最終更新: 2026-10-22 (UTC)
PHP 脆弱性：ブランチと環境別の修正状況
上流のリリース、パッケージの公開、サーバーへの適用は別々の段階です。各行に公式の出典と UTC の確認日時を表示しています。
PHP2Shell · CVE-2026-109618 / CVE-2026-109619
PHP 脆弱性: 修正版
| ブランチ | 修正版 |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
PHP 脆弱性 · ベンダー: 状態
| ベンダー | ブランチ | 修正済みパッケージ | 状態 | 確認日時 (UTC) |
|---|---|---|---|---|
| Ubuntu 26.04 ↗ ubuntu-archive | 8.5 | 8.5.4-0ubuntu1.5 | 修正を確認済み | 2026-10-22 03:28:58 UTC |
| Ubuntu 26.10 ↗ ubuntu-archive | 8.5 | 8.5.9-0ubuntu2.1 | 修正を確認済み | 2026-10-22 03:28:58 UTC |
| Docker ↗ docker-library | 8.5 | 8.5.12 | 修正を確認済み | 2026-10-22 03:28:58 UTC |
| cPanel ↗ easyapache4 | 8.5 | — | 修正を確認済み | 2026-10-22 03:28:58 UTC |
| Plesk ↗ plesk | 8.5 | 8.5.12 | 修正を確認済み | 2026-10-22 03:29:02 UTC |
| aaPanel / BT ↗ aapanel | 8.5 | 8.5.12 | 修正を確認済み | 2026-10-22 03:28:58 UTC |
| Homebrew ↗ homebrew | 8.5 | 8.5.12 | 修正を確認済み | 2026-10-22 03:28:58 UTC |
| Debian 13 ↗ debian-security | 8.4 | 8.4.27-1~deb13u1 | 修正を確認済み | 2026-10-22 03:28:59 UTC |
| Docker ↗ docker-library | 8.4 | 8.4.27 | 修正を確認済み | 2026-10-22 03:28:58 UTC |
| cPanel ↗ easyapache4 | 8.4 | — | 修正を確認済み | 2026-10-22 03:28:58 UTC |
| Plesk ↗ plesk | 8.4 | 8.4.27 | 修正を確認済み | 2026-10-22 03:29:02 UTC |
| aaPanel / BT ↗ aapanel | 8.4 | 8.4.27 | 修正を確認済み | 2026-10-22 03:28:58 UTC |
| Homebrew ↗ homebrew | 8.4 | 8.4.27 | 修正を確認済み | 2026-10-22 03:28:59 UTC |
| Ubuntu 24.04 ↗ ubuntu-archive | 8.3 | 8.3.6-0ubuntu0.24.04.13 | 修正を確認済み | 2026-10-22 03:28:58 UTC |
| Docker ↗ docker-library | 8.3 | 8.3.36 | 修正を確認済み | 2026-10-22 03:28:58 UTC |
| cPanel ↗ easyapache4 | 8.3 | — | 修正を確認済み | 2026-10-22 03:28:58 UTC |
| Plesk ↗ plesk | 8.3 | 8.3.36 | 修正を確認済み | 2026-10-22 03:29:02 UTC |
| aaPanel / BT ↗ aapanel | 8.3 | 8.3.36 | 修正を確認済み | 2026-10-22 03:28:58 UTC |
| Homebrew ↗ homebrew | 8.3 | 8.3.36 | 修正を確認済み | 2026-10-22 03:28:59 UTC |
| Debian 12 ↗ debian-lts | 8.2 | 8.2.35-1~deb12u1 | 修正を確認済み | 2026-10-22 03:28:59 UTC |
| Docker ↗ docker-library | 8.2 | 8.2.35 | 修正を確認済み | 2026-10-22 03:28:58 UTC |
| cPanel ↗ easyapache4 | 8.2 | — | 修正を確認済み | 2026-10-22 03:28:58 UTC |
| Plesk ↗ plesk | 8.2 | 8.2.35 | 修正を確認済み | 2026-10-22 03:29:02 UTC |
| aaPanel / BT ↗ aapanel | 8.2 | 8.2.35 | 修正を確認済み | 2026-10-22 03:28:58 UTC |
| Homebrew ↗ homebrew | 8.2 | 8.2.35 | 修正を確認済み | 2026-10-22 03:29:00 UTC |
| Ubuntu 22.04 ↗ ubuntu-archive | 8.1 | 8.1.2-1ubuntu2.28 | バックポートを確認済み | 2026-10-22 03:28:58 UTC |
| cPanel ↗ easyapache4 | 8.1 | — | バックポートを確認済み | 2026-10-22 03:28:58 UTC |
| Plesk ↗ plesk | 8.1 | — | バックポートを確認済み | 2026-10-22 03:29:02 UTC |
| aaPanel / BT ↗ aapanel | 8.1 | — | 未確認：ベンダーの告知を確認してください | 2026-10-22 03:28:58 UTC |
| cPanel ↗ easyapache4 | 8.0 | — | バックポートを確認済み | 2026-10-22 03:28:58 UTC |
| Plesk ↗ plesk | 8.0 | — | バックポートを確認済み | 2026-10-22 03:29:02 UTC |
| aaPanel / BT ↗ aapanel | 8.0 | — | 未確認：ベンダーの告知を確認してください | 2026-10-22 03:28:58 UTC |
| cPanel ↗ easyapache4 | 7.4 | — | バックポートを確認済み | 2026-10-22 03:28:58 UTC |
| Plesk ↗ plesk | 7.4 | — | バックポートを確認済み | 2026-10-22 03:29:02 UTC |
