UbuntuがPHP重大脆弱性「php2shell」の修正パッチを公開　CVE-2026-109618・109619、旧LTSにもESMで対応

Canonicalは2026年10月21日、PHPの重大脆弱性「php2shell」（CVE-2026-109618、CVE-2026-109619）に対するUbuntu向け修正パッケージを公開しました。Ubuntu 22.04 LTS以降は通常のセキュリティ更新で対応し、Ubuntu 20.04 LTS以前にもUbuntu ProのExtended Security Maintenance（ESM）を通じて修正を提供しています。Ubuntu 14.04・16.04では追加のLegacy Supportアドオンが必要です。

両脆弱性はCVSS v4.0で9.2（Critical）と評価され、条件を満たすと認証されていない攻撃者がPHPアプリケーションの実行権限で遠隔からコードを実行するおそれがあります。PHP本家が公開した修正版と、Ubuntuが既存パッケージへ修正を取り込んだバージョンは異なるため、Ubuntu利用者はPHPのバージョン番号だけでなく、ディストリビューションのパッケージ更新状況を確認する必要があります。

Ubuntu版php2shell修正のサマリー

• Canonicalは10月21日、2件のPHP脆弱性に対応するセキュリティ通知「USN-8948-1」「USN-8948-2」を公開しました。
• 対象はCVE-2026-109618とCVE-2026-109619で、いずれもCVSS v4.0 9.2（Critical）です。
• Ubuntu 22.04 LTS、24.04 LTS、26.04 LTS、26.10には通常のセキュリティ更新として修正パッケージを提供しています。
• Ubuntu 18.04 LTS、20.04 LTSにはUbuntu ProのESM経由で修正を提供しています。
• Ubuntu 14.04 LTS、16.04 LTSではUbuntu Proに加え、Legacy Supportアドオンを通じて提供されます。
• PHP本家ではすでに更新対象外のPHP 5.5、7.0、7.2、7.4、8.1なども、Ubuntuの修正済みパッケージを利用できる場合があります。
• 修正後はApacheやPHP-FPMなど、稼働中のPHPを使うサービスの再起動、またはシステム再起動が必要です。
• 自動更新が有効でも、修正の適用とプロセスへの反映は別々に確認する必要があります。

Ubuntu 14.04から26.10までの修正済みPHPパッケージ

Ubuntuの公式ブログとセキュリティ通知が示した修正済みパッケージの代表的なバージョンは以下のとおりです。

※表はUbuntu公式のディストリビューション提供パッケージを示したものです。サードパーティーのPPA、独自コンパイル、コンテナイメージ、外部ベンダー提供のPHPには、そのまま適用できるとは限りません。実際の導入状況は使用しているパッケージの提供元と照合してください。

通常サポート対象の4系列はUSN-8948-1、旧4系列はUSN-8948-2に掲載されています。後者のうちUbuntu 14.04 LTSと16.04 LTSは、通常のUbuntu Pro登録だけでなくLegacy Supportアドオンを利用する構成が必要です。

PHP 7.4や8.1でも「修正済み」となる理由はバックポート

PHP開発元は10月21日、PHP 8.5.12、8.4.27、8.3.36、8.2.35を公開しました。一方、PHP 8.1以前についてはPHPプロジェクトによる通常のセキュリティ更新が終了しています。

しかし、Ubuntuは特定のOSリリースで採用するPHPの系列を維持しながら、脆弱性を修正するコードを既存パッケージへ取り込む「バックポート」を実施しています。例えばUbuntu 22.04 LTSでは、PHPの表示バージョンが8.1.2系列であっても、Ubuntuが指定する8.1.2-1ubuntu2.28へ更新すれば今回の修正を受けられます。Ubuntu 20.04 LTSでPHP 7.4を利用する場合も、ESM対象の修正済みパッケージ7.4.3-4ubuntu2.29+esm5が公開されています。

したがって、php -vで確認した先頭のバージョン番号がPHP公式の8.2.35などに達していないことだけを理由に、Ubuntuの修正が未適用とは判断できません。逆に、Ubuntu上のPHP 7.4なら無条件で安全という意味でもありません。対象OS、パッケージ提供元、Ubuntu Proの利用資格、適用済みのパッケージリビジョンを確認する必要があります。

PHP2Shellの脆弱性の仕組みや、ホスティング事業者・WAF各社の対応は、php2shellの修正版公開と悪用試行をまとめた関連記事で詳しく整理しています。

Ubuntuでの更新方法と再起動の確認

Canonicalは、まずパッケージの更新を実施する方法を案内しています。

sudo apt update && sudo apt upgrade

PHPインタープリターに該当する導入済みパッケージの確認には、Ubuntu公式ブログが次のコマンドを示しています。

apt list '?installed ?name(^php[0-9.]+$)'

パッケージの修正適用を判断するときは、該当するphp8.3-fpmやlibapache2-mod-php8.3など、実際に動作しているコンポーネントの導入済みバージョンも確認し、USN記載の修正版と照合します。上記の簡易検索だけではPHP-FPMなど関連パッケージをすべて列挙できるとは限りません。

Apacheのmod_phpで動かす場合、Canonicalは更新後の再起動例として次の操作を挙げています。

sudo systemctl restart apache2

PHP-FPMであれば、実際に使用しているPHP-FPMサービスを再起動します。環境によってはシステムを再起動して修正済みプロセスへ切り替えます。業務システムでは、更新に伴う停止時間を確保し、再起動後にWebアプリケーションの動作と実行中のPHPを確認してください。

自動更新済みでもPHPプロセスが古いままの場合がある

Ubuntuは16.04 LTS以降でunattended-upgradesによるセキュリティ更新を既定で有効にしています。Canonicalは、この機能が有効なら修正パッケージは利用可能になってから通常24時間以内に自動適用されると説明しています。

ただし、インストールされたファイルが修正済みでも、動作中のApacheやPHP-FPMが更新前のコードを読み込んだままの場合があります。運用担当者は、パッケージ更新の成功履歴と、Webサーバー・PHP実行プロセスの再起動状況を分けて確認します。Ubuntu Pro／ESMを使用する旧LTS環境では、必要なサービスが有効で、該当するESMパッケージを取得できる状態かも確認対象です。

情報システム部門への示唆

今回のUbuntu向け修正は、PHPの開発元が更新を終了した旧系列についても、OSベンダーがセキュリティ修正を提供する場合があることを示しています。企業はWebサーバーの資産台帳で「PHP 7.4を使用」などのバージョン情報だけを確認するのではなく、UbuntuのOSリリース、PHPパッケージの入手元、Ubuntu Pro・ESMの契約状況まで組み合わせて適用可否を判断します。

旧OSを継続利用する場合、今回の修正が利用できてもOSとアプリケーションを長期にわたりそのまま使用してよいことを意味しません。ライフサイクルに合わせた移行計画と、当面の修正適用を分けて管理することが必要です。

出典

• php2shell (CVE-2026-109618 and CVE-2026-109619) – PHP critical vulnerability fixes available ― Canonical／Ubuntu（2026年10月21日）
• USN-8948-1: PHP vulnerabilities ― Ubuntu Security Notices（2026年10月21日）
• USN-8948-2: PHP vulnerabilities ― Ubuntu Security Notices（2026年10月21日）
• Security advisory: Critical remote code execution vulnerabilities, update now ― PHP開発チーム（2026年10月21日）