と予算を早めに決めましょう。
目次
EOL（サポート終了）とは
EOL（End of Life）とは、ソフトウェアの提供元が、そのバージョンへの修正プログラムの提供やサポートを終えることです。日本語では「サポート終了」「EOS（End of Support）」とも呼ばれます。
多くのソフトウェアは、サポート期間を段階に分けています。たとえばPHPは、リリースから2年間はバグとセキュリティの問題を直す「アクティブサポート」、その後の2年間は重大なセキュリティの問題だけを直す「セキュリティサポート」、それを過ぎるとEOLです。Microsoft製品も、新機能や仕様変更に対応する「メインストリームサポート」と、セキュリティ更新を中心とする「延長サポート」に分かれています。
サポートの段階と受けられるもの（一般的な例）
| 段階 | バグ修正 | セキュリティ修正 | 問い合わせ |
|---|---|---|---|
| 通常のサポート期間 | あり | あり | あり |
| 延長・セキュリティのみの期間 | 原則なし（重大なものを除く） | あり | 製品による |
| サポート終了（EOL）後 | なし | なし | なし |
注意したいのは、EOLを過ぎてもソフトウェアは普段どおり動くことです。画面上は何も変わらないため、問題が表に出ないまま使い続けてしまいがちです。
EOLソフトウェアを使い続けるリスク
IPAは、サポートが終わったOSについて「新たな脆弱性が見つかっても修正されず、悪用されると情報漏えいや意図しないサービス停止などの被害を受ける可能性が高まる」と注意を呼びかけています。リスクは大きく次の4つに分けられます。
- 脆弱性が直らない：EOL後に見つかった脆弱性には修正版が出ません。PHPの公式サイトも、サポートが終わったバージョンは修正されていない脆弱性にさらされる可能性があるとして、早めの更新を勧めています
- 攻撃の標的になりやすい：修正が出ないとわかっている製品は、攻撃者にとって狙いやすい対象です。サポート中の新しいバージョンで公表された脆弱性が、古いバージョンにも当てはまる場合もあります
- 取引・監査・基準の要件を満たせない：取引先のセキュリティチェックシートや監査で、サポート中の製品を使っているかを問われることがあります。カード情報を扱う事業者向けの基準PCI DSS v4.0.1では、使っているハードウェアとソフトウェアを少なくとも12か月に1回見直し、提供元のサポート終了の発表を踏まえた対応計画を経営層の承認のもとで文書にすることが求められています（要件12.3.4）。サイバー保険を利用している場合も、加入時に申告した対策の状況と実態がずれていないか、契約条件を確認しておくと安心です
- 他のソフトウェアの対応が打ち切られる：OSのサポートが終わると、その上で動くブラウザ、ウイルス対策ソフト、業務アプリなども順次対応をやめます。IPAもこの点を挙げ、あわせて更新の計画を立てるよう案内しています
関連記事Webサイトの改ざん・不正アクセスの確認方法と初動対応｜症状・調べ方・個人情報保護委員会への報告と相談窓口
PHP2Shellで起きたこと：EOLのバージョンに修正が出なかった
2026年10月21日、PHPに2件の重大な脆弱性（CVE-2026-109618・CVE-2026-109619、通称PHP2Shell）が公表されました。ログインなしで外部からサーバー上のプログラムを実行される可能性があるものです。
PHP2Shellでの対応の違い（2026年10月23日時点）
| PHPのバージョン | サポート状況 | 今回の修正 |
|---|---|---|
| 8.3・8.4・8.5 | サポート中 | 修正版（8.3.36・8.4.27・8.5.12）を公開 |
| 8.2 | 2026年12月31日でサポート終了 | 修正版（8.2.35）を公開 |
| 8.1・8.0・7.4 | サポート終了済み（8.1は2025年12月31日） | 公式の修正版なし。深刻度を考慮し、最小限の緩和策のみ例外的に提供 |
今回は例外的に最小限の対策が出ましたが、JPCERT/CCは8.1以前についてサポート中のバージョンへのアップグレードを推奨しています。次の脆弱性で同じ対応がある保証はありません。また、PHP 8.2も2026年12月31日でサポートが終わります。今は修正版を当てられても、2か月後には同じ立場になります。
関連記事PHP 8.2のサポート終了は2026年12月31日｜影響と8.3・8.4への移行手順・スケジュール例
関連記事PHPのバージョン確認方法｜WordPress・サーバー管理画面・コマンドでの調べ方と結果の読み方
身近なEOLと、自社の棚卸しの方法
