2026年11月11日時点で、PHPの重大な脆弱性（CVE-2026-109618・CVE-2026-109619、通称 php2shell）の修正を「配布済み・適用済み」と公式に告知しているのは確認した21社中21社（うち一部の版・サービスのみが2社）、「対応中」が0社、日時つきの「予定」だけの会社は0社、「未告知」が0社です。版番号は公式に書かれたものだけを表に載せています。脆弱性の内容はPHPの重大脆弱性php2shellの解説をご覧ください。
最終更新：2026年11月11日12:05（日本時間）。この記事は各社の公式発表だけをもとに毎日更新します。
悪用の状況：米国CISAは2026年10月26日（米国時間）、CVE-2026-109618・CVE-2026-109619を「悪用が確認された脆弱性」のカタログ（KEV）に追加し、対応期限を2026年10月29日としました（CISAの発表）。IPAは2026年10月27日時点で、国内での攻撃被害の事例は把握していないとしています。製品では、Palo Alto Networksが10月28日1:40（日本時間）の更新時点で、インターネットに公開されたPAN-OSの管理画面を狙った悪用を確認したと記載し、自社製品での深刻度をCriticalに引き上げています。同社の修正版（hotfix）は10月30日8:54の更新までに予定の20本がすべて公開されました（下の参考の表）。
【結論】
- レンタルサーバー10社：適用完了を告知＝エックスサーバー・シン・レンタルサーバー（PHP 5.1〜5.5も10月26日6:20に全サーバーで完了）・ConoHa WING・さくらのレンタルサーバ・ロリポップ！・お名前.com レンタルサーバー・mixhost・カラフルボックス・ヘテムル。CPIは8.2〜8.4に加え、PHP 7.4・8.0の修正版（7.4.34・8.0.30）も10月27日（ACE01）と10月29日（SV-Basic・ビジネス スタンダード・マネージドプランの一部）に適用し、提供予定だった版はすべて適用済みになりました。それより古い版は提供対象外で、緩和策や版の変更を案内しています。
- 版番号：ロリポップ！とヘテムルは8.2〜8.5に修正版（8.2.35／8.3.36／8.4.27／8.5.12）を、CPIは8.2.35／8.3.36／8.4.27と7.4.34（ACE01は8.0.30も）を適用したと明記。ConoHa WING・お名前.com レンタルサーバー・mixhostは版番号を変えずに修正を適用したため、表示は従来の番号（例：8.4.26）のままです。
- クラウド・Linux・配布物：Azure App Service・Google Cloud（Cloud Run・App Engine スタンダードなどのPHP 8.2以上）・Ubuntu・Debian・AlmaLinux・PHP公式・Docker公式イメージ・remirepoは配布済み。Red Hatは11月10日付でRHEL 9のphp:8.4の修正（RHSA-2026:97880）を公開し、配布済みになりました。AWS（Amazon EMRの一部のリリースは修正版の記載なし）・Rocky Linux（RHEL 9のphp:8.4に当たる修正が未公開）は一部が未配布です。PHP公式は10月23日に3件目の脆弱性（CVE-2026-115560）を告知し、次の定例リリースまで
session.upload_progress.enabled=0にするよう勧めています。
目次
対象の基準と「配布状況」の区分
WordPressの利用が多い国内のレンタルサーバーと、PHPを配布・提供する主な事業者の4グループです。これ以外の事業者・SNSの投稿・報道は対象外です（PHPを組み込んだ製品の影響を公表したCiscoとPalo Alto Networksは、表の後に参考として集計とは別に載せています）。
- 国内のレンタルサーバー（10社）：エックスサーバー、シン・レンタルサーバー、ConoHa WING、さくらのレンタルサーバ、ロリポップ！、お名前.com レンタルサーバー RS、mixhost、カラフルボックス、ヘテムル、CPI
- 主要クラウド・PaaS（3社）：AWS、Google Cloud、Microsoft Azure（App Service）。Cloudflareは対象外
- Linuxディストリビューション（5つ）：Red Hat、Ubuntu、Debian、AlmaLinux、Rocky Linux
- 公式PHPの配布物（3つ）：php.net、Docker公式イメージ php、remirepo
配布状況は、配布済み（提供中の版、または標準の提供経路で完了と告知）、一部配布済み（一部の版・サービスが完了し、残りは対応中か予定）、対応中（完了の記載がない）、予定（日時だけを告知）、未告知（お知らせ一覧に記載がない）、公式ページを取得できず（今回は0社）の6つで分けました。完了と書かれていても版番号がないものは「版番号の記載なし」としています。
PHP公式は「Linux distributions and LTS vendors received the patches in advance」（ディストリビューションとLTSベンダーは修正を事前に受け取っている）としています。前日に予告が出た理由は事前告知のしくみと前例で解説しています。
各社の対応状況一覧（2026年11月11日時点）
