php2shellの更新履歴
-
Amazon が Amazon Linux 2027 Preview 向けに修正済みの php8.5 パッケージ 8.5.12-1.amzn2027.0.1 を公開しました（ALAS2027-2026-243）。
-
Hostnet が、PHP のセキュリティ更新を全システムに展開済み（古い PHP バージョンも PHP Extended Support で更新済み）とし、一時的な措置を解除しました。
-
Hetzner が、PHP 7.4 と 8.0〜8.5 に続き、PHP 5.6 と 7.3 にもすべての Web ホスティングとマネージドサーバーでパッチを適用したと報告しました。
-
Upsun が、すべてのグリッドリージョンへの更新イメージの展開に続き、すべての Dedicated クラスターへの PHP セキュリティパッチの展開が完了したと報告しました。
-
CPI が、最新パッチが提供されている PHP バージョンについて急ぎ対応中で、パッチのないバージョンについても今後情報を更新すると案内しました。
-
Red Hat の CVE ページに修正済みパッケージが掲載されました。RHEL 10: php 8.3.36-1.el10_2（RHSA-2026:87070）と php8.4 8.4.27-1.el10_2（RHSA-2026:87071）。RHEL 9: php 8.0.30-8.el9_8.1（RHSA-2026:87151）、php:8.2（RHSA-2026:87072）、php:8.3（RHSA-2026:87079）。RHEL 8: php:7.4（RHSA-2026:87080）に続いて php:8.2（RHSA-2026:87073）。RHEL 9 の php:8.4 は引き続き Affected で、アドバイザリはありません。RHEL 7 は CVE-2026-109618 が「Under investigation」、CVE-2026-109619 が「Not affected」と記載されています。
-
Rocky Linux が修正済みの PHP パッケージを公開しました。Rocky Linux 10: php 8.3.36-1.el10_2（RLSA-2026:87070）と php8.4 8.4.27-1.el10_2（RLSA-2026:87071）。Rocky Linux 9: php 8.0.30-8.el9_8.1（RLSA-2026:87151）、php:8.2（RLSA-2026:87072）、php:8.3（RLSA-2026:87079）。Rocky Linux 8: php:7.4（RLSA-2026:87080）。Rocky Linux 9 の php:8.4 と Rocky Linux 8 の php:8.2 のアドバイザリはまだありません。
-
Oracle の CVE ページに、Oracle Linux 10（ELSA-2026-87070 php 8.3.36-1.el10_2、ELSA-2026-87071 php8.4 8.4.27-1.el10_2）と Oracle Linux 9（ELSA-2026-87151 php 8.0.30-8.el9_8.1）のエラータが掲載されました。Oracle Linux 9 の php モジュールストリームと Oracle Linux 8 は、まだ掲載されていません。
-
Amazon Linux 2023: ALAS2023-2026-3301〜ALAS2023-2026-3304 に、php8.2（8.2.35-1.amzn2023.0.1）、php8.3（8.3.36-1.amzn2023.0.1）、php8.4（8.4.27-1.amzn2023.0.1）、php8.5（8.5.12-1.amzn2023.0.1）の修正済みパッケージが掲載されました。
-
Amazon Linux 2: ALAS2PHP8.2-2026-015 に、amazon-linux-extras の php8.2 ストリーム向け修正済みパッケージ php 8.2.35-1.amzn2.0.1 が掲載されました。
-
Amazon の CVE ページでは、Amazon Linux 2023 の php8.1 と Amazon Linux 2 の標準 php パッケージが「No Fix Planned」と記載されており、どちらも修正済みパッケージは示されていません。
-
Alpine edge: x86_64 の community パッケージインデックスに php83 8.3.36-r0、php84 8.4.27-r0、php85 8.5.12-r0 が公開されました。すべてのアーキテクチャが更新されたわけではなく、確認時点では x86、ppc64le、s390x、riscv64 は古いビルドのままでした。
