PHPを使わなくなった理由を、テックトレンドから振り返る

01/今回の脆弱性

PHP2Shellとは：2026年10月に公表されたPHP本体の脆弱性

PHP2Shellは、PHP本体で見つかった2件の脆弱性（CVE-2026-109618、CVE-2026-109619）の通称です。PHP開発チームは2026年10月21日に修正版を公開しました。悪用されると、ログインしていない攻撃者がWebサーバー上で任意のコードを実行できる可能性があります（RCE：リモートコード実行）。IPA（情報処理推進機構）とJPCERT/CCは10月22日に注意喚起を出し、修正版への更新と、侵害の有無の確認を呼びかけています。

02/PHPと歴史

PHPとWeb開発の歴史：Webの成長とともに広がった言語と、変わった作り方

PHPは、WebサイトやWebサービスを作るために広く普及したプログラミング言語です。WordPressをはじめ多くのCMSやWebシステムで使われ、Laravelなどのフレームワークも充実しています。Web技術の利用状況を調べるW3Techsによれば、サーバーサイドの言語が判明しているWebサイトのうち、約7割がPHPを使っています。当社にも、過去にPHP／Laravelを用いた開発実績があります。PHPを「古い」「危険」と評価する記事ではありません。

PHPは、安価なサーバーでWebサイトを動かす時代に最も合う言語として広がり、PHP 7・8で性能と型の仕組みも大きく改善されてきました。この20年で変わったのは、言語よりも、システムの作り方です。クラウド、サーバーレス、生成AIが加わり、Webサーバーの上でアプリを動かすことは、システムの一部になりました。

利用が広いことは、それだけ多くのシステムが今回の脆弱性の影響を受けうることも意味します。PHPを使っているサイトのうち、7.7%は公式のサポートが終わったバージョン5で動いています。言語を選ぶことと同じくらい、選んだ後に更新し続けられるかが大切になります。

03/構造変化

PHPのシェアはなぜ下がっているのか：Web開発の4つの構造変化

W3Techsの調査で、サーバーサイドの言語が判明しているWebサイトのうちPHPを使う割合を3つの期間に分けると、2021年頃から下がり方が速くなっています。下の4つの構造変化と並べると、変化はまず大規模なサービスで起こり、時間をかけてWeb全体へ広がってきたと読めます。

ポイントは2つあります。一つは、既存のサイトがPHPから一斉に離れたのではなく、新しく作られるサイトでPHP以外が選ばれる割合が増えていると見られることです。その動きが、2021年頃から速まっています。W3Techsによれば、2026年7月には、JavaScriptがRubyを抜いてサーバーサイドで2番目に多い言語になりました。もう一つは、アクセスの多い大規模なサイトほど、PHPの割合が低いことです。上位1,000サイトでは59.3%と、全体より10ポイント低くなっています。システムが大きく複雑になるほど、PHP以外の構成が選ばれやすいことがうかがえます。それぞれの期間に重なる構造変化は、次の4つです。

②では、サーバーの処理をAPIとして切り出し、画面とサーバーをAPIでつなぐ疎結合の作り方が広がりました。Webに加えてスマートフォンのアプリからも同じデータを使うようになったことが、この流れを後押ししました。③のJAMstack（JavaScript、API、Markupの頭文字）は、画面を事前に生成してCDN（コンテンツ配信ネットワーク）から配信し、必要なときだけAPIを呼ぶ作り方です。こうなると、Webサイトを作るために、まずPHPのアプリケーションサーバーを置くという前提がなくなります。PHPが悪くなったのではなく、PHPが得意だった「アクセスのたびにサーバーでページを作る」仕事が、必須ではなくなったということです。WordPressも、2016年に標準でREST APIを備え、画面を切り離して内容だけを配信するヘッドレスCMSとして使われるようになりました。

ここまでの変化は、特定のクラウドに限らない業界全体の流れです。当社はこの流れの中で、クラウドの基盤にMicrosoft Azureを選び、PaaSを組み合わせる作り方を標準にしてきました。

