PHPのバージョン確認方法｜WordPress・サーバー管理画面・コマンドでの調べ方と結果の読み方
「PHPの脆弱性が出たので、自社のサイトのバージョンを確認してください」と言われても、どこを見ればよいのかわからない担当者は多いはずです。WordPressの管理画面、サーバーの管理画面、コマンドなど確認する方法はいくつかあり、しかも方法によって表示される結果が違うこともあります。
この記事では、PHPのバージョンを確認する主な方法と、それぞれの注意点、確認した結果をサポート期限や脆弱性の修正版と照らし合わせる方法を、専門家でない方にもわかるように整理します。情報は2026年10月23日時点のものです。
- WordPressなら「ツール」→「サイトヘルス」→「情報」→「サーバー」で、実際にサイトを動かしているPHPのバージョンを確認できます。
- コマンドの
php -vで表示されるのはコマンドライン用のPHPです。Webサイトを動かしているPHPとは違うことがあるため注意します。 - phpinfoを使った場合は、確認したらすぐに削除します。サーバーの内部情報が外部に見えてしまうためです。
- 確認したバージョンは、php.net の「Supported Versions」とPHP2Shellの修正版（8.5.12・8.4.27・8.3.36・8.2.35）と照らし合わせます。8.1以前はサポートが終了しています。
目次
PHPのバージョン確認とは
PHPのバージョン確認とは、Webサイトや業務システムを動かしているPHPの版を調べ、サポート期限や脆弱性の修正版と照らし合わせる作業です。PHPはWebサイトや業務システムを動かすプログラミング言語で、古い版を使い続けると、見つかった脆弱性（セキュリティ上の弱点）が修正されないままになります。
PHPのバージョンは「8.3.36」のように3つの数字で表されます。最初の2つ（8.3）が「系列」で、サポート期限は系列ごとに決まっています。最後の数字（36）は、その系列で何回目の修正版かを表します。つまり、系列でサポート期限を、最後の数字で修正版かどうかを判断します。
PHPのバージョンを確認する主な方法
| 方法 | 向いている場面 | 注意点 |
|---|---|---|
| WordPressのサイトヘルス | WordPressで作ったサイト | 管理者権限のアカウントが必要 |
| レンタルサーバーの管理画面 | 共用のレンタルサーバー | ドメインやフォルダごとに設定が違うことがある |
| phpinfo | ほかの方法で確認できないとき | 確認後すぐに削除する |
| コマンド（php -v など） | VPS・クラウド・自社サーバー | Web用とコマンドライン用のPHPが違うことがある |
| 開発会社・保守会社に聞く | 委託しているシステム | バージョンだけでなく修正の適用状況も聞く |
WordPressで確認する（サイトヘルス）
WordPressには「サイトヘルス」という、サイトの状態を確認する機能があります。WordPressを実際に動かしているPHPのバージョンが表示されるため、最も確実で手軽な方法です。
- 管理画面にログインする管理者権限のあるアカウントでログインします。編集者などの権限では表示されないことがあります
- 「ツール」→「サイトヘルス」を開く左のメニューの「ツール」の中にあります
- 「情報」タブを開く画面上部の「ステータス」と「情報」のうち、「情報」を選びます
- 「サーバー」の項目を開く「PHPのバージョン」の欄に、使われているPHPのバージョンが表示されます
「ステータス」タブでは、PHPのバージョンが古い場合に改善の推奨が表示されます。WordPressは、PHPのバージョンがセキュリティ修正を受けられなくなっている場合などに、重要な問題として知らせる仕組みを持っています。なお、WordPress公式サイトの動作環境のページでは、PHP 8.3以上が推奨されています（2026年10月時点）。
レンタルサーバーの管理画面で確認する
共用のレンタルサーバーでは、多くの場合、管理画面からPHPのバージョンを確認・変更できます。画面の名前や場所はサーバー会社によって違うため、ここでは一般的な流れを紹介します。正確な手順は、契約しているサーバー会社のマニュアルで確認してください。
- サーバーの管理画面にログインする契約時に案内された管理用のアカウントを使います
- PHPの設定メニューを探す「PHPバージョン設定」「PHP設定」など、PHPの名前が付いたメニューにあることが一般的です
- 対象のドメインを選ぶ複数のサイトを運用している場合は、ドメインごとに確認します
- 表示されたバージョンを記録する確認日とあわせて、どのサイトがどのバージョンかを一覧にしておきます
