PHP2Shell の修正を Linux ディストリ別に比較

ディストリ別の修正パッケージ

表の読み方

• 8.3.6-0ubuntu0.24.04.13 のような番号は php.net の 8.3.36 よりずっと小さく見えても修正済みのことがあります。上流の番号だけを比べるスキャナーは誤検知します。
• Red Hat、SUSE、Amazon は両 CVE を Important（CVSS v3 8.1、攻撃の複雑さ高）と評価し、NVD は 9.8 です。Red Hat は RHEL の標準構成が mod_php ではなく PHP-FPM なので実際の悪用は難しいとしつつ、修正を提供しています。
• Ubuntu 14.04 と 16.04〜20.04 の修正は Ubuntu Pro 経由のみです。Pro がなければ影響を受けたままです。
• サードパーティのリポジトリ（Ondřej Surý の PPA や DEB.SURY.ORG、Remi、IUS、パネル独自ビルド）は別パッケージです。製品別で個別に確認してください。

サポート中のチャネルでまだ修正されていないもの

• RHEL 8・9・10：Red Hat は一部の更新は提供済み、残りは作業中としています。RHSB-2026-013 を確認し、dnf updateinfo list --security を実行してください。
• SLES 15 SP4〜SP6、openSUSE Leap、SUSE BCI の php イメージは影響ありのまま。SLES 16.0 は QA 中です。
• Amazon Linux 2023 の php8.1 と Amazon Linux 2 コアの php は修正予定なし。php8.2 以降に移行してください。
• 確認時、Debian forky（testing）は 8.4.26-1 でした。修正は sid の 8.4.27-1 にあります。

インストール済みパッケージを確認する

次の読み取り専用コマンドでインストール済みバージョンを表示し、上の表の自分のリリースの修正バージョンと比べてください。

# Debian / Ubuntu: installed PHP package versions
dpkg -l 'php*' | awk '/^ii/ {print $2, $3}'
# Debian / Ubuntu: changelog mentions the CVE?
apt changelog php8.2 2>/dev/null | grep -m3 -E 'CVE-2026-10961(8|9)'

# RHEL family / SUSE / Amazon Linux
rpm -qa 'php*' | sort
rpm -q --changelog php-common 2>/dev/null | grep -m3 -E 'CVE-2026-10961(8|9)'

# Alpine
apk info -v | grep '^php'

# Then restart what serves PHP (examples)
systemctl restart php8.2-fpm   # or php-fpm, apache2, httpd