Defaults.Exposed › レポート

WebのPHPの半分はサポート終了版で動いている（2026年）

公開日 2026-06-29

数値は 2026-06-29 時点 · 方法論 v7。 261 百万件の格付け対象ドメインにわたって観測された X-Powered-By レスポンスヘッダーからの集計センサスデータ。EOL の割合は、開示された最も一般的な PHP バージョンの間で測定されています。「サポート終了」とは、もはやセキュリティ修正を受けないバージョン（2026 年時点で PHP ≤ 8.1）を意味します。私たちの格付け方法をご覧ください。

ウェブの非常に大きな割合が、何年も前にセキュリティパッチの提供を停止した PHP で稼働しており、しかもそれを進んで教えてくれます。 レスポンスヘッダーで PHP バージョンを開示している 12 百万件 のサイトのうち、50.8% がサポート終了のリリース上にあります。ウェブ全体で群を抜いて最も一般的な単一の PHP バージョンは 7.4.33 で、これは 2022 年にサポート終了に達したビルドであり、1,889,273 件のサイトで稼働しています。これらは単に時代遅れであるだけではありません。セキュリティ修正を一切受けず、尋ねてくるあらゆるスキャナーに自身のバージョンを公表しているのです。

ここでの「サポート終了」の意味

PHP のリリースは、おおよそ 2 年間のアクティブサポートと、さらに 1 年間のセキュリティ修正のみのサポートを受けます。その後 — サポート終了 — 重大な脆弱性に対してであっても、もはやセキュリティパッチは提供されません。 2026-06-29 時点で、PHP 8.1 を含むそれ以前のすべてがサポート終了です。新たに知られた脆弱性を抱え込んだ EOL バージョンのサイトは、単に脆弱なままになります。

サイトが X-Powered-By 経由で公表している最も一般的なバージョン：

最も一般的な PHP ビルドである 7.4.33 はサポート終了であり、まだサポートされているあらゆるリリースを上回っています。

2 つの問題が積み重なっている

これは複合的な露出です：

1. ソフトウェアにパッチが当たっていない。 バージョンを開示している PHP サイトの 50.8% は、新たに発見された欠陥に対するセキュリティ修正を受けられません。何も見つからないことに頼っており、これはセキュリティ戦略ではありません。
2. それを公表している。 正確なバージョンを開示することは、スキャンを買い物リストに変えます。攻撃者はインターネットを 7.4.33 で絞り込み、既知の脆弱性と突き合わせ、単一のエクスプロイトを送る前にターゲットリストを手にします。（あなたのサーバーヘッダーが漏らすものをご覧ください。）

どちらの問題も修正に費用はかかりませんが、所有者にとっては見えません。所有者は正常に動作するサイトと、何の警告もないものしか目にしないのです。

サポート終了の PHP から抜け出す方法

1. バージョンを確認する。 8.1 以前であれば、2026-06-29 時点でサポート終了です。
2. サポートされているリリースにアップグレードする（8.2+）。ほとんどのホストはワンクリックの PHP バージョン切り替えを提供しています。
3. 公表をやめる。 X-Powered-By を削除するか汎用化して、攻撃者に自分のバージョンを渡さないようにします。
4. 再確認することで確かめます。

よくある質問

ウェブ上で最も一般的な PHP バージョンは何ですか？ 7.4.33 で、サポート終了です。2026-06-29 時点で、まだサポートされているどのリリースよりも多い 1,889,273 件のサイトで稼働しています。

サポートされていない PHP バージョンで稼働しているウェブサイトはどれくらいありますか？ バージョンを開示している 12 百万件のサイトのうち、50.8% がサポート終了のリリース（PHP ≤ 8.1）で稼働しています。多くの EOL サイトが自身のバージョンを隠しているため、実際の数値はおそらくもっと高いでしょう。

サポート終了の PHP を稼働させることは本当に危険ですか？ はい。EOL バージョンはセキュリティパッチを受けないため、新たに発見された脆弱性は無期限に悪用可能なままです。バージョン開示と組み合わさることで、サイトを容易で事前選別済みのターゲットにします。

自分がどの PHP バージョンを使っているかを知るには？ ホストのコントロールパネルに表示され、多くのサイトは X-Powered-By ヘッダーでそれを漏らしています。サポートされているバージョン（8.2+）へのアップグレードは通常ワンクリックの変更です。

あなたのサイトが何を明かしているか確認する

あなたのサイトがそのスタックを公表しているかどうか、そしてあなたのセキュリティ態勢の残りの部分を、無料かつプライベートに確認しましょう。

あなたのドメインを確認 → · あなたのサーバーヘッダーが漏らすもの → · HTTP セキュリティヘッダー成績表 → · 集計データのみ。データは EU 内で保存・処理されます。