https://patchbell.com/ja/php/php2shell/ 対応中の脆弱性情報と修正の状況です。各脆弱性ページの表と同じデータを使っています。 ja Thu, 22 Oct 2026 06:48:40 GMT https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://alas.aws.amazon.com/AL2027/ALAS2027-2026-243.html Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: Amazon が Amazon Linux 2027 Preview 向けに修正済みの php8.5 パッケージ 8.5.12-1.amzn2027.0.1 を公開しました（ALAS2027-2026-243）。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://hostnet.status.io/ Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: Hostnet が、PHP のセキュリティ更新を全システムに展開済み（古い PHP バージョンも PHP Extended Support で更新済み）とし、一時的な措置を解除しました。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://status.hetzner.com/incident/f4144d55-38c3-48d1-8664-7a3429355cd7 Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: Hetzner が、PHP 7.4 と 8.0〜8.5 に続き、PHP 5.6 と 7.3 にもすべての Web ホスティングとマネージドサーバーでパッチを適用したと報告しました。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://status.upsun.com/ Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: Upsun が、すべてのグリッドリージョンへの更新イメージの展開に続き、すべての Dedicated クラスターへの PHP セキュリティパッチの展開が完了したと報告しました。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://www.cpi.ad.jp/ Thu, 22 Oct 2026 00:00:00 GMT 状態の変更: CPI が、最新パッチが提供されている PHP バージョンについて急ぎ対応中で、パッチのないバージョンについても今後情報を更新すると案内しました。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://access.redhat.com/security/cve/CVE-2026-109618 Thu, 22 Oct 2026 00:00:00 GMT 状態の変更: Red Hat の CVE ページに修正済みパッケージが掲載されました。RHEL 10: php 8.3.36-1.el10_2（RHSA-2026:87070）と php8.4 8.4.27-1.el10_2（RHSA-2026:87071）。RHEL 9: php 8.0.30-8.el9_8.1（RHSA-2026:87151）、php:8.2（RHSA-2026:87072）、php:8.3（RHSA-2026:87079）。RHEL 8: php:7.4（RHSA-2026:87080）に続いて php:8.2（RHSA-2026:87073）。RHEL 9 の php:8.4 は引き続き Affected で、アドバイザリはありません。RHEL 7 は CVE-2026-109618 が「Under investigation」、CVE-2026-109619 が「Not affected」と記載されています。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://errata.rockylinux.org/RLSA-2026:87070 Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: Rocky Linux が修正済みの PHP パッケージを公開しました。Rocky Linux 10: php 8.3.36-1.el10_2（RLSA-2026:87070）と php8.4 8.4.27-1.el10_2（RLSA-2026:87071）。Rocky Linux 9: php 8.0.30-8.el9_8.1（RLSA-2026:87151）、php:8.2（RLSA-2026:87072）、php:8.3（RLSA-2026:87079）。Rocky Linux 8: php:7.4（RLSA-2026:87080）。Rocky Linux 9 の php:8.4 と Rocky Linux 8 の php:8.2 のアドバイザリはまだありません。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://linux.oracle.com/cve/CVE-2026-109618.html Thu, 22 Oct 2026 00:00:00 GMT 状態の変更: Oracle の CVE ページに、Oracle Linux 10（ELSA-2026-87070 php 8.3.36-1.el10_2、ELSA-2026-87071 php8.4 8.4.27-1.el10_2）と Oracle Linux 9（ELSA-2026-87151 php 8.0.30-8.el9_8.1）のエラータが掲載されました。Oracle Linux 9 の php モジュールストリームと Oracle Linux 8 は、まだ掲載されていません。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://alas.aws.amazon.com/AL2023/ALAS2023-2026-3304.html Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: Amazon Linux 2023: ALAS2023-2026-3301〜ALAS2023-2026-3304 に、php8.2（8.2.35-1.amzn2023.0.1）、php8.3（8.3.36-1.amzn2023.0.1）、php8.4（8.4.27-1.amzn2023.0.1）、php8.5（8.5.12-1.amzn2023.0.1）の修正済みパッケージが掲載されました。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://alas.aws.amazon.com/AL2/ALAS2PHP8.2-2026-015.html Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: Amazon Linux 2: ALAS2PHP8.2-2026-015 に、amazon-linux-extras の php8.2 ストリーム向け修正済みパッケージ php 8.2.35-1.amzn2.0.1 が掲載されました。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://explore.alas.aws.amazon.com/CVE-2026-109618.html Thu, 22 Oct 2026 00:00:00 GMT 状態の変更: Amazon の CVE ページでは、Amazon Linux 2023 の php8.1 と Amazon Linux 2 の標準 php パッケージが「No Fix Planned」と記載されており、どちらも修正済みパッケージは示されていません。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://secdb.alpinelinux.org/edge/community.json Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: Alpine edge: x86_64 の community パッケージインデックスに php83 8.3.36-r0、php84 8.4.27-r0、php85 8.5.12-r0 が公開されました。