開発ブログ php2shell対応タイムライン：PHPパッチ公開からリポジトリ・レンタルサーバー各社の対応まで
PHP本体の重大な脆弱性2件（CVE-2026-109618 / CVE-2026-109619、通称php2shell）は、2026年10月21日22時前後（日本時間）に修正版 PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 が公開されました。各ディストリビューションは同日深夜から翌22日午前にかけてパッケージを配布しました。国内レンタルサーバーは21日夕方から予防停止や緊急メンテナンスを行い、22日朝から昼にかけて順次適用を完了しています。
本記事では、事前告知から各リポジトリ・各レンタルサーバーの対応までを日本時間（JST）の時系列で整理します。内容は2026年10月22日夕方までに確認できた公式発表と、それを集計した二次情報に基づきます。状況は時間単位で変わるため、最新の情報は各社の公式案内で確認してください。
脆弱性の要点
- CVE-2026-109618：メモリ不足（OOM）処理中の破損によるRCE。mod_phpで完全なRCEが実証済み
- CVE-2026-109619：リクエスト間に残る古いグローバル状態によるuse-after-free。mod_php・PHP-FPMの両方でRCEが実証済み
- CVSS v4.0はいずれも9.2。認証不要で、アプリケーションのコードが動く前に悪用できる経路がある
- PHP 8.1以前は本家のサポート対象外で、公式の修正版リリースはない（7.4 / 8.0 / 8.1向けに最小限のソースバックポートのみ公開）
全体タイムライン（日本時間）
修正版の公開から約8時間で、RHEL系・Debian系・Amazon Linuxの主要パッケージが出揃いました。国内レンタルサーバーは、公開から約15時間後の22日昼までに大半が適用を終えています。UTCや米国時間で発表された時刻は、日本時間に換算しています。
| 日時（JST） | 区分 | 出来事 |
|---|---|---|
| 10/17 | 攻撃観測 | AWSのハニーポット（MadPot）が、公表4日前の時点でphp2shellの悪用試行を記録 |
| 10/20 | PHP公式 | 詳細が協定開示前に漏洩。PHPセキュリティチームが10/21の緊急リリースを予告。CERT-EUが勧告2026-018を発出 |
| 10/21 夕方〜夜 | 国内各社 | BASE・コドモン・ロリポップ等が予防停止や緊急メンテナンスを開始。21日22時台に54組織が停止（piyolog集計） |
| 10/21 18:05 | ロリポップ | 一部サーバーのサイトを一時停止すると公式Xで告知 |
| 10/21 19:00 | ConoHa WING / お名前.com | 緊急メンテナンス開始（〜22日10:00予定） |
| 10/21 22:00〜23:00頃 | PHP公式 | 修正版 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 を公開。7.4・8.0・8.1は最小限のソースバックポートのみ。Remiは当日の更新なしと公式が明記 |
| 10/21 22:50頃 | sury / Debian / Ubuntu | packages.sury.org、Debian 13（php8.4）、Ubuntu 24.04の修正パッケージが出始める |
| 10/21 | Ubuntu | USN-8948-1 / -2 を公開（22.04以降は通常更新、20.04以前はUbuntu Pro） |
| 10/21 23:36 | AlmaLinux | 「パッチ作成中」の公式ブログを公開。RHELより先行して配布する方針 |
| 10/22 00:00 | カラフルボックス / バリュー系 | 全サーバーで順次アップデート開始 |
| 10/22 00:53〜05:36 | Red Hat | RHSAを7件公開（RHEL 8 / 9 / 10） |
| 10/22 02:50 | AlmaLinux | 全PHPストリームの修正版をtestingリポジトリへ |
| 10/22 03:59〜07:09 | Docker公式イメージ | php:8.5.12 → 8.2.35 → 8.3.36 → 8.4.27 の順にタグ公開 |
| 10/22 06:15 | AlmaLinux | 本番リポジトリへ展開 |
| 10/22 06:30頃 | さくら | レンタルサーバ等のPHP更新メンテナンスが完了 |
| 10/22 06:45 | エックスサーバー | PHP 8.2〜8.5 の全サーバー適用完了 |
| 10/22 07:36 | AWS | 「広範に悪用されている」と公式ブログで発表 |
| 10/22 朝 | カラフルボックス | 全サーバーで適用完了（7.4〜8.1含む） |
