https://php2shellcheck.com/ja/status/ php2shell の PHP 修正に関する公式の出来事（リリース、ディストリビューションのアドバイザリ、イメージの再ビルド）を日付順に配信します。 ja Thu, 22 Oct 2026 23:17:10 GMT https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/ 2026-10-22:https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/ Thu, 22 Oct 2026 00:00:00 GMT AWSがphp2shellの記事を更新し、攻撃の試みが広く確認されていると表現を改めました（10月21日の時点では「広く悪用されている」としていました）。これらの試みが実際のシステムで成功したかは不明だという記述は変わっていません。 https://www.dreamhoststatus.com/ 2026-10-22:https://www.dreamhoststatus.com/ Thu, 22 Oct 2026 00:00:00 GMT DreamHostは、公式のPHPセキュリティ更新をネットワーク全体に適用したとしています。PHP 8.1以前向けに予告していた修正（PHP Extended Support）が提供されたかは述べていないため、当サイトでは引き続き「展開中」としています。 https://status.hosting.com/incident/3174 2026-10-22:https://status.hosting.com/incident/3174 Thu, 22 Oct 2026 00:00:00 GMT A2 HostingはPHP更新のインシデントを終了し、PHP関連のサービス更新が正常に完了したとしています。終了の記載はCVEやPHPのバージョンに触れていないため、当サイトでは引き続き「展開中」としています。 https://cert.lv/lv/2026/10/saistiba-ar-globali-atklatam-php-ievainojamibam-latvija-ievies-preventivus-pasakumus 2026-10-21:https://cert.lv/lv/2026/10/saistiba-ar-globali-atklatam-php-ievainojamibam-latvija-ievies-preventivus-pasakumus Wed, 21 Oct 2026 00:00:00 GMT ラトビアの国家CERTであるCERT.LVは、同国でPHPの脆弱性を悪用しようとする自動化された試みを確認したとしています。これまでに攻撃が成功したという報告はないとしています。 https://secdb.alpinelinux.org/v3.22/community.json 2026-10-22:https://secdb.alpinelinux.org/v3.22/community.json Thu, 22 Oct 2026 00:00:00 GMT Alpine 3.22 の community リポジトリに修正済み PHP パッケージ（php84 8.4.27-r0、php83 8.3.36-r0、php82 8.2.35-r0）が公開されました。このリポジトリはサポート終了日を過ぎていますが、更新は配信されています。 https://linux.oracle.com/errata/ELSA-2026-87079.html 2026-10-22:https://linux.oracle.com/errata/ELSA-2026-87079.html Thu, 22 Oct 2026 00:00:00 GMT Oracle が Oracle Linux 9 向けに修正済みの PHP モジュールを公開しました。php:8.3 は ELSA-2026-87079（8.3.36-1.module+el9.8.0+91082+c865dc1a）、php:8.2 は ELSA-2026-87072（8.2.35-1.module+el9.8.0+91079+4ad1bd7f）です。 https://errata.almalinux.org/ 2026-10-22:https://errata.almalinux.org/ Thu, 22 Oct 2026 00:00:00 GMT AlmaLinux が修正済み PHP パッケージを公開しました。AlmaLinux 10 の php 8.3.36-1.el10_2（ALSA-2026:87070）と php8.4 8.4.27-1.el10_2（ALSA-2026:87071）、AlmaLinux 9 の php:8.3（ALSA-2026:87079）、AlmaLinux 8 の php:7.4（ALSA-2026:87080）です。AlmaLinux 9 の php:8.2 の公告には php 本体のビルドが記載されていないため、このストリームは未確認のままです。 https://status.godaddy.com/ 2026-10-22:https://status.godaddy.com/ Thu, 22 Oct 2026 00:00:00 GMT GoDaddy が Web Hosting のすべての PHP バージョンにパッチを適用したと発表しました。これで Web Hosting、Managed Hosting for WordPress、Windows Hosting は利用者側の作業が不要です。VPS は引き続き利用者自身で PHP を更新する必要があります。 https://www.namecheap.com/status-updates/ongoing-php-security-vulnerability-affecting-hosting-services-october-21-2026/ 2026-10-22:https://www.namecheap.com/status-updates/ongoing-php-security-vulnerability-affecting-hosting-services-october-21-2026/ Thu, 22 Oct 2026 00:00:00 GMT Namecheap が共有ホスティングサーバーでの PHP メンテナンスの完了を発表し、お知らせを解決済みにしました。VPS と専用サーバーは利用者自身で PHP を更新する必要があります。 https://status.nexcess.net/ 2026-10-22:https://status.nexcess.net/ Thu, 22 Oct 2026 00:00:00 GMT Nexcess が、影響を受けるホストの大半でパッチ適用が完了し、残りも作業中だと発表しました。 