-
Debian のセキュリティトラッカーに、unstable（sid）の修正版として php8.4 8.4.27-1 が両方の CVE について掲載されました。testing（forky）は php8.4 8.4.26-1 のままで、トラッカーでは脆弱と記載されています。
-
Debian 11（bullseye）: Long Term Support が 2026 年 8 月 31 日に終了したため、Debian 自体にはこれらの CVE に対する php7.4 の記載がありません。Freexian の有償 Extended LTS が 7.4.33-1+deb11u14（ELA-1853-1）を掲載していますが、提供先は契約者のみです。
-
Remi リポジトリ（サードパーティ）の Enterprise Linux 10 向けに、PHP 8.5.12、8.4.27、8.3.36、8.2.35 のビルドが 10 月 21 日付で公開されています。Remi は CVE 番号を明記していませんが、いずれも上流の修正バージョンです。
-
Remi リポジトリ（サードパーティ）の Enterprise Linux 9 向けに、PHP 8.5.12、8.4.27、8.3.36、8.2.35 のビルドが 10 月 21 日付で公開されています。Remi は CVE 番号を明記していませんが、いずれも上流の修正バージョンです。
-
Remi リポジトリ（サードパーティ）の Enterprise Linux 8 向けに、PHP 8.5.12、8.4.27、8.3.36、8.2.35 のビルドが 10 月 21 日付で公開されています。Remi は CVE 番号を明記していませんが、いずれも上流の修正バージョンです。
-
JVN（JPCERT/CC と IPA）が両方の CVE について脆弱性情報 JVNVU#99905564 を公開しました。PHP Group のアドバイザリを案内しており、修正バージョン自体は記載していません。
-
カナダのサイバーセキュリティセンターが、修正バージョン 8.5.12、8.4.27、8.3.36、8.2.35 を挙げたアラート AL26-026 を公開しました。公開情報で概念実証コード（PoC）が報告されていること、現時点で実際の悪用は確認していないことを述べています。
-
PHP Foundation が、10 月 21 日に概念実証コード（PoC）の流通が増えたこと、リリース時点でセキュリティチームは動作する攻撃コードを確認していなかったことを述べています。
-
GoDaddy が、Managed Hosting for WordPress はパッチ適用済みで利用者側の作業は不要と発表しました。Web Hosting と Windows Hosting はベンダーから修正済みパッケージが届くまで緩和策を適用中で、VPS の利用者は自分で PHP を更新する必要があります。
-
WP Engine が、プラットフォーム全体への PHP セキュリティパッチの展開が完了し、利用者側の作業は不要と発表しました（更新後のビルドとして 7.4.33.17、8.2.35、8.4.27、8.5.12 を挙げています）。
-
Cloudways が、Autonomous のすべてのアプリケーションにはパッチ適用済みで、Flexible のアプリケーションには引き続き展開中と報告しました。
-
Liquid Web が修正済みビルドの番号（cPanel の PHP 8.5.12、8.4.27、8.3.36、8.2.35、および Plesk v18.0.81.4）を公表し、インフラ全体への展開は引き続き進行中としています。まだ適用されていない利用者は、コントロールパネルからパッケージを更新するよう案内されています。
-
DigitalOcean が、App Platform の PHP ビルドパックにパッチを適用済みと発表しました。反映するにはアプリの再デプロイが必要で、独自の Dockerfile やイメージを使うアプリは、そのイメージ内の PHP を更新する必要があります。
-
AWS Elastic Beanstalk が、PHP 8.5.12 と 8.4.27 を含む Amazon Linux 2023 の PHP 8.5 / PHP 8.4 プラットフォームバージョン（4.13.13）を公開しました。PHP 8.3 と PHP 8.2 のプラットフォームは、後続のリリースで更新される予定です。
-