確認時刻はすべて日本時間で、「」内は各社の原文です。11月11日は、10月29日まで配布状況が「一部配布済み」「対応中」だった5社と、参考の2社（Cisco・Palo Alto Networks）、PHP公式、お名前.com レンタルサーバーを12:00に再確認しました。「配布済み」のうち、エックスサーバー・シン・レンタルサーバーは10月27日12:00、ほかの12社は10月23日の確認のままです。
国内のレンタルサーバー（10社）
| 事業者 | 対象サービス | 公式発表（掲載日時） | 配布状況（確認時刻） | 利用者がすること（公式案内） | 備考・確認した公式URL |
|---|---|---|---|---|---|
| エックスサーバー | エックスサーバー ほか | あり（10/22掲載・10/26 6:20の経過を追記） | 配布済み：PHP 8.2〜8.5は「対象となるすべてのサーバーを同じ系列の修正版に更新」、5.1〜8.1は「対象となるすべてのサーバーに修正パッチを適用」（版を変えずに対策）。5.1〜5.5は10/26 6:20に「対象となるすべてのサーバーへの修正パッチ適用が完了」（版番号の記載なし）（確認 10/27 12:00） | 5.6〜8.5の利用者は「急いでPHPバージョンを変更いただく必要はございません」。追加の対策が必要な場合は改めて案内 | 公式サイト・管理画面は10/22から順次再開。10/23 13:15の追記で管理画面へのアクセス集中を案内。xserver.ne.jp |
| シン・レンタルサーバー | シンレンタルサーバー・シンフリーサーバー | あり（エックスサーバー社の共通のお知らせ・10/22掲載・10/26 6:20の経過を追記） | 配布済み：PHP 8.2〜8.5は「対象となるすべてのサーバーを同じ系列の修正版に更新が完了」、5.1〜8.1は「対象となるすべてのサーバーに修正パッチの適用が完了」。5.1〜5.5は10/26 6:20に全サーバーで完了（版番号の記載なし）（確認 10/27 12:00） | 追加の対策が必要な場合は改めて案内 | 管理画面は再開（一部の機能はメンテナンス中）。shin-server.jp |
| ConoHa WING | ConoHa WING | あり（10/22・終報は20:45時点） | 配布済み：「サーバーへのセキュリティパッチの適用：完了」。提供中の全PHPバージョンに適用（版番号は従来のまま。例：8.4.26）（確認 11:52） | 不要（同社が今の版のまま適用） | 緊急メンテは10/22 20:45に終了。conoha.jp |
| さくらのレンタルサーバ | レンタルサーバ・マネージドサーバ | あり（10/22・13:45更新） | 配布済み：選べる全PHPバージョンで「対応を完了」（版番号の記載なし）（確認 11:50） | 「緊急の対応はございません」 | ウェブメールは10/22 13:45に対応完了、phpMyAdminは対応中。help.sakura.ad.jp |
| ロリポップ！ | ロリポップ！ ほか | あり（10/22・完了と経緯のご報告） | 配布済み：8.2〜8.5は修正版（8.2.35／8.3.36／8.4.27／8.5.12）、7.4〜8.1は公式の修正コード、5.3〜7.3は独自の修正を適用。サイトの表示は10/22 13時頃に再開（確認 11:52） | 全バージョンで一部の機能（session.upload_progress）が無効のため動作確認を依頼。8.2以降への切り替えを推奨 | 10/22 3:09頃から一部サーバーでサイトの表示を停止していた。lolipop.jp |
| お名前.com レンタルサーバー | ベーシック・RSプラン・AIホームページパック | あり（10/22・20:45時点） | 配布済み：「サーバーへのセキュリティパッチの適用：完了」。提供中の全PHPバージョンに適用（版番号は従来のまま。8.4は8.4.26）（確認 11/11 12:00） | 不要（同社が今の版のまま適用） | 当サイトの実測では10/22 15:57にRSプランの8.4の表示が8.4.21から8.4.26に変化（変更の手順）。onamae.com。共用サーバーGSプランについては11/5に「2026年10月24日をもって」対応完了と告知（PHP 8.4未満の利用者には8.4への変更を依頼。コントロールパネルは一時停止中で変更できない状態と記載）。onamae.com（GS） |
| mixhost | レンタルサーバー・アダルト・海外 | あり（10/22 11:37） | 配布済み：「10時18分頃にPHPの修正パッケージの適用を完了」。PHP 5.2〜8.5（版番号の記載なし）（確認 11:50） | 「必要な作業はございません」 | 版番号の表示は変わらないと記載。mixhost.jp |
| カラフルボックス | 共有・ビジネス・タダ・専用 | あり（10/22） | 配布済み：「10月22日朝までにすべて完了」。7.4〜8.1も適用（版番号の記載なし）（確認 11:50） | 版の変更は不要 | colorfulbox.jp |
| ヘテムル | ヘテムル | あり（10/21 19:44・10/22 18:05 完了と経緯のご報告） | 配布済み：8.2〜8.5は修正版（8.2.35／8.3.36／8.4.27／8.5.12）、7.4〜8.1は公式の修正コード、5.6〜7.3は独自の修正を適用（確認 11:53） | 全バージョンで一部の機能（session.upload_progress）が無効のため動作確認を依頼 | phpMyAdminは10/22 13:11頃に再開。heteml.jp |
