確認が必要な実行環境
PHP 告知は PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed など Web リクエストを処理する環境を対象とします。特に mod_php は高リスクです。フレームワーク、管理パネル、FPM の使用だけで影響なしとは判断できません。
上流の修正版
PHP 8.5.12 は 2026-10-21 公開の安定版で、上流の PHP2Shell PHP2Shell 修正を含みます。ブランチのサポート期限は従来の予定に従います。 環境別ガイド →
PHP 8.4.27 は 2026-10-21 公開の安定版で、上流の PHP2Shell PHP2Shell 修正を含みます。ブランチのサポート期限は従来の予定に従います。 環境別ガイド →
PHP 8.3.36 は 2026-10-21 公開の安定版で、上流の PHP2Shell PHP2Shell 修正を含みます。ブランチのサポート期限は従来の予定に従います。 環境別ガイド →
PHP 8.2.35 は 2026-10-21 公開の安定版で、上流の PHP2Shell PHP2Shell 修正を含みます。ブランチのサポート期限は従来の予定に従います。 環境別ガイド →
PHP 脆弱性：旧ブランチのバックポート
PHP プロジェクトは EOL ブランチの通常のセキュリティ版を公開しません。ベンダーのバックポートには個別の告知と完全なリビジョンが必要です。サポート中ブランチへの移行を計画し、アプリと拡張機能をテストしてください。
修正状況 →PHP 脆弱性：すぐに更新できない場合
緩和策は PHP 脆弱性 の完全な修正ではありません。セッションのアップロード進捗を無効にしても、CVE-2026-109619 の確認済み経路の一部を緩和するだけで、CVE-2026-109618 や他の残留状態経路への対策を保証しません。
session.upload_progress.enabled = OffWeb 用の設定でリクエスト解析前に適用し、全 PHP ワーカーを再起動します。アプリの ini_set() や FPM の .user.ini には依存しないでください。PHP のセッションアップロード進捗機能は無効になります。
cleanup、strict_mode、only_cookies、HttpOnly はセッション管理や一般的な強化設定で、この二つの修正の証拠にはなりません。告知ではリクエストサイズ、メモリ制限、エラートレースも扱います。メモリ制限の解除はホスト資源の枯渇を招くため、他の設定も条件と運用への影響を確認してから適用してください。
確認日時: 2026-10-21 23:25:00 UTC
確認
重要なリクエスト、ログイン、アップロード、ログ、定期処理、バックグラウンドワーカーをテストします。Web 用 PHP をすべて再起動し、各サイトの実行バージョンを確認してください。配布元と完全なリビジョンを記録し、EOL ブランチは移行も計画します。
バージョン確認 →