アプリ、設定、データをバックアップし、検証環境で試してください。PHP 脆弱性 への対応では、現在の配布元とブランチを使用します。
PHP 脆弱性：ベンダーのパッケージ状況
| ブランチ / ベンダー | 修正済みパッケージ | PHP2Shell · 状態 |
|---|---|---|
| PHP 8.5 rhel | 修正済みパッケージ — ベンダーの出典 ↗ | 未確認：ベンダーの告知を確認してください 確認日時: 2026-10-22 03:28:58 UTC |
| PHP 8.4 rhel | 修正済みパッケージ — ベンダーの出典 ↗ | 未確認：ベンダーの告知を確認してください 確認日時: 2026-10-22 03:28:58 UTC |
| PHP 8.3 rhel | 修正済みパッケージ — ベンダーの出典 ↗ | 未確認：ベンダーの告知を確認してください 確認日時: 2026-10-22 03:28:58 UTC |
| PHP 8.2 rhel | 修正済みパッケージ — ベンダーの出典 ↗ | 未確認：ベンダーの告知を確認してください 確認日時: 2026-10-22 03:28:58 UTC |
| PHP 8.1 rhel | 修正済みパッケージ — ベンダーの出典 ↗ | 未確認：ベンダーの告知を確認してください 確認日時: 2026-10-22 03:28:58 UTC |
| PHP 8.0 rhel | 修正済みパッケージ — ベンダーの出典 ↗ | 未確認：ベンダーの告知を確認してください 確認日時: 2026-10-22 03:28:58 UTC |
| PHP 7.4 rhel · 8 (php:7.4 module) | 7.4.33-8.module+el8.10.0+25117+30337cca ベンダーの出典 ↗ | バックポートを確認済み 確認日時: 2026-10-22 03:29:00 UTC |
| PHP 7.4 rocky-linux · Rocky Linux 8 · php:7.4 | OS 別の完全なリビジョンRocky Linux 8 · php:7.4 · x86_64 · php-cli Rocky Linux 8 · php:7.4 · x86_64 · php-common Rocky Linux 8 · php:7.4 · x86_64 · php-fpm Rocky Linux 8 · php:7.4 · aarch64 · php-cli Rocky Linux 8 · php:7.4 · aarch64 · php-common Rocky Linux 8 · php:7.4 · aarch64 · php-fpm ベンダーの出典 ↗ | バックポートを確認済み 確認日時: 2026-10-22 04:44:41 UTC |
確認済みの表示はベンダーの公開を示し、サーバーへの適用を保証しません。未確認の組み合わせには、検証済みのパッケージ基準がありません。
PHP 脆弱性：別のパッケージ系列
各系列の公開日程は独立しています。配布元を特定し、別の系列の修正状況をそのまま適用しないでください。
| ブランチ / ベンダー | 修正済みパッケージ | PHP2Shell · 状態 |
|---|---|---|
| PHP 8.5 remi | OS 別の完全なリビジョンEL 8 · SCL php85 EL 8 · module php:8.5 EL 9 · SCL php85 EL 9 · module php:8.5 EL 10 · SCL php85 EL 10 · module php:8.5 ベンダーの出典 ↗ | 修正を確認済み 確認日時: 2026-10-22 03:29:00 UTC |
| PHP 8.4 remi | OS 別の完全なリビジョンEL 8 · SCL php84 EL 8 · module php:8.4 EL 9 · SCL php84 EL 9 · module php:8.4 EL 10 · SCL php84 EL 10 · module php:8.4 ベンダーの出典 ↗ | 修正を確認済み 確認日時: 2026-10-22 03:29:00 UTC |
| PHP 8.3 remi | OS 別の完全なリビジョンEL 8 · SCL php83 EL 8 · module php:8.3 EL 9 · SCL php83 EL 9 · module php:8.3 EL 10 · SCL php83 EL 10 · module php:8.3 ベンダーの出典 ↗ | 修正を確認済み 確認日時: 2026-10-22 03:29:00 UTC |
| PHP 8.2 remi | OS 別の完全なリビジョンEL 8 · SCL php82 EL 8 · module php:8.2 EL 9 · SCL php82 EL 9 · module php:8.2 EL 10 · SCL php82 EL 10 · module php:8.2 ベンダーの出典 ↗ | 修正を確認済み 確認日時: 2026-10-22 03:29:00 UTC |