管理画面には「8.3」のように系列だけが表示され、最後の数字（修正版の番号）までは表示されないことがあります。修正版まで確認したい場合は、サーバー会社の告知を確認するか、WordPressのサイトヘルスやphpinfoで確認します。また、フォルダごとの設定ファイルで、一部のフォルダだけ別のバージョンになっている場合もあります。表示に違和感があれば、サーバー会社のサポートに問い合わせましょう。
phpinfoとコマンドで確認する
phpinfoで確認する
phpinfoとは、PHPの設定情報を一覧で表示するPHPの機能です。<?php phpinfo(); と書いたファイルをサーバーに置き、ブラウザで開くと、ページの一番上にバージョンが表示されます。
コマンドで確認する
VPSやクラウド、自社のサーバーでは、サーバーにログインしてコマンドで確認できます。
PHPのバージョン確認に使う主なコマンド
| コマンド | わかること |
|---|---|
php -v | コマンドライン用のPHP（CLI）のバージョン |
php --ini | コマンドライン用のPHPが読み込んでいる設定ファイル（php.ini）の場所 |
php-fpm -v | Webサーバーと連携して動くPHP-FPMのバージョン。環境によっては php-fpm8.3 -v のように、名前にバージョンが付いている |
注意したいのは、Webサイトを動かしているPHPと、コマンドで動くPHPが違う場合があることです。1台のサーバーに複数のバージョンのPHPが入っていると、php -v では8.3と表示されるのに、Webサイトは8.1で動いている、ということが起こります。設定ファイルも、Web用とコマンドライン用で別になっていることがあります。
Webサイトのバージョンを確かめるには、Webサーバーの設定でどのPHP-FPMにつないでいるかを確認するか、サイトヘルスやphpinfoなど、Web経由で動く方法で確認します。反対に、夜間の集計処理など、cron（定期実行の仕組み）から動くバッチ処理は、コマンドライン用のPHPで動いていることが多いため、両方を確認しておくと安心です。
Composerの設定と混同しない
Composerとは、PHPで使う外部ライブラリを管理する道具です。Composerの設定ファイル（composer.json）には、"config": {"platform": {"php": "8.2.0"}} のように、PHPのバージョンを書く項目があります。
これはライブラリを選ぶときに「このバージョンのPHPで動かす前提」とするための設定で、実際に動いているPHPのバージョンではありません。Composerの公式ドキュメントでも、この設定を使う場合は composer check-platform-reqs コマンドで、実際の環境が条件を満たしているかを確認するよう勧めています。PHPを更新するときは、この設定も新しいバージョンに合わせて見直す必要があります。
確認した結果の読み方
バージョンがわかったら、まずはサポート期限と照らし合わせます。PHPは、新しい系列が出てから2年間は通常のサポート（不具合とセキュリティの修正）、その後の2年間は重大なセキュリティの修正のみが提供されます。合計4年でサポートが終了します。
PHPのサポート状況（2026年10月23日時点）
| 系列 | セキュリティ修正の期限 | 状況 | PHP2Shellの修正版 |
|---|---|---|---|
| 8.5 | 2029年12月31日 | 通常のサポート中 | 8.5.12 |
| 8.4 | 2028年12月31日 | 通常のサポート中（2026年12月31日まで） | 8.4.27 |
| 8.3 | 2027年12月31日 | セキュリティ修正のみ | 8.3.36 |
| 8.2 | 2026年12月31日 | セキュリティ修正のみ。まもなく終了 | 8.2.35 |
| 8.1以前 | 終了済み | 公式の修正なし | 公式の修正版なし |
次に、最後の数字を見て修正版かどうかを確認します。たとえば8.3系なら、8.3.36以上であればPHP2Shell（2026年10月21日公表の重大な脆弱性）の修正が含まれています。8.3.30のように小さい数字なら、更新が必要です。
関連記事PHPの重大な脆弱性「PHP2Shell」（CVE-2026-109618・109619）｜業務システムで確認すること・修正版・8.1以前の対応【2026年10月】
8.2を使っている場合は、修正版に更新したうえで、年内に8.3以降へ移行する計画が必要です。8.1以前の場合は、移行を最優先で検討しましょう。
関連記事PHP 8.2のサポート終了は2026年12月31日｜影響と8.3・8.4への移行手順・スケジュール例
関連記事業務システムのサポート期限カレンダー｜OS・Office・DB・言語の終了日一覧【毎月更新】
外部からバージョンが見えていないか確認する