画面の配信にはAzure Static Web Apps、APIにはApp ServiceやAzure Functionsを使い、③のJAMstackの作り方もAzureのPaaSで組めます。PaaS（Platform as a Service）では、OSや実行環境の運用をクラウド事業者が担います。Microsoftは、Webアプリの実行基盤であるAzure App Serviceを、自動で修正を適用するホスティングサービスと説明しています。自社が更新を担う範囲が小さくなるほど、今回のような脆弱性が出たときの対応も軽くなります。当社は、この考え方でAzure PaaS開発とクラウドネイティブアプリ開発に取り組んできました。

04/サーバーレス

サーバーレスアーキテクチャと言語：PHPを選ぶ理由が減るところ

サーバーレスアーキテクチャは、サーバーを用意せずに、必要なときだけ小さなプログラム（関数）を動かす作り方です。たとえば「毎晩0時に売上を集計する」といった決まった時刻の処理（定期処理）や、「画像がアップロードされたら縮小する」「注文が入ったら通知メールを送る」といった、何かをきっかけに動く処理（イベント処理）に使われます。2014年のAWS Lambdaの登場から始まり、当初は技術に強い一部の企業が使うものでした。監視サービスのDatadogは、2022年の調査で、2021年以降にサーバーレスが顧客の間で主流になったと述べています。2023年の調査では、主要な3つのクラウドの利用企業の半数前後から7割以上が、サーバーレスを使っています。

ただし、この合理性を得られるのは、クラウド事業者が公式に用意し、更新も行う言語の実行環境（以下、公式の実行環境）を使う場合です。主要な3つのクラウドのサーバーレスで、言語のサポートを比べると次のとおりです。

Python、JavaScript／TypeScript、Java、C#／.NETは、3社すべてで公式の実行環境があります。PHPに公式の実行環境があるのはGoogle Cloudだけです。AWS LambdaとAzure FunctionsでPHPを使うには、PHPの実行環境を自分で用意して組み込む必要があります（AWSではカスタムランタイム、Azureではカスタムハンドラーと呼ぶ仕組み）。つまり、PHPを採用するために、わざわざ一手間をかけることになります。しかも、組み込んだPHPの更新は、事業者ではなく利用者が担います。サーバーレスを選ぶ理由だった「運用と更新を任せる」合理性が、PHPでは得にくくなるということです。

実際に使われている言語にも、その差が表れています。Datadogの2023年の調査では、AWS Lambdaで使われる言語はNode.jsとPythonが中心で、企業での利用拡大とともにJavaが伸びています。サーバーレスが一部の企業の技術から当たり前の選択肢になった2021年頃は、03で見たPHPのシェアの下がり方が速くなった時期と重なります。03で挙げたように要因は一つではありませんが、サーバーレスはその一つです。

Webアプリのホスティング（Azure App Service、AWS Elastic Beanstalk、Google App Engineなど）では、PHPも使えます。Webアプリだけを見るなら、PHPを選ぶ理由は今もあります。差が出るのは、Webに加えて、定期処理やイベント処理をサーバーレスで組み合わせる場合です。サーバーレスの比重が大きくなるほど、Webとサーバーレスで同じ言語を、公式の実行環境のまま使える選択肢が有利になります。

05/AI・データ

AI・データ活用の言語：PythonとTypeScriptが伸びる理由

システムにAIを組み込むことが当たり前になり、言語の選び方にも影響が出ています。GitHubの年次レポートOctoverse 2025によれば、2025年8月にTypeScriptがPythonとJavaScriptを抜き、GitHubで最も使われる言語になりました。一方で、AIとデータサイエンスの分野では、Pythonが引き続き中心にあるとしています。

当社は、AIの研究開発と実装をPythonで進めてきました。PythonはWebアプリ（Django、Flask、FastAPI）、サーバーレス、AI・データのすべてで使えるため、同じ言語でシステム全体を組みやすくなります。画面中心のシステムではTypeScript、業務システムとの連携では.NETを選ぶこともあり、言語は一つに決めていません。

