PHPとは？
PHPは、世界中のWebサイトで広く採用されているWeb開発に特化したサーバーサイドのスクリプト言語です。
名称の由来と歴史
PHPは、ラスマス・ラードフ（Rasmus Lerdorf）氏が1994年に開発し、1995年に一般公開しました。当初は、自身のWebページへのアクセスを記録するための小さなツール群で、「Personal Home Page Tools」の頭文字を取って名付けられました。その後、Webの普及とともに本格的なプログラミング言語へと発展し、現在では「PHP: Hypertext Preprocessor」の略とされています。
この名称は、略称の中に自分自身（PHP）が含まれる「再帰的頭字語」と呼ばれる少し珍しい形になっています。
PHPはオープンソースのプログラミング言語で、無料で利用できます。特定の企業の製品ではなく、世界各国の開発者によるコミュニティが改良を重ね、現在も共同で開発・保守を続けています。
「サーバーサイド言語」としての性質
プログラミング言語には、閲覧者のパソコンやスマートフォンのブラウザ上で動作する「クライアントサイド言語（JavaScriptなど）」と、Webサーバーの内部で動作する「サーバーサイド言語」があります。
PHPは後者に属します。Webサーバー上でデータベースとの連携や計算などの処理を行い、その結果としてHTMLを生成して、閲覧者のブラウザへ送り返します。
閲覧者に届くのは生成されたHTMLだけで、PHPのプログラムそのものやデータベースの中身は閲覧者からは見えません。また、閲覧者の端末の種類や性能に左右されず、サーバー側で処理を完結できる点も特徴です。
WordPressにおけるPHPの役割：動的ページの生成
Webページの表示方式には、あらかじめ作成したファイルをそのまま返す「静的ページ」と、アクセスがあるたびにページを組み立てる「動的ページ」の2種類があります。WordPressは動的なWebサイトを作る仕組みで、その中心で働いているのがPHPです。
WebブラウザからWebサイトへアクセスがあった際、サーバー内部では以下のような分業体制で処理が実行されています。
- ブラウザ（閲覧者）：ページを見たいという要求（リクエスト）をサーバーに送ります。
- Webサーバー：リクエストを受け取り、PHPに処理を引き渡します。画像やCSS、JavaScriptなどの静的なファイルは、Webサーバーがそのまま返します。
- PHP（プログラムの実行環境）：WordPressのプログラムを実行し、データベースから必要な情報を取り出して、1枚のWebページ（HTML）を組み立てます。
- データベース（MySQL／MariaDB）：記事の本文、カテゴリー、サイトの設定などを保管しています。
- ブラウザ（閲覧者）：返ってきたHTMLを、CSSなどと組み合わせて画面に表示します。
静的なサイト（HTML/CSSのみのサイトなど）であれば、サーバー上のファイルをそのまま返せば処理は終わります。WordPressの場合は、アクセスのたびにPHPがプログラムを動かし、最新の記事やヘッダー・フッターなどの部品をデータベースから集めて、HTMLを組み立てています。
この仕組みのおかげで、管理画面から記事を1本投稿するだけで、トップページの新着一覧やカテゴリーページなど、サイト内の関連箇所が自動的に更新されます。
「脆弱性」について
「脆弱性」とは、ソフトウェアの設計ミスやプログラムの不具合によって生じる、セキュリティ上の弱点のことです。WordPressのサイトでは、脆弱性が存在しうる場所が大きく2つの層に分かれます。
| PHPで書かれたソフトウェア | WordPress本体、テーマ、プラグイン | WordPressの管理画面で更新する |
| PHPそのもの（実行環境） | PHPエンジン | サーバー側でPHPを更新する |
WordPressの攻撃被害として日常的に多いのは、更新されていない古いプラグインやテーマの脆弱性を突かれるケースです。
一方、PHPそのものに脆弱性がある場合は、その上で動いているWordPress本体・テーマ・プラグインをすべて最新にしていても防げません。土台が揺らいでいるため、その上に建っているすべてが影響を受けます。
Webサイト運用者に求められる対策
基本となる対策は、PHP本体と、PHPで書かれたソフトウェアの両方を、サポートが続いている安全なバージョンに保つことです。
PHPのバージョン管理
PHPには、公式の開発コミュニティが定めたサポート期限があります。各バージョンは、リリースから2年間は通常のサポート、その後の2年間は重大なセキュリティ修正のみが提供され、合計4年でサポートが終了します（EOL：End of Life）。
レンタルサーバーを利用している場合は、次の点を確認してください。
- 管理パネルで、サポート期間内のPHPバージョンが選ばれているか
- サーバー会社から、セキュリティに関するお知らせが出ていないか
WordPress本体・テーマ・プラグインの更新
WordPressの管理画面に更新の通知が表示されたら、放置せずに早めに適用してください。使っていないテーマやプラグインは、無効化するだけでなく削除しておくと、攻撃の入り口を減らせます。
参考
- PHP入門
- PHPの歴史
- PHP 一般的な情報（FAQ）
- PHPのサポート中バージョン一覧（英語）
- 山田 祥寛, 独習PHP 第4版, 翔泳社, 2021
- WordPressの必須要件
PHP脆弱性問題について（2026年10月）