自社データ・2026年10月24日計測

国内企業サイトの PHP・WordPress の版とセキュリティヘッダー 2026

Name: 国内企業サイトの PHP・WordPress の版とセキュリティヘッダー 2026
Creator: 株式会社BlueAI
Published: 2026-10-24
License: https://creativecommons.org/licenses/by/4.0/deed.ja

PHP か WordPress を使っていると分かっている国内企業 21,819 サイトのトップページを 1 回ずつ読み、外から見える版の表記とセキュリティヘッダーを数えました。

要点

PHP PHP の版を表示していた 2,431 サイトのうち、46.5%（1,130 サイト）がサポートの終わった 8.1 以前でした。版を表示していたのは、応答を読めた 19,987 サイトの 12.2% です。
WordPress WordPress の版が読めた 10,096 サイトのうち、16.6%（1,677 サイト）は、wordpress.org が insecure（修正の出た脆弱性がある版）と判定する版を表示していました。最新の 7.1.3 は 49.6% です。
ヘッダー HTTPS で表示された 19,506 サイトのうち、HSTS を返したのは 12.3%、調べた 5 つのヘッダーをすべて返したのは 1.7% でした。応答を読めた 19,987 サイトの 75.2% は 5 つのどれも返していません。

集計の CSV をダウンロード

計測の結果

どの割合も、図の説明に書いた数を分母にしています。図の下の表に、件数と分母があります。

図1 PHP のサポート状況

PHP の版を表示していた 2,431 サイトのうち、php.net の区分ごとの割合です。

現行（8.4・8.5）9.3%
修正のみ（8.3）38.4%
年末で終了（8.2）5.8%
終了（8.1 以前）46.5%

件数と分母の表

項目	件数	分母	割合
現行（8.4・8.5）	226	2,431	9.3%
修正のみ（8.3）	933	2,431	38.4%
年末で終了（8.2）	142	2,431	5.8%
終了（8.1 以前）	1,130	2,431	46.5%

図2 PHP の系列

PHP の版を表示していた 2,431 サイトのうち、系列ごとの割合です。橙はサポートが終わった系列です。

PHP 8.55.2%
PHP 8.44.1%
PHP 8.338.4%
PHP 8.25.8%
PHP 8.1（終了）2.1%
PHP 8.0（終了）1.2%
PHP 7.4（終了）31.1%
PHP 7.3（終了）1.6%
PHP 7.2（終了）0.7%
PHP 7.1（終了）2.1%
PHP 7.0（終了）1.2%
PHP 5（終了）6.6%

件数と分母の表

項目	件数	分母	割合
PHP 8.5	127	2,431	5.2%
PHP 8.4	99	2,431	4.1%
PHP 8.3	933	2,431	38.4%
PHP 8.2	142	2,431	5.8%
PHP 8.1（終了）	50	2,431	2.1%
PHP 8.0（終了）	30	2,431	1.2%
PHP 7.4（終了）	755	2,431	31.1%
PHP 7.3（終了）	39	2,431	1.6%
PHP 7.2（終了）	16	2,431	0.7%
PHP 7.1（終了）	52	2,431	2.1%
PHP 7.0（終了）	28	2,431	1.2%
PHP 5（終了）	160	2,431	6.6%

図3 WordPress の版の状態

WordPress の版が読めた 10,096 サイトのうち、wordpress.org の判定ごとの割合です。

最新版（7.1.3）49.6%
旧系列の最新版（outdated）33.7%
更新が必要な版（insecure）16.6%
公開版にない表記0.0%

件数と分母の表

項目	件数	分母	割合
最新版（7.1.3）	5,010	10,096	49.6%
旧系列の最新版（outdated）	3,405	10,096	33.7%
更新が必要な版（insecure）	1,677	10,096	16.6%
公開版にない表記	4	10,096	0.0%

図4 WordPress の系列

WordPress の版が読めた 10,096 サイトのうち、系列ごとの割合です。公式に支援されるのは最新の 7.1 だけで、ほかは橙にしています。

7.2（開発版）0.0%
7.1（最新）51.3%
7.0（旧系列）5.1%
6.9（旧系列）5.4%
6.8（旧系列）6.5%
6.7（旧系列）3.3%
6.6（旧系列）2.5%
6.5（旧系列）2.3%
6.4（旧系列）2.7%
6.3（旧系列）1.3%
6.2（旧系列）2.3%
6.1（旧系列）2.0%
6.0（旧系列）1.9%
5.9 以前（旧系列）13.3%