https://apollo.build.resf.org/api/v3/advisories/RLSA-2026:87073 2026-10-22:https://apollo.build.resf.org/api/v3/advisories/RLSA-2026:87073 Thu, 22 Oct 2026 00:00:00 GMT Rocky Linux が Rocky Linux 8 向けに修正済みの php:8.2 パッケージ 8.2.35-1.module+el8.10.0+40394+d21b33fb を RLSA-2026:87073 として公開しました。 https://linux.oracle.com/errata/ELSA-2026-87073.html 2026-10-22:https://linux.oracle.com/errata/ELSA-2026-87073.html Thu, 22 Oct 2026 00:00:00 GMT Oracle が Oracle Linux 8 向けに修正済みの PHP モジュールを公開しました。php:8.2 は ELSA-2026-87073（8.2.35-1.module+el8.10.0+91081+33b5c645）、php:7.4 は ELSA-2026-87080（7.4.33-8.module+el8.10.0+91080+9785160d）です。 https://secdb.alpinelinux.org/v3.23/community.json 2026-10-22:https://secdb.alpinelinux.org/v3.23/community.json Thu, 22 Oct 2026 00:00:00 GMT Alpine が、Alpine 3.23（php85 8.5.12-r0、php84 8.4.27-r0、php83 8.3.36-r0）と Alpine 3.21（php82 8.2.35-r0）のリポジトリインデックスに修正済みの php パッケージを掲載しました。 https://docs.aws.amazon.com/elasticbeanstalk/latest/relnotes/release-2026-10-22-al2023-php82-php83.html 2026-10-22:https://docs.aws.amazon.com/elasticbeanstalk/latest/relnotes/release-2026-10-22-al2023-php82-php83.html Thu, 22 Oct 2026 00:00:00 GMT AWS が、Elastic Beanstalk の Amazon Linux 2023 PHP プラットフォームバージョン 4.13.13 で、10月21日の PHP 8.5.12・8.4.27 に続き PHP 8.3.36 と PHP 8.2.35 を提供開始したと発表しました。マネージドプラットフォーム更新が有効でない環境は、プラットフォームの更新が必要です。 https://statuspage.hostinger.com/ 2026-10-22:https://statuspage.hostinger.com/ Thu, 22 Oct 2026 00:00:00 GMT Hostinger が、すべてのマネージドホスティングサーバーで PHP のアップグレードが完了したと報告しました（10月22日 06:44 UTC）。VPS のお客様は PHP をご自身で管理します。 https://www.ionos-status.com/ 2026-10-22:https://www.ionos-status.com/ Thu, 22 Oct 2026 00:00:00 GMT IONOS が、自社で運用するすべてのプラットフォームに公式の PHP 更新を展開済みと報告しました（インシデントは10月22日 10:10 UTC に解決）。VPS や専用サーバーの利用者は、PHP をご自身で更新する必要があります。 https://infomaniakstatus.com/p7jX3ML9E1/ 2026-10-22:https://infomaniakstatus.com/p7jX3ML9E1/ Thu, 22 Oct 2026 00:00:00 GMT Infomaniak が、共有 Web ホスティングとクラウドサーバーの全インフラで、PHP 8.5・8.4・8.3・8.2・8.1・8.0・7.4 向けのセキュリティ修正の展開が完了したと報告しました。 https://status.kinsta.com/ 2026-10-22:https://status.kinsta.com/ Thu, 22 Oct 2026 00:00:00 GMT Kinsta が、すべてのサイトが保護され、PHP セキュリティ更新がプラットフォーム全体に展開されたと報告しました（インシデントは10月22日 08:26 UTC に解決）。 https://x.com/ConoHaPR/status/2113239223461417198 2026-10-22:https://x.com/ConoHaPR/status/2113239223461417198 Thu, 22 Oct 2026 00:00:00 GMT ConoHa が終報で、ConoHa WING のサーバーへのセキュリティパッチの適用が完了したと案内しました（10月22日 20:45 JST 時点）。お客様側で PHP バージョンを変更する必要はないとしています。 https://status.value-domain.com/information/ 2026-10-22:https://status.value-domain.com/information/ Thu, 22 Oct 2026 00:00:00 GMT バリュードメインのお知らせが、CORESERVER V1（PHP 5.3〜8.5）、CORESERVER V2（PHP 5.2〜8.5）、XREA と VALUESERVER（各 PHP 5.3〜8.5）、Oneレンタルサーバー（PHP 5.6〜8.5）で、提供しているすべての PHP バージョンの修正が完了したと報告しました。 https://x.com/xserverjp/status/2113242655861940274 2026-10-22:https://x.com/xserverjp/status/2113242655861940274 Thu, 22 Oct 2026 00:00:00 GMT エックスサーバーが公式 X で、PHP 5.6〜8.5 は対象となるすべてのサーバーへの修正パッチの適用が完了し、PHP 5.5 以下は引き続き修正パッチの作成・検証を進めると案内しました。 https://www.kagoya.jp/news/2026102237094/ 2026-10-22:https://www.kagoya.jp/news/2026102237094/ Thu, 22 Oct 2026 00:00:00 GMT KAGOYA が、レンタルサーバーのプランで修正版 PHP への更新を順次進めており、10月22日 24:00 の完了を見込んでいると案内しました。 