| CPI | レンタルサーバーCPI | あり（10/29 19:00更新） | 配布済み：8.2〜8.4を使うプラン（SV-Basic・ビジネス スタンダード・CHM-11Z〜13Z・CHM-21Z〜23Z）は8.2.35／8.3.36／8.4.27を「適用済」（10/22）。7.4・8.0は、ACE01が「PHP 7.4.22 → 7.4.34」「PHP 7.4.28 → 7.4.34」「PHP 8.0.16 → 8.0.30」を10/27に、SV-Basic・ビジネス スタンダード・CHM-11Z〜13Z・CHM-21Z〜23Zが「PHP 7.4.28（ビジネス スタンダードは7.4.30） → 7.4.34」を10/29に「適用済」（10/29 16:30更新）。提供予定だった版はすべて適用済みで、「適用準備中」の版はなし。それ以外の版は今回のパッチの「提供対象外」（確認 11/11 12:00） | 修正を適用した版（8.2.35／8.3.36／8.4.27／7.4.34／8.0.30）の利用者は作業不要。ほかの版は修正を適用した版への切り替え（版が変わる場合は.htaccessの変更が必要）か、php.iniでの緩和策を検討するよう案内 | 管理画面などは10/22に再開、オンラインヘルプは10/23 16:00に再開。セキュアファイルマネージャー・Get a fileは10/30以降の見込み。10/28 18:30の更新で、ACE01（2011年10月〜2015年9月の契約）・ZZと、マネージドプランの一部（CHM-01Z〜03Z・CHM-01S〜03S・CHM01〜03・MG01〜05）の全PHPバージョンで、CPI側がphp.iniのデフォルト値を変更する緩和策を実施したと追記（利用者が置いたphp.iniの設定が優先される）。10/29 19:00の更新で、この緩和策の対象にACE01（2015年9月〜2019年9月の契約）・SV-Basic・ビジネス スタンダード・CHM-11Z〜13Z・CHM-21Z〜23Zの修正を適用していない版を追加。攻撃は「確認されておりません」。cpi.ad.jp |
クラウド・PaaS（3社）
| 事業者 | 対象サービス | 公式発表（掲載日時） | 配布状況（確認時刻） | 利用者がすること（公式案内） | 備考・確認した公式URL |
|---|---|---|---|---|---|
| AWS | AL2023・Beanstalk・Lightsail・WorkMail・EMR | あり：2026-143-AWS（10/22 6:30・10/31 5:15更新）、ALAS2023-2026-3301〜3304 | 一部配布済み：Amazon Linux 2023は8.2.35／8.3.36／8.4.27／8.5.12で、更新パッケージは全リージョンで提供。Beanstalk（8.2〜8.5）・Lightsail（全リージョン）・WorkMail（8.3.36）は更新済み。Amazon EMR on EC2 のGangliaを含むリリース（4.2.0〜5.29.0・5.30.0〜6.15.0）は影響ありとされ、修正版の記載はなし（EMR on EKS・EMR Serverless、7.0.0以降、Gangliaを入れていないクラスターは影響なし）。10/31 5:15の更新で、CodeBuildの公式イメージ（8.2.35／8.3.36／8.4.27／8.5.12）を10/30から順次提供と追記（確認 11/11 12:00） | AL2023は更新を適用。Lightsailは新しいブループリントで作り直す。EMRは不要ならGangliaを外して起動し、可能なら7.x系へ移行。CodeBuildで版を固定している場合は最新のイメージへ更新し、公式イメージから作った独自イメージは作り直す | 日本語版の一覧には未掲載。aws.amazon.com |
| Google Cloud | App Engine・Cloud Run ほか、Apigee | あり：GCP-2026-070（10/21・10/28更新）、GCP-2026-072（10/24・Apigee） | 配布済み：GCP-2026-070の10/28の更新で「For Cloud Run, Cloud Run functions, and Google App Engine Standard, all supported versions of PHP 8.2 and later are patched.」（Cloud Run・Cloud Run functions・App Engine スタンダードでは、サポート中のPHP 8.2以上のすべての版に修正を適用済み）と記載（確認 11/11 12:00） | 更新した依存関係で再デプロイする（「Take immediate protective action by redeploying your resources」）。自動更新が有効なApp Engine スタンダード・Cloud Runは自動で最新のPHPになる場合がある。自前のコンテナイメージは修正版で作り直す | 影響を「5.4 ～ 8.5」と記載。Google Cloudのブログは10/24 7:20に監視・修正の手引きを追記。GCP-2026-072は、Apigeeへの影響は「お客様がデプロイして運用する Drupal ベースの Apigee デベロッパー ポータルに限定」され、他のApigee製品はPHPを使わないため影響なしと記載。cloud.google.com |
