製品とスタック · ホスティング基盤とサーバー管理サービス

Amazon Linux and AWS と PHP2Shell：影響の有無と対処法

結論

影響あり。一部のバージョンや構成要素にのみ修正があります。

ベンダー状況: 一部修正
PHP: AL2023 php8.2–8.5 · AL2 php
最終確認: 2026-10-22

AWS 告知 2026-143-AWS（10 月 21 日 20:30 PDT 最終更新）：AWS のサービス自体は影響を受けませんが、その上で動かす影響を受ける PHP は対象になり得ます。Amazon Linux：商用リージョンでは更新済み PHP パッケージを提供済み、非商用リージョンは 10 月 22 日目標。Amazon Linux 2 の標準 PHP と Amazon Linux 2023 の php8.1 は No Fix Planned。Elastic Beanstalk：PHP プラットフォーム v4.13.12（10 月 21 日）が両 CVE に対処し、上流の PHP 修正を含むリリースは 10 月 22 日目標。マネージドプラットフォーム更新を使っていなければ自分でプラットフォームバージョンを更新してください。Lightsail はその場で修正できないため、更新版ブループリントから新しいインスタンスを作って移行します。AWS WAF 利用者：PHP マネージドルールグループ 2.3 が既定になりました。

Amazon Linux and AWS が使う PHP バージョンの確認方法

環境に合うコマンドを実行します。同じブランチで 8.2.35、8.3.36、8.4.27、8.5.12 以上なら修正済み。古いブランチはベンダーが修正を明記したビルドのみ修正済みです。

dnf updateinfo list --security | grep php
rpm -qa 'php*'

コマンドラインの php はサイトを動かす PHP と違うことがあります。確実にするには Web SAPI（認証付きの一時的な phpinfo() ページか、パネルの PHP 設定）を確認し、終わったら削除してください。当サイトのバージョンチェッカーで番号を比較できます。

🔎 バージョン番号がわかったら PHP2Shell チェッカーで確認 →

Amazon Linux and AWS の PHP2Shell を修正する方法

Debian/Ubuntu：sudo apt-get update && sudo apt-get install --only-upgrade 'php8.3*'（インストール済みの PHP ごとに）。
RHEL/Alma/Rocky/Amazon Linux：sudo dnf upgrade 'php*'。
PHP を再起動：sudo systemctl restart php8.3-fpm（または php-fpm）。mod_php の Apache は完全再起動が必要で、graceful では足りません。
ディストリは PHP の番号を変えずに修正をバックポートすることが多いため、パッケージ版か changelog を告知と照合します。

確認を AI エージェントに任せたい場合：影響の有無を確認 · AI エージェントで修正

すぐに修正できない場合

アプリが上書きできない場所（php.ini、FPM プールや Apache 設定の php_admin_value）で session.upload_progress.enabled = 0 を設定し、PHP を再起動します。
PHP 8.5 では fatal_error_backtraces = 0 を設定します。
PHP の暫定策には memory_limit と小さい post_max_size も含まれます。一部の経路しか防げないため対策ページの通りに設定してください。
ベンダーのバックポートがない PHP 8.1 以前なら、アクセス制限（VPN、IP 許可リスト）かサービス停止を。WAF ルールは役立ちますが修正ではありません。

よくある質問

Amazon Linux and AWS は PHP2Shell の影響を受けますか？

影響あり。一部のバージョンや構成要素にのみ修正があります。 AWS 告知 2026-143-AWS（10 月 21 日 20:30 PDT 最終更新）：AWS のサービス自体は影響を受けませんが、その上で動かす影響を受ける PHP は対象になり得ます。Amazon Linux：商用リージョンでは更新済み PHP パッケージを提供済み、非商用リージョンは 10 月 22 日目標。Amazon Linux 2 の標準 PHP と Amazon Linux 2023 の php8.1 は No Fix Planned。Elastic Beanstalk：PHP プラットフォーム v4.13.12（10 月 21 日）が両 CVE に対処し、上流の PHP 修正を含むリリースは 10 月 22 日目標。マネージドプラットフォーム更新を使っていなければ自分でプラットフォームバージョンを更新してください。Lightsail はその場で修正できないため、更新版ブループリントから新しいインスタンスを作って移行します。AWS WAF 利用者：PHP マネージドルールグループ 2.3 が既定になりました。

Amazon Linux and AWS 自体を更新すれば CVE-2026-109618 と CVE-2026-109619 は直りますか？

更新に修正済み PHP が含まれる場合のみです。PHP2Shell は PHP インタープリターの脆弱性なので、Amazon Linux and AWS が動く PHP が問題です。更新後にバージョンを確認してください。

PHP2Shell を修正した PHP バージョンは？

2026 年 10 月 21 日公開の PHP 8.2.35、8.3.36、8.4.27、8.5.12 です。PHP 8.1 以前は PHP プロジェクトからリリースがなく、バックポートしたベンダービルド（または 7.4、8.0、8.1 用ソースパッチで自前ビルド）のみが修正になります。

Amazon Linux and AWS にまだ修正がない場合は？

PHP ベースの Web 画面をインターネットから遮断（VPN か IP 許可リスト）し、session upload progress の無効化など PHP の暫定設定を適用、ベンダー更新が出たらすぐ入れます。暫定設定はリスクを下げますが修正ではありません。

← PHP を同梱する製品一覧

関連：プラットフォーム別の対策 · 影響バージョン · ベンダー状況

出典

外部リンクは本サイトの外に移動します。本サイトはエクスプロイトコードを掲載しません。

公開情報の非公式まとめです。当サイトはベンダーや PHP プロジェクトとは無関係で、攻撃コードは掲載しません。