https://status.a2hosting.com/ 2026-10-22:https://status.a2hosting.com/ Thu, 22 Oct 2026 00:00:00 GMT A2 Hosting が、cPanel/Plesk と Enhance の各プラットフォームで PHP のセキュリティパッチを順次展開中と報告しました。セルフマネージドのサーバー利用者は、ベンダーの更新をご自身で適用する必要があります。 https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/ 2026-10-21:https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/ Wed, 21 Oct 2026 00:00:00 GMT AWS（Amazon Threat Intelligence）は、php2shellが現在広く悪用されているとし、同社のハニーポットで公開4日前の10月17日付の攻撃の試みを記録したと発表しました。AWSは、それらの試みが実際のシステムで成功したかは不明としています。10月22日時点で、CISAのKEVカタログはどちらのCVEも掲載していません。 https://alas.aws.amazon.com/AL2027/ALAS2027-2026-243.html 2026-10-22:https://alas.aws.amazon.com/AL2027/ALAS2027-2026-243.html Thu, 22 Oct 2026 00:00:00 GMT Amazon が Amazon Linux 2027 Preview 向けに修正済みの php8.5 パッケージ 8.5.12-1.amzn2027.0.1 を公開しました（ALAS2027-2026-243）。 https://hostnet.status.io/ 2026-10-22:https://hostnet.status.io/ Thu, 22 Oct 2026 00:00:00 GMT Hostnet が、PHP のセキュリティ更新を全システムに展開済み（古い PHP バージョンも PHP Extended Support で更新済み）とし、一時的な措置を解除しました。 https://status.hetzner.com/incident/f4144d55-38c3-48d1-8664-7a3429355cd7 2026-10-22:https://status.hetzner.com/incident/f4144d55-38c3-48d1-8664-7a3429355cd7 Thu, 22 Oct 2026 00:00:00 GMT Hetzner が、PHP 7.4 と 8.0〜8.5 に続き、PHP 5.6 と 7.3 にもすべての Web ホスティングとマネージドサーバーでパッチを適用したと報告しました。 https://status.upsun.com/ 2026-10-22:https://status.upsun.com/ Thu, 22 Oct 2026 00:00:00 GMT Upsun が、すべてのグリッドリージョンへの更新イメージの展開に続き、すべての Dedicated クラスターへの PHP セキュリティパッチの展開が完了したと報告しました。 https://www.cpi.ad.jp/ 2026-10-22:https://www.cpi.ad.jp/ Thu, 22 Oct 2026 00:00:00 GMT CPI が、最新パッチが提供されている PHP バージョンについて急ぎ対応中で、パッチのないバージョンについても今後情報を更新すると案内しました。 https://access.redhat.com/security/cve/CVE-2026-109618 2026-10-22:https://access.redhat.com/security/cve/CVE-2026-109618 Thu, 22 Oct 2026 00:00:00 GMT Red Hat の CVE ページに修正済みパッケージが掲載されました。RHEL 10: php 8.3.36-1.el10_2（RHSA-2026:87070）と php8.4 8.4.27-1.el10_2（RHSA-2026:87071）。RHEL 9: php 8.0.30-8.el9_8.1（RHSA-2026:87151）、php:8.2（RHSA-2026:87072）、php:8.3（RHSA-2026:87079）。RHEL 8: php:7.4（RHSA-2026:87080）に続いて php:8.2（RHSA-2026:87073）。RHEL 9 の php:8.4 は引き続き Affected で、アドバイザリはありません。RHEL 7 は CVE-2026-109618 が「Under investigation」、CVE-2026-109619 が「Not affected」と記載されています。 https://errata.rockylinux.org/RLSA-2026:87070 2026-10-22:https://errata.rockylinux.org/RLSA-2026:87070 Thu, 22 Oct 2026 00:00:00 GMT Rocky Linux が修正済みの PHP パッケージを公開しました。Rocky Linux 10: php 8.3.36-1.el10_2（RLSA-2026:87070）と php8.4 8.4.27-1.el10_2（RLSA-2026:87071）。Rocky Linux 9: php 8.0.30-8.el9_8.1（RLSA-2026:87151）、php:8.2（RLSA-2026:87072）、php:8.3（RLSA-2026:87079）。Rocky Linux 8: php:7.4（RLSA-2026:87080）。Rocky Linux 9 の php:8.4 と Rocky Linux 8 の php:8.2 のアドバイザリはまだありません。 https://linux.oracle.com/cve/CVE-2026-109618.html 2026-10-22:https://linux.oracle.com/cve/CVE-2026-109618.html Thu, 22 Oct 2026 00:00:00 GMT Oracle の CVE ページに、Oracle Linux 10（ELSA-2026-87070 php 8.3.36-1.el10_2、ELSA-2026-87071 php8.4 8.4.27-1.el10_2）と Oracle Linux 9（ELSA-2026-87151 php 8.0.30-8.el9_8.1）のエラータが掲載されました。Oracle Linux 9 の php モジュールストリームと Oracle Linux 8 は、まだ掲載されていません。 