| Microsoft Azure | App Service on Linux | あり：App Serviceチームのブログ（10/21） | 配布済み：8.2.35／8.3.36／8.4.27／8.5.12 を Latest・Standard に展開完了（確認 11:50） | Extendedは最後に適用されるため切り替えを推奨。カスタムコンテナは自分で更新 | サポート終了版は対象外。azure.github.io |
Linuxディストリビューション（5つ）
| 事業者 | 対象サービス | 公式発表（掲載日時） | 配布状況（確認時刻） | 利用者がすること（公式案内） | 備考・確認した公式URL |
|---|---|---|---|---|---|
| Red Hat | RHEL 8／9／10 | あり：RHSA 7件（10/22 0:53〜5:36）、延長サポート向けのRHSA（10/23付）、RHSB-2026-013 | 配布済み：RHEL 10は8.3.36・8.4.27、RHEL 9は8.2.35・8.3.36・8.0.30-8.el9_8.1、RHEL 8は8.2.35・7.4.33-8。10/23付で延長サポート（EUS・AUS・SAP向けなど）とRHEL 7 ELS（php-5.4.16-48.el7_9.1・CVE-2026-109619のみ）の修正も公開（10/25の確認でRHEL 9.6 EUSのphp:8.2〔RHSA-2026:88834〕の掲載も確認、10/26付でRHEL 9.6 EUSのphp:8.3〔RHSA-2026:89111〕も追加）。RHEL 9のphp:8.4も11/10付で修正を公開（RHSA-2026:97880。11/10までは「Affected」の表示）（確認 11/11 12:00） | 更新を適用 | access.redhat.com |
| Ubuntu（Canonical） | 14.04〜26.10 | あり：USN-8948-1・-2（10/21） | 配布済み：22.04は8.1.2-1ubuntu2.28、24.04は8.3.6-0ubuntu0.24.04.13、26.04は8.5.4-0ubuntu1.5、26.10は8.5.9-0ubuntu2.1（20.04以前はUbuntu Pro）（確認 11:50） | 通常のシステム更新 | ubuntu.com |
| Debian | 12・13 | あり：DSA-6574-1・DLA-4848-1 | 配布済み：12は8.2.35-1~deb12u1、13は8.4.27-1~deb13u1（確認 11:50） | 更新を適用 | 掲載日時の記載なし。security-tracker.debian.org |
| AlmaLinux | 8／9／10 | あり：公式ブログ（10/21） | 配布済み：全PHPストリームを本番リポジトリへ展開（10/22 6:15）（確認 11:56） | 更新後にphp-fpmを再起動し、rpm -q php-commonで照合 | 上流の版番号は変わらない。almalinux.org |
| Rocky Linux | 8／9／10 | あり：RLSA 7件（10/22 9:01〜21:01） | 一部配布済み：Rocky 10は8.4.27・8.3.36、9は8.2.35・8.3.36・8.0.30-8.el9_8.1、8は8.2.35・7.4.33-8。RHEL 9のphp:8.4（Red Hatは11/10付でRHSA-2026:97880を公開）に当たるRLSAはまだなし（確認 11/11 12:00） | 更新を適用 | Rocky 8のphp:8.2を10/22 21:01に追加。公式のerrata APIで確認。errata.rockylinux.org |
公式PHPの配布物（3つ）
| 事業者 | 対象サービス | 公式発表（掲載日時） | 配布状況（確認時刻） | 利用者がすること（公式案内） | 備考・確認した公式URL |
|---|---|---|---|---|---|
| PHP 公式（php.net） | ソース・Windows版 | あり（10/21）。3件目の告知（10/23 19:12） | 配布済み：8.5.12・8.4.27・8.3.36・8.2.35。7.4・8.0・8.1は最小限のソースバックポート（確認 11/11 12:00） | 修正版へ更新。3件目（CVE-2026-115560）は次の定例リリースまで session.upload_progress.enabled=0 にする（CVE-2026-109619の緩和策と同じ設定） | 3件目は条件が限られるとして臨時のリリースを出さず、次の定例のリリースで修正すると告知。10/26にはWindows版のビルド（8.5.12-1・8.4.27-1・8.3.36-1・8.2.35-1）を、同梱するBrotliの別の脆弱性（CVE-2026-111497）の修正で更新（php2shellとは別件）。php.net（10/21）・php.net（10/23） |
