PHP 脆弱性：cPanel の PHP 更新ガイドPHP vulnerability · PHP2Shell · CVE-2026-109618 / CVE-2026-109619 · PHP RCE · PHP security update

PHP 脆弱性：ベンダーのパッケージ状況

確認済みの表示はベンダーの公開を示し、サーバーへの適用を保証しません。未確認の組み合わせには、検証済みのパッケージ基準がありません。

PHP 脆弱性：別のパッケージ系列

各系列の公開日程は独立しています。配布元を特定し、別の系列の修正状況をそのまま適用しないでください。

CloudLinux は OS 7/8/9 と Ubuntu 22.04 の alt-php 安定版修正を確認しています。OS 10 の対象ブランチは ELS 経由で、alt-php 5.2 も安定版公開済みです。OS 7/8/9 の一時的 ELS 切り替えは不要になりました。完全なリビジョンと CloudLinux 6 は未確認です。導入済み変更履歴で両 CVE を確認してください。インストールは未検証です。

CloudLinux は OS 7/8/9/10 の安定版 ea-php バックポートを確認しています。番号を展開して OS・系列を一致させてください。alt-php や OS 標準 PHP には適用できません。CPU 別インストールは未検証です。導入済みパッケージの変更履歴で両 CVE を確認してください。

PHP 脆弱性 の修正を提供する配布元を確認

OS パッケージ、外部リポジトリ、コンテナーイメージ、管理パネルの PHP は別々のインストールの場合があります。OS、CPU、配布元、サイトに割り当てた PHP を確認してください。同じ短い番号でも修正内容は異なることがあります。

ソースのアップロード、公開予定日、RC タグだけでは PHP2Shell の修正パッケージ公開を確認できません。

PHP 8.5：更新・再起動・確認

PHP 8.4：更新・再起動・確認

PHP 8.3：更新・再起動・確認

PHP 8.2：更新・再起動・確認

PHP 8.1：更新・再起動・確認

PHP 8.0：更新・再起動・確認

PHP 7.4：更新・再起動・確認

cPanel · EasyApache 4

管理者が EasyApache 4 で更新し、MultiPHP Manager で各サイトを確認してください。ライセンス済み cPanel 環境は未検証のため、シェル更新コマンドは掲載しません。CloudLinux alt-php は別系列なので個別に確認を依頼します。

PHP 脆弱性：すぐに更新できない場合

緩和策は PHP 脆弱性 の完全な修正ではありません。セッションのアップロード進捗を無効にしても、CVE-2026-109619 の確認済み経路の一部を緩和するだけで、CVE-2026-109618 や他の残留状態経路への対策を保証しません。

session.upload_progress.enabled = Off

Web 用の設定でリクエスト解析前に適用し、全 PHP ワーカーを再起動します。アプリの ini_set() や FPM の .user.ini には依存しないでください。PHP のセッションアップロード進捗機能は無効になります。

cleanup、strict_mode、only_cookies、HttpOnly はセッション管理や一般的な強化設定で、この二つの修正の証拠にはなりません。告知ではリクエストサイズ、メモリ制限、エラートレースも扱います。メモリ制限の解除はホスト資源の枯渇を招くため、他の設定も条件と運用への影響を確認してから適用してください。

確認日時: 2026-10-21 23:25:00 UTC

ベンダーの出典 ↗

ベンダーの出典 ↗

PHP 脆弱性 対応後の確認

重要なリクエスト、ログイン、アップロード、ログ、定期処理、バックグラウンドワーカーをテストします。Web 用 PHP をすべて再起動し、各サイトの実行バージョンを確認してください。配布元と完全なリビジョンを記録し、EOL ブランチは移行も計画します。

よくある質問