PHP5の脆弱性一覧と対策｜CVE情報と移行手順を解説【2026年版】
PHP5とは
PHP5は2004年にリリースされたサーバーサイドスクリプト言語のメジャーバージョンです。オブジェクト指向の本格的なサポート、PDOによるデータベースアクセス、例外処理機構など、多くの革新的機能を搭載し、WordPress・CakePHP・Laravelなど数多くのフレームワークの基盤となりました。
しかし、PHP5は2018年12月31日をもって公式サポートが完全終了しています。セキュリティパッチの提供も停止されており、2026年現在もPHP5を使い続けているシステムは重大なリスクを抱えています。国内では未だに約15%のWebサーバーがPHP5系で稼働しているという調査結果もあり、社会的な課題となっています。
PHP5を使い続けるリスク
1. セキュリティリスク
PHP5のサポート終了後も、関連する脆弱性は継続的に発見されています。主要なCVEには以下があります：
- CVE-2019-11043: PHP-FPMにおけるリモートコード実行の脆弱性。nginx環境でPHP-FPMを使用している場合、攻撃者がサーバー上で任意のコードを実行可能。CVSSスコア9.8（Critical）
- CVE-2019-9638/9639/9641: EXIF関数における複数のヒープバッファオーバーフロー。画像アップロード機能を持つサイトが対象。
- CVE-2020-7059/7060: mbstring関数およびセッション管理における脆弱性。日本語処理を行うサイトで特に影響大。
- CVE-2024-4577: CGI引数インジェクション脆弱性。Windows+Apache環境のPHP-CGIで任意コード実行が可能。CVSSスコア9.8。
これらの脆弱性はPHP5環境では修正パッチが提供されず、攻撃者に悪用されるリスクが放置されたままです。実際に2023年にはPHP5を使用していた国内中堅企業のECサイトが不正アクセスを受け、約3万件の個人情報が流出する事故が発生しています。
2. 保守コストの増大
PHP5に精通したエンジニアは年々減少しています。2025年のIT人材市場調査によると、PHP5案件の平均単価は同等のPHP8案件と比較して約30〜50%割高です。また、PHP5対応のライブラリやフレームワークも更新が停止しており、不具合が発生しても自前で修正する必要があります。
レガシーPHPシステムの年間保守コストは、同規模のモダンPHPシステムと比較して平均2.3倍に達するというレポートもあり、コスト面でも大きな負担となっています。
3. 事業継続リスク
PHP5環境では最新のPHPライブラリや外部サービスとの連携が困難になります。決済APIやSNS連携API、クラウドサービスのSDKなどがPHP5をサポート対象外とするケースが増えており、事業に必要な機能の実装自体が不可能になるリスクがあります。
また、PHP5しか動作しないレンタルサーバーの契約終了や、OSのアップグレードに伴いPHP5が利用不可になるケースも報告されています。突然のサービス停止は、事業に壊滅的な打撃を与えかねません。
PHP5からPHP8への移行手順
STEP 1: 現状調査・影響範囲の把握
まずPHP5で稼働しているシステムの全体像を把握します。使用しているPHPバージョン（5.3/5.4/5.5/5.6）、フレームワーク、外部ライブラリ、カスタムコードの規模を調査します。php -vでバージョン確認、composer.jsonで依存ライブラリを把握しましょう。特に非推奨関数（mysql_*関数、ereg関数等）の使用箇所を洗い出すことが重要です。
STEP 2: 移行計画の策定
PHP5→PHP8は大きな断絶があるため、PHP5.6→PHP7.4→PHP8.2のような段階的移行を推奨します。各ステップでの変更点と必要な修正をリスト化し、スケジュールとリソースを確保します。特にPHP7.0での変更（厳密な型チェック、エラーハンドリング変更）と、PHP8.0での変更（名前付き引数、Union型、match式）に注意が必要です。
STEP 3: テスト環境での検証
本番環境とは別にテスト環境を構築し、PHP8環境でアプリケーションを動作させます。PHPStan・Psalmなどの静的解析ツールで互換性の問題を自動検出し、ユニットテスト・結合テストで動作を検証します。特に日付処理、文字列処理、型の暗黙変換に関連する箇所は入念にテストしましょう。
STEP 4: 段階的移行の実施
テスト環境で問題がなければ、ステージング環境→本番環境と段階的に移行します。ロールバック計画を必ず準備し、移行後も旧環境を一定期間維持します。大規模システムの場合は、マイクロサービス化して部分的に移行する方法も有効です。
STEP 5: 本番切替・運用開始
本番環境での切り替え後、パフォーマンスモニタリングとエラーログの監視を徹底します。PHP8ではJIT（Just-In-Time）コンパイラによりパフォーマンスが最大3倍向上するケースもあり、移行メリットをKPIで可視化しましょう。移行完了後は、継続的なバージョンアップ体制を整備します。
よくある質問
Q: PHP5からPHP8への移行にかかる期間は？
A: システム規模によりますが、小規模サイト（数十ページ）で1〜2ヶ月、中規模システム（業務アプリ）で3〜6ヶ月、大規模基幹システムで6ヶ月〜1年が目安です。コードベースの品質やテストカバレッジにより大きく変動します。
Q: PHP5からPHP8への移行費用の相場は？
A: 小規模サイトで50〜200万円、中規模システムで300〜800万円、大規模基幹システムで1,000万円以上が一般的です。ただし、放置した場合のセキュリティ事故の平均被害額（約4,000万円）を考えると、早期移行が経済合理的です。
Q: 移行中の業務への影響は？
A: 段階的移行とブルーグリーンデプロイメントを採用することで、業務への影響を最小限に抑えられます。事前に十分なテストを行い、ロールバック計画を準備しておけば、ダウンタイムは数分〜数時間程度に抑制可能です。
Q: WordPressサイトのPHP5→PHP8移行は簡単？
A: WordPress本体はPHP8に対応していますが、テーマやプラグインの互換性確認が必要です。特にカスタムテーマや有料プラグインはPHP8未対応のケースがあります。PHP互換性チェッカープラグイン（PHP Compatibility Checker）で事前確認を推奨します。
まずはAI Dockで無料診断
RadineerのAI Dock（AI技術負債診断）なら、PHP5システムのリスクを30分で無料診断。セキュリティリスク・保守コスト・移行計画をAIが自動分析します。
「移行したいが何から始めればいいかわからない」「費用感を知りたい」という方は、まずAI Dockで現状を可視化しましょう。診断結果をもとに、最適な移行プランをご提案します。
関連サービス: システム開発・リニューアル