| Docker 公式イメージ php | library/php | 告知文なし | 配布済み：8.5.12（10/22 3:59）・8.2.35（6:59）・8.3.36（7:04）・8.4.27（7:09）のタグ（確認 11:50） | 修正版のタグで作り直す | 時刻はAPIの更新時刻。hub.docker.com |
| remirepo | rpms.remirepo.net | あり（10/22 21:58） | 配布済み：8.2.35・8.3.36・8.4.27・8.5.12のRPMをremi-modularリポジトリで公開（Fedora 43以上・Enterprise Linux 8以上）（確認 11:55） | 更新を強く推奨（the update is strongly recommended） | 時刻はブログの表記（UTC+2）を日本時間に換算。blog.remirepo.net |
参考：PHPを組み込んだ製品への影響（集計の対象外・2社）
PHPを配布する事業者ではありませんが、自社の製品が影響を受けるかを公表している機器メーカーです。上の21社の集計には含めていません。
| 事業者 | 対象製品 | 公式発表（掲載日時） | 影響と修正（確認時刻） | 利用者がすること（公式案内） | 備考・確認した公式URL |
|---|---|---|---|---|---|
| Cisco | Cisco製品（内部でPHPを使うもの） | あり：cisco-sa-php-october26-Jj384Daq（10/22 4:12・11/6 23:21更新のv1.11・最終版〔Final〕） | 影響あり：URWB・Unified Industrial Wireless Software（v1.11で修正版26.2.1.9が公開済みに。v1.10で予定を27.1.1から26.2.1.9に変更していた）、Expressway Series・Expressway Select Series（15.5.21）、Duo Access Gateway（3.2.0）、ISE Portal Builder（v1.10で「Fix deployed, no customer action required.」＝修正を展開済みで利用者の作業は不要）。v1.8で調査中の製品はなくなり、SD-AVC・SD-AVC Cloud Connector は影響なしと確認。v1.10でWebex Eventsを影響なしの一覧に追加（確認 11/11 12:00） | 影響製品はCiscoのバグID（CSCwx37073・CSCwx37062）で修正版と回避策を確認。URWBとExpresswayは回避策あり | 「The Cisco PSIRT is not aware of any malicious use」（悪用は把握していない）。URWBは管理者の認証が必要なためCVSS 6.6。一覧にない製品は影響なしとしている。sec.cloudapps.cisco.com |
| Palo Alto Networks | PAN-OS（12.2・12.1・11.2・11.1・10.2）。ほかの21製品は影響なし | あり：CVE-2026-109618（10/22 1:00・10/30 8:54更新） | 影響あり：修正版（hotfix）は予定の20本がすべて公開済み（12.2.4-h1、12.1.10-h3・12.1.7-h11・12.1.4-h13、11.2.16-h1・11.2.13-h4・11.2.10-h16・11.2.7-h23・11.2.4-h23、11.1.16-h4・11.1.13-h16・11.1.10-h36・11.1.7-h12・11.1.6-h40・11.1.4-h38、10.2.18-h13・10.2.16-h12・10.2.13-h27・10.2.10-h42・10.2.7-h39）。最後の5本は10/29 14:20、11.1.7-h12は10/30 8:54の更新で公開と記載。11.2.10-h16はPHPの修正のみで、Brotliの脆弱性の修正も含むのは11.2.10-h17とFAQに記載。10/28 1:40の更新で深刻度をCritical・緊急度をHighestに変更し、「Active exploitation has been observed targeting the Palo Alto Networks management interface exposed to the internet.」（インターネットに公開された管理画面を狙った悪用を確認）と記載（確認 11/11 12:00） | 修正版へ更新する。あわせてThreat PreventionのThreat ID 543004ほかを有効にし、管理画面へのアクセスを信頼できる内部のIPアドレスに限定する | 10/30 8:54の更新のFAQで、PHPの3件目の脆弱性（CVE-2026-115560）はPAN-OS（NGFW・Panorama）に影響しないとの分析を記載（ほかの製品は確認中）。CVSS v4.0は9.2 CRITICAL（管理画面をインターネットに公開）／7.7 HIGH（踏み台からのみ接続）／9.2（PHPとしての評価）。10/27までの「not aware of any malicious exploitation」（悪用は把握していない）の記載は、悪用を確認したとする記載に変わった。security.paloaltonetworks.com |
UTC・米国太平洋時間で書かれた時刻は、日本時間に換算しています。
自分の環境での確認方法