| PHP 8.1 remi | 修正済みパッケージ — ベンダーの出典 ↗ | 未確認：ベンダーの告知を確認してください 確認日時: 2026-10-22 03:29:00 UTC |
| PHP 8.0 remi | 修正済みパッケージ — ベンダーの出典 ↗ | 未確認：ベンダーの告知を確認してください 確認日時: 2026-10-22 03:29:00 UTC |
| PHP 7.4 remi | 修正済みパッケージ — ベンダーの出典 ↗ | 未確認：ベンダーの告知を確認してください 確認日時: 2026-10-22 03:29:00 UTC |
Remi 安定版メタデータで、EL 8/9/10 の x86_64・aarch64 向け SCL・modular の CLI・common・FPM 修正版を確認しました。完全なリビジョンを展開して選択してください。他の拡張機能・OS・インストールコマンドは未検証です。
この EOL ブランチの Remi バックポートは未確認です。サポート中ブランチの新パッケージは、旧ブランチの修正を意味しません。
PHP 脆弱性 の修正を提供する配布元を確認
OS パッケージ、外部リポジトリ、コンテナーイメージ、管理パネルの PHP は別々のインストールの場合があります。OS、CPU、配布元、サイトに割り当てた PHP を確認してください。同じ短い番号でも修正内容は異なることがあります。
ソースのアップロード、公開予定日、RC タグだけでは PHP2Shell の修正パッケージ公開を確認できません。
PHP 8.5：更新・再起動・確認
rhel
このブランチの正確な RHSA 修正パッケージは未確認です。下記 RHEL 8 php:7.4 のバックポートは別の対象範囲です。製品とモジュールストリームを一致させ、AlmaLinux・Rocky Linux は各告知を確認してください。
確認日時: 2026-10-22 03:28:58 UTC · ベンダーの出典 ↗
更新 → 再起動 → 確認
この環境は未検証のため、実行用の更新コマンドは掲載していません。バックアップとテスト後、ベンダーの手順で更新・再起動し、完全なパッケージ番号を告知と照合してください。
ベンダーの手順を確認 ↗PHP 8.4：更新・再起動・確認
rhel
このブランチの正確な RHSA 修正パッケージは未確認です。下記 RHEL 8 php:7.4 のバックポートは別の対象範囲です。製品とモジュールストリームを一致させ、AlmaLinux・Rocky Linux は各告知を確認してください。
確認日時: 2026-10-22 03:28:58 UTC · ベンダーの出典 ↗
更新 → 再起動 → 確認
この環境は未検証のため、実行用の更新コマンドは掲載していません。バックアップとテスト後、ベンダーの手順で更新・再起動し、完全なパッケージ番号を告知と照合してください。
ベンダーの手順を確認 ↗PHP 8.3：更新・再起動・確認
rhel
このブランチの正確な RHSA 修正パッケージは未確認です。下記 RHEL 8 php:7.4 のバックポートは別の対象範囲です。製品とモジュールストリームを一致させ、AlmaLinux・Rocky Linux は各告知を確認してください。
確認日時: 2026-10-22 03:28:58 UTC · ベンダーの出典 ↗
更新 → 再起動 → 確認
この環境は未検証のため、実行用の更新コマンドは掲載していません。バックアップとテスト後、ベンダーの手順で更新・再起動し、完全なパッケージ番号を告知と照合してください。
ベンダーの手順を確認 ↗PHP 8.2：更新・再起動・確認
rhel
このブランチの正確な RHSA 修正パッケージは未確認です。下記 RHEL 8 php:7.4 のバックポートは別の対象範囲です。製品とモジュールストリームを一致させ、AlmaLinux・Rocky Linux は各告知を確認してください。
確認日時: 2026-10-22 03:28:58 UTC · ベンダーの出典 ↗
更新 → 再起動 → 確認
この環境は未検証のため、実行用の更新コマンドは掲載していません。バックアップとテスト後、ベンダーの手順で更新・再起動し、完全なパッケージ番号を告知と照合してください。
ベンダーの手順を確認 ↗PHP 8.1：更新・再起動・確認
rhel
このブランチの正確な RHSA 修正パッケージは未確認です。下記 RHEL 8 php:7.4 のバックポートは別の対象範囲です。製品とモジュールストリームを一致させ、AlmaLinux・Rocky Linux は各告知を確認してください。
確認日時: 2026-10-22 03:28:58 UTC · ベンダーの出典 ↗
更新 → 再起動 → 確認
