PHPサイトのバージョンアップと移行

PHPを新しいバージョンに切り替え、プログラムやCMSもそれに合わせて更新する方法です。サイトの仕組みはそのままなので、管理画面や更新の手順は変わりません。

ただし、PHPの公式マニュアルは、バージョンごとに互換性のない変更を一覧にしています。古いプラグインや、何年も前に組んだ独自のプログラムは、新しいPHPでエラーになることがあります。WordPressは、PHP 8.3以上を勧めています。PHP 7.4でも動くものの、サポートの終わったバージョンでは脆弱性にさらされるおそれがあると書いています。

また、PHPを上げても、数年ごとに同じ作業が来ます。8.3に上げた場合、次の期限は2027年12月31日です。

ページをHTMLに書き出し、公開サーバーではPHPを動かさない形に変える方法です。PHPのサポート期限を気にする必要がなくなり、上の表を追いかける作業から離れられます。

その代わり、PHPが受け持っていた機能は置き換えが必要です。フォームは外部サービスへ、お知らせの更新はヘッドレスCMSへ、というように、機能ごとに行き先を決めます。WordPressのサイトなら、WordPressの静的サイト化の方法がそのまま使えます。

• バージョンを上げるほうが向いている：ログインや決済など、PHPで動く機能が多い。プログラムが比較的新しく、作った会社に連絡がつく
• 移行のほうが向いている：中身はほぼ会社案内とお知らせ。プログラムが古く、作った人も仕様書もない。PHPを上げるとエラーが出ると言われている
• 両方を組み合わせる：会社案内は静的サイトに移し、会員ページなど一部だけPHPの仕組みに残す

EC-CUBEの開発元の資料では、対応するPHPのバージョンは版ごとに次のとおりです。

• EC-CUBE 4.3：PHP 8.1〜8.3
• EC-CUBE 4.2：PHP 7.4〜8.1
• EC-CUBE 4.0・4.1：PHP 7.3〜7.4

4.2以前が対応するPHPは、2026年10月22日時点ですべてサポートが終わっています。4.3でも、8.2は2026年12月31日、8.3は2027年12月31日が期限です。

開発元の「脆弱性リスト」には、2026年3月4日付で、4.1.0〜4.3.1の多要素認証を回避できる脆弱性（JVN#63765888、危険度は中）が載っています。お使いの版が対象に入っていないかを確かめてください。

JPCERT/CCの2026年7月〜9月の四半期報告では、EC-CUBEで作った国内の複数のECサイトが改ざんされ、外部から取得したコードを実行するJavaScriptが埋め込まれた事例が紹介されています。購入画面かどうかを判定する処理もあり、クレジットカード情報などを盗む目的だった可能性があるとされています。報告は、どの経路で改ざんされたかまでは書いていません。

ECサイトのカート、決済、在庫、会員の機能は、静的なHTMLでは作れません。商品紹介や会社案内のページだけを静的サイトに移し、EC部分はEC-CUBEを新しい版に上げて残すか、外部のECサービスへ移すかを選びます。

Movable Typeの開発元の資料によると、プログラムはPerlで書かれており、Perlのスクリプトを動かせるウェブサーバーが必要です。オプションで、PHPを使ってページを動的に作る設定もあります。

そのため、Movable Typeのサイトでは、PHPよりもPerlやサーバーの環境が古くなっていないかを先に確かめます。動的な生成にPHPを使っている場合は、PHPのバージョンも見ます。記事のデータを取り出し、静的サイトジェネレーターやヘッドレスCMSへ移す流れになります。

以前の制作会社が組んだ独自のプログラムは、中身を知る人がいないことがよくあります。移行の前に、サイトの裏で動いている処理を一つずつ確かめます。

• 管理画面から書き換えているページはどれか
• フォームの送信内容は、メールで届くだけか、データベースにも残しているか
• 資料のダウンロードに、名前やメールアドレスの入力を求めているか
• 定期的に動く処理（予約の送信、データの集計など）はあるか

データベースに問い合わせの記録や会員の情報が残っている場合は、移行後にどう保管し、いつ消すかも決めておきます。個人情報を含むデータを、古いサーバーと一緒に放置しないためです。