php2shell：ホスティング事業者の対応状況
ホスティング事業者とコントロールパネルが、それぞれの言葉で何と発表しているか、そして利用者側で必要な対応を載せています。
ホスティング事業者70社のうち13社が修正済みと発表しています。
- 全体
- 一部修正済み
- 深刻度
緊急9.2CVSS v4PHP Group (CNA)
- 最終確認
日本
| 事業者 | 状態 | 事業者の発表 | 出典 |
|---|---|---|---|
| さくらのレンタルサーバ / さくらのマネージドサーバ (Sakura Internet) | 修正済み | さくらインターネットは、さくらのレンタルサーバ・さくらのマネージドサーバについて、コントロールパネルから選択できるすべてのPHPバージョンでPHPの脆弱性（CVE-2026-109618, CVE-2026-109619）への対応を完了したとしています。一部のサービスで使っているphpMyAdminは対応中で、ウェブメールについてはその後対応を完了したと追記しています。緊急メンテナンス「PHPバージョンアップ」は完了と表示されています。 PatchBellからの案内: さくらは、お客様に実施いただく緊急の対応はないとしています。あわせて、サポート期間中の最新版PHPへの移行を検討するよう案内しています。移行する場合は、事前にお使いのアプリがそのバージョンで動くか確認し、バックアップを取ってください。 | 出典 |
| エックスサーバー (Xserver) | 展開中 | エックスサーバー株式会社は、PHP 8.2～8.5については対象となるすべてのサーバーへの修正パッチの適用が完了した（お知らせ）、その後PHP 7.4～8.1についても完了した（公式Xの投稿）としています。PHP 7.4より古いバージョンについては、引き続き順次適用を進めているとしています。これより前に緩和策は適用済みです。アカウント管理画面と多くの機能は再開しましたが、各サービスサイトは停止中で、本日中に再開予定です。 PatchBellからの案内: 現時点で、公式の案内にお客様の操作を求める記載はありません。管理画面の提供が完全に再開した後に追加の対策をお願いする場合があるとしているため、同社の案内（公式サイトとX @xserverjp）を確認し、求められた場合のみ対応してください。PHP 7.4より古いバージョンをお使いの場合は、同社から修正済みの確認が取れるまで、修正済みとはみなさないでください。 | 出典 |
| Xserverビジネス (Xserver Business) | 展開中 | エックスサーバー株式会社の全社向けのお知らせ（この製品の公式サイトにも同じ内容が表示されています）では、PHP 8.2～8.5について対象となるすべてのサーバーへの修正パッチの適用が完了したとし、その後、公式XでもPHP 7.4～8.1について同様に完了したとしています。PHP 7.4より古いバージョンについては、引き続き順次適用を進めているとしています。この製品名はお知らせに記載されていません。XServerビジネスのアカウント管理画面・サーバーパネル・お申し込みは利用可能と表示されています。各サービスサイトは停止中です。 PatchBellからの案内: 現時点で、公式の案内にお客様の操作を求める記載はありません。管理画面の提供が完全に再開した後に追加の対策をお願いする場合があるとしているため、同社の案内（公式サイトとX @xserverjp）を確認し、求められた場合のみ対応してください。PHP 7.4より古いバージョンをお使いの場合は、同社から修正済みの確認が取れるまで、修正済みとはみなさないでください。 | 出典 |
| シンレンタルサーバー (Shin Rental Server) | 展開中 | エックスサーバー株式会社の全社向けのお知らせ（この製品の公式サイトにも同じ内容が表示されています）では、PHP 8.2～8.5について対象となるすべてのサーバーへの修正パッチの適用が完了したとし、その後、公式XでもPHP 7.4～8.1について同様に完了したとしています。PHP 7.4より古いバージョンについては、引き続き順次適用を進めているとしています。この製品名はお知らせに記載されていません。その後の更新では、シンクラウドの各種サービスについてもアカウント管理画面と各種機能の提供を再開した（一部はメンテナンス中）としており、シンレンタルサーバーのログイン・サーバーパネル・お申し込みは利用可能、「再開準備中」はシンドメインのみと表示されています。各サービスサイトは停止中です。 PatchBellからの案内: 現時点で、公式の案内にお客様の操作を求める記載はありません。管理画面の提供が完全に再開した後に追加の対策をお願いする場合があるとしているため、同社の案内（公式サイトとX @xserverjp）を確認し、求められた場合のみ対応してください。PHP 7.4より古いバージョンをお使いの場合は、同社から修正済みの確認が取れるまで、修正済みとはみなさないでください。 | 出典 |
| スターレンタルサーバー / スターサーバー (Star Server) | 展開中 | エックスサーバー株式会社の全社向けのお知らせ（この製品の公式サイトにも同じ内容が表示されています）では、PHP 8.2～8.5について対象となるすべてのサーバーへの修正パッチの適用が完了したとし、その後、公式XでもPHP 7.4～8.1について同様に完了したとしています。PHP 7.4より古いバージョンについては、引き続き順次適用を進めているとしています。この製品名はお知らせに記載されていません。スターレンタルサーバーのアカウント管理画面・サーバーパネル・お申し込みは利用可能と表示されています。各サービスサイトは停止中です。 PatchBellからの案内: 現時点で、公式の案内にお客様の操作を求める記載はありません。管理画面の提供が完全に再開した後に追加の対策をお願いする場合があるとしているため、同社の案内（公式サイトとX @xserverjp）を確認し、求められた場合のみ対応してください。PHP 7.4より古いバージョンをお使いの場合は、同社から修正済みの確認が取れるまで、修正済みとはみなさないでください。 | 出典 |