この環境は未検証のため、実行用の更新コマンドは掲載していません。バックアップとテスト後、ベンダーの手順で更新・再起動し、完全なパッケージ番号を告知と照合してください。
ベンダーの手順を確認 ↗PHP 8.0：更新・再起動・確認
rhel
このブランチの正確な RHSA 修正パッケージは未確認です。下記 RHEL 8 php:7.4 のバックポートは別の対象範囲です。製品とモジュールストリームを一致させ、AlmaLinux・Rocky Linux は各告知を確認してください。
確認日時: 2026-10-22 03:28:58 UTC · ベンダーの出典 ↗
更新 → 再起動 → 確認
この環境は未検証のため、実行用の更新コマンドは掲載していません。バックアップとテスト後、ベンダーの手順で更新・再起動し、完全なパッケージ番号を告知と照合してください。
ベンダーの手順を確認 ↗PHP 7.4：更新・再起動・確認
rhel · 8 (php:7.4 module)
RHSA-2026:87080 と CSAF は RHEL 8 php:7.4 の x86_64・aarch64・ppc64le・s390x で両 CVE の修正を確認しています。他の派生 OS やストリームには適用できません。インストールは未検証で、チェッカーでも RPM 告知との手動照合が必要です。
確認日時: 2026-10-22 03:29:00 UTC · ベンダーの出典 ↗
更新 → 再起動 → 確認
この環境は未検証のため、実行用の更新コマンドは掲載していません。バックアップとテスト後、ベンダーの手順で更新・再起動し、完全なパッケージ番号を告知と照合してください。
ベンダーの手順を確認 ↗rocky-linux · Rocky Linux 8 · php:7.4
Rocky Linux 8 AppStream は RLSA-2026:87080 で php:7.4 の PHP 脆弱性バックポートを公開し、両 CVE を修正しています。x86_64・aarch64 の CLI・common・FPM RPM をダウンロードし、公式パッケージと告知のメタデータに記載されたチェックサムと照合しました。完全なリビジョンを展開して確認してください。他のブランチ、OS 版、AlmaLinux の修正確認には使えません。導入・再起動は未検証で、確認ツールはこの RPM リビジョンを自動比較しません。
確認日時: 2026-10-22 04:44:41 UTC · ベンダーの出典 ↗
更新 → 再起動 → 確認
この環境は未検証のため、実行用の更新コマンドは掲載していません。バックアップとテスト後、ベンダーの手順で更新・再起動し、完全なパッケージ番号を告知と照合してください。
ベンダーの手順を確認 ↗PHP 脆弱性：すぐに更新できない場合
緩和策は PHP 脆弱性 の完全な修正ではありません。セッションのアップロード進捗を無効にしても、CVE-2026-109619 の確認済み経路の一部を緩和するだけで、CVE-2026-109618 や他の残留状態経路への対策を保証しません。
session.upload_progress.enabled = OffWeb 用の設定でリクエスト解析前に適用し、全 PHP ワーカーを再起動します。アプリの ini_set() や FPM の .user.ini には依存しないでください。PHP のセッションアップロード進捗機能は無効になります。
cleanup、strict_mode、only_cookies、HttpOnly はセッション管理や一般的な強化設定で、この二つの修正の証拠にはなりません。告知ではリクエストサイズ、メモリ制限、エラートレースも扱います。メモリ制限の解除はホスト資源の枯渇を招くため、他の設定も条件と運用への影響を確認してから適用してください。
確認日時: 2026-10-21 23:25:00 UTC
PHP 脆弱性 対応後の確認
重要なリクエスト、ログイン、アップロード、ログ、定期処理、バックグラウンドワーカーをテストします。Web 用 PHP をすべて再起動し、各サイトの実行バージョンを確認してください。配布元と完全なリビジョンを記録し、EOL ブランチは移行も計画します。
バージョン確認 →よくある質問
PHP 脆弱性の更新後も古い番号に見えるのはなぜですか？
配布元は短い番号を変えず旧ブランチに修正を適用することがあります。完全なリビジョンと配布元を告知と比較し、Web 用 PHP を確認してください。
端末の PHP を更新するとサイトも更新されますか？
必ずしもそうではありません。端末、FPM、管理パネルは別の実行ファイルを使用する場合があります。PHP 脆弱性の更新後は各サイトに割り当てたランタイムを確認します。
PHP ワーカーの再起動は必要ですか？
はい。FPM、Apache、長時間稼働するアプリワーカーをベンダー手順で再起動します。パッケージの導入だけでは、全プロセスが新版を読み込んだことを確認できません。