件数と分母の表

項目	件数	分母	割合
7.2（開発版）	1	10,096	0.0%
7.1（最新）	5,182	10,096	51.3%
7.0（旧系列）	519	10,096	5.1%
6.9（旧系列）	549	10,096	5.4%
6.8（旧系列）	660	10,096	6.5%
6.7（旧系列）	331	10,096	3.3%
6.6（旧系列）	252	10,096	2.5%
6.5（旧系列）	234	10,096	2.3%
6.4（旧系列）	276	10,096	2.7%
6.3（旧系列）	133	10,096	1.3%
6.2（旧系列）	230	10,096	2.3%
6.1（旧系列）	197	10,096	2.0%
6.0（旧系列）	190	10,096	1.9%
5.9 以前（旧系列）	1,342	10,096	13.3%

図5 HTTPS とセキュリティヘッダー

HSTS は HTTPS で表示されたサイトが分母、ほかは応答を読めたサイトすべてが分母です。

HTTPS97.6%
HSTS12.3%
X-Frame-Options15.1%
X-Content-Type-Options17.9%
CSP5.4%
Referrer-Policy5.3%

件数と分母の表

項目	件数	分母	割合
HTTPS	19,506	19,987	97.6%
HSTS	2,400	19,506	12.3%
X-Frame-Options	3,024	19,987	15.1%
X-Content-Type-Options	3,575	19,987	17.9%
CSP	1,080	19,987	5.4%
Referrer-Policy	1,059	19,987	5.3%

図6 ウェブサーバーの種類

応答を読めた 19,987 サイトのうち、Server ヘッダーの名前ごとの割合です（版は数えていません）。

nginx67.1%
Apache25.9%
Cloudflare2.4%
LiteSpeed1.4%
Amazon S30.6%
OpenResty0.3%
表示なし1.3%
その他1.1%

件数と分母の表

項目	件数	分母	割合
nginx	13,417	19,987	67.1%
Apache	5,172	19,987	25.9%
Cloudflare	477	19,987	2.4%
LiteSpeed	274	19,987	1.4%
Amazon S3	117	19,987	0.6%
OpenResty	53	19,987	0.3%
表示なし	259	19,987	1.3%
その他	218	19,987	1.1%

業種ごとの違い

応答を読めたサイトが 100 以上ある業種だけを並べました。WordPress と PHP の欄は、その業種で版が読めたサイトが 100 以上あるときだけ割合を出し、足りないときは「—」にしています。

サイト数は応答を読めたサイトの数で、HTTPS、CSP、X-Frame-Options の分母です。HSTS の分母はその業種で HTTPS で表示されたサイト、insecure の WordPress は wordpress.org が insecure と判定する版の割合で分母は版が読めたサイト、終了した PHP の分母は PHP の版を表示していたサイトです。

業種	サイト数	HTTPS	HSTS	CSP	X-Frame-Options	insecure の WordPress	終了した PHP
製造業	4,007	98.1%	14.0%	6.8%	17.5%	16.5%（2,014 のうち）	42.6%（469 のうち）
医療，福祉	2,727	96.6%	10.6%	3.2%	12.5%	17.3%（1,385 のうち）	45.6%（355 のうち）
サービス業	2,482	98.0%	11.9%	5.2%	14.7%	16.2%（1,253 のうち）	47.6%（252 のうち）
卸売業，小売業	2,401	98.2%	12.7%	5.3%	17.0%	15.7%（1,200 のうち）	46.5%（284 のうち）
建設業	2,106	96.7%	10.4%	4.2%	11.4%	14.6%（1,137 のうち）	47.0%（287 のうち）
情報通信業	1,388	99.2%	16.3%	7.6%	20.0%	18.6%（629 のうち）	43.1%（123 のうち）
学術研究，専門・技術サービス業	755	97.6%	11.3%	7.4%	14.3%	14.3%（384 のうち）	—
運輸業，郵便業	690	96.7%	13.8%	6.2%	15.8%	18.7%（348 のうち）	—
宿泊業，飲食サービス業	548	97.4%	11.0%	4.9%	14.4%	18.4%（266 のうち）	—
生活関連サービス業，娯楽業	392	98.5%	9.3%	5.6%	11.7%	22.4%（205 のうち）	—
教育，学習支援業	391	99.5%	6.9%	3.8%	12.3%	18.0%（194 のうち）	—
不動産業，物品賃貸業	363	97.0%	11.4%	4.1%	16.3%	16.4%（171 のうち）	—
金融業，保険業	172	100.0%	22.7%	10.5%	29.1%	—	—
複合サービス事業	166	97.0%	7.5%	3.0%	11.4%	—	—
分類不能の産業	164	97.0%	13.8%	5.5%	15.9%	—	—