| 10/22 09:01〜09:08 | Rocky Linux | RLSAを6件公開 |
| 10/22 10:18 | mixhost | 全サーバーで適用完了（PHP 5.2〜8.5、版数表示は不変） |
| 10/22 11:13 | CORESERVER V2 | 全PHPバージョンで対応完了 |
| 10/22 12:08 | エックスサーバー | PHP 7.4〜8.1 も適用完了。7.3以前は順次 |
| 10/22 13:00頃 | Amazon Linux | AL2023のphp8.2〜8.5修正版（ALAS2023-2026-3301〜3304）を確認 |
| 10/22 13:11 | ロリポップ | 修正版を適用しサイトを再開。旧版にも独自修正を適用 |
| 10/22 13:45 | さくら | ウェブメールも対応完了（phpMyAdminは対応中） |
| 10/22 14:10 | CPI | 「パッチ提供済みバージョンを急ぎ対応中」と更新。再開時期は未定 |
リポジトリ・ディストリビューション別の対応
最も早かったのはDebian系（sury・Ubuntu・Debian）で、RHEL系ではAlmaLinuxが上流のRed Hatより先に独自のバックポートを出しました。一方、RHEL系で広く使われるRemiについては、PHP公式が名指しで「リリース当日は更新なし」と告知しています。Amazon Linuxは、2系の標準phpと2023のphp8.1を修正対象外としています。
| 配布元 | 初動（JST） | 配布状況（10/22夕方時点） | 注意点 |
|---|---|---|---|
| Remi（rpms.remirepo.net） | 10/21 PHP公式が「当日は更新なし、ディストリ版かソースビルドへ切り替えを」と告知 | 10/21付の変更履歴を持つ修正ビルドがremi-modularに出ていると第三者が確認（例：8.1.34-6、8.0.30-21、7.4.33-31）。公式ブログでの告知は10/22昼時点で未確認 | ボランティア運営。EOL版（7.4〜8.1）も緩和パッチ入りで出ている。SCL（php8x-php-fpm等）は別サービス名なので個別に再起動が必要 |
| AlmaLinux | 10/21 23:36 方針発表 | 10/22 02:50 testing、06:15 本番。8系の php:7.4 / 8.2、9系の標準8.0・8.2・8.3、10系の8.3・8.4 | RHELより先行して配布（ALEScoの判断）。版数は上流のまま変わらないため rpm -q php-common で照合 |
| RHEL | 10/22 00:53〜05:36 RHSA 7件 | RHEL 10：8.3.36 / 8.4.27、RHEL 9：8.0.30-8.el9_8.1 / 8.2.35 / 8.3.36、RHEL 8：7.4.33-8 / 8.2.35 | RHEL 9 の php:8.4 は「Affected」のまま。RHEL 7は修正なし |
| Rocky Linux | 10/22 09:01〜09:08 RLSA 6件 | RHELと同等の版を配布 | 9の php:8.4、8の php:8.2 はアドバイザリ未確認 |
| Amazon Linux | 10/22 06:30 セキュリティ速報更新 | AL2023：php8.2〜8.5を修正（ALAS2023-2026-3301〜3304）。AL2 extras php8.2も修正 | AL2023 php8.1 と AL2標準phpは「No Fix Planned」。修正前はGitHub Issueで自前ビルドの回避策が共有された |
| Ubuntu | 10/21 USN-8948-1 / -2 | 22.04（8.1.2-1ubuntu2.28）〜26.10まで通常更新で修正 | 20.04以前はUbuntu Pro（ESM）が必要。版数は8.3.6のように古いまま修正済み |
| Debian | 10/21〜22 DSA-6574-1 / DLA-4848-1 | 13（8.4.27）、12（8.2.35） | 11はLTS終了済みで、有償のFreexian ELTSのみ |
| packages.sury.org | 10/21 22:50頃 | php5.6〜8.5まで20261021付ビルド | 第三者リポジトリ。OS公式の修正版数とは比べない |
| Docker公式イメージ | 10/22 03:59〜07:09 | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 のタグ | 8.1以前は修正イメージなし。浮動タグは再pullとコンテナ再作成が必要 |
国内レンタルサーバー各社の対応
10/22昼の時点で、さくら・エックスサーバー・ロリポップ・mixhost・カラフルボックス・ヘテムルが適用完了を告知していました。ConoHa WING・お名前.comは順次適用中、KAGOYA・CPIは対応中でした。初期の告知が「システムの保守作業」「ソフトウェアの脆弱性」とだけ書かれ、PHPへの対応と明記されていなかった会社もあります。