- レンタルサーバー：契約先のお知らせ（上の表の備考のURL）と管理画面で確認します。お名前.com レンタルサーバーで版を切り替える手順はお名前.comのPHPを7.4から8.4に変更する手順にまとめています。
- WordPress：管理画面の「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」でPHPのバージョンを確認できます。版番号を変えずに修正する会社（mixhost・ConoHa WING・お名前.com レンタルサーバー）もあるため、公式の告知と合わせて判断します。
- サーバーに入れる場合：
php -vで版を確認します。ディストリビューションのパッケージは修正を移植しても上流の版番号が変わらないことがあり、AlmaLinuxはphp -vに頼らずrpm -q php-commonで公式に掲載された版と照合するよう案内しています。更新後はPHP-FPM（mod_phpならApache）を再起動します。 - コンテナ：Docker公式イメージは 8.4.27 など修正版の番号を含むタグで取得し直し、コンテナを作り直します。Azure App Serviceは、SSHで
php --versionを実行して確認するよう案内しています。
更新履歴
- 2026年10月22日13:05：初版。21社の公式発表を 10月22日13:00前後（12:55〜13:03）に確認
- 2026年10月23日12:00：21社を10月23日11:50〜11:56に再確認。5社の配布状況を更新（ConoHa WING: 対応中→配布済み、ロリポップ！: 対応中→配布済み、お名前.com レンタルサーバー: 未告知→配布済み、CPI: 対応中→一部配布済み、remirepo: 未告知→配布済み）。配布状況は同じで記載を更新6社（エックスサーバー・シン・レンタルサーバー: 8.2〜8.5完了→5.6〜8.5完了、さくらのレンタルサーバ: ウェブメール対応完了、ヘテムル: 適用した版番号を追記、AWS: Beanstalk・Lightsail・WorkMail更新済み、Rocky Linux: Rocky 8のphp:8.2を追加）。変化なし10社。IPAの注意喚起（10月22日公開）を参考に追加
- 2026年10月24日12:10：配布状況が「一部配布済み」「対応中」の7社を10月24日12:00に再確認。配布状況の変化なし。記載を更新5社（エックスサーバー・シン・レンタルサーバー: PHP 5.1〜5.5も過半数のサーバーで適用完了、CPI: オンラインヘルプ再開、AWS: Amazon Linuxを全リージョンで提供・EMRの記載を追加、Red Hat: 延長サポート向けの修正を追加）。変化なし2社（Google Cloud・Rocky Linux）
- 2026年10月25日12:05：配布状況が「一部配布済み」「対応中」の7社を10月25日12:00に再確認。配布状況の変化なし。記載を更新2社（CPI: PHP 7.4・8.0の修正版を10月27日・29日に提供予定と追記〔10月24日17:40更新〕、Red Hat: RHEL 9.6 EUS向けのphp:8.2の修正を追加）。変化なし5社（エックスサーバー・シン・レンタルサーバー・AWS・Google Cloud・Rocky Linux）
- 2026年10月25日22:50：Google CloudとPHP公式を10月25日22:45に再確認。配布状況の変化なし。記載を更新2社（Google Cloud: GCP-2026-072〔10月24日公開・影響は利用者が運用するDrupalベースのApigeeデベロッパー ポータルに限る〕を追加、PHP公式: 10月23日の3件目〔CVE-2026-115560〕の告知を追記）。参考として、PHPを組み込んだ製品への影響を公表したCisco（v1.6）とPalo Alto Networks（PAN-OS）を集計とは別に追加
- 2026年10月26日12:05：配布状況が「一部配布済み」「対応中」だった7社と参考の2社を10月26日12:00に再確認。2社の配布状況を更新（エックスサーバー: 一部配布済み→配布済み、シン・レンタルサーバー: 一部配布済み→配布済み〔PHP 5.1〜5.5も10月26日6:20に全サーバーで適用完了〕）。変化なし5社（CPI・AWS・Google Cloud・Red Hat・Rocky Linux）。参考の2社（Cisco・Palo Alto Networks）も変化なし
- 2026年10月27日12:04：「一部配布済み」「対応中」の5社と前日に配布済みになった2社、参考の2社を10月27日12:00に再確認。21社の配布状況は変化なし（CPIの7.4・8.0の提供予定〔10/27・10/29〕は12:00時点で告知の更新なし）。参考の2社を更新（Cisco: v1.6→v1.7〔調査中11製品→4製品〕、Palo Alto Networks: 公開済みの修正版 3→9）。PHP公式: 10/26のWindows版ビルド更新（Brotli・別件）を備考に追記
- 2026年10月27日22:55：CPIの10月27日15:10の更新を反映（ACE01のPHP 7.4・8.0に7.4.34・8.0.30を10月27日に適用済み。配布状況は一部配布済みのまま）。米国CISAが10月26日にCVE-2026-109618・CVE-2026-109619をKEVに追加したこと（対応期限10月29日）と、IPAの10月27日の更新を冒頭に追記