すべてのアーキテクチャが更新されたわけではなく、確認時点では x86、ppc64le、s390x、riscv64 は古いビルドのままでした。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://security-tracker.debian.org/tracker/CVE-2026-109618 Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: Debian のセキュリティトラッカーに、unstable（sid）の修正版として php8.4 8.4.27-1 が両方の CVE について掲載されました。testing（forky）は php8.4 8.4.26-1 のままで、トラッカーでは脆弱と記載されています。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://deb.freexian.com/extended-lts/tracker/ELA-1853-1 Thu, 22 Oct 2026 00:00:00 GMT 状態の変更: Debian 11（bullseye）: Long Term Support が 2026 年 8 月 31 日に終了したため、Debian 自体にはこれらの CVE に対する php7.4 の記載がありません。Freexian の有償 Extended LTS が 7.4.33-1+deb11u14（ELA-1853-1）を掲載していますが、提供先は契約者のみです。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://rpms.remirepo.net/enterprise/10/safe/x86_64/ Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: Remi リポジトリ（サードパーティ）の Enterprise Linux 10 向けに、PHP 8.5.12、8.4.27、8.3.36、8.2.35 のビルドが 10 月 21 日付で公開されています。Remi は CVE 番号を明記していませんが、いずれも上流の修正バージョンです。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://rpms.remirepo.net/enterprise/9/safe/x86_64/ Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: Remi リポジトリ（サードパーティ）の Enterprise Linux 9 向けに、PHP 8.5.12、8.4.27、8.3.36、8.2.35 のビルドが 10 月 21 日付で公開されています。Remi は CVE 番号を明記していませんが、いずれも上流の修正バージョンです。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://rpms.remirepo.net/enterprise/8/safe/x86_64/ Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: Remi リポジトリ（サードパーティ）の Enterprise Linux 8 向けに、PHP 8.5.12、8.4.27、8.3.36、8.2.35 のビルドが 10 月 21 日付で公開されています。Remi は CVE 番号を明記していませんが、いずれも上流の修正バージョンです。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://jvn.jp/vu/JVNVU99905564/ Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: JVN（JPCERT/CC と IPA）が両方の CVE について脆弱性情報 JVNVU#99905564 を公開しました。PHP Group のアドバイザリを案内しており、修正バージョン自体は記載していません。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://cyber.gc.ca/en/alerts-advisories/al26-026-critical-vulnerabilities-impacting-php-cve-2026-109618-cve-2026-109619 Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: カナダのサイバーセキュリティセンターが、修正バージョン 8.5.12、8.4.27、8.3.36、8.2.35 を挙げたアラート AL26-026 を公開しました。公開情報で概念実証コード（PoC）が報告されていること、現時点で実際の悪用は確認していないことを述べています。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/ Thu, 22 Oct 2026 00:00:00 GMT 状態の変更: PHP Foundation が、10 月 21 日に概念実証コード（PoC）の流通が増えたこと、リリース時点でセキュリティチームは動作する攻撃コードを確認していなかったことを述べています。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://www.godaddy.com/resources/news/important-php-security-update-what-website-owners-need-to-do Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: GoDaddy が、Managed Hosting for WordPress はパッチ適用済みで利用者側の作業は不要と発表しました。Web Hosting と Windows Hosting はベンダーから修正済みパッケージが届くまで緩和策を適用中で、VPS の利用者は自分で PHP を更新する必要があります。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://wpenginestatus.com/ Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: WP Engine が、プラットフォーム全体への PHP セキュリティパッチの展開が完了し、利用者側の作業は不要と発表しました（更新後のビルドとして 7.4.33.17、8.2.35、8.4.27、8.5.12 を挙げています）。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://status.cloudways.com/ Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: Cloudways が、Autonomous のすべてのアプリケーションにはパッチ適用済みで、Flexible のアプリケーションには引き続き展開中と報告しました。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://status.liquidweb.com/incidents/6bfpxwg75xgj Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: Liquid Web が修正済みビルドの番号（cPanel の PHP 8.5.12、8.4.27、8.3.36、8.2.35、および Plesk v18.0.81.4）を公表し、インフラ全体への展開は引き続き進行中としています。まだ適用されていない利用者は、コントロールパネルからパッケージを更新するよう案内されています。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://www.digitalocean.com/blog/critical-php-rce-vulnerabilities-patch-now Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: DigitalOcean が、App Platform の PHP ビルドパックにパッチを適用済みと発表しました。