| ロリポップ！レンタルサーバー (GMO Pepabo) | 修正済み | GMOペパボは公式Xで、修正版を適用してお客様のサイトを再開したこと、公式の修正版がない旧バージョンのPHPにも独自の修正を適用していることを案内しています。サービスサイトは一部を除き、まもなく再開予定としています。 PatchBellからの案内: この投稿にはお客様の操作を求める記載はありません。サービスサイトの完全な再開は、ロリポップ！の公式X @lolipopjp とお知らせで確認してください。 | 出典 |
| ヘテムル (heteml, GMO Pepabo) | 修正済み | GMOペパボは、PHP 8.0以降とPHP 7.4については公式の修正版を適用し、それ以外のバージョンについては公式の修正内容に基づいて独自に修正を行ったとしています。PHP 8.1以下では、今回の対策により一部の機能（session.upload_progressなど）が無効になっているとしています。最新の追記時点で、お客様のサイト、サービスサイト、コントロールパネル、heteml FTP、hetemail、phpMyAdminは再開しており、おさいぽ！の自動更新のみ停止中（復旧対応中）でした。 PatchBellからの案内: ご自身のサイトの動作を確認してください。同社は、PHP 8.1以下では一部の機能が無効になっているとしています。あわせて、新しいPHPバージョンへの切り替えを検討するよう案内しています。おさいぽ！の自動更新は、最後に確認した時点では停止中でした。 | 出典 |
| レンタルサーバーCPI | 展開中 | CPIは、最新の更新時点で、最新パッチが提供されているPHPバージョンについて急ぎ対応中であり、パッチの提供がないバージョンについても今後情報を更新するとしています。お客さまのサーバーは稼働を継続しています。サービスサイトとコントロールパネルは停止中で（Roundcubeは再開済）、再開の見込みは未定です。不正アクセスや攻撃は確認されていないとしています。 PatchBellからの案内: 現時点でお客様の操作は求められていません。サイトの表示とメールの送受信は通常どおり使えます。CPIの同ページで案内される更新を確認してください。 | 出典 |
| KAGOYA レンタルサーバー (カゴヤ・ジャパン) | 予定 | KAGOYAは、CVE-2026-109618 / CVE-2026-109619を名指しした案内を更新しました。レンタルサーバープランのPHP 8.2/8.3/8.4/8.5系については、修正版へのバージョンアップによる対応を調整しているとしています。マネージド専用サーバー・共用サーバー・WordPress専用サーバーの各プランについては、恒久的な対応の方針を引き続き調整中とし、暫定的なリスク低減策として、Webサイトの公開停止（メンテナンス画面への切り替え）やアクセス制限などの検討を求めています。 PatchBellからの案内: KAGOYAは、マネージド専用サーバー・共用サーバー・WordPress専用サーバーの各プランについて、Webサイトの公開停止やアクセス制限などの暫定策を挙げています。レンタルサーバープランでPHP 8.2～8.5系を使っている場合は、KAGOYA側のアップデートを待ちます。続報は同じお知らせのページで確認してください。 | 出典 |
| ConoHa WING (GMO Internet) | 展開中 | ConoHaは、現在案内しているConoHa WINGの緊急メンテナンスと、ファイルマネージャー・Webメール機能の一時停止は、いずれもに公開されたPHPの修正版への対応として実施しているとしています。お客様がご利用中のPHPバージョンを維持したまま、サーバーへのセキュリティパッチを順次適用しているとしています。Webサイトの表示とメールの送受信は通常どおり利用できます。 PatchBellからの案内: ConoHaは、お客様ご自身でPHPバージョンを変更する必要はないとしています。ファイルマネージャーとWebメールは予防措置として停止中です。進捗は同社のお知らせで確認してください。 | 出典 |
| お名前.com レンタルサーバー (GMO Internet) | 展開中 | GMOインターネットは、現在案内している緊急サーバーメンテナンスと、ファイルマネージャー・Webメール機能の一時停止は、いずれもに公開されたPHPの修正版への対応として実施しているとしています。お客様がご利用中のPHPバージョンを維持したまま、サーバーへのセキュリティパッチを順次適用しているとしています。基本的にPHPバージョンの変更は不要ですが、PHP 5.x系や7.x系をご利用の場合は変更が必要なケースもあるとしています。Webサイトの表示とメールの送受信は通常どおり利用できます。 PatchBellからの案内: 基本的にPHPバージョンの変更は不要です。PHP 5.x系や7.x系を使っている場合は、変更が必要なケースもあるため、同社のお知らせを確認してください。ファイルマネージャーとWebメールは予防措置として停止中です。 | 出典 |
| カラフルボックス / カラフルビジネス (ColorfulBox) | 修正済み | カラフルボックスは、全サーバー（共有サーバー・カラフルビジネス・タダサーバー・専用サーバー）での事前の保護措置とセキュリティ修正版のアップデート作業が、すべて完了したとしています。お客様がご利用中のPHPバージョンを維持したまま、サーバー側で対策済みバージョンへ更新したため、お客様がPHPバージョンを変更・切り替えする必要はないとしています。PHP 8.2～8.5の最新修正版への更新に加え、PHP 7.4やPHP 8.0/8.1などの旧バージョンについても、サーバー側でセキュリティ修正と保護措置の適用が完了しているとしています。 PatchBellからの案内: カラフルボックスは、お客様側の対応は不要で、PHPバージョンを変更する必要はないとしています。 | 出典 |