- 2026年10月28日12:03：「一部配布済み」「対応中」の5社と参考の2社、PHP公式を10月28日12:00に再確認。21社の配布状況は変化なし（CPIの他プランの7.4は10月29日の予定のまま）。Red Hat: RHEL 9.6 EUSのphp:8.3（RHSA-2026:89111・10月26日付）を追記。参考の2社を更新（Palo Alto Networks: 管理画面を狙った悪用を確認・深刻度をCriticalに変更・公開済みの修正版 9→11〔12.2.4-h1・12.1.7-h11〕、Cisco: v1.7→v1.8〔最終版・調査中4製品→0、ISE Portal BuilderとUnified Industrial Wireless Softwareを影響ありへ〕）
- 2026年10月29日12:10：「一部配布済み」「対応中」の5社と参考の2社、PHP公式を10月29日12:00に再確認。21社の配布状況は変化なし（CPIの他プランの7.4は10月29日の予定のまま・12:00時点で未更新）。CPI: 10月28日18:30の更新で一部のプランにphp.iniの緩和策を実施したと追記。参考の2社を更新（Palo Alto Networks: 公開済みの修正版 11→14〔11.2.16-h1・11.2.13-h4・11.2.7-h23〕、Cisco: v1.8→v1.9〔URWB・Unified Industrial Wireless Softwareの修正版27.1.1を2027年3月→2026年11月に前倒し〕）
- 2026年10月30日12:05：前日まで「一部配布済み」「対応中」だった5社と参考の2社、PHP公式を10月30日12:00に再確認。2社の配布状況を更新（CPI: 一部配布済み→配布済み〔SV-Basic・ビジネス スタンダードなどの7.4に7.4.34を10月29日に適用し、提供予定だった版はすべて適用済み〕、Google Cloud: 対応中→配布済み〔10月28日の更新でCloud Run・Cloud Run functions・App Engine スタンダードのPHP 8.2以上に修正を適用済みと記載〕）。CPI: 10月29日19:00の更新でphp.iniの緩和策の対象を追加。変化なし3社（AWS・Red Hat・Rocky Linux）。参考の2社を更新（Palo Alto Networks: 公開済みの修正版 14→20〔予定の全版〕・PAN-OSはCVE-2026-115560の影響なしとFAQに追記、Ciscoはv1.9のまま変化なし）
- 2026年10月31日12:06：10月29日まで「一部配布済み」「対応中」だった5社と参考の2社、PHP公式を10月31日12:00に再確認。21社の配布状況は変化なし。AWS: 10月31日5:15の更新でEMRの影響範囲（4.2.0〜5.29.0・5.30.0〜6.15.0、EMR on EKS・Serverlessは影響なし）とCodeBuildの公式イメージの提供（10月30日から）を追記、EMRの修正版の記載はないまま一部配布済み。変化なし4社（CPI・Google Cloud・Red Hat・Rocky Linux）。参考の2社: Cisco v1.9→v1.10〔URWB・Unified Industrial Wireless Softwareの修正版を27.1.1→26.2.1.9（2026年11月）に変更、ISE Portal Builderは修正を展開済み〕、Palo Alto Networksは変化なし）
- 2026年11月1日12:20：10月29日まで「一部配布済み」「対応中」だった5社と参考の2社、PHP公式を11月1日12:00に再確認。21社の配布状況は変化なし（AWS・CPI・Google Cloud・Red Hat・Rocky Linuxとも前回から更新なし）。参考の2社（Cisco v1.10・Palo Alto Networks）も変化なし
- 2026年11月2日12:01：10月29日まで「一部配布済み」「対応中」だった5社と参考の2社、PHP公式を11月2日12:00に再確認。21社の配布状況は変化なし（AWS・CPI・Google Cloud・Red Hat・Rocky Linuxとも前回から更新なし）。参考の2社（Cisco v1.10・Palo Alto Networks）も変化なし
- 2026年11月3日12:15：10月29日まで「一部配布済み」「対応中」だった5社と参考の2社、PHP公式を11月3日12:00に再確認。21社の配布状況は変化なし（AWS・CPI・Google Cloud・Red Hat・Rocky Linuxとも前回から更新なし）。参考の2社（Cisco v1.10・Palo Alto Networks）も変化なし
- 2026年11月4日12:20：10月29日まで「一部配布済み」「対応中」だった5社と参考の2社、PHP公式を11月4日12:00に再確認。21社の配布状況は変化なし（AWS・CPI・Google Cloud・Red Hat・Rocky Linuxとも前回から更新なし）。参考の2社（Cisco v1.10・Palo Alto Networks）も変化なし