EOLの対象は、サーバーのOSだけではありません。業務システムは、OS、Webサーバー、プログラミング言語、データベース、フレームワーク、業務アプリなど、多くの部品の組み合わせで動いています。どれか1つがEOLになっても、リスクが生じます。
製品ごとの終了日は更新されることがあるため、最新の一覧は次の記事で確認してください。
関連記事業務システムのサポート期限カレンダー｜OS・Office・DB・言語の終了日一覧【毎月更新】
棚卸しでは、システムごとに使っている部品を書き出し、台帳にまとめます。最初から完璧を目指さず、わかる範囲で埋めて、不明な欄は委託先に問い合わせます。
ソフトウェア台帳の項目例
| 項目 | 記入例 | 確認のポイント |
|---|---|---|
| システム名・用途 | 受注管理システム | 社内向け・取引先向け・公開サイトの区別も書く |
| 設置場所 | レンタルサーバー／社内サーバー／クラウド | インターネットから直接アクセスできるか |
| OS とバージョン | Windows Server 2016 | 延長サポートの終了日 |
| 言語・フレームワーク | PHP 8.1、フレームワーク名と版 | 言語とフレームワークの両方の終了日 |
| データベース | 製品名とバージョン | 終了日と、アプリ側の対応状況 |
| 扱う情報 | 顧客の氏名・住所、カード情報の有無 | 漏えいしたときの影響の大きさ |
| 保守・更新の担当 | 開発会社A社（保守契約あり） | OSや言語の更新が契約に含まれるか |
| サポート終了日と対応方針 | 2027年1月／2026年度中に移行 | 延命策の有無、移行の予定時期 |
台帳ができたら、「サポート終了日が近い」「インターネットから直接アクセスできる」「個人情報や決済情報を扱う」ものから優先して対応します。
延命策と、その限界
すぐに移行できない場合は、移行までの間のリスクを下げる手段があります。ただし、どれも根本的な解決ではありません。
- 延長セキュリティ更新（ESU）：Microsoftは、サポート終了後も一定期間セキュリティ更新を受けられる有償のESUを用意している製品があります。Microsoftは、ESUを移行までの一時的な「最終手段」と位置づけ、提供は最大3年間で、新機能や通常のテクニカルサポートは含まれないとしています。オンプレミスでは、年ごとに費用がかかります
- 長期サポート（LTS）の提供元を使う：Linuxディストリビューションの長期サポート版や、サポートが終わった言語・OSに有償で修正を提供する第三者のサービスがあります。対象の範囲、修正が出るまでの速さ、契約期間を確認する必要があります
- ネットワークの分離・アクセスの制限：インターネットから直接アクセスできないようにし、VPNやIPアドレスの制限で使う人を絞ります。攻撃を受ける機会は減りますが、社内からの侵入や、すでに入り込んだ攻撃者への備えにはなりません
移行計画の立て方と予算化
EOLへの対応は、終了日から逆算して進めます。検証や改修に思った以上に時間がかかることが多いため、終了日の1〜2年前には着手するのが理想です。
- 現状を把握する台帳をもとに、対象のシステム、使っている部品、改修できる人や資料があるかを確認します
- 移行先と方法を決める同じ製品の新しいバージョンへの更新、別の製品やクラウドへの移行、システムの作り直しなどを比べます
- 影響を調べる新しいバージョンで動かしたときに、エラーになる箇所や改修が必要な範囲を洗い出します。周辺のシステムや帳票、外部との連携も確認します
- スケジュールと体制を決めるテスト期間、業務の繁忙期、利用者への周知を考えて日程を組みます。委託先の担当範囲も明確にします
- 移行・テスト・切り替え検証環境で十分にテストしてから本番を切り替えます。元に戻す手順も用意しておきます
- 台帳を更新する移行後のバージョンと次のサポート終了日を台帳に記入し、次の更新の時期を決めます
予算化では、EOLへの対応を突発的な出費ではなく、定期的に発生する費用として扱うことが大切です。OSや言語は数年ごとに必ずサポートが終わるため、台帳の終了日をもとに、どの年度にどのシステムの更新が来るかを並べると、中期の予算計画に組み込みやすくなります。
費用は、システムの規模、改修の範囲、資料の有無によって大きく変わるため、一律の金額は示せません。予算を申請する際は、延命策の費用（ESUや分離の対策）と移行の費用を並べ、「延命し続けた場合の費用とリスク」と比べて説明すると、経営層の判断を得やすくなります。保守契約に、OSや言語のバージョンアップへの対応が含まれているかも確認しておきましょう。
関連記事システムリプレイスとは？進め方・費用・失敗しないポイント
