PHPを利用している代表的なCMS一覧｜WordPress以外の種類も紹介

PHPを利用している代表的なCMSには、WordPress、Drupal、Joomla!、TYPO3、Craft CMS、Concrete CMS、baserCMSがあります。

最近のPHP脆弱性に関する情報を見て、「自社サイトのCMSもPHPを使っているのではないか」と気になったWeb担当者もいると思います。ただし、CMSの製品名だけでは、脆弱性の影響を受ける状態かは判断できません。公開環境でPHPがWebサイトへのアクセスを処理しているか、PHPのバージョンはいくつか、サーバーやOSの提供元による修正が適用されているかを確認する必要があります。

この記事では、PHPを利用している代表的なCMSを公式情報に基づいて紹介します。後半では、自社サイトで使っているCMSとPHPを確認する方法、脆弱性情報を見るときの注意点も解説します。情報は2026年10月31日時点です。

PHPを利用している代表的なCMS一覧

代表例は次のとおりです。

これは代表例であり、PHPを利用するCMSをすべて網羅した一覧ではありません。表にないCMSや独自開発のシステムでも、PHPを利用している場合があります。

また、必要なPHPのバージョンはCMSの製品名だけでは決まりません。同じCMSでも、利用しているバージョンによって対応するPHPの範囲が異なるため、実際の確認では「CMS名」「CMSのバージョン」「PHPのバージョン」をセットで調べます。

一般的なWebサイトで利用されるPHP製CMS

WordPress

WordPressは、PHPとデータベースを利用して動作するCMSです。WordPressの公式動作要件では、推奨するPHPやデータベースのバージョンが案内されています。

WordPress本体、テーマ、プラグインの更新と、サーバー側のPHP更新は別の作業です。WordPress公式も、2026年10月のPHP脆弱性について、WordPress固有の問題ではなく、WordPress側の更新は予定していないと公式告知で説明しています。

WordPressを最新版にしている場合も、まずは利用中のサーバーやクラウドの管理画面、提供元の公式告知で、PHPの対応状況を確認します。PHPの管理が保守契約に含まれている場合は、契約中の窓口にも確認します。

Drupal

DrupalもPHPを利用するCMSです。Drupal公式は、コアのバージョンごとに対応するPHPの範囲をPHP requirementsで公開しています。

「Drupalを使っている」という情報だけでは、利用中のPHPが適切かは判断できません。Drupalのコアバージョンを確認し、それに対応するPHPの要件と照合する必要があります。

Joomla!

Joomla!も、サーバー上のPHPで動作するCMSです。Joomla!の技術要件には、Joomla!のバージョンに応じたPHP、データベース、Webサーバーの要件が掲載されています。

PHPを更新する前に、利用中のJoomla!が対応するPHPの範囲を確認します。拡張機能やテンプレートを使用している場合は、それぞれの提供元が案内する対応環境も確認します。

TYPO3

TYPO3は、PHPとデータベースを利用するCMSです。TYPO3のシステム要件では、対応するPHP、データベース、Webサーバーなどが案内されています。

TYPO3にも複数のリリースがあり、必要なPHP環境はリリースごとに異なります。製品名だけでなく、稼働中のTYPO3のバージョンを確認することが重要です。

Craft CMS

Craft CMSは、公式ドキュメントでPHPアプリケーションと説明されているCMSです。Craft CMS 5の動作要件には、必要なPHPとデータベース、PHP拡張などが掲載されています。

Craft CMSを利用している場合も、CMS本体とPHPを別々に確認します。CMS本体を管理画面から更新しても、サーバーのPHPは別に更新が必要な構成があります。

Concrete CMS

Concrete CMSもPHPを利用して動作するCMSです。Concrete CMS 9.xのシステム要件では、主にPHPで記述されたアプリケーションであることと、動作に必要な環境が案内されています。

サーバー移行やPHP更新を行うときは、利用中のConcrete CMSが対応するPHPの範囲に加え、追加機能や独自テーマの動作も確認します。

baserCMS

baserCMSもPHPで動作するCMSです。baserCMS 5のシステム要件には、開発言語としてPHPが記載され、必要なデータベースやPHPモジュールも案内されています。

掲載した要件はbaserCMS 5向けです。利用中の本体バージョンが異なる場合は、そのバージョンの公式要件と実行中のPHPを照合します。

PHP製CMSでも公開サイトの構成は異なる

PHPを利用しているCMSでも、公開サイトの構成は一つではありません。

従来型の構成では、コンテンツ管理と公開ページの表示を同じPHP製CMSが担います。キャッシュやコンテンツ配信ネットワーク（CDN）を利用する場合は、すでに生成されたHTMLなどが返され、ページへのアクセスごとにPHPが実行されるとは限りません。一方、CMSをコンテンツの管理だけに使い、公開側は別の仕組みで構築するヘッドレス構成や、あらかじめ生成した静的なHTMLを配信する構成もあります。