AWS が、Lightsail で利用者自身が PHP を更新するための手順を公開しました。Lightsail パッケージ版ブループリントのインスタンスは、パッケージマネージャーで PHP を更新します。Bitnami ブループリントのインスタンスは独自の PHP を持っており、apt upgrade では更新されません。AWS は修正バージョンとして 8.2.35、8.3.36、8.4.27、8.5.12 を挙げています。
-
netcup が、すべての Webhosting パッケージ（Reseller を含む）とすべての Managed Server にパッチを適用済みで、オンラインになっていると報告しました。ルートサーバー、VPS、マネージドクラウドクラスターの利用者は、自分で PHP にパッチを適用する必要があります。
-
CloudLinux が、修正済み alt-php パッケージのリリースが完了したと発表しました（10 月 22 日 00:07 UTC）。通常の更新でインストールされ、その後に PHP の再起動が必要です。パッケージは修正をバックポートしており、バージョン番号は低いままなので、パッケージの変更履歴で確認するよう案内されています。
-
Plesk が、自社の管理画面エンジン（sw-engine）の修正を Plesk Obsidian 18.0.80 Update 11 と 18.0.81 Update 4 で提供したと発表し、利用可能な最新バージョンへの更新を呼びかけています。
-
aaPanel が、App Store で PHP 7.4〜8.5 のパッチが利用可能になったと案内しています。インストール済みの各 PHP バージョンをそこで更新します。PHP 7.3 以前の利用者には、設定による緩和策のみが案内されています。
-
さくらインターネットが、レンタルサーバとマネージドサーバのコントロールパネルで選択できるすべての PHP バージョンで修正が完了したと発表しました。一部サービスで使われる phpMyAdmin とウェブメールは対応中です。
-
GMO ペパボが公式 X アカウントで、ロリポップ！に修正版を適用し、10 月 22 日 13:11（JST）にお客様のサイトを復旧したと発表しました。公式の修正がない古い PHP バージョンにも、独自の修正を適用したとしています。
-
GMO ペパボが、ヘテムルの PHP 8 系と PHP 7.4 には公式の修正バージョンを、それ以外のバージョンには公式の修正をもとにした独自の修正を適用したと発表しました。PHP 8.1 以下では一部の機能が無効化されています。
-
カラフルボックスが、10 月 22 日朝の時点で全サーバーのセキュリティ修正が完了し、お客様が PHP バージョンを変更する必要はないと発表しました。
-
mixhost が、10 月 22 日 10:18 頃（JST）に全レンタルサーバーへの PHP 修正パッケージの適用が完了したと発表しました（PHP 5.2〜8.5 が対象）。表示される PHP のバージョン番号は変わらず、お客様の作業は不要です。
-
ConoHa が、ConoHa WING のサーバーにセキュリティパッチを順次適用しており、お客様が使用中の PHP バージョンは変更しないと発表しました。
-
GMO インターネットが、お名前.com レンタルサーバーのサーバーにセキュリティパッチを順次適用しており、お客様が使用中の PHP バージョンは変更しないと発表しました。PHP 5.x や 7.x をお使いの一部のお客様は、変更が必要になる場合があります。
-
バリュードメインのステータスページが、CORESERVER V2 は提供しているすべての PHP バージョンで、CORESERVER V1 は PHP 7.4 以降で修正が完了したと報告しました。V1 の古い PHP バージョンには触れていません。
-
バリュードメインのステータスページが、XREA は PHP 7.4 以降で修正が完了したと報告しました。古い PHP バージョンには触れていません。
-
バリュードメインのステータスページが、VALUESERVER は PHP 7.4 以降で修正が完了したと報告しました。古い PHP バージョンには触れていません。
-
バリュードメインのステータスページが、Oneレンタルサーバーは PHP 8.0 以降で修正が完了したと報告しました。古い PHP バージョンには触れていません。
-
NTTPC が WebARENA SuiteX について両方の CVE に言及したお知らせを公開しました。緩和策として、海外からの Web アクセスの制限と、PHP の機能 1 つ（ファイルアップロードの進捗機能）の無効化を実施しています。PHP の修正を適用したとは記載されていません。
-
PHP Groupが公開したCVEレコードで開示されました。
-
