PHPバージョンの確認方法:WordPress・サーバー管理画面・コマンド

ご自身が所有・管理しているシステムだけを確認してください。 このページとチェッカーは、入力されたバージョン番号を比べるだけです。サーバーへアクセスして調べることはしません。当サイトは独立したサイトであり、PHP Group および php.net とは関係ありません。

結論(先に)

PHPのバージョンは、WordPressなら「ツール > サイトヘルス > 情報 > サーバー」、レンタルサーバーなら管理画面のPHP設定、サーバーにログインできるなら php -v コマンドで確認できます。調べた番号が、PHP公式の修正版 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 以上であれば、今回の重大な脆弱性(通称 php2shell、CVE-2026-109618 と CVE-2026-109619)に対応済みの目安になります。UbuntuやRHEL系などのLinuxパッケージ版は、番号が古いまま修正だけが取り込まれることがあるため、dpkg や rpm で出る版数を、ディストリビューションが示す修正済みバージョンと比べてください。

所要時間の目安は3〜5分です。

先に知っておくこと:何と比べるか

PHP公式の発表では、この2件の脆弱性は認証なしのリモートコード実行につながり得るとされています。簡単に言うと、外部の第三者がサーバー上で勝手にプログラムを動かせてしまう可能性がある、ということです(php.netの発表)。公式は、完全な緩和策はなく、更新が唯一の対処だとしています。

出典:php.net 発表、ChangeLog、対応バージョン一覧。系統ごとの詳細は修正バージョン表にまとめています。

方法1:WordPressのサイトヘルスで確認する(いちばん簡単)

1. WordPressに管理者でログインします。
2. 左メニューの ツール > サイトヘルス を開きます。
3. 上のタブ 情報 を選び、サーバー を展開します。
4. 「PHPバージョン」の行(英語表示では「PHP version」)が、そのサイトで動いているPHPのバージョンです。

メニューの場所はWordPress公式ドキュメントにも載っています。

• 「サイトヘルス」が見当たらない場合は、WordPressのバージョンが古い、または管理画面の構成が違う可能性があります。その場合は、次の方法2・3で確認してください。
• 「ステータス」タブにPHPに関する警告が出ていなくても、今回の修正済みとは限りません。この警告はPHPの系統が古いかどうかの目安で、今回の修正版かどうかまでは示しません。必ず「情報 > サーバー」の番号を確認してください。

方法2:レンタルサーバーの管理画面(PHP設定)で確認する

レンタルサーバーでは、管理画面のPHP設定にバージョンが表示されます。主なサービスの公式マニュアルは次のとおりです。画面の名称や場所は変わることがあり、本サイトでは操作手順そのものは確認していないため、各社の公式マニュアルに従ってください。最新の状況はホスティング状況をご覧ください。

各社の公式案内は、次の表のとおりです（当サイトのデータから表示しています）。

出典:さくら お知らせ、さくら 緊急メンテナンス告知、さくら「PHPのバージョンを変更したい」、エックスサーバー お知らせ、エックスサーバー公式X、エックスサーバー PHPバージョンのマニュアル、ロリポップ! 公式X、ロリポップ! お知らせ、ロリポップ! PHP設定のマニュアル、ConoHa WING「PHPの設定をする」、ConoHa WING お知らせ、ConoHa お知らせ。

注意点が3つあります。

• 共用サーバーは、番号だけで判断しないでください。 ホスト側が独自の修正を当てる場合があります(エックスサーバーはPHP 5.6〜8.5への修正パッチの適用完了を発表し、PHP 5.5以下は修正パッチの作成・検証中と案内しています)。表示が修正版より古く見えても、まずホストの案内を確認してください。
• 管理画面がメンテナンス中のことがあります。 開けないときは、何度も操作を繰り返さず、各社のお知らせに従ってください。
• バージョンを変えるときは、先にバックアップを取ってください。 古い系統から大きくバージョンを上げると、テーマやプラグインが動かなくなることがあります。

方法3:php -v コマンドで確認する(SSHやターミナルが使える場合)

php -v

1行目に PHP 8.x.y (cli) の形でバージョンが表示されます(php.net:コマンドラインオプション)。この番号をメモしておきます。

ただし、php -v が示すのはコマンドライン用のPHPです。Webサイトを動かしているPHP(PHP-FPMやApacheのモジュール)とは、別のバージョンが入っていることがあります。PHPを複数入れているサーバーでは、次のコマンドでWeb側も確認します。

# Debian / Ubuntu(8.3は自分の系統に置き換え)
php-fpm8.3 -v

# RHEL系(AlmaLinux、Rocky Linuxなど)
php-fpm -v

どれがWebを動かしているか分からないときは、次の方法4(phpinfo)で、実際にWebで使われているバージョンを確認するのが確実です。

方法4:phpinfoで確認する(確認したらすぐ削除)

