PHP 脆弱性：aaPanel / BT の PHP 更新ガイドPHP vulnerability · PHP2Shell · CVE-2026-109618 / CVE-2026-109619 · PHP RCE · PHP security update

PHP 脆弱性：ベンダーのパッケージ状況

確認済みの表示はベンダーの公開を示し、サーバーへの適用を保証しません。未確認の組み合わせには、検証済みのパッケージ基準がありません。

PHP 脆弱性：別のパッケージ系列

各系列の公開日程は独立しています。配布元を特定し、別の系列の修正状況をそのまま適用しないでください。

BT は Linux・Windows パネルの PHP 8.2–8.5 で PHP 脆弱性の修正を確認しています。ソフトウェア一覧を更新し、各サイトのランタイムを更新してください。パネルでの導入と再起動は未検証です。

BT の PHP 7.4・8.0・8.1 向け PHP 脆弱性バックポートは Linux 専用です。7.4.34・8.0.27・8.1.35 は BT Linux パッケージのラベルで、上流のリリースではありません。BT Windows や他のベンダーの修正確認には使えません。パネルで更新済みビルドを確認してください。導入は未検証です。

BT は Windows パネルの PHP 8.1 以前について PHP 脆弱性の修正パッケージを発表していません。セッションのアップロード進捗を無効にする緩和策は CVE-2026-109619 の一部に対応し、CVE-2026-109618 は修正しません。サポート中の修正済みブランチへの移行を計画してください。Linux 用パッケージのラベルは Windows の修正確認には使えません。

PHP 脆弱性 の修正を提供する配布元を確認

OS パッケージ、外部リポジトリ、コンテナーイメージ、管理パネルの PHP は別々のインストールの場合があります。OS、CPU、配布元、サイトに割り当てた PHP を確認してください。同じ短い番号でも修正内容は異なることがあります。

ソースのアップロード、公開予定日、RC タグだけでは PHP2Shell の修正パッケージ公開を確認できません。

PHP 8.5：更新・再起動・確認

PHP 8.4：更新・再起動・確認

PHP 8.3：更新・再起動・確認

PHP 8.2：更新・再起動・確認

PHP 8.1：更新・再起動・確認

PHP 8.0：更新・再起動・確認

PHP 7.4：更新・再起動・確認

PHP 脆弱性：すぐに更新できない場合

緩和策は PHP 脆弱性 の完全な修正ではありません。セッションのアップロード進捗を無効にしても、CVE-2026-109619 の確認済み経路の一部を緩和するだけで、CVE-2026-109618 や他の残留状態経路への対策を保証しません。

session.upload_progress.enabled = Off

Web 用の設定でリクエスト解析前に適用し、全 PHP ワーカーを再起動します。アプリの ini_set() や FPM の .user.ini には依存しないでください。PHP のセッションアップロード進捗機能は無効になります。

cleanup、strict_mode、only_cookies、HttpOnly はセッション管理や一般的な強化設定で、この二つの修正の証拠にはなりません。告知ではリクエストサイズ、メモリ制限、エラートレースも扱います。メモリ制限の解除はホスト資源の枯渇を招くため、他の設定も条件と運用への影響を確認してから適用してください。

確認日時: 2026-10-21 23:25:00 UTC

ベンダーの出典 ↗

ベンダーの出典 ↗

PHP 脆弱性 対応後の確認

重要なリクエスト、ログイン、アップロード、ログ、定期処理、バックグラウンドワーカーをテストします。Web 用 PHP をすべて再起動し、各サイトの実行バージョンを確認してください。配布元と完全なリビジョンを記録し、EOL ブランチは移行も計画します。

よくある質問