10の質問と、サイトのURLから公開されている情報（HTTPS、セキュリティ設定、PHPのバージョン表示など）を確認できる簡易セキュリティ診断を用意しています。登録は不要です。古いPHPを使っていないかの確認のきっかけにご利用ください。
関連記事.NET 8のサポート終了はいつ？2026年11月10日の影響と.NET 10への移行手順｜.NET Frameworkとの違い
関連記事PostgreSQL 14のサポート終了は2026年11月12日｜バージョン確認とアップグレード手順・RDS延長サポート
関連記事MySQL 8.0のサポート終了（2026年4月）｜8.4 LTSへの移行と確認すること・RDS延長サポートの期限
よくある質問
- サポートが終わっても今は問題なく動いています。すぐに止めるべきですか？
- すぐに止める必要があるとは限りませんが、新しい脆弱性が見つかっても修正が出ない状態です。インターネットから直接アクセスできるか、個人情報を扱うかで危険度が変わるため、優先度をつけて移行を計画してください。移行までの間は、アクセスの制限などでリスクを下げます。
- 社内だけで使うシステムなら、EOLのままでも大丈夫ですか？
- インターネットに公開しているシステムより攻撃を受けにくいのは確かです。ただし、社内のパソコンがウイルスに感染した場合や、VPN装置などから侵入された場合には、社内のシステムも狙われます。JPCERT/CCも、外部の利用者を想定しない従業員向けのシステムも点検するよう呼びかけています。
- 延長サポート（ESU）を買えば、移行しなくてよいですか？
- ESUは期間が限られており、Microsoftも移行までの一時的な手段としています。また、OSのESUで守れるのはOSの部分だけで、その上のアプリやデータベースのサポートは別です。ESUの期間中に移行を終える計画を立ててください。
- 開発会社がなく、システムの中身がわかりません。何から始めればよいですか？
- まずはサーバーの種類、OS、PHPなどの言語のバージョンなど、わかる情報を台帳に書き出してください。そのうえで、他社が作ったシステムの調査や保守の引き継ぎに対応している会社に相談すると、改修か作り直しかの判断材料がそろいます。
- PHP 8.1を使っていますが、サーバー会社が独自に修正を当てているそうです。
- 今回のPHP2Shellについては対策されている可能性があります。ただし、独自の修正がどこまで、いつまで続くかはサーバー会社しだいです。PHP 8.1は公式のサポートが終わっているため、8.3以降への移行を計画してください。
まとめ
EOLを過ぎたソフトウェアは動き続けますが、脆弱性が直らない、取引や監査の要件を満たせない、周辺のソフトウェアが対応をやめるといったリスクを抱えます。PHP2Shellでは、サポートが終わったPHP 8.1以前に公式の修正版が出ませんでした。まずは台帳でOS・言語・データベースなどの終了日を把握し、延命策は時間稼ぎと割り切って、終了日から逆算した移行計画と予算を早めに用意しましょう。
参考：php.net「Supported Versions」「Unsupported Branches」、JPCERT/CC「PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起」（2026年10月22日）、JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（2026年10月8日）、IPA「Windows 10 のサポート終了に伴う注意喚起」（2024年10月15日、2026年6月26日更新）、Microsoft Learn「Product Lifecycle FAQ – Extended Security Updates」「Overview of Extended Security Updates for Windows Server 2012, and 2012 R2」「Windows Server 2016 – Microsoft Lifecycle」「End of support resources for Office」、PCI Security Standards Council「PCI DSS v4.0.1」。
関連記事Office・Accessのサポート期限一覧｜2021は2026年10月13日終了、LTSC 2024・Microsoft 365への移行
この記事に関連するサービス
システム保守・運用
業務システムやWebシステムの監視、障害対応、セキュリティ更新、小さな修正を月額の定額制で行います。他社が開発したシステムも、引き継ぎ調査から対応します。 サービスの詳細を見る