| mixhost (ミックスホスト) | 修正済み | mixhostは、mixhostレンタルサーバー、mixhostアダルトレンタルサーバー、mixhost海外レンタルサーバーの全サーバーで、CVE-2026-109618とCVE-2026-109619に対するPHPの修正パッケージの適用を完了したとしています。対応範囲は5.x系から8.5までのPHPで、PHP開発元が修正対象から外しているバージョンも、CloudLinuxが提供する独自の修正パッケージで対応済みとしています。この修正ではPHPのバージョン番号は変わりません（例：8.4.27より小さい番号の8.4ビルドはその番号のまま）。お客様で必要な作業はなく、PHP 8.2未満をご利用の場合は8.2以上の利用を推奨するとしています。 PatchBellからの案内: mixhostは、お客様で必要な作業はないとしています。修正後も、WordPressのサイトヘルスやphpinfoに表示されるPHPのバージョン番号は変わりません。PHP 8.2未満をご利用の場合は、8.2以上への移行を推奨するとしています。 | 出典 |
| CORESERVER V1 / V2 (コアサーバー, Value Domain) | 展開中 | バリュードメインの稼働状況ページは、CVE-2026-109618 / CVE-2026-109619を名指しして、CORESERVERの2件のメンテナンスを完了と表示しています。CORESERVER V2（全サーバー、完了）については、提供中のすべてのPHPバージョンで対応を完了したとしています。CORESERVER V1（全サーバー、完了）については、PHP 7.4以上（7.4、8.0～8.5）で対応を完了したとしており、それより古いバージョンには触れていません。 PatchBellからの案内: 同社が対応済みとしているバージョンでは、PHPバージョンの変更は不要です。CORESERVER V1でPHP 7.4より古いバージョンを使っている場合、案内には記載がありません。同社に確認するか、サポート中のPHPバージョンへの移行を検討してください。 | 出典 |
| XREA (エクスリア, Value Domain) | 展開中 | バリュードメインの稼働状況ページは、CVE-2026-109618 / CVE-2026-109619を名指しして、XREAのメンテナンス（全サーバー）を完了と表示しています。PHP 7.4以上で対応を完了しており、該当バージョンをご利用のお客様はPHPバージョンの変更は不要としています。それより古いPHPバージョンには触れていません。 PatchBellからの案内: PHP 7.4以上では、PHPバージョンの変更は不要です。それより古いバージョンについては案内に記載がありません。同社に確認するか、サポート中のPHPバージョンへの移行を検討してください。 | 出典 |
| VALUESERVER (バリューサーバー, Value Domain) | 展開中 | バリュードメインの稼働状況ページは、CVE-2026-109618 / CVE-2026-109619を名指しして、VALUESERVERのメンテナンス（全サーバー）を完了と表示しています。PHP 7.4以上で対応を完了しており、該当バージョンをご利用のお客様はPHPバージョンの変更は不要としています。それより古いPHPバージョンには触れていません。 PatchBellからの案内: PHP 7.4以上では、PHPバージョンの変更は不要です。それより古いバージョンについては案内に記載がありません。同社に確認するか、サポート中のPHPバージョンへの移行を検討してください。 | 出典 |
| Oneレンタルサーバー (Value Domain / GMO DigiRock) | 展開中 | バリュードメインの稼働状況ページは、CVE-2026-109618 / CVE-2026-109619を名指しして、Oneレンタルサーバーのメンテナンス（全サーバー）を完了と表示しています。PHP 8.0以上で対応を完了しており、該当バージョンをご利用のお客様はPHPバージョンの変更は不要としています。それより古いPHPバージョンには触れていません。 PatchBellからの案内: PHP 8.0以上では、PHPバージョンの変更は不要です。それより古いバージョンについては案内に記載がありません。同社に確認するか、サポート中のPHPバージョンへの移行を検討してください。 | 出典 |
| WebARENA (NTTPC) | 緩和策のみ | NTTPCコミュニケーションズは、WebARENA SuiteX（共用サーバー）向けに、CVE-2026-109618、CVE-2026-109619を名指しした案内を出しています。海外からのWebアクセス制限とPHPの一部機能（ファイルアップロード進捗管理機能）の無効化を、いずれも完了したとしており、その他の緩和策、今後の対応状況、お客様へのお願い事項は同ページで随時案内するとしています。案内にはPHPの修正を適用したとは書かれていません。 PatchBellからの案内: 現時点で、案内にお客様の操作を求める記載はありません。続報は同じお知らせのページで確認してください。 | 出典 |
| ABLENET (旧ケイアンドケイコーポレーション) | 発表なし | ABLENETの公式お知らせにPHPに関する案内は確認できませんでした。直近のセキュリティ関連は、VPS向けLinuxカーネル脆弱性の案内で、PHPとは別の件です。 PatchBellからの案内: 公式の指示は出ていません。PHPを自分で入れている場合は、OSのパッケージ更新とPHPバージョンの確認が必要です。 | 出典 |
グローバル
| 事業者 | 状態 | 事業者の発表 | 出典 |
|---|---|---|---|
| SiteGround | 緩和策のみ | SiteGroundは全サーバーにサーバー側の保護を適用済みで、利用者側の作業は不要としています。記事内では修正済みPHPのバージョンは示されていません。 | 出典 |