https://alas.aws.amazon.com/AL2023/ALAS2023-2026-3304.html 2026-10-22:https://alas.aws.amazon.com/AL2023/ALAS2023-2026-3304.html Thu, 22 Oct 2026 00:00:00 GMT Amazon Linux 2023: ALAS2023-2026-3301〜ALAS2023-2026-3304 に、php8.2（8.2.35-1.amzn2023.0.1）、php8.3（8.3.36-1.amzn2023.0.1）、php8.4（8.4.27-1.amzn2023.0.1）、php8.5（8.5.12-1.amzn2023.0.1）の修正済みパッケージが掲載されました。 https://alas.aws.amazon.com/AL2/ALAS2PHP8.2-2026-015.html 2026-10-22:https://alas.aws.amazon.com/AL2/ALAS2PHP8.2-2026-015.html Thu, 22 Oct 2026 00:00:00 GMT Amazon Linux 2: ALAS2PHP8.2-2026-015 に、amazon-linux-extras の php8.2 ストリーム向け修正済みパッケージ php 8.2.35-1.amzn2.0.1 が掲載されました。 https://explore.alas.aws.amazon.com/CVE-2026-109618.html 2026-10-22:https://explore.alas.aws.amazon.com/CVE-2026-109618.html Thu, 22 Oct 2026 00:00:00 GMT Amazon の CVE ページでは、Amazon Linux 2023 の php8.1 と Amazon Linux 2 の標準 php パッケージが「No Fix Planned」と記載されており、どちらも修正済みパッケージは示されていません。 https://secdb.alpinelinux.org/edge/community.json 2026-10-22:https://secdb.alpinelinux.org/edge/community.json Thu, 22 Oct 2026 00:00:00 GMT Alpine edge: x86_64 の community パッケージインデックスに php83 8.3.36-r0、php84 8.4.27-r0、php85 8.5.12-r0 が公開されました。すべてのアーキテクチャが更新されたわけではなく、確認時点では x86、ppc64le、s390x、riscv64 は古いビルドのままでした。 https://security-tracker.debian.org/tracker/CVE-2026-109618 2026-10-22:https://security-tracker.debian.org/tracker/CVE-2026-109618 Thu, 22 Oct 2026 00:00:00 GMT Debian のセキュリティトラッカーに、unstable（sid）の修正版として php8.4 8.4.27-1 が両方の CVE について掲載されました。testing（forky）は php8.4 8.4.26-1 のままで、トラッカーでは脆弱と記載されています。 https://deb.freexian.com/extended-lts/tracker/ELA-1853-1 2026-10-22:https://deb.freexian.com/extended-lts/tracker/ELA-1853-1 Thu, 22 Oct 2026 00:00:00 GMT Debian 11（bullseye）: Long Term Support が 2026 年 8 月 31 日に終了したため、Debian 自体にはこれらの CVE に対する php7.4 の記載がありません。Freexian の有償 Extended LTS が 7.4.33-1+deb11u14（ELA-1853-1）を掲載していますが、提供先は契約者のみです。 https://rpms.remirepo.net/enterprise/10/safe/x86_64/ 2026-10-22:https://rpms.remirepo.net/enterprise/10/safe/x86_64/ Thu, 22 Oct 2026 00:00:00 GMT Remi リポジトリ（サードパーティ）の Enterprise Linux 10 向けに、PHP 8.5.12、8.4.27、8.3.36、8.2.35 のビルドが 10 月 21 日付で公開されています。Remi は CVE 番号を明記していませんが、いずれも上流の修正バージョンです。 https://rpms.remirepo.net/enterprise/9/safe/x86_64/ 2026-10-22:https://rpms.remirepo.net/enterprise/9/safe/x86_64/ Thu, 22 Oct 2026 00:00:00 GMT Remi リポジトリ（サードパーティ）の Enterprise Linux 9 向けに、PHP 8.5.12、8.4.27、8.3.36、8.2.35 のビルドが 10 月 21 日付で公開されています。Remi は CVE 番号を明記していませんが、いずれも上流の修正バージョンです。 https://rpms.remirepo.net/enterprise/8/safe/x86_64/ 2026-10-22:https://rpms.remirepo.net/enterprise/8/safe/x86_64/ Thu, 22 Oct 2026 00:00:00 GMT Remi リポジトリ（サードパーティ）の Enterprise Linux 8 向けに、PHP 8.5.12、8.4.27、8.3.36、8.2.35 のビルドが 10 月 21 日付で公開されています。Remi は CVE 番号を明記していませんが、いずれも上流の修正バージョンです。 https://jvn.jp/vu/JVNVU99905564/ 2026-10-22:https://jvn.jp/vu/JVNVU99905564/ Thu, 22 Oct 2026 00:00:00 GMT JVN（JPCERT/CC と IPA）が両方の CVE について脆弱性情報 JVNVU#99905564 を公開しました。PHP Group のアドバイザリを案内しており、修正バージョン自体は記載していません。 https://cyber.gc.ca/en/alerts-advisories/al26-026-critical-vulnerabilities-impacting-php-cve-2026-109618-cve-2026-109619 2026-10-22:https://cyber.gc.ca/en/alerts-advisories/al26-026-critical-vulnerabilities-impacting-php-cve-2026-109618-cve-2026-109619 Thu, 22 Oct 2026 00:00:00 GMT カナダのサイバーセキュリティセンターが、修正バージョン 8.5.12、8.4.27、8.3.36、8.2.35 を挙げたアラート AL26-026 を公開しました。