計測の方法と読み方

対象: BlueAI 法人データベースのスキャナーが PHP（21,711 社）か WordPress（17,736 社）を検出していた会社の公式サイト。同じドメインを使う会社と重なりを除いて 21,819 ドメイン（PHP 17,508、WordPress 13,922）
期間: 2026年10月24日
読んだもの: robots.txt と、それに応答した場所のトップページへの GET 1 回（転送は 3 回まで追う）だけ
名乗り: BlueAI-SiteSurvey/1.0 (+https://security.blueai.jp/about/)
応答を読めた: 19,987 サイト（残りの 1,832 サイトは下の理由で数えていません）

robots.txt は、素のドメインの https、www つきの https、素の http、www つきの http の順に試し、最初に応答した場所の規則に従いました。つながらない場所だけ次へ進むので、robots.txt への試行は 1 サイトにつき最大 4 か所です。トップページは robots.txt が応答したのと同じスキームとホストから 1 回だけ取得しました。トップページが別のスキームやホストへ転送したサイトが 5,746 あり、転送先の robots.txt は読まずに転送に従っています。そのうち 5,341 サイトは、同じドメインの中で http と https、www の有無だけが変わる転送でした。同じサイトへの間隔は 0.5 秒以上あけ、同時に読むのは 8 サイトまでにしました。ログインページ、フォームの送信、トップページ以外のパスには触れていません。

数えなかった 1,832 サイトの内訳は、robots.txt が私たちか全員に / を禁じていた 31 サイト、robots.txt が 5xx を返したため RFC 9309 に従って禁止とみなした 653 サイト、どの順でもつながらなかった 691 サイト、トップページの取得に失敗した 40 サイト、トップページが 2xx 以外を返した 417 サイトです。

PHP の版は X-Powered-By ヘッダーの PHP/8.x.y だけから読みました。WordPress の版は HTML の generator メタタグ（6,368 サイト）か、本体の CSS と JavaScript に付く ver=（3,728 サイト）から読み、プラグインやテーマの版は使っていません。WordPress の状態は、wordpress.org の Stable check API が版ごとに返す latest、outdated、insecure をそのまま使いました。計測日の応答では、outdated は 4.7 から 7.0 までの各系列の最新の修正版だけに付き、それより古い修正版には insecure が付いていました。insecure は表示された版についての判定で、そのサイトで脆弱性が実際に悪用できるかまでは確かめていません。

「表示なし」は、その応答に版の表記がなかったという意味です。版を隠しているサイトが安全だとは言えません。隠していても古い版のまま動いていることはあり、逆に表記がキャッシュやプラグインのせいで実際の版と違うこともあります。ここで数えたのは、外から誰でも読める表記だけです。

WordPress は最新の系列だけが公式の支援対象で、旧系列への修正の移植は善意によるものです。4.1 から 4.6 への移植は 2025 年 7 月に終わりました。PHP 8.2 のセキュリティ修正は 2026 年 12 月 31 日に終わる予定です。

社名は出しません公開するのは集計だけです。どのサイトがどの版かは載せず、サイトごとの記録は計測した手元の機械の外に出していません。

ライセンスは CC BY 4.0 です。調査用のアクセスについてはこのサイトについてに書いています。

計測 2026-10-24（2026年10月24日）

出典

Supported Versions PHP Group（php.net）・2026-10-24 確認
Unsupported Branches PHP Group（php.net）・2026-10-24 確認
Stable check API（版ごとの latest・outdated・insecure） WordPress.org・2026-10-24 確認
Security updates will cease for WordPress versions 4.1 through 4.6 WordPress Security Team・2025-06-18
Hardening WordPress WordPress.org・2026-10-24 確認
RFC 9309 Robots Exclusion Protocol IETF・2022-09

サポート状況の確認日 2026-10-24（2026年10月24日）

監修平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）

このテーマ

自社データ

同じテーマのページをまとめて読めます。

次に読む

国内企業サイトの技術 2026自社データ