| Hostinger | 展開中 | Hostingerは、自社テストの結果プラットフォームはphp2shellの影響を受けないと確認し、追加の保護も入れたとしています。一方で修正済みPHPを展開中で、まずAgency Hostingのインフラを完了し、その後、すべてのcPanelサーバーをPHP修正を含むcPanelビルドと最新のAlt-PHPに更新済みと発表しました。利用者側の作業は不要としていますが、すべてのマネージドホスティングでの完了はまだ発表していません。 | 出典 |
| Bluehost | 展開中 | Bluehostは、サーバーの大半にパッチを適用済みで、残りのシステムも更新作業中としています。緩和策は追加の保護層として継続され、アップロードサイズに制限がかかる場合があります。 | 出典 |
| GoDaddy | 展開中 | GoDaddyは、Managed Hosting for WordPressの全PHPバージョンにパッチを適用済みで、利用者側の作業は不要としています。Web HostingとWindows Hostingについては、ベンダーによる独自PHPパッケージの修正版提供を待っており、それまでの間は緩和策を適用しています。VPSの利用者は自分でPHPを更新する必要があります。これは業界全体の問題だとしています。 | 出典 |
| HostGator | 展開中 | HostGatorは、サーバーの大半にパッチを適用済みで、残りのシステムも更新作業中としています。緩和策は追加の保護層として継続され、アップロードサイズに制限がかかる場合があります。 | 出典 |
| DreamHost | 展開中 | DreamHostは全ホスティングで保護策とWAFを有効にしており、PHP公式の修正を全サーバーに展開中で、まもなく完了する見込みとしています。PHP 8.1以前のサイトは早期に適用した緩和策で保護されており、これらのバージョン向けの修正はPHP Extended Supportプログラムで作成中で、1日以内の展開を見込んでいます。利用者側の作業は不要です。 | 出典 |
| A2 Hosting | 未確認 | A2 Hostingは「PHP Update」の障害告知で、最新の更新として、上流ベンダーのパッチが公開され、フリート全体に順次展開中と述べています。CVE番号や修正版のバージョンは書かれていません。 | 出典 |
| Namecheap | 展開中 | Namecheapは全プラットフォームで緩和策を適用し、公開されたPHPバージョンを展開中です。まず、修正版がCloudLinuxのステージングリポジトリに入り、一部のサーバー群に展開していると発表し、その後も引き続きサーバーへの展開作業中としています。VPSと専用サーバーの利用者は自分でPHPを更新する必要があります。 | 出典 |
| InMotion Hosting | 展開中 | InMotionは、共有サーバーと専用サーバーではPHPのバージョンアップを実施済みで、VPSでは現在作業中、完了の見込みはまだ示していないとしています。以前は共有ホスティングで古いPHP向けのCloudLinux側パッチを待っていると述べていました。暫定的な緩和策も適用済みで、CWPの公式パッチを待つ間、CWP/CWP Adminのポートへのアクセスを制限しています。最新の更新でも、VPSの更新は作業中で見込みは示されていません。 | 出典 |
| IONOS | 展開中 | IONOSは全システムにPHPのセキュリティ更新を適用中で、24時間以内の完了を見込んでいます。一時的な遅延や中断が起きる可能性があります。 | 出典 |
| Kinsta | 展開中 | Kinstaは、最新の発表で、PHP 7.4、8.0、8.1、8.2、8.3、8.4、8.5のすべてについてパッチをインフラ全体に展開中としています（それ以前の時点で準備済みと述べていたのは8.3と8.5のみ）。Cloudflareのファイアウォール緩和策とローカル設定の変更は、パッチ適用状況に関わらず全サイトで継続されます。展開完了の発表はまだありません。 | 出典 |
| WP Engine | 修正済み | WP Engineは、2件の重大なPHP脆弱性に対するセキュリティパッチのプラットフォームへの展開が完了し、各利用者のPHPバージョンに適用済みで、利用者側の作業は不要としています。更新後のPHPバージョンとして、7.4系の修正ビルド、8.2.35、8.4.27、8.5.12を挙げています。 | 出典 |
| Cloudways | 展開中 | Cloudwaysは、PHP Groupが推奨する暫定的な設定レベルの緩和策を全体に適用済みで、サポート対象のすべてのPHPバージョン（サポート終了版を含む）について公式セキュリティパッチを段階的に展開中としています。まずAutonomous上の全顧客アプリケーションへのパッチ適用を完了。その後の更新では、Flexible上のアプリケーションへの展開は予定どおり進行中で、お客様の対応は不要、完了までは暫定的な保護が維持されるとしています。 | 出典 |
| Pantheon | 展開中 | Pantheonは、修正済みPHPビルドが、すべての本番環境(PHP 8.2以降とすべてのLTS版)、SFTPモードのすべての環境、すべての開発前(pre-production)の顧客環境に展開済みだとしています。Free/サンドボックス環境は今後24〜48時間で更新されます。ネットワークレベルの緩和策は継続され、Pantheonは利用者側の作業は不要としています。 | 出典 |
| WordPress.com | 未確認 | AutomatticはWordPress.comのサイトは保護済みで、PHPセキュリティチームと連携して対応したとしています。利用者の作業は不要です。 | 出典 |
| Pressable | 未確認 | Pressableは、全てのPHPバージョンとサンドボックス・ステージング・本番を含む全サイトが両脆弱性に対して保護済みで、利用者の作業は不要としています。 | 出典 |
| Flywheel | 修正済み | Flywheelは、WP EngineがFlywheelプラットフォームでのPHPセキュリティパッチの展開を完了し、お使いのPHPバージョンに適用済みで、利用者側の作業は不要としています。CDN層とホスト層の保護策も併用されていました。 | 出典 |