公開情報で概念実証コード（PoC）が報告されていること、現時点で実際の悪用は確認していないことを述べています。 https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/ 2026-10-22:https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/ Thu, 22 Oct 2026 00:00:00 GMT PHP Foundation が、10 月 21 日に概念実証コード（PoC）の流通が増えたこと、リリース時点でセキュリティチームは動作する攻撃コードを確認していなかったことを述べています。 https://www.godaddy.com/resources/news/important-php-security-update-what-website-owners-need-to-do 2026-10-22:https://www.godaddy.com/resources/news/important-php-security-update-what-website-owners-need-to-do Thu, 22 Oct 2026 00:00:00 GMT GoDaddy が、Managed Hosting for WordPress はパッチ適用済みで利用者側の作業は不要と発表しました。Web Hosting と Windows Hosting はベンダーから修正済みパッケージが届くまで緩和策を適用中で、VPS の利用者は自分で PHP を更新する必要があります。 https://wpenginestatus.com/ 2026-10-22:https://wpenginestatus.com/ Thu, 22 Oct 2026 00:00:00 GMT WP Engine が、プラットフォーム全体への PHP セキュリティパッチの展開が完了し、利用者側の作業は不要と発表しました（更新後のビルドとして 7.4.33.17、8.2.35、8.4.27、8.5.12 を挙げています）。 https://status.cloudways.com/ 2026-10-22:https://status.cloudways.com/ Thu, 22 Oct 2026 00:00:00 GMT Cloudways が、Autonomous のすべてのアプリケーションにはパッチ適用済みで、Flexible のアプリケーションには引き続き展開中と報告しました。 https://status.liquidweb.com/incidents/6bfpxwg75xgj 2026-10-22:https://status.liquidweb.com/incidents/6bfpxwg75xgj Thu, 22 Oct 2026 00:00:00 GMT Liquid Web が修正済みビルドの番号（cPanel の PHP 8.5.12、8.4.27、8.3.36、8.2.35、および Plesk v18.0.81.4）を公表し、インフラ全体への展開は引き続き進行中としています。まだ適用されていない利用者は、コントロールパネルからパッケージを更新するよう案内されています。 https://www.digitalocean.com/blog/critical-php-rce-vulnerabilities-patch-now 2026-10-22:https://www.digitalocean.com/blog/critical-php-rce-vulnerabilities-patch-now Thu, 22 Oct 2026 00:00:00 GMT DigitalOcean が、App Platform の PHP ビルドパックにパッチを適用済みと発表しました。反映するにはアプリの再デプロイが必要で、独自の Dockerfile やイメージを使うアプリは、そのイメージ内の PHP を更新する必要があります。 https://docs.aws.amazon.com/elasticbeanstalk/latest/relnotes/release-2026-10-21-al2023-php84-php85.html 2026-10-22:https://docs.aws.amazon.com/elasticbeanstalk/latest/relnotes/release-2026-10-21-al2023-php84-php85.html Thu, 22 Oct 2026 00:00:00 GMT AWS Elastic Beanstalk が、PHP 8.5.12 と 8.4.27 を含む Amazon Linux 2023 の PHP 8.5 / PHP 8.4 プラットフォームバージョン（4.13.13）を公開しました。PHP 8.3 と PHP 8.2 のプラットフォームは、後続のリリースで更新される予定です。 https://docs.aws.amazon.com/lightsail/latest/userguide/amazon-lightsail-update-php-security-vulnerabilities.html 2026-10-22:https://docs.aws.amazon.com/lightsail/latest/userguide/amazon-lightsail-update-php-security-vulnerabilities.html Thu, 22 Oct 2026 00:00:00 GMT AWS が、Lightsail で利用者自身が PHP を更新するための手順を公開しました。Lightsail パッケージ版ブループリントのインスタンスは、パッケージマネージャーで PHP を更新します。Bitnami ブループリントのインスタンスは独自の PHP を持っており、apt upgrade では更新されません。AWS は修正バージョンとして 8.2.35、8.3.36、8.4.27、8.5.12 を挙げています。 https://www.netcup-status.de/ 2026-10-22:https://www.netcup-status.de/ Thu, 22 Oct 2026 00:00:00 GMT netcup が、すべての Webhosting パッケージ（Reseller を含む）とすべての Managed Server にパッチを適用済みで、オンラインになっていると報告しました。ルートサーバー、VPS、マネージドクラウドクラスターの利用者は、自分で PHP にパッチを適用する必要があります。 