AWS（Amazon Threat Intelligence）は、php2shellが現在広く悪用されているとし、同社のハニーポットで公開4日前の10月17日付の攻撃の試みを記録したと発表しました。AWSは、それらの試みが実際のシステムで成功したかは不明としています。10月22日時点で、CISAのKEVカタログはどちらのCVEも掲載していません。
-
Red Hat が RHEL 8 の php:7.4 向けに RHSA-2026:87080（7.4.33-8.module+el8.10.0+25117+30337cca）を公開し、両方の CVE が修正されました。
-
Alpine 3.24 の x86_64 community リポジトリに php83 8.3.36-r0、php84 8.4.27-r0、php85 8.5.12-r0 が公開されました。Alpine edge では php83 8.3.36-r0 がセキュリティデータベースに掲載されましたが、パッケージはまだリポジトリにありません。
-
Homebrew: php が 8.5.12、php@8.4 が 8.4.27、php@8.3 が 8.3.36、php@8.2 が 8.2.35 になりました。
-
NVD が両方の CVE に独自の CVSS 3.1 スコア 9.8（Critical）を追加しました。NVD の影響バージョン情報は 8.2.35 より前のすべての PHP バージョンも対象に含めています。
-
Laravel Cloud が、稼働中のすべてのアプリケーションにパッチを適用済みと発表しました（PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）。
-
Hetzner が、すべての Webhosting と Managed Server で PHP 7.4 および 8.0〜8.5 のパッチを適用済みと報告しました。
-
OVHcloud が Web ホスティングの全クラスターで PHP 7.4〜8.5 のパッチ適用を報告しました。
-
Flywheel がプラットフォームのパッチ適用完了を発表しました。利用者側の作業は不要としています。
-
Azure App Service が Latest と Standard チャネルへの修正済み PHP イメージの展開を完了しました（8.2.35、8.3.36、8.4.27、8.5.12）。
-
Plesk が Windows 向けにも PHP 8.2〜8.5 の修正を公開しました。Linux の 7.4・8.0・8.1 は 21 日ビルドの再ビルド版に修正を含むと説明しています。
-
DirectAdmin が PHP 7.3〜5.6 向けのパッチを含む追加ビルドを公開しました。
-
CloudLinux が修正済みの alt-php ビルドを追加で公開しました（alt-php74・80・81 の対応プラットフォームが拡大）。他のバージョンは準備中です。
-
Webuzo が修正済みの EMPS パッケージを公開し、EMPS 更新コマンドの実行を案内しています。CyberPanel は修正済みの LiteSpeed 用 PHP パッケージ（8.2.35、8.3.36、8.4.27、8.5.12）が利用可能になったと発表し、管理者による更新が必要としています。
-
ホスティング状況: Hostinger、Kinsta、Upsun、Infomaniak が、修正済み PHP を展開中であると報告しました。
-
ホスティング状況: Namecheap、Pantheon、netcup、エックスサーバー、Liquid Web、WP Engine、Cloudways、Wordfence、Virtualmin から新しい進捗情報がありました。
-
バージョンチェッカー、Linuxディストリビューション・Docker などの修正バージョン表、ホスティング状況の表を公開しました。
-
Debian のセキュリティトラッカーに、Debian 13 の php8.4（DSA-6574-1）と Debian 12 の php8.2（DLA-4848-1）の修正済みパッケージが掲載されていることを確認しました。
-
Docker 公式の php イメージが PHP 8.5.12、8.4.27、8.3.36、8.2.35 で再ビルドされました。
-
Ubuntu が修正済み PHP パッケージを含む USN-8948-1 と USN-8948-2 を公開しました（Ubuntu 20.04 以前は Ubuntu Pro 経由）。
-
php.net が PHP 8.5.12、8.4.27、8.3.36、8.2.35 を公開しました。CVE-2026-109618 と CVE-2026-109619 が修正されています。