| 事業者 | 初動（JST） | 完了・最新状況（JST） | 利用者の作業 |
|---|---|---|---|
| さくらのレンタルサーバ / マネージドサーバ | 10/21 緊急メンテナンス開始（初期告知にPHPの明記なし） | 10/22 06:30頃 完了。選べる全PHPバージョンで対応済み。ウェブメール13:45完了、phpMyAdminは対応中 | 不要と案内 |
| エックスサーバー（シン・Xserverビジネス含む） | 10/21 緊急メンテナンス（「ソフトウェアの脆弱性」と説明） | 8.2〜8.5：10/22 06:45完了、7.4〜8.1：12:08完了、7.3以前：順次 | 追加対策が必要なら別途案内 |
| ロリポップ！ | 10/21 18:05 一部サーバーのサイトを一時停止 | 10/22 13:11 修正版を適用しサイト再開。公式修正版のない旧版にも独自修正。攻撃の試みは検知したが不正アクセスは確認されず | 記載なし |
| ConoHa WING | 10/21 19:00〜22日10:00 緊急メンテナンス | 10/22 利用中バージョンのまま順次適用中 | 不要 |
| お名前.com レンタルサーバー | 10/21 19:00〜22日10:00 緊急メンテナンス | 10/22 利用中バージョンのまま順次適用中 | PHP 5系・7系は変更が必要な場合あり |
| mixhost | 10/21 22:10 マイページ停止 | 10/22 10:18 全サーバー完了（PHP 5.2〜8.5、旧版はCloudLinux提供パッケージ）。版数表示は変わらない | 不要 |
| カラフルボックス | 10/22 00:00 順次開始 | 10/22 朝 全サーバー完了（7.4〜8.1含む） | 不要 |
| ヘテムル | 10/21 19:44 告知 | 8系・7.4は公式修正版、ほかは独自修正（10/22 12:18追記） | 8.1以下は一部機能を無効化、動作確認を依頼 |
| CORESERVER / XREA / VALUESERVER | 10/22 00:00 順次開始 | CORESERVER V2は全版完了（11:13）。V1・XREA・VALUESERVERは7.4以上で完了 | 7.4未満は言及なし |
| KAGOYA | 10/21 18:20 8.2〜8.5を修正版確認後に順次更新と告知 | 10/22 10:35時点も調整中。他プランは公開停止等の暫定策の検討を依頼 | 暫定策の検討を依頼 |
| CPI | 10/21 21:45 管理画面等を停止 | 10/22 14:10時点も対応中、再開未定。攻撃は確認されず | 記載なし |
PHP 8.1以前は本家の修正がないため、各社は独自修正やCloudLinux等のバックポートで対応しています。版数表示が変わらない会社（mixhost・ConoHa WING・お名前.com・カラフルボックス）では、管理画面の番号ではなく公式告知で適用済みかどうかを判断する必要があります。
時系列から読み取れることと確認事項
今回の特徴は、修正版の公開前に悪用が始まり、国内では「パッチが出る前に止める」という判断が相次いだことです。また、どこからPHPを入れているかによって、修正が届いた時刻に最大で半日以上の差が出ました。
- 版数だけで判断しない：Ubuntu・RHEL・AlmaLinux・多くのレンタルサーバーは、版数を変えずに修正を取り込んでいる。比べる相手は、各配布元が公表した修正済みパッケージの版数か、公式の適用完了告知
- 配布元を確認する：同じRHEL系でも、AppStream・Remi・SCLで修正の届き方が違う。rpm -qa | grep -i ^php で入手元を確認する
- 再起動まで行う：PHP-FPM・Apacheを再起動しないと、古いプロセスが動き続ける
- EOL版は移行を前提に：8.1以前は独自修正で当面しのげても、本家の修正対象外。PHP 8.2のセキュリティサポートも2026年12月31日で終わるため、移行先は8.3以降が無難
- 公開前後の痕跡を確認する：悪用試行は10/17から観測されている。パッチを適用して終わりにせず、10/17以降のアクセスログに異常なmultipartのPOSTがないか、PHP-FPMワーカーの異常終了がないかを確認する
※PHP公式の修正版公開時刻は、情報源により12:59〜14:00 UTC（JST 21:59〜23:00）と幅があるため、本記事では「22時〜23時頃」としています。各社の時刻の一部は、公式告知を集計した記事（satimo-blog、Qiita「php2shell 対応状況まとめ」等）を参照しています。
自社サーバーやレンタルサーバー上のPHP環境の確認・更新、EOL版からの移行についてご相談いただけます。