# PHPの更新に、数十万も数百万も要りますか

> 神戸でシステム開発をするなら株式会社テバククリエイト

出典: https://daebak-create.com/blog/wordpress-to-astro-php2shell

php2shellを理由に、更新費が数十万から数百万という話が届いています。脆弱性を閉じる作業はPHPの修正版です。WordPressの1件を1日でAstroへ移したのは、その金額と比べるための例です。

この数日、同じ話を何度か聞きました。PHPの脆弱性（php2shell）が出たので更新が必要、その費用が数十万から数百万、という請求です。

脆弱性自体は本当です。Webに出しているPHPは、修正版へ上げる必要があります。気になっているのはそこではなく、その名前で、請求額だけが先に大きくなっていることです。請求の実物を一件ずつ見たわけではないので、相場だとは書きません。何の作業なのかが見えないまま、金額だけが届いているのが問題だと思っています。

PHPそのものの説明と、修正版の入れ方は [前回の記事](/blog/php2shell-notice) にあります。株式会社テバククリエイトのWEB制作とシステム開発の標準構成はPHPを使っていないので、当社がその構成で出しているサイトに、この更新作業はありません。

## 金額の前に、作業を2つに分ける

見積もりを開いたら、まず作業の名前を分けます。

1. Webに出しているPHPを、同じ系統の修正版にする
2. サイトを、PHP以外の仕組みで作り直す

1が、この脆弱性を閉じる作業です。修正版は PHP 8.5.12、8.4.27、8.3.36、8.2.35 です。WordPressやプラグインを新しい版にしても、php2shell は閉じません。サーバーの更新権限が自分たちにあれば、パッケージの更新とプロセスの入れ直しです。共有のレンタルサーバーなら、多くの場合は利用者がPHP本体を差し替えられず、事業者の更新を確認する作業です。サイトの中身を見ずに、ここだけで数十万、数百万になると決まる種類の作業ではありません。

2は、ページの移し替えに加えて、フォーム、予約、会員、決済の受け皿を作り直すことがあります。規模によっては費用が乗ります。ただしそれは、脆弱性の緊急対応費ではなく、サイトを持ち替える費用です。今払う必要があるかは、持ち替えで管理がどれだけ軽くなるかで見ます。

「このPHPの問題があるので」と書かれた見積もりが、中身は2だった、という取り違えが起きると、急いで払う理由と、実際の作業がずれます。作り直しは、この脆弱性を閉じる必須の作業ではありません。

## 比べるために、うちの1件

金額の話だけだと実感がわかないので、この数日でこちらであった1件を置いておきます。サイト名は出しません。

WordPressで公開していて、リクエストはPHPが受けていました。話題が出てから1日で [Astro](https://astro.build/) に作り替え、公開まで終えています。移したあとは、WordPress本体、テーマ、プラグイン、PHPの継続的な更新が、このサイトの運用から外れました。管理にかかっていた費用も下がりました。下がった円の数字は、サイトごとに違うので書きません。

これは、穴を塞ぐ手段が他になかったから選んだことではありません。PHPとWordPressの更新をこれ以上抱えないほうが、管理費用が下がると見られる大きさだったので、持ち替えのほうを取りました。

1日で終わったのも、このサイトの条件が合ったためです。ページの内容がほぼ固定で、会員登録、決済、在庫、ログインした人だけが見る画面がありませんでした。それらがあるサイトは、見た目を移すだけでは終わりません。どのWordPressでも1日、という話にはしません。

Astroは、ページを静的なHTMLとして書き出せます。公開したサイトがPHPでリクエストを受けない形になれば、今回の脆弱性の対象からは外れます。それは「PHPを更新した」の代わりではなく、「PHPで受けないサイトにした」という結果です。移し替えに何日もかけるあいだ古いWordPressを出したままにするのは、対策になりません。時間をかけるなら、先に修正版へ上げるか、移し終わるまで古いサイトを公開しない、のどちらかが先です。

案件で普段使う技術は、前回書いたとおり React、Svelte、Node.js、Go と、AWS・GCP・Cloudflare です。今回 Astro を選んだのは、このサイトをPHPなしのHTMLとして出せるためです。すべての案件を Astro にするものではありません。

## 払う前に並べてみること

神戸市中央区の株式会社テバククリエイトが、このような話を聞いたときに並べるのは次です。

- このサイトは、PHPでリクエストを受けているか
- 受けているなら、修正版へ上げる権限は誰にあるか
- 見積もりの中身は、修正版を入れる作業か、サイトの持ち替えか
- 持ち替えるとして、会員、決済、予約のように、見た目以外に移す機能があるか
- 今の管理費のうち、PHP、テーマ、プラグインの更新がどれだけを占めるか
- 作り直しの費用を、減る管理費で何年かけて取り戻すか

最後の項目で取り戻す見込みがないなら、今回の脆弱性を理由に作り直す必要はありません。修正版へ上げて、様子を見るほうが素直です。うちの1件は、作業量と、減る管理費の両方を見て、その日のうちに移しました。

## 見積もりの文面が読めないとき

受け取った見積もりが、上の1なのか2なのか、文面から読めないことがあります。その切り分けは、[お問い合わせ](/contact) から送れます。サイトのURLと、提示された作業の文面があれば足ります。

神戸市中央区（元町）の株式会社テバククリエイトで見ます。相談とお見積りは無料です。作り直しを勧める前提では見ていません。PHPの修正版で足りるサイトには、そのように返します。

## よくある質問

### 数十万、数百万の見積もりは、作り直しが必要だという意味ですか

文面を見ないと分かりません。PHPを修正版にする作業と、サイトを作り直す作業は別です。脆弱性を閉じるだけなら、作り直しが必須になるわけではありません。

### 脆弱性を閉じるだけなら、PHPを更新すれば足りますか

足ります。PHP公式が完全な対策だとしているのは、修正版（8.5.12、8.4.27、8.3.36、8.2.35）への更新です。Astroへの作り替えは、その代わりではありません。

### WordPressのサイトは、どれも1日でAstroに移せますか

移せません。ページの量と、会員登録、決済、予約などの機能の有無で日数は変わります。1日で終わったのは、今回の1件の条件が合ったためです。

### Astroに移すと、なぜ管理費用が下がることがありますか

WordPress本体、テーマ、プラグイン、PHPの継続的な更新が、運用から外れるためです。会員や決済の受け皿を別に持つサイトでは、その分の管理は残ります。今回の1件では、管理費用は下がりました。


## 神戸でシステム開発・制作をご検討なら

神戸でシステム開発をするなら、株式会社テバククリエイトにご相談ください。兵庫県神戸市中央区海岸通（元町エリア）を拠点に、要件の整理から公開後の保守まで一貫して対応します。兵庫県内は訪問での打ち合わせが可能です。

- [システム開発・WEBサイト制作](/services/system-development)
- [兵庫県・神戸のシステム開発](/services/system-development-hyogo)
- [制作・開発事例](/cases)
- [お問い合わせ（相談・お見積り無料）](/contact)