SSHが使えない共用サーバーでも、Webで実際に使われているバージョンを確認できます。

1. 次の1行だけのファイルを作り、推測されにくい名前(例:check-xxxx.php)で公開ディレクトリに置きます。

   <?php phpinfo();

2. ブラウザでそのファイルを開くと、ページ上部に「PHP Version」が表示されます。

3. 確認できたら、すぐにファイルを削除してください。

phpinfo() の出力には、PHPのバージョンのほか、サーバー情報、環境変数、パス、HTTPヘッダなどが含まれます(php.net:phpinfo)。置きっぱなしにすると、第三者に環境の情報が見えてしまいます。

番号だけ分かれば十分なら、次の1行のほうが表示される情報が少なくて済みます(こちらも確認後は削除)。

<?php echo PHP_VERSION;

方法5:Linuxのパッケージ版数を確認する(dpkg / rpm)

LinuxのPHPパッケージには、本家と同じ番号の版へ更新されるものと、番号を古いまま据え置いて修正だけを取り込む(バックポート)ものがあります。たとえばDebianやRHELの新しい系統は本家と同じ番号(8.4.27など)に上がり、Ubuntuや、RHELの7.4・8.0など古い系統は旧番号のままです。そのため php -v の番号が古く見えても、修正済みの場合があります。PHP本家の番号ではなく、ディストリビューションが示す修正済みパッケージのバージョンと比べる必要があります。

# Debian / Ubuntu
dpkg-query -W -f='${Package} ${Version}\n' 'php*-cli' 'php*-fpm' 'libapache2-mod-php*' 2>/dev/null

# RHEL / AlmaLinux / Rocky Linux / Fedora
rpm -qa | grep -i '^php'

表示されたバージョン(例:8.3.6-0ubuntu0.24.04.13 のような文字列全体)をメモして、次の修正済みバージョンと比べます。

Ubuntu 22.04のPHP 8.1は、本家ではサポート終了の系統ですが、Ubuntu自身のパッケージとして修正が出ています。RHELのほかのストリーム(php:8.2、php:7.4など)や、Rocky Linux、Oracle Linux、AlmaLinux、Amazon Linux、Alpine、Remiなどは修正バージョン表をご覧ください。AlmaLinuxは、公告が確認できたストリームと、まだ確認できていないストリームがあります。Ubuntu 20.04と18.04の修正はUbuntu Pro(ESM)経由での提供で、16.04と14.04はUbuntu Proに加えてLegacy Supportアドオンが必要です。

バージョンに deb.sury.org を含む場合(ppa:ondrej/php や packages.sury.org のPHP)は、UbuntuやDebian公式のパッケージではないため、上の表とは比べられません。UbuntuとDebianの確認・更新手順はUbuntu・Debianのガイドにまとめています。

Dockerの場合は、コンテナの中で調べます。コンテナ名・イメージ名は、ご自身のものに置き換えてください。

docker ps                                 # 実行中のコンテナ名を確認
docker exec コンテナ名 php -v             # 実行中のコンテナのPHP
docker run --rm イメージ名 php -v         # イメージ単体で確認

最後に:チェッカーに貼り付けて判定する

確認できた番号を、当サイトのチェッカーに貼り付けてください。php -v の出力はそのまま貼れます。Linuxパッケージ版は、モードを「Linuxパッケージ」に切り替えてバージョンを貼り付けます。判定はすべてお使いのブラウザの中で行われ、入力した内容が当サイトのサーバーに送られることも、あなたのサイトにアクセスすることもありません。

• 対応済みと出たら、PHPを動かしているサービス(PHP-FPMやApache)を再起動して、新しいバージョンで実際に動いていることを確認してください。更新しただけで再起動していないと、古いプロセスが動き続けます。
• 未対応と出たら、ご利用のOSやサービスの通常の更新手順でPHPを更新します。大きくバージョンを上げる前には、必ずバックアップ(VPSならスナップショット)を取ってください。更新後は、次のように再起動して確認します。

# 例:Debian / Ubuntu のPHP-FPM(8.3は自分の系統に置き換え。Apache なら apache2 を再起動)
sudo systemctl restart php8.3-fpm
php -v
php-fpm8.3 -v

更新後は、もう一度このページの方法でバージョンを調べ、チェッカーで「対応済み」になることを確かめてください。

php2shellの背景や全体の対応方針は、php2shellの解説と対応ガイドをご覧ください。

ご自身の環境でどう直せばよいか分からない方向けに、49ドルの個人向け対応プランもあります。お使いの環境に合わせた対応手順を、24時間以内にメールでお届けします。詳しくはこちらをご覧ください。