反映するにはアプリの再デプロイが必要で、独自の Dockerfile やイメージを使うアプリは、そのイメージ内の PHP を更新する必要があります。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://docs.aws.amazon.com/elasticbeanstalk/latest/relnotes/release-2026-10-21-al2023-php84-php85.html Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: AWS Elastic Beanstalk が、PHP 8.5.12 と 8.4.27 を含む Amazon Linux 2023 の PHP 8.5 / PHP 8.4 プラットフォームバージョン（4.13.13）を公開しました。PHP 8.3 と PHP 8.2 のプラットフォームは、後続のリリースで更新される予定です。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://docs.aws.amazon.com/lightsail/latest/userguide/amazon-lightsail-update-php-security-vulnerabilities.html Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: AWS が、Lightsail で利用者自身が PHP を更新するための手順を公開しました。Lightsail パッケージ版ブループリントのインスタンスは、パッケージマネージャーで PHP を更新します。Bitnami ブループリントのインスタンスは独自の PHP を持っており、apt upgrade では更新されません。AWS は修正バージョンとして 8.2.35、8.3.36、8.4.27、8.5.12 を挙げています。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://www.netcup-status.de/ Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: netcup が、すべての Webhosting パッケージ（Reseller を含む）とすべての Managed Server にパッチを適用済みで、オンラインになっていると報告しました。ルートサーバー、VPS、マネージドクラウドクラスターの利用者は、自分で PHP にパッチを適用する必要があります。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://cloudlinux.statuspage.io/incidents/zl0vt1yq3dj5 Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: CloudLinux が、修正済み alt-php パッケージのリリースが完了したと発表しました（10 月 22 日 00:07 UTC）。通常の更新でインストールされ、その後に PHP の再起動が必要です。パッケージは修正をバックポートしており、バージョン番号は低いままなので、パッケージの変更履歴で確認するよう案内されています。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://support.plesk.com/hc/en-us/articles/44397729587351-Vulnerability-CVE-2026-109618-and-CVE-2026-109619-Remote-code-execution-in-PHP-shipped-with-Plesk Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: Plesk が、自社の管理画面エンジン（sw-engine）の修正を Plesk Obsidian 18.0.80 Update 11 と 18.0.81 Update 4 で提供したと発表し、利用可能な最新バージョンへの更新を呼びかけています。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://www.aapanel.com/forum/d/26249-critical-php-security-update Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: aaPanel が、App Store で PHP 7.4〜8.5 のパッチが利用可能になったと案内しています。インストール済みの各 PHP バージョンをそこで更新します。PHP 7.3 以前の利用者には、設定による緩和策のみが案内されています。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://help.sakura.ad.jp/notification/n-2700 Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: さくらインターネットが、レンタルサーバとマネージドサーバのコントロールパネルで選択できるすべての PHP バージョンで修正が完了したと発表しました。一部サービスで使われる phpMyAdmin とウェブメールは対応中です。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://x.com/lolipopjp/status/2113121114809684114 Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: GMO ペパボが公式 X アカウントで、ロリポップ！に修正版を適用し、10 月 22 日 13:11（JST）にお客様のサイトを復旧したと発表しました。公式の修正がない古い PHP バージョンにも、独自の修正を適用したとしています。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://heteml.jp/info/detail/id/2953 Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: GMO ペパボが、ヘテムルの PHP 8 系と PHP 7.4 には公式の修正バージョンを、それ以外のバージョンには公式の修正をもとにした独自の修正を適用したと発表しました。PHP 8.1 以下では一部の機能が無効化されています。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://secure.colorfulbox.jp/announcements/231/%E9%87%8D%E8%A6%81PHP%E3%81%AE%E8%84%86%E5%BC%B1%E6%80%A7%E3%81%AB%E5%AF%BE%E3%81%99%E3%82%8B%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%82%A2%E3%83%83%E3%83%97%E3%83%87%E3%83%BC%E3%83%88%E5%AE%8C%E4%BA%86%E3%81%AE%E3%81%8A%E7%9F%A5%E3%82%89%E3%81%9B%E3%81%8A%E5%AE%A2%E6%A7%98%E3%81%A7%E3%81%AE%E3%83%90%E3%83%BC%E3%82%B8%E3%83%A7%E3%83%B3%E5%A4%89%E6%9B%B4%E4%BD%9C%E6%A5%AD%E3%81%AF%E4%B8%8D%E8%A6%81%E3%81%A7%E3%81%99.html Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: カラフルボックスが、10 月 22 日朝の時点で全サーバーのセキュリティ修正が完了し、お客様が PHP バージョンを変更する必要はないと発表しました。