PHP 脆弱性：Docker の PHP 更新ガイドPHP vulnerability · PHP2Shell · CVE-2026-109618 / CVE-2026-109619 · PHP RCE · PHP security update

PHP 脆弱性：ベンダーのパッケージ状況

確認済みの表示はベンダーの公開を示し、サーバーへの適用を保証しません。未確認の組み合わせには、検証済みのパッケージ基準がありません。

PHP 脆弱性 の修正を提供する配布元を確認

OS パッケージ、外部リポジトリ、コンテナーイメージ、管理パネルの PHP は別々のインストールの場合があります。OS、CPU、配布元、サイトに割り当てた PHP を確認してください。同じ短い番号でも修正内容は異なることがあります。

ソースのアップロード、公開予定日、RC タグだけでは PHP2Shell の修正パッケージ公開を確認できません。

PHP 8.5：更新・再起動・確認

docker pull registry-1.docker.io/library/php:8.5.12-cli

docker run --rm registry-1.docker.io/library/php:8.5.12-cli php -v

PHP 8.4：更新・再起動・確認

docker pull registry-1.docker.io/library/php:8.4.27-cli

docker run --rm registry-1.docker.io/library/php:8.4.27-cli php -v

PHP 8.3：更新・再起動・確認

docker pull registry-1.docker.io/library/php:8.3.36-cli

docker run --rm registry-1.docker.io/library/php:8.3.36-cli php -v

PHP 8.2：更新・再起動・確認

docker pull registry-1.docker.io/library/php:8.2.35-cli

docker run --rm registry-1.docker.io/library/php:8.2.35-cli php -v

PHP 8.1：更新・再起動・確認

PHP 8.0：更新・再起動・確認

PHP 7.4：更新・再起動・確認

PHP 脆弱性：すぐに更新できない場合

緩和策は PHP 脆弱性 の完全な修正ではありません。セッションのアップロード進捗を無効にしても、CVE-2026-109619 の確認済み経路の一部を緩和するだけで、CVE-2026-109618 や他の残留状態経路への対策を保証しません。

session.upload_progress.enabled = Off

Web 用の設定でリクエスト解析前に適用し、全 PHP ワーカーを再起動します。アプリの ini_set() や FPM の .user.ini には依存しないでください。PHP のセッションアップロード進捗機能は無効になります。

cleanup、strict_mode、only_cookies、HttpOnly はセッション管理や一般的な強化設定で、この二つの修正の証拠にはなりません。告知ではリクエストサイズ、メモリ制限、エラートレースも扱います。メモリ制限の解除はホスト資源の枯渇を招くため、他の設定も条件と運用への影響を確認してから適用してください。

確認日時: 2026-10-21 23:25:00 UTC

ベンダーの出典 ↗

ベンダーの出典 ↗

PHP 脆弱性 対応後の確認

重要なリクエスト、ログイン、アップロード、ログ、定期処理、バックグラウンドワーカーをテストします。Web 用 PHP をすべて再起動し、各サイトの実行バージョンを確認してください。配布元と完全なリビジョンを記録し、EOL ブランチは移行も計画します。

よくある質問