Linux ディストリビューション
Linux ディストリビューション別 PHP2Shell 修正パッケージ
ディストリビューションは修正を自前の PHP パッケージにバックポートするため、バージョン番号は古いままに見えることがよくあります。下の表で自分のリリースの最初の修正ビルドを確認し、実際にサイトを動かしているパッケージを照合してください。
最終確認 2026-10-23
バージョン番号が古くても修正済みの場合がある
Ubuntu 24.04 は修正後も PHP 8.3.6 と表示されます。Debian、RHEL、AlmaLinux、SUSE も同様です。パッケージのリビジョン全体をベンダーのアドバイザリと照合してください。php -v だけでは判断できません。
確認済みのディストリビューション修正パッケージ
記載した OS リリースとソースパッケージについて、両 CVE を修正した最初のビルドです。上流の番号が古くても修正済みの場合があります。正確な OS、公式更新経路、インストール済みビルドを確認し、すべての Web ワーカーを再起動してください。確認日：2026-10-22。
| OS | PHP パッケージ | 最初の修正済みベンダービルド | 更新経路 | 根拠 |
|---|---|---|---|---|
| SLE 15 SP7 · Web and Scripting Module | php8 | 8.3.36-150700.3.24.1 | SUSE サブスクリプション / 有効なモジュール | SUSE-SU-2026:4844-1 |
| Ubuntu 26.10 | php8.5 | 8.5.9-0ubuntu2.1 | セキュリティ更新 | USN-8948-1 |
| Ubuntu 26.04 LTS | php8.5 | 8.5.4-0ubuntu1.5 | セキュリティ更新 | USN-8948-1 |
| Ubuntu 24.04 LTS | php8.3 | 8.3.6-0ubuntu0.24.04.13 | セキュリティ更新 | USN-8948-1 |
| Ubuntu 22.04 LTS | php8.1 | 8.1.2-1ubuntu2.28 | セキュリティ更新 | USN-8948-1 |
| Ubuntu 20.04 LTS | php7.4 | 7.4.3-4ubuntu2.29+esm5 | Ubuntu Pro / ESM | USN-8948-2 |
| Ubuntu 18.04 LTS | php7.2 | 7.2.24-0ubuntu0.18.04.17+esm14 | Ubuntu Pro / ESM | USN-8948-2 |
| Ubuntu 16.04 LTS | php7.0 | 7.0.33-0ubuntu0.16.04.16+esm22 | Ubuntu Pro + Legacy Support | USN-8948-2 |
| Ubuntu 14.04 LTS | php5 | 5.5.9+dfsg-1ubuntu4.29+esm18 | Ubuntu Pro + Legacy Support | USN-8948-2 |
| Debian 13 (trixie) | php8.4 | 8.4.27-1~deb13u1 | セキュリティ更新 | DSA-6574-1 |
| Debian 12 (bookworm) | php8.2 | 8.2.35-1~deb12u1 | Debian LTS / security | DLA-4848-1 |
| RHEL 8 · php:7.4 | php | 7.4.33-8.module+el8.10.0+25117+30337cca | Red Hat AppStream | RHSA-2026:87080 |
| AlmaLinux 10 · php 8.3 (default) | php | 8.3.33-1.el10_2.alma.1 | AlmaLinux AppStream | AlmaLinux blog |
| AlmaLinux 10 · php8.4 | php8.4 | 8.4.24-1.el10_2.alma.1 | AlmaLinux AppStream | AlmaLinux blog |
| AlmaLinux 9 · php 8.0 (default) | php | 8.0.30-8.el9_8.alma.1 | AlmaLinux AppStream | AlmaLinux blog |
| AlmaLinux 9 · php:8.3 | php | 8.3.33-1.module_el9.8.0+328+1fdeb728.alma.1 | AlmaLinux AppStream | AlmaLinux blog |
| AlmaLinux 9 · php:8.2 | php | 8.2.33-1.module_el9.8.0+327+37dfd4b4.alma.1 | AlmaLinux AppStream | AlmaLinux blog |
| AlmaLinux 9 · php:8.1 | php | 8.1.32-1.module_el9.8.0+326+528679fc.alma.1 | AlmaLinux 提供終了ストリーム | AlmaLinux blog |
| AlmaLinux 8 · php:8.2 | php | 8.2.33-1.module_el8.10.0+4320+c30d6dbb.alma.1 | AlmaLinux AppStream | AlmaLinux blog |
| AlmaLinux 8 · php:8.0 | php | 8.0.30-1.module_el8.10.0+4319+26f10322.alma.1 | AlmaLinux 提供終了ストリーム | AlmaLinux blog |
| AlmaLinux 8 · php:7.4 | php | 7.4.33-8.module_el8.10.0+4321+cf5fd4bb | AlmaLinux AppStream | AlmaLinux blog |
| AlmaLinux 8 · php:7.3 | php | 7.3.20-1.module_el8.10.0+4316+90ea5fe5.alma.1 | AlmaLinux 提供終了ストリーム | AlmaLinux blog |