| aaPanel / BT ↗ aapanel | 7.4 | — | 未確認：ベンダーの告知を確認してください | 2026-10-22 03:28:58 UTC |
| Ubuntu 20.04 ↗ ubuntu-esm | 7.4 | 7.4.3-4ubuntu2.29+esm5 | バックポートを確認済み | 2026-10-22 03:29:00 UTC |
| Ubuntu 18.04 ↗ ubuntu-esm | 7.2 | 7.2.24-0ubuntu0.18.04.17+esm14 | バックポートを確認済み | 2026-10-22 03:29:00 UTC |
| Ubuntu 16.04 ↗ ubuntu-esm | 7.0 | 7.0.33-0ubuntu0.16.04.16+esm22 | バックポートを確認済み | 2026-10-22 03:29:00 UTC |
| Ubuntu 14.04 ↗ ubuntu-esm | 5.5 | 5.5.9+dfsg-1ubuntu4.29+esm18 | バックポートを確認済み | 2026-10-22 03:29:00 UTC |
PHP 脆弱性 · Rocky Linux
| ブランチ / ベンダー | 修正済みパッケージ | PHP2Shell · 状態 |
|---|---|---|
| PHP 7.4 rocky-linux · Rocky Linux 8 · php:7.4 | OS 別の完全なリビジョンRocky Linux 8 · php:7.4 · x86_64 · php-cli Rocky Linux 8 · php:7.4 · x86_64 · php-common Rocky Linux 8 · php:7.4 · x86_64 · php-fpm Rocky Linux 8 · php:7.4 · aarch64 · php-cli Rocky Linux 8 · php:7.4 · aarch64 · php-common Rocky Linux 8 · php:7.4 · aarch64 · php-fpm ベンダーの出典 ↗ | バックポートを確認済み 確認日時: 2026-10-22 04:44:41 UTC |
Rocky Linux 8 AppStream は RLSA-2026:87080 で php:7.4 の PHP 脆弱性バックポートを公開し、両 CVE を修正しています。x86_64・aarch64 の CLI・common・FPM RPM をダウンロードし、公式パッケージと告知のメタデータに記載されたチェックサムと照合しました。完全なリビジョンを展開して確認してください。他のブランチ、OS 版、AlmaLinux の修正確認には使えません。導入・再起動は未検証で、確認ツールはこの RPM リビジョンを自動比較しません。
PHP 脆弱性 · BT: Linux / Windows
BT は Linux・Windows パネルの PHP 8.2–8.5 で PHP 脆弱性の修正を確認しています。ソフトウェア一覧を更新し、各サイトのランタイムを更新してください。パネルでの導入と再起動は未検証です。
BT の PHP 7.4・8.0・8.1 向け PHP 脆弱性バックポートは Linux 専用です。7.4.34・8.0.27・8.1.35 は BT Linux パッケージのラベルで、上流のリリースではありません。BT Windows や他のベンダーの修正確認には使えません。パネルで更新済みビルドを確認してください。導入は未検証です。
BT は Windows パネルの PHP 8.1 以前について PHP 脆弱性の修正パッケージを発表していません。セッションのアップロード進捗を無効にする緩和策は CVE-2026-109619 の一部に対応し、CVE-2026-109618 は修正しません。サポート中の修正済みブランチへの移行を計画してください。Linux 用パッケージのラベルは Windows の修正確認には使えません。
BT · 環境別ガイド →バージョン番号が古く見える理由
Ubuntu や Debian では古いブランチに修正を適用する場合があります。PHP 脆弱性への対応を確認するには、短い番号だけでなく完全なリビジョン、OS、配布元を照合してください。
詳細な更新ガイドは日本語で読めます。各言語のページは同じ確認済みデータを使用します。
この確認ツールで分かること
入力された情報だけを比較します。別のサーバー、再起動していない旧プロセス、独自パッチの適用状態は確認できません。不明な場合はベンダーの告知やホスティング事業者に確認してください。
オンライン確認 →一時的な緩和策であり、完全な修正ではありません
セッションのアップロード進捗を無効にすると CVE-2026-109619 の確認済みの経路の一部を緩和できます。CVE-2026-109618 は修正されません。リクエスト解析前に設定を適用し、すべての PHP ワーカーを再起動してください。他のセッション設定は修正の証拠にはなりません。
session.upload_progress.enabled = Off出典と確認記録
確認日時: 2026-10-22 04:46:46 UTC
- PHP security advisory and downloads ↗
- Supported PHP branches ↗
- End-of-life PHP branches ↗
- CVE-2026-109618 ↗
- CVE-2026-109619 ↗
- Ubuntu: ubuntu-archive ↗
- Docker: docker-library ↗
- cPanel: easyapache4 ↗
- Plesk: plesk ↗
- aaPanel / BT: aapanel ↗
- Homebrew: homebrew ↗
- Debian: debian-lts ↗
- Homebrew: homebrew ↗
- Homebrew: homebrew ↗
- Homebrew: homebrew ↗
- Ubuntu: ubuntu-esm ↗
- bt: bt ↗
- RHEL, AlmaLinux & Rocky: rocky-linux ↗
- Rocky Linux 8 x86_64: package metadata ↗
- Rocky Linux 8 x86_64: RLSA-2026:87080 update metadata ↗
- Rocky Linux 8 aarch64: package metadata ↗
- Rocky Linux 8 aarch64: RLSA-2026:87080 update metadata ↗