| Nexcess | 緩和策のみ | Nexcess（Liquid Web系列）は緩和策を適用中で、本番環境のPHPはまだ変更していません。パッチ適用の計画と保守時間帯を検討中です。 | 出典 |
| Liquid Web | 展開中 | Liquid Webは、エンジニアリングチームがホスティング基盤全体に修正済みPHPビルドを展開する作業を進めているとしています。現在の修正済みビルドとして、cPanelはPHP 8.5.12、8.4.27、8.3.36、8.2.35とベンダーのバックポート版（8.1、8.0、7.4向け）、PleskはPHP 8.5.12、8.4.27、8.3.36、8.2.35とサポート終了の8.1、8.0、7.4向けビルド、Windows PleskはPHP 8.5.12、8.4.27、8.3.36、8.2.35を挙げています。まだ修正されていない場合は、コントロールパネルからパッケージ更新を実行するよう案内しています。自社の管理ホスティング全体が修正済みとはまだ述べていません。 | 出典 |
| DigitalOcean App Platform | 利用者側の作業が必要 | DigitalOceanは、App PlatformのPHPビルドパックにパッチを適用済みとしています。最新のビルドパックとそのパッチ済みPHPを反映するにはアプリの再デプロイが必要です。独自のDockerfileやコンテナイメージでデプロイしている場合は、そのイメージのPHPバージョンを更新して再デプロイしてください。記事にはビルドパックのPHPバージョンは書かれていません。 | 出典 |
| Heroku | 利用者側の作業が必要 | HerokuはPHP 8.2.35、8.3.36、8.4.27、8.5.12を提供開始しました。反映にはアプリの再デプロイが必要です。Heroku-22のPHP 8.1にはPHPプロジェクトのバックポート修正が入っています。 | 出典 |
| Render | 発表なし | 確認時点で、Renderの公式ページにこのPHP脆弱性に関する発表は見つかりませんでした。 | 出典 |
| Platform.sh / Upsun | 展開中 | Upsunの最新の更新では、すべてのDedicatedクラスターへのPHPセキュリティパッチの展開が完了したとしています。これに先立ち、更新済みのPHPイメージがすべてのグリッドリージョンに展開されました。8.0より古いPHPを使っている場合はできるだけ早く8.0以降へアップグレードするよう強く勧めており、それまではエッジ層の緩和策で保護されるとしています。これ以前の更新では、PHP 8.4、8.3、8.2、8.5のイメージが順次展開されました。7.4より古いブランチには更新は提供されません。コンテナの更新中は短時間のダウンタイムが発生する場合があります。 | 出典 |
| Laravel Cloud | 修正済み | Laravel Cloudは、稼働中のすべてのアプリケーションにPHPセキュリティリリースを適用済みで、デプロイも再開したとしています。アプリは利用中のバージョンに応じてPHP 8.5.12、8.4.27、8.3.36または8.2.35で動作しており、その場で適用されるため再デプロイは不要です。新規デプロイはパッチ適用済みの更新済みベースイメージを使用します。 | 出典 |
| Laravel Forge | 利用者側の作業が必要 | Forgeの利用者は引き続きご自身のサーバーでPHPを更新する必要があります。Laravelの記事では、PHP 8.2、8.3、8.4、8.5を使っている場合はForgeでサーバーを開いて「Update PHP」をクリックし(サーバーごとに実行)、失敗した場合はSSHで更新するよう案内しています。Ubuntu 20.04 LTS (focal)以前のサーバーは更新できないため、対応するUbuntuで新しいサーバーを作成してサイトを移すよう案内しています。PHP 8.0と8.1には修正が提供されないとしています。Forge自身の注意書きでは、自動セキュリティ更新ではPHPは更新されず、PHP 8.1以前には公式の修正がないとしています。 | 出典 |
| AWS Elastic Beanstalk (PHP) | 展開中 | AWSは、Elastic Beanstalk(Amazon Linux 2023)のPHP 8.5とPHP 8.4のプラットフォームバージョンでPHP 8.5.12とPHP 8.4.27を提供し、両方のCVEに対処したとしています。PHP 8.3とPHP 8.2のプラットフォームは後続のリリースで更新されます。プラットフォーム履歴では、これらのブランチは引き続き修正版より前のPHPです。マネージドプラットフォーム更新を有効にした環境は次のメンテナンスウィンドウで自動的に新バージョンになります。それ以外は、環境のプラットフォームバージョンをご自身で更新する必要があります。 PatchBellからの案内: PHP 8.5またはPHP 8.4では、環境を修正を含むプラットフォームバージョン以降に更新してください(またはマネージドプラットフォーム更新を有効にしてください)。PHP 8.3とPHP 8.2では、AWSの後続プラットフォームリリースを待ち、プラットフォーム履歴を確認するか、修正済みのブランチに移行してください。 | 出典 |
