アプリ、設定、データをバックアップし、検証環境で試してください。PHP 脆弱性 への対応では、現在の配布元とブランチを使用します。
PHP 脆弱性：ベンダーのパッケージ状況
| ブランチ / ベンダー | 修正済みパッケージ | PHP2Shell · 状態 |
|---|---|---|
| PHP 7.4 sury · 11 | 修正済みパッケージ — ベンダーの出典 ↗ | 未確認：ベンダーの告知を確認してください 確認日時: 2026-10-22 03:28:58 UTC |
確認済みの表示はベンダーの公開を示し、サーバーへの適用を保証しません。未確認の組み合わせには、検証済みのパッケージ基準がありません。
PHP 脆弱性 の修正を提供する配布元を確認
OS パッケージ、外部リポジトリ、コンテナーイメージ、管理パネルの PHP は別々のインストールの場合があります。OS、CPU、配布元、サイトに割り当てた PHP を確認してください。同じ短い番号でも修正内容は異なることがあります。
ソースのアップロード、公開予定日、RC タグだけでは PHP2Shell の修正パッケージ公開を確認できません。
PHP 7.4：更新・再起動・確認
sury · 11
Sury の bookworm・trixie・jammy・noble は amd64 向け修正版を公開済みですが、arm64 は旧版のままです。下表の CPU とリビジョンを確認してください。EOL のビルド日だけではバックポートを確認できません。
確認日時: 2026-10-22 03:28:58 UTC · ベンダーの出典 ↗
更新 → 再起動 → 確認
この環境は未検証のため、実行用の更新コマンドは掲載していません。バックアップとテスト後、ベンダーの手順で更新・再起動し、完全なパッケージ番号を告知と照合してください。
ベンダーの手順を確認 ↗PHP 脆弱性：アーキテクチャ別の公開状況
これはパッケージ索引の確認結果であり、インストールテストではありません。EOL パッケージの新しいビルド日だけでは修正を確認できません。OS と CPU を合わせ、別の CPU 向け新パッケージを理由に配布元を切り替えないでください。
sury · bookworm · amd64
確認日時: 2026-10-21T23:22:25.550779+00:00 · パッケージ索引 ↗
| パッケージ | 公開リビジョン |
|---|---|
| php7.4-cli | 1:7.4.33-31+0~20261021.121+debian12~1.gbpe9c428 |
| php8.0-cli | 1:8.0.30-25+0~20261021.88+debian12~1.gbpabebea |
| php8.1-cli | 8.1.34-9+0~20261021.82+debian12~1.gbp4e430a |
| php8.2-cli | 8.2.35-1+0~20261021.94+debian12~1.gbp8bff78 |
| php8.3-cli | 8.3.36-1+0~20261021.88+debian12~1.gbp250f7c |
| php8.4-cli | 8.4.27-1+0~20261021.57+debian12~1.gbp7636b9 |
| php8.5-cli | 8.5.12-1+0~20261021.27+debian12~1.gbp1a3e8a |
sury · bookworm · arm64
確認日時: 2026-10-22T03:23:57.653599+00:00 · パッケージ索引 ↗
| パッケージ | 公開リビジョン |
|---|---|
| php7.4-cli | 1:7.4.33-30+0~20260703.120+debian12~1.gbp1cce3b |
| php8.0-cli | 1:8.0.30-24+0~20260706.87+debian12~1.gbpf2cc5a |
| php8.1-cli | 8.1.34-8+0~20260703.81+debian12~1.gbp86d822 |
| php8.2-cli | 8.2.34-1+0~20260924.93+debian12~1.gbpa3951d |
| php8.3-cli | 8.3.35-1+0~20260925.87+debian12~1.gbp19383d |
| php8.4-cli | 8.4.26-1+0~20260925.56+debian12~1.gbp80d95d |
| php8.5-cli | 8.5.11-1+0~20260924.26+debian12~1.gbpbcb504 |