https://cloudlinux.statuspage.io/incidents/zl0vt1yq3dj5 2026-10-22:https://cloudlinux.statuspage.io/incidents/zl0vt1yq3dj5 Thu, 22 Oct 2026 00:00:00 GMT CloudLinux が、修正済み alt-php パッケージのリリースが完了したと発表しました（10 月 22 日 00:07 UTC）。通常の更新でインストールされ、その後に PHP の再起動が必要です。パッケージは修正をバックポートしており、バージョン番号は低いままなので、パッケージの変更履歴で確認するよう案内されています。 https://support.plesk.com/hc/en-us/articles/44397729587351-Vulnerability-CVE-2026-109618-and-CVE-2026-109619-Remote-code-execution-in-PHP-shipped-with-Plesk 2026-10-22:https://support.plesk.com/hc/en-us/articles/44397729587351-Vulnerability-CVE-2026-109618-and-CVE-2026-109619-Remote-code-execution-in-PHP-shipped-with-Plesk Thu, 22 Oct 2026 00:00:00 GMT Plesk が、自社の管理画面エンジン（sw-engine）の修正を Plesk Obsidian 18.0.80 Update 11 と 18.0.81 Update 4 で提供したと発表し、利用可能な最新バージョンへの更新を呼びかけています。 https://www.aapanel.com/forum/d/26249-critical-php-security-update 2026-10-22:https://www.aapanel.com/forum/d/26249-critical-php-security-update Thu, 22 Oct 2026 00:00:00 GMT aaPanel が、App Store で PHP 7.4〜8.5 のパッチが利用可能になったと案内しています。インストール済みの各 PHP バージョンをそこで更新します。PHP 7.3 以前の利用者には、設定による緩和策のみが案内されています。 https://help.sakura.ad.jp/notification/n-2700 2026-10-22:https://help.sakura.ad.jp/notification/n-2700 Thu, 22 Oct 2026 00:00:00 GMT さくらインターネットが、レンタルサーバとマネージドサーバのコントロールパネルで選択できるすべての PHP バージョンで修正が完了したと発表しました。一部サービスで使われる phpMyAdmin とウェブメールは対応中です。 https://x.com/lolipopjp/status/2113121114809684114 2026-10-22:https://x.com/lolipopjp/status/2113121114809684114 Thu, 22 Oct 2026 00:00:00 GMT GMO ペパボが公式 X アカウントで、ロリポップ！に修正版を適用し、10 月 22 日 13:11（JST）にお客様のサイトを復旧したと発表しました。公式の修正がない古い PHP バージョンにも、独自の修正を適用したとしています。 https://heteml.jp/info/detail/id/2953 2026-10-22:https://heteml.jp/info/detail/id/2953 Thu, 22 Oct 2026 00:00:00 GMT GMO ペパボが、ヘテムルの PHP 8 系と PHP 7.4 には公式の修正バージョンを、それ以外のバージョンには公式の修正をもとにした独自の修正を適用したと発表しました。PHP 8.1 以下では一部の機能が無効化されています。 https://secure.colorfulbox.jp/announcements/231/%E9%87%8D%E8%A6%81PHP%E3%81%AE%E8%84%86%E5%BC%B1%E6%80%A7%E3%81%AB%E5%AF%BE%E3%81%99%E3%82%8B%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%82%A2%E3%83%83%E3%83%97%E3%83%87%E3%83%BC%E3%83%88%E5%AE%8C%E4%BA%86%E3%81%AE%E3%81%8A%E7%9F%A5%E3%82%89%E3%81%9B%E3%81%8A%E5%AE%A2%E6%A7%98%E3%81%A7%E3%81%AE%E3%83%90%E3%83%BC%E3%82%B8%E3%83%A7%E3%83%B3%E5%A4%89%E6%9B%B4%E4%BD%9C%E6%A5%AD%E3%81%AF%E4%B8%8D%E8%A6%81%E3%81%A7%E3%81%99.html 2026-10-22:https://secure.colorfulbox.jp/announcements/231/%E9%87%8D%E8%A6%81PHP%E3%81%AE%E8%84%86%E5%BC%B1%E6%80%A7%E3%81%AB%E5%AF%BE%E3%81%99%E3%82%8B%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%82%A2%E3%83%83%E3%83%97%E3%83%87%E3%83%BC%E3%83%88%E5%AE%8C%E4%BA%86%E3%81%AE%E3%81%8A%E7%9F%A5%E3%82%89%E3%81%9B%E3%81%8A%E5%AE%A2%E6%A7%98%E3%81%A7%E3%81%AE%E3%83%90%E3%83%BC%E3%82%B8%E3%83%A7%E3%83%B3%E5%A4%89%E6%9B%B4%E4%BD%9C%E6%A5%AD%E3%81%AF%E4%B8%8D%E8%A6%81%E3%81%A7%E3%81%99.html Thu, 22 Oct 2026 00:00:00 GMT カラフルボックスが、10 月 22 日朝の時点で全サーバーのセキュリティ修正が完了し、お客様が PHP バージョンを変更する必要はないと発表しました。 https://mixhost.jp/news/1974 2026-10-22:https://mixhost.jp/news/1974 Thu, 22 Oct 2026 00:00:00 GMT mixhost が、10 月 22 日 10:18 頃（JST）に全レンタルサーバーへの PHP 修正パッケージの適用が完了したと発表しました（PHP 5.2〜8.5 が対象）。表示される PHP のバージョン番号は変わらず、お客様の作業は不要です。 