| Amazon Lightsail | 利用者側の作業が必要 | AWSは、Lightsailの利用者が自分でPHPを更新する手順を公開しています。Lightsailが提供するブループリント(WordPress、WordPress Multisite、LAMP、Nginx)から作成したインスタンスでは、PHPはOSのパッケージリポジトリから入っており、パッケージマネージャーで更新できます。Bitnamiブループリントから作成したインスタンスは独自のPHPを持ち、apt upgradeでは更新されないため、AWSはLightsail提供のブループリントへの移行を勧めています。AWSは修正済みバージョンを8.2.35、8.3.36、8.4.27、8.5.12としています。 PatchBellからの案内: スナップショットを取り、sudo apt updateとsudo apt upgradeを実行してWebサーバーを再起動し、apt policyまたはdpkg -lの出力を当サイトのLinuxパッケージチェッカーに貼り付けて確認してください(Lightsailが提供するPHPは、アップストリームではなくUbuntuまたはDebianのバージョン番号のままです)。Bitnamiブループリントのインスタンスは、AWSのLightsailガイドに従って、Lightsail提供のブループリントへ移行するか、BitnamiのPHPを置き換えてください。 | 出典 |
| Azure App Service (Linux, PHP) | 展開中 | Microsoftは、App Service on Linuxの組み込みPHPイメージの更新版をLatestとStandardのリリースチャネルへ展開完了したとしています(PHP 8.2.35、8.3.36、8.4.27、8.5.12)。Extendedチャネルは最後に更新されるため、StandardまたはLatestへの切り替えを勧めています。Microsoft Marketplaceの公式「WordPress on App Service」から展開されたWordPressアプリは修正済みPHPに更新済みですが、旧Alpineベースのイメージのアプリには修正は提供されません。カスタムコンテナは利用者が再ビルドする必要があり、サポート終了のPHPランタイムにはパッチは提供されません。 | 出典 |
| Google Cloud (App Engine, Cloud Run) | 利用者側の作業が必要 | Google Cloudは、App Engineスタンダード（PHP 8.2以降）は自動更新、それ以外は修正版PHP（8.5.12、8.4.27、8.3.36、8.2.35）での再デプロイ・再ビルドが必要としています。PHP 8.1以前は修正されません。 | 出典 |
| cPanel & WHM (EasyApache 4) | 修正済み | cPanel は今回の修正に対応した EasyApache 4 の更新で、ea-php82〜ea-php85 の修正版と、サポート終了の ea-php74・ea-php80・ea-php81 向けバックポートを公開しました。通常のシステム更新で EasyApache 4 を更新し、PHP(Apache・PHP-FPM・LSAPI)を再起動してください。cPanel は cPanel & WHM 自体が使う内部 PHP(Roundcube ウェブメールを含む)も更新しており、3つのリリース系統の更新版 cPanel & WHM に PHP 8.4.27 が含まれ、より古い1つのリリース系統の更新版には PHP 8.1 向けのバックポート修正が含まれます。CloudLinux では、CloudLinux 自身の ea-php ビルドが修正を低いバージョン番号のまま含む(例: 8.4.27 より小さい番号の 8.4 ビルド)ため、上記の番号と比較せず、パッケージの changelog で CVE ID を確認してください。 | 出典 |
| CloudLinux (alt-php) | 利用者側の作業が必要 | CloudLinuxは、修正済みのalt-phpパッケージが安定版リポジトリに入り、リリースが完了したとしています。対象は、CloudLinux OS 7、8、9では8.5までの5.x・7.x・8.x系のalt-php、CloudLinux OS for Ubuntu 22.04 LTS (jammy)では同じ系統(5.x系は一部のみ)、CloudLinux OS 10では最も古い5.x系のalt-phpのみです(CloudLinux OS 10のその他のバージョンはELS ALT PHPリポジトリから提供)。通常の更新でこれらすべてが入り、その後PHPの再起動が必要です。パッケージは修正をバックポートした形で、元より小さい独自のバージョン番号のままなので、CloudLinuxは修正の確認にパッケージのchangelogを使うよう案内しています。CloudLinux 6はまだ確認されていません。 PatchBellからの案内: CloudLinux OS 7ではyum clean all && yum update "alt-php*"、CloudLinux OS 8、9、10ではdnf clean all && dnf upgrade "alt-php*"、CloudLinux OS for Ubuntuではapt-get update && apt-get upgradeを実行します。その後Apache、PHP-FPMまたはLiteSpeedを再起動し、たとえばrpm -q --changelog alt-php74-common | grep -E "CVE-2026-(109618|109619)"のようにchangelogで確認してください。セキュリティ更新のみ(yum --security)では、これらのパッケージはまだ表示されません。 | 出典 |
| Plesk Obsidian | 利用者側の作業が必要 | Pleskは修正済みPHPビルドが利用可能だとしています。Plesk for LinuxとPlesk for Windowsで、PHP 8.2〜8.5がそれぞれ8.2.35、8.3.36、8.4.27、8.5.12です。Linuxのサポート終了PHP 7.4、8.0、8.1はバージョン番号が同じままで、PHPの修正版公開日()にビルドされたものに修正が含まれます。Plesk自身の管理画面エンジン(sw-engine)は、Plesk Obsidianの2つのリリースの更新で修正済みです。Pleskは、Pleskを利用可能な最新バージョンに更新するよう案内しています。 PatchBellからの案内: サーバーにPleskの更新をインストールし(Plesk自身の案内もPleskの更新です)、「ツールと設定」>「PHP設定」で各ハンドラーのPHPバージョンを確認してください。LinuxのPHP 7.4、8.0、8.1はバージョン番号が変わらないため、ビルド日(以降)で確認します。ホスティング会社の共有サーバーを利用している場合は、更新済みかどうかをホスティング会社に確認してください。 | 出典 |
