サーバーサイトのPHPバージョンの自動アップデート自粛ゆえに自らのWordPressサイトで学んだこと　how a delayed server PHP update revealed security vulnerabilities on my WordPress site

Table of Contents

はじめに

　WordPressプラグインの更新は，かなりの頻度で繰り返される。二週間に1回またはそれ以上である。そのアップデート手続きは簡単なものであるが，この1ヶ月ほどか，Contact Form 7だけがアップデートできない。放置していたが，今日は睡眠不足で，まずは雑事でもとこれに対処した。

———　引用〜Contact Form 7
You have version 6.1.7 installed. Update to 6.2.2. View version 6.2.2 details.　
Compatibility with WordPress 7.1.3: Yes (according to its author)　
This update does not work with your version of PHP. Learn more about updating PHP. Automatic update scheduled in 5 hours.
引用〜おわり　———

　さらに，PHPのバージョンは7.4以上，推奨8.1〜8.2以降，とあった。

1. Tools > Site Health

　WordPressでDashboardを開いて，Tools > Site Healthを参照して，ぼくのWordPressのPHPバージョンを確かめた。

　8 recommended improvementsがあり，その一つには，”Your site is running on an older version of PHP (8.2.33), which should be updated.”とあった。

　この情報からすると，Contact Form 7をインストールできるはずである。これが混乱の元ではあった。外部からダウンロードしたらうまく行くのではと，WordPress公式サイト Contact Form 7 からダウンロードして，WordPressダッシュボードで，アップロードしたのであるが，次のメッセージが。

The package could not be installed. The PHP version on your server is 8.2.33, however the uploaded plugin requires 8.3.

　やっと，バグなしのメッセージが発せられたのである。つまり，前述の，

“Your site is running on an older version of PHP (8.2.33), which should be updated.”

のメッセージと付合することになった。

2. エックスサーバーのサーバーパネル

　PHPの更新はWordPress内ではできない。ヴァージョンアップは
エックスサーバーのパネルで実行する必要がある。

　サーバーパネルにログインして，左メニューのPHPを選んで，PHP Ver.切替，で，PHP 8.3.33に。これまでのヴァージョンは非推奨になっている。マニュアルで，推奨のPHP 8.3.33にした。taniha.xsrv.jp, motochan.info, motochan.site .の全部について。

　この環境のもと，懸案のContact Form 7のアップデートは実現した。なにゆえ，エックスサーバーはこれまでと同様に自社でアップデートしなかったのか。それは8.2から8.3への変更は結構大きくて，多くのサイトに不具合が生じる可能性があり，ユーザーに託されたようなのである。思い返せば，エックスサーバーから連絡があったようにも思う。サーバー会社からのメール連絡は要注意だ。

3. critical issue

　WordPressでDashboardを開いて，Tools > Site Healthを参照すると，トップにこの「critical issue」があった。気づかなかったが。

———　引用〜1 critical issue
Critical issues are items that may have a high impact on your site’s performance or security. Resolving these issues should be prioritized.
Sensitive file types were found in your uploads Security

Executable file types were found in your uploads directory. These should never be stored in uploads because, if reachable, they can be run on your server. Review and remove the following files:

backwpup-restore/index.php
Open Protect Uploads settings (linked)

引用〜おわり　———

　WordPress内ではどうにもならないので，エックスサーバーの「サーバーパネル」にログインした。ここから，上段メニューの「ファイルマネージャー」を開いた。ここにmotochan.infoとmotochan.siteがある。

　ここでは，motochan.infoでの作業に限定して示す。

motochan.info > public_html > wp > wp-content> uploads があって，WordPressのTools > site healthのリストとほぼ同じものが現れた。
　backs-up-restoreフォルダがある。ここに，.donotbackup，index.php, restore.datが10月2日 2024，としてある。それぞれ1KBである。
このbacks-up-restoreフォルダを削除した。

　幸い，図1のスクリーンショットを撮影していた。これでは，「backs-up-restoreフォルダ」ではなくて，「backWPup-restoreフォルダ」だ。ワードプレスのバックアップ用プラグインで，当初，backWPupを使っていた。その残骸があったのである。ぼくは現在，WPvivid Plugins Proを使用している。

　WordPressのDashboardで，Tools > Site Health を開くと，「1 critical issue」が消えていた。

おわりに

　反省点は，エックスサーバーからの連絡を見過ごしたことであった。さらに，WordPressのTools > site health には今後注意を払いたいと思う。「recommended improvements」は，PHPを推奨バージョンにすることで，8件が4件になった。今後，さらに対処しなければならない。

以上，2026年10月14日記。