https://www.conoha.jp/wing/news/?ap=2015054903 2026-10-22:https://www.conoha.jp/wing/news/?ap=2015054903 Thu, 22 Oct 2026 00:00:00 GMT ConoHa が、ConoHa WING のサーバーにセキュリティパッチを順次適用しており、お客様が使用中の PHP バージョンは変更しないと発表しました。 https://www.onamae.com/news/article/11591 2026-10-22:https://www.onamae.com/news/article/11591 Thu, 22 Oct 2026 00:00:00 GMT GMO インターネットが、お名前.com レンタルサーバーのサーバーにセキュリティパッチを順次適用しており、お客様が使用中の PHP バージョンは変更しないと発表しました。PHP 5.x や 7.x をお使いの一部のお客様は、変更が必要になる場合があります。 https://status.value-domain.com/information/detail/?info_id=916 2026-10-22:https://status.value-domain.com/information/detail/?info_id=916 Thu, 22 Oct 2026 00:00:00 GMT バリュードメインのステータスページが、CORESERVER V2 は提供しているすべての PHP バージョンで、CORESERVER V1 は PHP 7.4 以降で修正が完了したと報告しました。V1 の古い PHP バージョンには触れていません。 https://status.value-domain.com/information/detail/?info_id=919 2026-10-22:https://status.value-domain.com/information/detail/?info_id=919 Thu, 22 Oct 2026 00:00:00 GMT バリュードメインのステータスページが、XREA は PHP 7.4 以降で修正が完了したと報告しました。古い PHP バージョンには触れていません。 https://status.value-domain.com/information/detail/?info_id=918 2026-10-22:https://status.value-domain.com/information/detail/?info_id=918 Thu, 22 Oct 2026 00:00:00 GMT バリュードメインのステータスページが、VALUESERVER は PHP 7.4 以降で修正が完了したと報告しました。古い PHP バージョンには触れていません。 https://status.value-domain.com/information/detail/?info_id=920 2026-10-22:https://status.value-domain.com/information/detail/?info_id=920 Thu, 22 Oct 2026 00:00:00 GMT バリュードメインのステータスページが、Oneレンタルサーバーは PHP 8.0 以降で修正が完了したと報告しました。古い PHP バージョンには触れていません。 https://help.arena.ne.jp/hc/ja/articles/44408280593303 2026-10-22:https://help.arena.ne.jp/hc/ja/articles/44408280593303 Thu, 22 Oct 2026 00:00:00 GMT NTTPC が WebARENA SuiteX について両方の CVE に言及したお知らせを公開しました。緩和策として、海外からの Web アクセスの制限と、PHP の機能 1 つ（ファイルアップロードの進捗機能）の無効化を実施しています。PHP の修正を適用したとは記載されていません。 https://access.redhat.com/errata/RHSA-2026:87080 2026-10-21:https://access.redhat.com/errata/RHSA-2026:87080 Wed, 21 Oct 2026 00:00:00 GMT Red Hat が RHEL 8 の php:7.4 向けに RHSA-2026:87080（7.4.33-8.module+el8.10.0+25117+30337cca）を公開し、両方の CVE が修正されました。 https://secdb.alpinelinux.org/v3.24/community.json 2026-10-21:https://secdb.alpinelinux.org/v3.24/community.json Wed, 21 Oct 2026 00:00:00 GMT Alpine 3.24 の x86_64 community リポジトリに php83 8.3.36-r0、php84 8.4.27-r0、php85 8.5.12-r0 が公開されました。Alpine edge では php83 8.3.36-r0 がセキュリティデータベースに掲載されましたが、パッケージはまだリポジトリにありません。 https://formulae.brew.sh/api/formula/php.json 2026-10-21:https://formulae.brew.sh/api/formula/php.json Wed, 21 Oct 2026 00:00:00 GMT Homebrew: php が 8.5.12、php@8.4 が 8.4.27、php@8.3 が 8.3.36、php@8.2 が 8.2.35 になりました。 https://nvd.nist.gov/vuln/detail/CVE-2026-109618 2026-10-21:https://nvd.nist.gov/vuln/detail/CVE-2026-109618 Wed, 21 Oct 2026 00:00:00 GMT NVD が両方の CVE に独自の CVSS 3.1 スコア 9.8（Critical）を追加しました。NVD の影響バージョン情報は 8.2.35 より前のすべての PHP バージョンも対象に含めています。 https://laravel.com/blog/php-critical-vulnerability-response-updates 2026-10-21:https://laravel.com/blog/php-critical-vulnerability-response-updates Wed, 21 Oct 2026 00:00:00 GMT Laravel Cloud が、稼働中のすべてのアプリケーションにパッチを適用済みと発表しました（PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）。 