| AlmaLinux 8 · php:7.2 | php | 7.2.24-1.module_el8.10.0+4315+7b734bf3.alma.1 | AlmaLinux 提供終了ストリーム | AlmaLinux blog |
他のリポジトリ、Ubuntu PPA、Debian sid/forky、すべての外部イメージの状態を示すものではありません。同じ公式更新経路の後続ビルドにも修正が含まれる場合があります。ベンダーの告知で確認してください。バージョンチェッカーもベンダーパッケージの確認を求めます。 AlmaLinux と RHEL の行は、記載したモジュールストリームにのみ当てはまります。そのビルド以上を導入してください。提供終了ストリームへの今後の修正は保証されていません。Red Hat は両 CVE に対応する追加のアドバイザリを公開しており、RHEL 9 php:8.3 向け RHSA-2026:87079も含まれます。この表は確認済みの一部で、Red Hat の全リリース一覧ではありません。製品とストリームに対応するアドバイザリを確認してください。 SUSE の行は Web and Scripting Module 15-SP7（aarch64、ppc64le、s390x、x86_64）のみが対象です。SUSE モジュールには適切に登録された製品と有効なリポジトリが必要で、SLES サブスクリプションに含まれます。YaST Online Update または zypper patch で告知の更新を適用し、実際に使う PHP-FPM/Apache ワーカーを再起動してください。PHP8 パッケージの公開は、PHP7、SLE 16、必要なサポート経路を持たない SP6 の修正を保証しません。
インストール済みビルドを確認する
出力を表と比較します。同じリリース・同じ更新チャネルで、インストール済みのリビジョンが表のビルド以上である必要があります。その後、すべての PHP ワーカーを再起動してください。
# Debian / Ubuntu: installed PHP package revisions
dpkg-query -W -f='${binary:Package} ${Version}\n' 'php*-common' 'libapache2-mod-php*' 2>/dev/null
# RHEL / AlmaLinux / Rocky: installed build and module stream
rpm -q php-common php-fpm
dnf module list --enabled php 2>/dev/null
# SUSE: installed build and pending security patches
rpm -q php8 php8-fpm
zypper list-patches --cve=CVE-2026-109618
# Then restart the workers and confirm they started after the upgrade
ps -eo pid,lstart,cmd | grep -E '[p]hp-fpm|[a]pache2|[h]ttpd'表にない場合
- 掲載がないのは未確認という意味で、安全・未修正のどちらでもありません。ベンダーのトラッカーを確認してください：Ubuntu、Debian、Red Hat、SUSE。
- サードパーティのリポジトリ（Ondřej Surý の PPA / packages.sury.org、Remi、CloudLinux alt-php、各種パネルのビルド）は別チャネルで、それぞれに修正ビルドがあります。パッチガイドと aaPanel / 1Panel のページを参照してください。
- コンテナはホストの更新を引き継ぎません。修正済みのベースでイメージを再ビルドし、再デプロイしてください。
- PHP 8.1 以前でベンダーパッケージがない場合は、サポート終了版のセクションを読んでください。
よくある質問
更新後も php -v が古いバージョンを表示するのはなぜ？+
ディストリビューションはアップストリームのバージョンを変えずにセキュリティ修正をバックポートします。Ubuntu 24.04 の修正パッケージは 8.3.6-0ubuntu0.24.04.13 なので、php -v は 8.3.6 のままです。dpkg-query や rpm -q でリビジョンを確認し、ベンダーのアドバイザリと照合してください。
パッケージ更新後に再起動は必要？+
必要です。稼働中の PHP-FPM、Apache（mod_php）、常駐型の PHP ワーカーは再起動するまで古いコードをメモリ上で実行し続けます。更新後に再起動し、プロセスの開始時刻を確認してください。
Ubuntu 20.04 や 18.04 は修正済み？+
はい。Ubuntu Pro / ESM で提供されています（USN-8948-2）。Pro を有効にしていないと、標準アーカイブからは修正パッケージを入手できません。16.04 と 14.04 は Legacy Support が必要です。
Red Hat の RHSB-2026-013 とは？+
RHSB-2026-013 は PHP2Shell に関する Red Hat のセキュリティ速報です。RHEL 10・9・8 と OpenShift Dev Spaces 3 が対象で、RHEL や UBI ベースの製品・コンテナも影響を受ける可能性があるとし、ベースイメージ更新後のコンテナ再ビルドを求めています。修正はモジュールストリームごとに公開されます（例：RHSA-2026:87079＝RHEL 9 php:8.3、RHSA-2026:87080＝RHEL 8 php:7.4）。
関連ページ
- 修正・パッチ適用PHP2Shell の修正手順：Ubuntu、Debian、Sury、RHEL、Remi、Alpine、Docker、cPanel EasyApache、Plesk、Homebrew、Windows。再起動と確認方法、PHP 8.1 以前の場合の対応も。
- サイト・バージョン確認URL でサイトの公開 PHP 情報を調べるか、PHP バージョンを貼り付けて確認できます。PHP2Shell の修正状況、確認の限界、ホスティング会社への問い合わせ方法を案内します。
- aaPanel / 1PanelaaPanel（宝塔）と 1Panel の PHP2Shell 修正ビルド。PHP 7.x・8.0・8.1 のパッチ版、更新手順、再起動と確認方法。