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://mixhost.jp/news/1974 Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: mixhost が、10 月 22 日 10:18 頃（JST）に全レンタルサーバーへの PHP 修正パッケージの適用が完了したと発表しました（PHP 5.2〜8.5 が対象）。表示される PHP のバージョン番号は変わらず、お客様の作業は不要です。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://www.conoha.jp/wing/news/?ap=2015054903 Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: ConoHa が、ConoHa WING のサーバーにセキュリティパッチを順次適用しており、お客様が使用中の PHP バージョンは変更しないと発表しました。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://www.onamae.com/news/article/11591 Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: GMO インターネットが、お名前.com レンタルサーバーのサーバーにセキュリティパッチを順次適用しており、お客様が使用中の PHP バージョンは変更しないと発表しました。PHP 5.x や 7.x をお使いの一部のお客様は、変更が必要になる場合があります。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://status.value-domain.com/information/detail/?info_id=916 Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: バリュードメインのステータスページが、CORESERVER V2 は提供しているすべての PHP バージョンで、CORESERVER V1 は PHP 7.4 以降で修正が完了したと報告しました。V1 の古い PHP バージョンには触れていません。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://status.value-domain.com/information/detail/?info_id=919 Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: バリュードメインのステータスページが、XREA は PHP 7.4 以降で修正が完了したと報告しました。古い PHP バージョンには触れていません。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://status.value-domain.com/information/detail/?info_id=918 Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: バリュードメインのステータスページが、VALUESERVER は PHP 7.4 以降で修正が完了したと報告しました。古い PHP バージョンには触れていません。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://status.value-domain.com/information/detail/?info_id=920 Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: バリュードメインのステータスページが、Oneレンタルサーバーは PHP 8.0 以降で修正が完了したと報告しました。古い PHP バージョンには触れていません。 https://patchbell.com/ja/php/php2shell/ 2026-10-22 https://help.arena.ne.jp/hc/ja/articles/44408280593303 Thu, 22 Oct 2026 00:00:00 GMT 修正リリース: NTTPC が WebARENA SuiteX について両方の CVE に言及したお知らせを公開しました。緩和策として、海外からの Web アクセスの制限と、PHP の機能 1 つ（ファイルアップロードの進捗機能）の無効化を実施しています。PHP の修正を適用したとは記載されていません。 https://patchbell.com/ja/php/php2shell/ 2026-10-21 https://www.cve.org/CVERecord?id=CVE-2026-109618 Wed, 21 Oct 2026 13:48:34 GMT 公開: PHP Groupが公開したCVEレコードで開示されました。 https://patchbell.com/ja/php/php2shell/ 2026-10-21 https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/ Wed, 21 Oct 2026 00:00:00 GMT 状態の変更: AWS（Amazon Threat Intelligence）は、php2shellが現在広く悪用されているとし、同社のハニーポットで公開4日前の10月17日付の攻撃の試みを記録したと発表しました。AWSは、それらの試みが実際のシステムで成功したかは不明としています。10月22日時点で、CISAのKEVカタログはどちらのCVEも掲載していません。 https://patchbell.com/ja/php/php2shell/ 2026-10-21 https://access.redhat.com/errata/RHSA-2026:87080 Wed, 21 Oct 2026 00:00:00 GMT 修正リリース: Red Hat が RHEL 8 の php:7.4 向けに RHSA-2026:87080（7.4.33-8.module+el8.10.0+25117+30337cca）を公開し、両方の CVE が修正されました。 https://patchbell.com/ja/php/php2shell/ 2026-10-21 https://secdb.alpinelinux.org/v3.24/community.json Wed, 21 Oct 2026 00:00:00 GMT 状態の変更: Alpine 3.24 の x86_64 community リポジトリに php83 8.3.36-r0、php84 8.4.27-r0、php85 8.5.12-r0 が公開されました。Alpine edge では php83 8.3.36-r0 がセキュリティデータベースに掲載されましたが、パッケージはまだリポジトリにありません。 https://patchbell.com/ja/php/php2shell/ 2026-10-21 https://formulae.brew.sh/api/formula/php.json Wed, 21 Oct 2026 00:00:00 GMT 状態の変更: Homebrew: php が 8.5.12、php@8.4 が 8.4.27、php@8.3 が 8.3.36、php@8.2 が 8.2.35 になりました。 https://patchbell.com/ja/php/php2shell/ 2026-10-21 https://nvd.nist.gov/vuln/detail/CVE-2026-109618 Wed, 21 Oct 2026 00:00:00 GMT 状態の変更: NVD が両方の CVE に独自の CVSS 3.1 スコア 9.8（Critical）を追加しました。NVD の影響バージョン情報は 8.2.35 より前のすべての PHP バージョンも対象に含めています。 https://patchbell.com/ja/php/php2shell/ 2026-10-21 https://laravel.com/blog/php-critical-vulnerability-response-updates Wed, 21 Oct 2026 00:00:00 GMT 修正リリース: Laravel Cloud が、稼働中のすべてのアプリケーションにパッチを適用済みと発表しました（PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）。