PHPの初期設定によっては、Webサイトの応答に X-Powered-By: PHP/8.3.36 のようなヘッダー（ページと一緒に送られる付加情報）が付き、外部の誰からでもPHPのバージョンがわかる状態になっています。古いバージョンを使っていると、攻撃の対象を探している人に目を付けられやすくなります。
- ブラウザで確認する：開発者ツール（多くのブラウザでF12キー）の「ネットワーク」タブでページを再読み込みし、応答ヘッダーに X-Powered-By があるかを見ます
- コマンドで確認する：
curl -I https://サイトのURL/で応答ヘッダーを表示できます - 非表示にする：php.ini で
expose_php = Offにします。この設定は php.ini でしか変更できないため、レンタルサーバーではサーバー会社の設定画面やサポートで確認します
ただし、PHPの公式マニュアルも述べているとおり、バージョンを隠すことは補助的な対策にすぎません。隠しても脆弱性はなくならないため、修正版への更新が前提です。
関連記事セキュリティヘッダーとは？HSTS・CSPなどの役割と設定例｜Apache・nginx・WordPress
サイトのURLを入力すると、外部から見えるPHPのバージョン表示やHTTPS、セキュリティ関連の設定を確認できる簡易セキュリティ診断を用意しています。登録は不要です。バージョン確認の第一歩としてお使いください。
よくある質問
- サイトヘルスとサーバーの管理画面で、表示されるバージョンが違います。どちらが正しいですか？
- 実際にWordPressを動かしているのは、サイトヘルスに表示されるバージョンです。管理画面の設定がまだ反映されていない、フォルダごとの設定で別のバージョンが指定されている、といった原因が考えられます。サーバー会社のサポートに確認しましょう。
- php -v の結果が最新なら、Webサイトも安全ですか？
- そうとは限りません。php -v で表示されるのはコマンドライン用のPHPで、Webサイトは別のバージョンのPHP-FPMなどで動いていることがあります。サイトヘルスやphpinfoなど、Web経由の方法でも確認してください。
- バージョンが古いままですが、サーバー会社は「修正済み」と言っています。
- OSの配布元やサーバー会社が、バージョン番号を変えずに修正を組み込んでいる可能性があります。その場合は告知の内容を記録しておきましょう。ただし、サポートが終了した系列は今後の修正が保証されないため、移行の計画は必要です。
- phpinfoのファイルを置きっぱなしにしていました。どうすればよいですか？
- すぐに削除してください。表示されていた情報に、パスワードなどの機密情報が含まれていなかったかも確認します。含まれていた場合は、パスワードの変更などを検討しましょう。
- 委託先にはどう聞けばよいですか？
- 「対象のシステムごとに、Web用とバッチ用のPHPのバージョン」「PHP2Shellの修正の適用状況と完了日」「サポート期限を踏まえた今後の更新予定」の3点を聞くと、状況を把握しやすくなります。
まとめ
PHPのバージョンは、WordPressのサイトヘルス、サーバーの管理画面、phpinfo、コマンドなどで確認できます。Webサイトを動かすPHPとコマンドライン用のPHPが違うことがある点、phpinfoは確認後すぐに削除する点に注意しましょう。確認したバージョンは、php.net のサポート期限とPHP2Shellの修正版に照らし合わせ、8.2以前を使っている場合は移行の計画を立てることが大切です。
関連記事サポート終了（EOL）ソフトウェアを使い続けるリスクと対策｜PHP2Shellの事例・棚卸し・延命策・移行計画
参考：PHP公式「Supported Versions」（2026年10月23日閲覧）、PHP公式マニュアル「phpinfo」「コマンドラインのオプション」「CLI SAPI と他の SAPI の違い」「php.ini のコアディレクティブ（expose_php）」「PHP を隠す」、PHP公式「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日）、WordPress.org「Requirements」、WordPress Developer Resources「WP_Site_Health::get_test_php_version()」、Composer公式ドキュメント「Config（platform）」、Debian「Debian security FAQ」。
この記事に関連するサービス
システム保守・運用
業務システムやWebシステムの監視、障害対応、セキュリティ更新、小さな修正を月額の定額制で行います。他社が開発したシステムも、引き継ぎ調査から対応します。 サービスの詳細を見る