| DirectAdmin (CustomBuild) | 利用者側の作業が必要 | DirectAdminは、CustomBuildのPHP 8.5、8.4、8.3、8.2を最新版へ更新し、PHP 8.1、8.0、7.4向けのパッチを追加したビルドを公開しました。その後のビルドで、より古いPHP(7.4より古い5つのブランチ)向けのパッチと、PHP 8.1のコンパイルに関する小さな修正が追加されました。さらに、レガシーのrhel7およびdebian10リリースチャネル向けのビルドも公開され、最新のPHPバージョンとすべてのセキュリティパッチが含まれます。PHPの更新は自動ではなく、'da update'のあと'da build php'を実行する必要があります(CustomBuildのcronが有効な場合を除く)。以前にスタッフは、一部の環境でPHP 8.1が正常にビルドできない可能性があると述べています。 | 出典 |
| Webuzo (Softaculous) | 利用者側の作業が必要 | Webuzoは、CVE-2026-109618とCVE-2026-109619に対処した更新版のEMPSパッケージ(Webuzoが同梱するPHPスタック)を公開し、パッチ適用済みのPHP 7.4〜8.5を提供したとしています(7.4より古いPHP向けのEMPS系統も、パッチ適用済みのPHP 7.4に更新)。すべての利用者に、rootでコマンドを実行してEMPSとすべてのPHPをできるだけ早く更新するよう勧めています。Webuzoの新しい安定版にはEMPSのセキュリティ修正が含まれ、EMPSは自動更新されるとしています。PHPのバージョン番号は示していません。 | 出典 |
| CyberPanel | 利用者側の作業が必要 | CyberPanelは、修正済みのLiteSpeedパッケージが利用可能になり、自社のUbuntu 26.04 LTS (resolute)テストサーバーでPHPを8.2.35、8.3.36、8.4.27、8.5.12に更新して検証を通過したと述べています。管理者は、すべてのPHPランタイムと関連モジュールの更新、CyberPanel独自のパネル用PHPコピーの更新、ワーカーの再起動と確認を自分で行う必要があります。この結果はそのテスト環境に限られ、PHP 8.1以前はベンダーのバックポートまたは移行が必要です。 | 出典 |
| Virtualmin | 緩和策のみ | Virtualminのスタッフは、VirtualminはPHPパッケージを提供しておらず、OSが提供するものだと述べています(フォーラム返信)。そのためPHPの修正はお使いのOSまたはPHPパッケージの提供元から入手することになります。以前のリリース前のスタッフ投稿では、部分的な対策としてPHP-FPMプールでPHPセッション設定を1つ無効にする方法が示されていました。Virtualmin側の修正済みパッケージ一覧は見つかっていません。 | 出典 |
| ISPConfig | 緩和策のみ | ISPConfig は「ISPConfig の脆弱性ではなく PHP 自体の問題」とし、根本対策はディストリビューションや PHP リポジトリ（Debian、Ubuntu、sury.org など）が出す更新版 PHP の適用だと説明しています。暫定策として、nginx/Apache でマルチパート（ファイルアップロード）リクエストを遮断する ispconfig-multipart-guard を公開しています。遮断中はアップロードが使えないため、PHP 更新後に解除してください。 | 出典 |
| aaPanel | 利用者側の作業が必要 | aaPanelのスタッフは(編集された投稿で)、パッチはPHP 7.4〜8.5のみ提供されるとしています(投稿が挙げる更新先は8.5.12、8.4.27、8.3.36、8.2.35と、8.1・8.0・7.4向けに投稿が示すビルド)。それ以前のスタッフ返信では、7.4、8.0、8.1の更新に修正が追加されたとしています。アプリストアで「Update App List」を押し、PHPのバージョンを選んでUpdateを実行し、複数入れている場合はそれぞれ更新します(事前にスナップショット推奨)。PHP 7.4より古いバージョンは設定による暫定策のみの案内です。8.1、8.0、7.4のビルドは番号だけで判断しないでください。投稿が示すこれらのブランチの番号はPHPプロジェクトの修正版リリースではありません(投稿が8.0向けに示す番号は、php.netでは修正前の古いリリースの番号です)。同スレッドでは、パネルでのPHPビルドの失敗や極端な遅さを報告する利用者が複数います。 | 出典 |
| Cloudflare WAF | 緩和策のみ | Cloudflareは、php2shell向けのマネージドWAFルールを、FreeおよびすべてのPlanでデフォルト有効として展開しました。あわせて、リクエストだけでなくオリジンのレスポンスも見る新しいレスポンス側のマネージドルール(Cloudflare Managed Response Firewall Default、「Default block for High confidence Signatures」)を、Freeを含むすべてのプランに提供しました。これらは追加の防御層にすぎず、Cloudflareは「PHPを必ず更新するように」としており、Cloudflareを経由せずにサーバーへ届く通信は対象外です。有料プランではManaged Rulesetがブロックモードで有効か確認してください。 | 出典 |