https://status.hetzner.com/incident/f4144d55-38c3-48d1-8664-7a3429355cd7 2026-10-21:https://status.hetzner.com/incident/f4144d55-38c3-48d1-8664-7a3429355cd7 Wed, 21 Oct 2026 00:00:00 GMT Hetzner が、すべての Webhosting と Managed Server で PHP 7.4 および 8.0〜8.5 のパッチを適用済みと報告しました。 https://web-cloud.status-ovhcloud.com/incidents/6ct3ggp512xk 2026-10-21:https://web-cloud.status-ovhcloud.com/incidents/6ct3ggp512xk Wed, 21 Oct 2026 00:00:00 GMT OVHcloud が Web ホスティングの全クラスターで PHP 7.4〜8.5 のパッチ適用を報告しました。 https://status.getflywheel.com/ 2026-10-21:https://status.getflywheel.com/ Wed, 21 Oct 2026 00:00:00 GMT Flywheel がプラットフォームのパッチ適用完了を発表しました。利用者側の作業は不要としています。 https://azure.github.io/AppService/2026/10/21/php-critical-security-release-app-service-linux.html 2026-10-21:https://azure.github.io/AppService/2026/10/21/php-critical-security-release-app-service-linux.html Wed, 21 Oct 2026 00:00:00 GMT Azure App Service が Latest と Standard チャネルへの修正済み PHP イメージの展開を完了しました（8.2.35、8.3.36、8.4.27、8.5.12）。 https://support.plesk.com/hc/en-us/articles/44397729587351-Vulnerability-CVE-2026-109618-and-CVE-2026-109619-Remote-code-execution-in-PHP-shipped-with-Plesk 2026-10-21:https://support.plesk.com/hc/en-us/articles/44397729587351-Vulnerability-CVE-2026-109618-and-CVE-2026-109619-Remote-code-execution-in-PHP-shipped-with-Plesk Wed, 21 Oct 2026 00:00:00 GMT Plesk が Windows 向けにも PHP 8.2〜8.5 の修正を公開しました。Linux の 7.4・8.0・8.1 は 21 日ビルドの再ビルド版に修正を含むと説明しています。 https://forum.directadmin.com/threads/critical-php-updates.82726/post-402495 2026-10-21:https://forum.directadmin.com/threads/critical-php-updates.82726/post-402495 Wed, 21 Oct 2026 00:00:00 GMT DirectAdmin が PHP 7.3〜5.6 向けのパッチを含む追加ビルドを公開しました。 https://cloudlinux.statuspage.io/incidents/zl0vt1yq3dj5 2026-10-21:https://cloudlinux.statuspage.io/incidents/zl0vt1yq3dj5 Wed, 21 Oct 2026 00:00:00 GMT CloudLinux が修正済みの alt-php ビルドを追加で公開しました（alt-php74・80・81 の対応プラットフォームが拡大）。他のバージョンは準備中です。 https://www.webuzo.com/blog/webuzo-patched-emps-cve-2026-109618-109619/ 2026-10-21:https://www.webuzo.com/blog/webuzo-patched-emps-cve-2026-109618-109619/ Wed, 21 Oct 2026 00:00:00 GMT Webuzo が修正済みの EMPS パッケージを公開し、EMPS 更新コマンドの実行を案内しています。CyberPanel は修正済みの LiteSpeed 用 PHP パッケージ（8.2.35、8.3.36、8.4.27、8.5.12）が利用可能になったと発表し、管理者による更新が必要としています。 https://security-tracker.debian.org/tracker/DSA-6574-1 2026-10-21:https://security-tracker.debian.org/tracker/DSA-6574-1 Wed, 21 Oct 2026 00:00:00 GMT Debian のセキュリティトラッカーに、Debian 13 の php8.4（DSA-6574-1）と Debian 12 の php8.2（DLA-4848-1）の修正済みパッケージが掲載されていることを確認しました。 https://hub.docker.com/_/php 2026-10-21:https://hub.docker.com/_/php Wed, 21 Oct 2026 00:00:00 GMT Docker 公式の php イメージが PHP 8.5.12、8.4.27、8.3.36、8.2.35 で再ビルドされました。 https://ubuntu.com/security/notices/USN-8948-1 2026-10-21:https://ubuntu.com/security/notices/USN-8948-1 Wed, 21 Oct 2026 00:00:00 GMT Ubuntu が修正済み PHP パッケージを含む USN-8948-1 と USN-8948-2 を公開しました（Ubuntu 20.04 以前は Ubuntu Pro 経由）。 https://www.php.net/archive/2026.php#2026-10-21-5 2026-10-21:https://www.php.net/archive/2026.php#2026-10-21-5 Wed, 21 Oct 2026 00:00:00 GMT php.net が PHP 8.5.12、8.4.27、8.3.36、8.2.35 を公開しました。CVE-2026-109618 と CVE-2026-109619 が修正されています。