PHP 脆弱性：Ubuntu の PHP 8.3 更新ガイドPHP vulnerability · PHP2Shell · CVE-2026-109618 / CVE-2026-109619 · PHP RCE · PHP security update

PHP 脆弱性：ベンダーのパッケージ状況

確認済みの表示はベンダーの公開を示し、サーバーへの適用を保証しません。未確認の組み合わせには、検証済みのパッケージ基準がありません。

PHP 脆弱性 の修正を提供する配布元を確認

OS パッケージ、外部リポジトリ、コンテナーイメージ、管理パネルの PHP は別々のインストールの場合があります。OS、CPU、配布元、サイトに割り当てた PHP を確認してください。同じ短い番号でも修正内容は異なることがあります。

ソースのアップロード、公開予定日、RC タグだけでは PHP2Shell の修正パッケージ公開を確認できません。

PHP 8.3：更新・再起動・確認

sudo apt-get update

apt-cache policy php8.3-fpm

sudo apt-get install -y --only-upgrade 'php8.3*' libapache2-mod-php8.3

service php8.3-fpm restart

service apache2 restart

dpkg-query -W -f='${Package} ${Version}\n' 'php*'

php -v

PHP 脆弱性：アーキテクチャ別の公開状況

これはパッケージ索引の確認結果であり、インストールテストではありません。EOL パッケージの新しいビルド日だけでは修正を確認できません。OS と CPU を合わせ、別の CPU 向け新パッケージを理由に配布元を切り替えないでください。

PHP 脆弱性：すぐに更新できない場合

緩和策は PHP 脆弱性 の完全な修正ではありません。セッションのアップロード進捗を無効にしても、CVE-2026-109619 の確認済み経路の一部を緩和するだけで、CVE-2026-109618 や他の残留状態経路への対策を保証しません。

session.upload_progress.enabled = Off

Web 用の設定でリクエスト解析前に適用し、全 PHP ワーカーを再起動します。アプリの ini_set() や FPM の .user.ini には依存しないでください。PHP のセッションアップロード進捗機能は無効になります。

cleanup、strict_mode、only_cookies、HttpOnly はセッション管理や一般的な強化設定で、この二つの修正の証拠にはなりません。告知ではリクエストサイズ、メモリ制限、エラートレースも扱います。メモリ制限の解除はホスト資源の枯渇を招くため、他の設定も条件と運用への影響を確認してから適用してください。

確認日時: 2026-10-21 23:25:00 UTC

ベンダーの出典 ↗

ベンダーの出典 ↗

PHP 脆弱性 対応後の確認

重要なリクエスト、ログイン、アップロード、ログ、定期処理、バックグラウンドワーカーをテストします。Web 用 PHP をすべて再起動し、各サイトの実行バージョンを確認してください。配布元と完全なリビジョンを記録し、EOL ブランチは移行も計画します。

よくある質問