| Sucuri Website Firewall | 緩和策のみ | Sucuri は Website Firewall に、この2件の PHP 脆弱性向けの追加 WAF ルールを展開しました（ステータス「Monitoring」）。その後の Sucuri ブログでは、既知の悪用経路に対するより精緻な仮想パッチルールを WAF ネットワーク全体に展開済みで、WAF はファイアウォールを通る通信にしか効かず(オリジンへの直接接続は迂回され得る)、PHP の更新は引き続き必要だとしています。オリジンサーバーの PHP 更新の代わりにはならないため、ホスティング事業者に 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 以上、またはベンダー提供のパッチ済みパッケージへの更新を依頼してください。 | 出典 |
| Wordfence (WordPress) | 利用者側の作業が必要 | Wordfenceはリリース後の告知を公開しました。PHPが両方の脆弱性を修正する8.5.12、8.4.27、8.3.36、8.2.35を公開したこと、WordPressの自動更新では修正されないこと、PHPはホスティング会社またはご自身のサーバーで更新する必要があることを伝えています。続報では、脅威インテリジェンスチームがPHPのパッチを確認しラボ環境で検証したこと、同社のファイアウォールが保護するのはWordPressアプリケーション層のみであること、PHPの更新と再起動が不可欠であることを述べています。これらのCVE向けのファイアウォールルールの提供は発表していません。 | 出典 |
| Patchstack (WordPress) | 利用者側の作業が必要 | Patchstack の警告は、PHP を 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 またはベンダーのパッチ済みパッケージに更新し、PHP 8.1 以前はベンダーのバックポートか対応バージョンへの移行を求めています。設定による対策は部分的なものとし、非公式の「修正」プラグインは避けるよう注意しています。このページには、この問題に対する Patchstack の仮想パッチへの言及はありません。 | 出典 |
| Imunify360 (CloudLinux) | 緩和策のみ | Imunify360のWAFルールは修正ではなく暫定の緩和策です。3つのルールセット更新は、Imunify360とWAFが有効なサーバーに自動配信され、Apache、Nginx、Corazaでは既知の攻撃リクエストと公開されている攻撃ツールをブロックします。2つ目のルールセット以降はLiteSpeedでも、ツールと自サイト以外から来るアップロード進捗リクエストをブロックします。スキャン元IPにはCAPTCHAチャレンジも表示されます。CloudLinuxは、ルールの対象はCVE-2026-109619のアップロード進捗経路のみで、CVE-2026-109618のメモリ不足経路をブロックするルールはまだないとしており、ImunifyAVやWAF無効のサーバーは対象外です。引き続きPHPの更新が必要です。CloudLinuxのブログでは、修正済みalt-phpが安定版に入ったとしています。 | 出典 |
欧州
| 事業者 | 状態 | 事業者の発表 | 出典 |
|---|---|---|---|
| OVHcloud Web Hosting | 修正済み | OVHcloudは、Webホスティングの全クラスターで7.4から8.5までのすべてのPHPリリースにパッチを適用したとしています。以前に全クラスターへWAFルールも適用済みです。それ以前のリリースについては引き続き作業中としています。対象はWebホスティングのみで、VPSやPublic Cloudは含みません。 | 出典 |
| Hetzner | 修正済み | Hetznerは、すべてのWebホスティングとマネージドサーバーで、PHP 7.4および8.0〜8.5に続き、提供している残り2つの古いPHPバージョンにもパッチを適用済みとしています。専用サーバーとクラウドサーバーの利用者には、メールで個別に通知するとしています。 | 出典 |
| netcup | 修正済み | netcupは、すべてのWebホスティングパッケージ(リセラーを含む)とすべてのマネージドサーバーにパッチ適用と保護が完了してオンラインに復帰しており、未修正のPHPバージョンはオンラインにないとしています。Webホスティングのコントロールパネルは、Pleskが更新版を提供した後に復旧しました。ルートサーバー、VPS、マネージドクラウドクラスターの利用者は自分でシステムを管理するため、PHPを自分でパッチする必要があります。 | 出典 |
| Hostnet | 修正済み | Hostnetは、PHPのセキュリティ更新を全システムに展開済みで脆弱性は解消され、古いPHPバージョンもPHP Extended Supportで更新済みとしています。一時的な措置はその後解除されました。 | 出典 |
| Infomaniak | 展開中 | Infomaniakは、PHP 8.5、8.4、8.3、8.2、8.1、8.0、7.4の更新を展開中としています。最後の更新では、セキュリティ更新の展開を一定のペースで継続しており、最新のインフラ版へのWebホスティングとCloud Serverの移行を一時停止したとしています。その後、ホスティングのイベントは終了扱いになりましたが、すべての更新が完了したとの記載はありません。暫定の緩和策としてsession.upload_progress.enabledを無効化し、他の複数のサービスでファイルアップロードを一時的に制限しています。PHP 7.4より古いバージョンはアップグレードが必要です。 | 出典 |
| TransIP | 発表なし | 確認時点で、TransIPの公式サイトにこのPHP脆弱性に関する発表は見つかりませんでした。TransIPのステータスページには接続できませんでした。 | 出典 |
| o2switch | 発表なし | 確認時点で、o2switchの公式ページにこのPHP脆弱性に関する発表は見つかりませんでした。 | 出典 |
| Gandi | 発表なし | 確認時点で、Gandiの公式ページにこのPHP脆弱性に関する発表は見つかりませんでした。 | 出典 |