CakePHPのバージョン確認方法｜ログイン不要の3つの手順

CakePHPのバージョンを確認する方法

2026/10/21

CakePHPのバージョンを確認する方法をまとめました。
サーバーにログインできなくても確認できます。

CakePHPはWordPressのような管理画面を持たないため、画面上のどこにもバージョンは表示されません。次の3つのいずれかで確認します。

1. 保守会社に聞く

一番早くて確実な方法です。次の4点を聞いてください。

聞く項目	例
CakePHPのバージョン	`4.5.12` のように小数点以下まで
PHPのバージョン	`8.1.34`
サーバーのOSとバージョン	Ubuntu 22.04 など
ソースコード一式の保管場所	自社サーバー、GitHub など

「4系です」「5.2です」だけでは足りません。同じ系列でも、最後の数字（パッチ番号）によって修正済みの脆弱性が違います。

そのまま使えるメール文例です。

件名：システムのバージョン情報についてのご確認

いつもお世話になっております。

現在運用しているシステムについて、セキュリティ対応の検討のため、
下記の情報をご教示いただけますでしょうか。

1. CakePHPのバージョン（例：4.5.12 のように小数点以下まで）
2. PHPのバージョン（例：8.1.34）
3. サーバーのOSとバージョン
4. ソースコード一式の保管場所

お手数をおかけしますが、よろしくお願いいたします。

2. ソースコードのファイルを開く

ソースコードを受け取っている、またはFTPで接続できる場合は、ファイルを開くだけで分かります。

vendor/cakephp/cakephp/VERSION.txt

上のほうは英語のコメントが十数行続きますが、一番下の行にバージョン番号だけが書かれています。メモ帳でも開けます。

（英語のコメントが十数行）

4.6.5   ← この最後の行が答え

vendor フォルダがない場合は、プロジェクト直下の composer.lock を開き、"name": "cakephp/cakephp" で検索します。すぐ下の "version" が実際のバージョンです。

"name": "cakephp/cakephp",
"version": "5.2.15",   ← この行が答え

cakephp/cakephp だけで検索すると、ほかのパッケージが必要とするバージョンの指定（"cakephp/cakephp": "^5.0" など）に先に当たることがあります。"name": まで含めて検索してください。

CakePHP 2系の場合は、lib/Cake/VERSION.txt にあります。読み方は同じで、一番下の行がバージョン番号です。Composerで導入している場合は vendor/cakephp/cakephp/lib/Cake/VERSION.txt です（フォルダ名が Vendor のこともあります）。Composerを使わずに導入している場合は、composer.lock がありません。

⚠️ composer.json を見ると間違います。こちらに書かれているのは "cakephp/cakephp": "^4.5" のような指定範囲で、実際に入っているバージョンではありません。^4.5 は「4.5以上5.0未満」の意味なので、中身は 4.6.5 かもしれません。必ず VERSION.txt か composer.lock で確認してください。

3. PHPのバージョンはサーバーの管理画面で

レンタルサーバーには、PHPのバージョンを切り替える機能があります。その画面に現在のバージョンが表示されています。

サーバー・管理画面	探す場所
エックスサーバー	サーバーパネル →「PHP Ver.切替」
さくらのレンタルサーバ	コントロールパネル →「スクリプト設定」→「言語バージョン設定」
ロリポップ！	ユーザー専用ページ →「サーバーの管理・設定」→「PHP設定」
ConoHa WING	サイト管理 →「サイト設定」→ 応用設定内のPHPバージョン

※各社の公式マニュアルの表記です（2026年10月時点）。管理画面が新しくなると、メニューの名前や場所が変わることがあります。見つからない場合は、各社のマニュアルで「PHP バージョン」と検索してください。

⚠️ 切り替えボタンを押さないでください。
この画面ではバージョンを変更できてしまいます。確認のつもりで操作すると、サイトが表示されなくなることがあります。

複数サイトを1台で運用している場合、サイトごとにPHPのバージョンが違うことがあります。どのドメインの設定を見ているか確認してください。

やってはいけない確認方法

広く紹介されていますが、次の2つは避けてください。

デバッグモードを本番環境で有効にする
デバッグモードでは、エラーが起きたときにサーバーの絶対パスやソースコードの一部がそのまま画面に表示されます。4系以前では、エラーの内容によってはデータベースのパスワードまで表示されることがあります（5系は初期設定で伏せ字になります）。有効にしている間、誰でもその情報を見られる状態になります。

phpinfo() を書いたファイルを公開ディレクトリに置く
同じくサーバーの絶対パスや環境変数がまとめて表示されます。放置された info.php は、攻撃者が真っ先に探すファイルのひとつです。上の管理画面から確認すれば足ります。