古いWebサービスを作り直すには｜PHPの継続利用・再構築・費用の判断

このガイドは、PHPで動く会員サービス、管理画面、業務システムの事業・運用責任者向けです。現在の構成を更新する案と、新しい構成へ作り直す案を比較し、残す業務と調査が必要な項目を整理します。会社案内や店舗のサイトはホームページの管理・運用ガイドをご覧ください。

見直すときは、現在公開している環境への修正と、今後の構成を変える計画を分けて進めます。数か月かけて作り直す予定があっても、今の環境への対応は必要です。業務担当者は止められない処理や利用者を整理し、更新の適用状況や変更方法は技術担当者に確認してもらいます。

期限・費用・技術のどこで止まっているかを整理する

2026年10月の重大な脆弱性は、運用環境での修正適用を確認する

PHP公式は10月21日、認証なしの遠隔コード実行につながるCVE-2026-109618・CVE-2026-109619の修正版を公開しました。この告知の修正版は8.2.35、8.3.36、8.4.27、8.5.12です。10月30日に公式情報を再確認していますが、更新時には後続の告知も照合してください。PHP公式告知

公式には10月23日のセッション処理に関する追加情報と、10月26日のWindows向け配布物の更新も掲載されています。Windows向け更新ではPHP本体のバージョン表示が変わらないため、担当者には配布パッケージと構成まで照合してもらいます。PHP公式の2026年告知一覧

ホスティングやOSの提供元が修正を取り込んでいる場合もあります。運用担当者に、公開環境への適用状況を確認してください。バージョンの数字だけで「未対応」「対応済み」を決めず、提供元の告知と照合します。

確認するのは、実際にWebリクエストを処理している環境です。ターミナルで使うPHPと、Webサーバーから呼ばれるPHPが別の版になっている場合があります。複数台で配信しているなら、一部のサーバーだけを見て完了にしないようにします。

サポート期限は、PHP本体と周辺の部品で違う

PHP公式のセキュリティサポート期限は次のとおりです。2026年10月30日に公式の対応バージョン一覧を確認しました。

PHP 8.1以前は公式の通常サポートが終了しています。特定の脆弱性に対する例外的な修正や、提供元による延長サポートがあっても、通常のサポートが再開したことにはなりません。OS・フレームワーク・ライブラリにも、それぞれの期限があります。

期限の近い版へ上げると、短期間で次の更新が必要になります。更新先は、互換性と残りのサポート期間の両方を見て決めます。

バージョンを上げられない理由を、コードと業務の両方で調べる

「PHPを上げたら動かない」という状態には、いくつかの原因が考えられます。使えなくなった関数、変更された型の扱い、対応版が出ていないライブラリ、古いフレームワーク。必要な修正は、アプリケーションの構成によって変わります。

最初の調査では、技術担当者に次を一覧にしてもらいます。業務側で分からない版や構成を、推測して埋める必要はありません。

• PHP・OS・フレームワークと依存ライブラリの版
• 公開画面、管理画面、外部API、定期処理
• ログイン・権限・決済など、止まると業務に響く機能
• ソースコード、構築手順、テスト、バックアップの有無

依頼前に集める情報と見積もりの確認点は、Webサービス移行のチェックリストで整理しています。仕様書がなくても、確認できるコードや実際の操作から調査範囲を決められます。

現行構成の更新、部分改修、作り直しを比較する

PHPを使っていることだけを理由に、全面的な作り直しを選ぶ必要はありません。どの方針でも、実装費に加えて、検証、切り替え、運用担当者への引き継ぎまで比較します。

会員情報や取引履歴を持つWebサービスでは、単に画面を静的なページに置き換えても同じ機能にはなりません。ホームページの移行と予算や工期を混同しないようにします。

モダン構成へ移すなら、画面・認証・データを一緒に設計する

TypeScriptやNext.jsで画面とサーバー処理を作り、認証・データベースにSupabaseなどを使う構成は、移行先の候補です。処理時間、利用人数、データ量、外部連携、運用する人に合わせて選びます。

「新しい技術だから安全」という判断はできません。誰がどのデータを読めるか、管理者の処理をどこで実行するか、秘密情報をどこへ置くかは、新しい構成でも設計が必要です。確認範囲はAI開発・モダン構成のセキュリティレビューにもまとめています。

移行前に、旧データと新データの項目の対応表を作ります。ユーザーID、日時、金額、添付ファイルの保存先などを照合し、認証方式によっては利用者のパスワード再設定を計画します。画面が再現できても、この確認が終わるまでは移行完了にできません。

部分的に置き換える場合は、新旧のデータをどちらで更新するか、認証をどう共有するかを決めます。両方から同じデータを書き換える期間が長くなるほど、整合性の確認と運用負担が増えます。

調査の成果物を、再構築の判断に使える形で受け取る

調査では、現在の構成、サポート期限、更新を妨げる部品、影響する業務を整理します。確認済みの事項と、権限や資料がなく未確認の事項を区別すると、次に必要な作業が分かります。

見積もりは、調査、検証環境、互換性修正、業務テスト、切り替え、引き継ぎに分けて確認します。たとえば決済を使うサービスでは、成功・失敗・再送時の検証用アカウントも必要です。社内で用意するものと、依頼先が用意するものを決めてください。

Float Engineeringでは、モダン構成への再構築・移行を中心に、調査と実装を分けて個別に見積もります。既存PHPのパッチ適用や継続保守は、現在の運用担当者などと進める範囲です。費用の見方に、対象範囲をそろえて比較するための表を用意しています。

依頼前に、業務側で分かることを1枚にする

次は相談メモの記入例です。構成の詳細が不明でも、日常操作と手元の資料から調査範囲を決められます。

利用者の実データや秘密情報は添付せず、必要な資料と共有方法を調査担当者と決めます。

切り替え前に、戻す条件とデータの扱いを決める

テスト環境では、画面が表示されることだけでなく、一連の業務を確かめます。権限の異なるアカウントでの操作、決済の成功・失敗、メール送信、ファイル出力、夜間の定期処理などが対象です。

本番の切り替えでは、いつ誰が結果を確認し、どの不具合が出たら戻すかを決めます。データベースの変更がある場合は、コードだけ戻しても復旧できるとは限りません。切り替え後に追加されたデータをどう扱うかも必要です。

更新が終わったら、利用している版、確認した業務、残課題、次の保守期限を記録します。脆弱性の通知を受け取る人と、対応を判断する人も決めてください。担当変更時に、この情報を新しい運用者へ渡せる状態を保ちます。

開発会社へ依頼するときの確認事項も参考になります。作業を頼むときは、「PHPの更新」だけで終わらせず、どの機能を確認して完了とするかまで合意してください。

再構築・移行の調査と見積もりはWebサービスの再構築窓口で受け付けています。侵害の疑いや緊急の更新通知がある場合は、当窓口の返信を待たず、現在の運用担当者・ホスティング事業者への連絡を先に行ってください。

移行先にも更新と運用は必要です。Node.jsやNext.jsの修正例も確認し、現PHPと移行先のどちらにも管理担当と反映手順を用意します。