WordPressのセキュリティ対策。PHPの更新はどこで確認する？2段階認証は必要？

「WordPressのサイト、作ってから何も触っていない」

そんな方に知っておいてほしいのが、**PHP（ピーエイチピー）**の更新です。

前回の記事「ホスティングって何？土地と建物で例える、WordPress・HTML・GitHub・Cloudflareの違い」では、ホスティングは「土地」、WordPressは「その上に建つ、設備の多いマンション」とお伝えしました。

今回はその続きとして、建物を安全に使い続けるための点検について整理します。

PHPは「土地側の電気・水道」

PHPは、WordPressを動かすためのプログラムです。土地と建物で例えると、土地に引かれている電気・水道のようなインフラ設備です。

WordPressというマンションは、この設備がないと動きません。そして設備は古くなると、修理（セキュリティの修正）が提供されなくなります。

古い設備のままでも、建物はしばらく普通に動きます。見た目では分からないのが、PHPの怖いところです。

PHPにはサポート期限がある

PHPはバージョンごとに、修正が提供される期限が決まっています。公式サイト（php.net）で公開されている、現在サポートされているバージョンは次の通りです（2026年10月時点）。

バージョン	セキュリティ修正の期限
PHP 8.2	2026年12月31日
PHP 8.3	2027年12月31日
PHP 8.4	2028年12月31日
PHP 8.5	2029年12月31日

PHP 8.1以前は、すでにサポートが終わっています。 PHP 8.2も、あと2か月ほどで期限を迎えます。

WordPress公式も、PHP 8.3以上を推奨しています。古いPHPについては「公式のサポートが終了しており、サイトがセキュリティの脆弱性にさらされる可能性がある」と注意を呼びかけています。

自分のPHPのバージョンを確認する方法

WordPressの管理画面から、数クリックで確認できます。

1. WordPressの管理画面にログイン
2. 左のメニューから「ツール」→「サイトヘルス」
3. 「情報」タブを開く
4. 「サーバー」の項目を開く
5. 「PHPバージョン」の欄を確認

ここに表示された数字が、8.3以上なら安心です。8.2なら年内に、8.1以前ならすぐに更新を検討してください。

PHPの更新は「ホスティング側」で行う

ここが一番大切なポイントです。PHPは土地側の設備なので、WordPressの管理画面ではなく、ホスティング会社の管理画面で変更します。

たとえばHostingerの場合は、次の手順です。

1. hPanelの「Websites」を開く
2. 対象サイトの「Dashboard」をクリック
3. 左のメニューから「PHP Configuration」を開く
4. バージョンを選んで「Update」

Hostingerでは、細かい修正版（パッチ）は自動で適用されます。ただし、8.2から8.3のようなバージョンの切り替えは、自分で選ぶ必要があります。

ほかのホスティング会社でも、管理画面に「PHP設定」「PHPバージョン」といった項目があることがほとんどです。見つからない場合は、ホスティング会社のサポートに「今のPHPのバージョンと、変更方法を教えてください」と聞いてみてください。

更新する前にやっておくこと

PHPを新しくすると、古いプラグインやテーマが動かなくなることがあります。慌てずに、次の順番で進めましょう。

1. バックアップを取る：何かあっても元に戻せるように
2. WordPress本体、プラグイン、テーマを先に最新にする：新しいPHPに対応したバージョンにしておく
3. ステージング（テスト環境）があれば、先に試す
4. PHPを1段階ずつ上げる：更新後にサイトの表示、問い合わせフォーム、予約などが動くか確認する

Hostingerのように、一度上げると元のバージョンに戻せない場合もあります。バックアップは必ず取ってから進めてください。

プラグインの更新も、同じくらい大切

PHPと並んで大切なのが、WordPress本体とプラグインの更新です。

WordPressのセキュリティ会社Patchstackは、攻撃の6割以上が「修正版が出ているのに、更新されていない」弱点を狙ったものだとしています。逆に言えば、更新するだけで防げる攻撃が多いということです。

• 管理画面の「ダッシュボード」→「更新」を、少なくとも月に1回は確認する
• 使っていないプラグインは、停止するだけでなく削除する
• 長いあいだ更新されていないプラグインは、代わりを探す

マンションで例えると、使っていない設備ほど点検されず、そこが入口になりやすい、ということです。

2段階認証は、やった方がいい

結論から言うと、2段階認証はぜひ設定してください。 パスワードが漏れても、スマホでの確認がなければログインできないので、乗っ取りを大きく防げます。

設定しておきたい場所は、WordPressだけではありません。

場所	例えると	設定のしかた
ホスティングの管理画面	土地の権利書	ホスティング会社のアカウント設定から（Hostingerも対応）
ドメインの管理画面	住所の登録	ドメイン会社のアカウント設定から
WordPressの管理画面	建物の鍵	プラグインで追加
Cloudflareなど周辺サービス	配送網と警備の管理室	各サービスのアカウント設定から

特に大切なのは、ホスティングとドメインです。ここを乗っ取られると、建物ごと、住所ごと奪われてしまいます。

WordPressの2段階認証は、本体には入っていないため、プラグインで追加します。WordPress.orgのコミュニティが開発している「Two Factor」プラグインでは、認証アプリ（Google Authenticatorなど）、メールでのコード、緊急用のバックアップコードが使えます。

HTMLサイトなら、PHPの更新は不要

ちなみに、このブログが載っている8dots.coのようなHTMLサイトを、Cloudflare Pagesのような場所に置いている場合、土地側にPHPという設備がそもそもありません。 そのため、PHPの更新という作業自体が発生しません。

ただし、「何もしなくていい」わけではありません。

• Cloudflareやドメインのアカウントには、2段階認証を設定する
• サイトを作り直すときに、使っている部品（ライブラリ）を新しくする
• 公開用のアクセス権は、必要な人だけに渡す

点検する場所が少ない、というのがHTMLサイトの強みです。

まとめ：点検リスト

• WordPressの「サイトヘルス」でPHPのバージョンを確認する（8.3以上が目安）
• PHPの変更は、ホスティング会社の管理画面で行う
• 更新前にバックアップを取り、本体・プラグイン・テーマを先に最新にする
• プラグインは月1回は更新を確認し、使わないものは削除する
• 2段階認証は、ホスティング、ドメイン、WordPress、周辺サービスのすべてに設定する

どれも一度設定してしまえば、あとは定期的に確認するだけです。「自分のサイトがどうなっているか分からない」という方は、まずサイトヘルスを開くところから始めてみてください。

---

参考：PHP公式「Supported Versions」、WordPress公式「Requirements」、Hostinger「How to change the PHP version」、WordPress.org「Two Factor」、Patchstack