sury · trixie · amd64
確認日時: 2026-10-21T23:22:25.551187+00:00 · パッケージ索引 ↗
| パッケージ | 公開リビジョン |
|---|---|
| php7.4-cli | 1:7.4.33-31+0~20261021.121+debian13~1.gbpe9c428 |
| php8.0-cli | 1:8.0.30-25+0~20261021.88+debian13~1.gbpabebea |
| php8.1-cli | 8.1.34-9+0~20261021.82+debian13~1.gbp4e430a |
| php8.2-cli | 8.2.35-1+0~20261021.94+debian13~1.gbp8bff78 |
| php8.3-cli | 8.3.36-1+0~20261021.88+debian13~1.gbp250f7c |
| php8.4-cli | 8.4.27-1+0~20261021.57+debian13~1.gbp7636b9 |
| php8.5-cli | 8.5.12-1+0~20261021.27+debian13~1.gbp1a3e8a |
sury · trixie · arm64
確認日時: 2026-10-22T03:23:57.653963+00:00 · パッケージ索引 ↗
| パッケージ | 公開リビジョン |
|---|---|
| php7.4-cli | 1:7.4.33-30+0~20260703.120+debian13~1.gbp1cce3b |
| php8.0-cli | 1:8.0.30-24+0~20260706.87+debian13~1.gbpf2cc5a |
| php8.1-cli | 8.1.34-8+0~20260703.81+debian13~1.gbp86d822 |
| php8.2-cli | 8.2.34-1+0~20260924.93+debian13~1.gbpa3951d |
| php8.3-cli | 8.3.35-1+0~20260925.87+debian13~1.gbp19383d |
| php8.4-cli | 8.4.26-1+0~20260925.56+debian13~1.gbp80d95d |
| php8.5-cli | 8.5.11-1+0~20260924.26+debian13~1.gbpbcb504 |
PHP 脆弱性：すぐに更新できない場合
緩和策は PHP 脆弱性 の完全な修正ではありません。セッションのアップロード進捗を無効にしても、CVE-2026-109619 の確認済み経路の一部を緩和するだけで、CVE-2026-109618 や他の残留状態経路への対策を保証しません。
session.upload_progress.enabled = OffWeb 用の設定でリクエスト解析前に適用し、全 PHP ワーカーを再起動します。アプリの ini_set() や FPM の .user.ini には依存しないでください。PHP のセッションアップロード進捗機能は無効になります。
cleanup、strict_mode、only_cookies、HttpOnly はセッション管理や一般的な強化設定で、この二つの修正の証拠にはなりません。告知ではリクエストサイズ、メモリ制限、エラートレースも扱います。メモリ制限の解除はホスト資源の枯渇を招くため、他の設定も条件と運用への影響を確認してから適用してください。
確認日時: 2026-10-21 23:25:00 UTC
PHP 脆弱性 対応後の確認
重要なリクエスト、ログイン、アップロード、ログ、定期処理、バックグラウンドワーカーをテストします。Web 用 PHP をすべて再起動し、各サイトの実行バージョンを確認してください。配布元と完全なリビジョンを記録し、EOL ブランチは移行も計画します。
バージョン確認 →よくある質問
PHP 脆弱性の更新後も古い番号に見えるのはなぜですか？
配布元は短い番号を変えず旧ブランチに修正を適用することがあります。完全なリビジョンと配布元を告知と比較し、Web 用 PHP を確認してください。
端末の PHP を更新するとサイトも更新されますか？
必ずしもそうではありません。端末、FPM、管理パネルは別の実行ファイルを使用する場合があります。PHP 脆弱性の更新後は各サイトに割り当てたランタイムを確認します。
PHP ワーカーの再起動は必要ですか？
はい。FPM、Apache、長時間稼働するアプリワーカーをベンダー手順で再起動します。パッケージの導入だけでは、全プロセスが新版を読み込んだことを確認できません。