後者では、公開ページへのアクセスがCMSのPHPへ直接届かない場合があります。ただし、CMSの管理環境やフォーム、会員機能など、別の場所でPHPが動いていることもあります。「公開ページからPHPが見つからなかった」という結果だけで、サイト全体がPHPを使っていないとは判断できません。

PHP製CMSだから脆弱とは限らない

PHPを利用していることと、現在も脆弱な状態であることは同じではありません。

2026年10月21日、PHP公式は、認証なしで任意のコードを実行されるおそれがあるCVE-2026-109618とCVE-2026-109619を公表しました。PHP公式のセキュリティアドバイザリで、この2件の修正版として案内されたバージョンは次のとおりです。

PHP公式が影響対象として挙げているのは、修正版より前のPHPでWebサイトへのアクセスを処理している環境です。CMS名ではなく、実行中のPHPのバージョンと提供元の修正状況で判断します。

Linuxディストリビューションや長期サポート（LTS）の提供元は、古いPHP系列を基にしたパッケージへ修正を取り込む場合があります。その場合はPHP本家のバージョン番号だけで対応状況を判断できないため、レンタルサーバー、クラウド、OSなどの提供元が公開する告知とパッケージ情報を確認します。

影響を受けるPHPをWebサイトへのアクセス処理に利用していた場合、修正版へ更新しても、更新前に攻撃を受けていなかったことまでは証明できません。JPCERT/CCは、PHPの脆弱性に関する注意喚起で、影響を受ける製品の利用者に、修正の適用と侵害有無の調査を案内しています。

今回の脆弱性とCMS構成の関係は、「PHPの脆弱性から考えるデカップルドCMS」で詳しく解説しています。

自社サイトがPHP製CMSか確認する方法

自社サイトのCMSが分からない場合は、次の順番で確認します。

1. 制作時の仕様書、保守契約書、サーバー契約を確認する
2. CMSの管理画面や運用資料で製品名とバージョンを確認する
3. レンタルサーバーやクラウドの管理画面でPHPのバージョンを確認する
4. 管理・保守を委託している場合は、契約範囲を確認したうえで契約中の窓口へ問い合わせる

制作会社へWebサイトの制作だけを依頼し、公開後の保守契約を結んでいない場合、その会社がPHPやサーバーの確認を担当するとは限りません。レンタルサーバー会社のサポート範囲も、契約プランや利用規約によって異なります。問い合わせる前に契約書や利用規約を確認し、対象外の場合は調査や更新を別途依頼するか、社内の管理担当者と対応方法を決めます。

WordPressへログインできる場合は、管理画面の「ツール」から「サイトヘルス」を開き、「情報」「サーバー」の順に進むとPHPのバージョンを確認できます。WordPress公式の案内でも、この確認場所が説明されています。

CMSを外部から推定する方法として、Wappalyzerのような技術判定ツールもあります。Wappalyzer公式が案内するブラウザ拡張機能またはTechnology Lookupを使った確認方法では、公開ページからCMSや利用技術を調べられます。

ただし、外部ツールの結果は確定情報ではありません。Wappalyzerはソースコード、HTTPヘッダー、Cookie、JavaScript変数など、公開されている情報をもとに技術を判定します。また、Wappalyzerの利用規約には、検出結果が不完全、推定、遅延、不正確になる場合があると記載されています。

CMSやPHPが表示されない場合も、未使用の証明にはなりません。ツールは一次確認に使い、最終的には管理画面や契約資料で確認し、誰が管理を担当しているかを特定します。

CMS選びではPHPだけで判断しない

新しいCMSを選ぶときも、「PHPを利用しているか」だけで良し悪しを決めることはできません。対応しているPHPのバージョン、CMSのサポート状況、更新を担当する人や会社まで含めて判断します。

CMSを比較するときは、次の点も確認します。

• 必要なページや更新機能を実現できるか
• Web担当者が無理なく記事やページを更新できるか
• CMS本体、追加機能、PHP、サーバーを誰が更新するか
• セキュリティ情報を誰が確認し、緊急時に対応するか
• サポート期間が終了したバージョンを使い続けない体制があるか
• バックアップ、監視、復旧手順が用意されているか

特に重要なのは、CMS本体だけでなく、その下で動くPHPやサーバーまで含めて管理範囲を決めることです。制作会社へ運用を依頼する場合は、PHPの更新や緊急対応が保守契約に含まれるかを確認します。契約範囲に含まれない場合は、別途依頼が必要な作業と費用も決めておきます。

まとめ

PHPを利用している代表的なCMSには、WordPress、Drupal、Joomla!、TYPO3、Craft CMS、Concrete CMS、baserCMSがあります。

ただし、CMS名が分かっただけでは、PHPの脆弱性の影響を受けるかは判断できません。CMSとPHPのバージョン、サーバー提供元の修正状況、サイトの構成を確認する必要があります。

自社サイトで利用しているCMSが分からない場合は、外部ツールだけで結論を出さず、管理画面や契約資料を確認します。管理・保守を委託している場合は、契約に含まれる作業を確認したうえで、契約中の窓口へ問い合わせます。CMSの種類と運用責任を整理しておくことが、脆弱性情報が出たときの早い初動につながります。