06/逆算の選び方

アーキテクチャから言語を選ぶ：PHPが構造的に選ばれにくくなる理由

ここまでを、選ぶ順序で整理します。従来は、作りたいWebアプリに合わせて言語とフレームワークを先に決めていました。クラウドネイティブでは、先に構成を決め、その構成全体に合う言語を選びます。

07/当社の例

2021年の技術選定を振り返る：Azure PaaSとPythonを選んだ一つの例

ここまで見てきた変化は、2021年に当社が開発標準を決めたときの前提でもありました。当時の考え方を振り返ると、判断の材料は次の3つでした。

この3つから、基盤にはAzure PaaSを選び、言語はPythonとC#（.NET）を中心に、案件に応じて選ぶ形になりました。どちらも、Webアプリの実行基盤（App Service）とサーバーレス（Azure Functions）の両方で、公式の実行環境が用意されています。

これはあくまで、当社の事情に基づく一つの例です。AWSやGoogle Cloudでも同様の構成は組めますし、PHPを選ぶことが合理的な場面もあります。今回の脆弱性を受けて言語を変えたのではありません。2021年の技術選定以降、新規開発でPHPを採用する理由がなくなり、PHPを使わなくなった、というのが経緯です。

Azure PaaSを選んだ理由の一つに、セキュアな構成を組みやすいことがありました。入口の防御、APIの管理、秘密情報の保管、認証、脅威の検知と監視といった機能を、自前で作らずにマネージドサービスとして組み合わせられます。下は、Webとサーバーレス、AIを組み合わせたシステムの構成例です。

こうした構成では、OSや実行環境の更新はクラウド側が担い、自社はアプリとデータ、設定に集中できます。WAFは、修正版を適用するまでの間、既知の攻撃経路を減らす補完策にもなります。ただし、どの構成でも、アプリやライブラリの更新は利用者の責任として残ります。セキュアな構成は、更新を続ける体制と組み合わせて初めて効果を発揮します。

08/判断軸

PHPシステムの考え方：棚卸し、更新、延命か作り直しかの判断軸

PHPで動いているシステムを持つ企業にとって、まず必要なのは言語の乗り換えではなく、今回の脆弱性への対応です。そのうえで、システムごとに延命するか、作り直すかを判断します。

延命と作り直しの間には、PHPのままApp Service（Linux）などのPaaSへ載せ替え、OSや基盤の更新をクラウド側に任せる選択肢もあります。PHP 8.2系は2026年12月31日に公式のサポートが終わるため、8.2系以前を使っている場合は、今回の更新と合わせて移行の計画を立てておくと安心です。

09/まとめ

開発言語の選び方：言語の優劣ではなく、構成から選ぶ

PHPは今もWebの多くを支える言語で、Azureでも使えます。一方で、シェアは2021年頃から下がり方が速くなりました。背景には、WordPress自体のJavaScript化、画面とAPIの分離、クラウドネイティブとサーバーレス、学ぶ言語と人材の変化が重なっていると考えられます。近年は、AI駆動開発の広がりも、言語の選び方に影響し始めています。Web、サーバーレス、AI・データを組み合わせる構成から言語を選ぶと、PHPを新しく選ぶ必然性は小さくなります。

開発パートナーを選ぶときは、Web制作が得意か、クラウドネイティブな開発が得意かという観点も、判断材料の一つになります。クラウドネイティブな開発を得意とする会社は、APIやサーバーレス、AIを前提に構成から設計するため、PHPのような特定のWeb向けの言語に依存しにくい傾向があると考えられます。確認するときは、言語の割合を聞くよりも、次の点をうかがってみてください。

既存のPHPシステムを抱えながら次のシステムを計画する情報システム部門や開発責任者の方は、まず自社のPHPシステムを棚卸しし、更新を済ませたうえで、08の判断軸でシステムごとの方針を整理するところから始めてみてください。

関連リンク