- 2026年11月5日12:40：10月29日まで「一部配布済み」「対応中」だった5社と参考の2社、PHP公式を11月5日12:00に再確認。21社の配布状況は変化なし（AWS・CPI・Google Cloud・Red Hat・Rocky Linuxとも前回から更新なし）。参考の2社（Cisco v1.10・Palo Alto Networks）も変化なし
- 2026年11月6日12:30：10月29日まで「一部配布済み」「対応中」だった5社と参考の2社、PHP公式を11月6日12:00に再確認。21社の配布状況は変化なし（AWS・CPI・Google Cloud・Red Hat・Rocky Linuxとも前回から更新なし）。お名前.com レンタルサーバーの備考に、共用サーバーGSプランの対応完了の告知（11月5日掲載）を追記。参考の2社（Cisco v1.10・Palo Alto Networks）も変化なし
- 2026年11月7日12:50：10月29日まで「一部配布済み」「対応中」だった5社と参考の2社、PHP公式、お名前.com レンタルサーバーを11月7日12:00に再確認。21社の配布状況は変化なし（AWS・CPI・Google Cloud・Red Hat・Rocky Linuxとも前回から更新なし）。参考のCiscoはv1.11（11月6日23:21更新）でURWB・Unified Industrial Wireless Softwareの修正版26.2.1.9が公開済みになったため該当セルを更新。Palo Alto Networksは変化なし
- 2026年11月8日12:50：10月29日まで「一部配布済み」「対応中」だった5社と参考の2社、PHP公式、お名前.com レンタルサーバーを11月8日12:00に再確認。21社の配布状況は変化なし（AWS・CPI・Google Cloud・Red Hat・Rocky Linuxとも前回から更新なし。Rocky Linux は一覧の取得が途中で切れたため前回の確認内容のまま）。参考の2社（Cisco v1.11・Palo Alto Networks）も変化なし
- 2026年11月9日12:03：10月29日まで「一部配布済み」「対応中」だった5社と参考の2社、PHP公式、お名前.com レンタルサーバーを11月9日12:00に再確認。21社の配布状況は変化なし（AWS・CPI・Google Cloud・Red Hatとも前回から更新なし。Rocky Linux は一覧の取得が途中で切れたため前回の確認内容のまま）。参考の2社（Cisco v1.11・Palo Alto Networks）も変化なし
- 2026年11月10日12:04：10月29日まで「一部配布済み」「対応中」だった5社と参考の2社、PHP公式、お名前.com レンタルサーバーを11月10日12:00に再確認。21社の配布状況は変化なし（AWS・CPI・Google Cloud・Red Hatとも前回から更新なし。Rocky Linux は公式の一覧の取得が途中で切れたため、オランダNCSCの一覧〔11月9日更新〕でRLSA 7件のままであることを確認）。参考の2社（Cisco v1.11・Palo Alto Networks）も変化なし
- 2026年11月11日12:05：10月29日まで「一部配布済み」「対応中」だった5社と参考の2社、PHP公式、お名前.com レンタルサーバーを11月11日12:00に再確認。1社の配布状況を更新（Red Hat: 一部配布済み→配布済み〔「Affected」のままだったRHEL 9のphp:8.4に、11月10日付で修正RHSA-2026:97880を公開〕）。Rocky Linux は公式のerrata APIでRLSA 7件のまま（RHEL 9のphp:8.4に当たるRLSAはまだなし）。変化なし3社（AWS・CPI・Google Cloud）。参考の2社（Cisco v1.11・Palo Alto Networks）も変化なし
よくある質問
レンタルサーバーを使っている場合、自分で何かする必要はありますか？
会社によって違います。さくらのレンタルサーバとmixhostは利用者の作業は不要、ConoHa WING・お名前.com レンタルサーバー・カラフルボックスはPHPのバージョン変更は不要と案内しています。ロリポップ！とヘテムルは全バージョンで一部の機能（session.upload_progress）を無効にしたため、サイトの動作確認を依頼しています。CPIは、PHP 7.4・8.0の修正版（7.4.34・8.0.30）を10月27日（ACE01）と10月29日（SV-Basic・ビジネス スタンダードなど）に適用し、提供予定だった版はすべて適用済みになりました。修正を適用した版の利用者は作業不要で、提供対象外の版の利用者には、php.iniでの緩和策か適用済みの版への変更を検討するよう案内しています。修正を適用していない版の多くでは、CPI側がphp.iniのデフォルト値を変更する緩和策も実施しています（10月28日18:30・10月29日19:00の更新）。
PHPのバージョン表示が修正版より前の番号のままです。修正されていないのですか？
表示だけでは判断できない場合があります。mixhost・ConoHa WING・お名前.com レンタルサーバーはPHPのバージョン番号を変えずに修正を適用したと案内し（例：8.4は8.4.26のまま）、AlmaLinuxも上流の版番号は変わらないとしています。契約先や配布元の公式発表で、適用済みかどうかを確認してください。
PHP 8.1以前を使っていても修正されますか？
PHP公式は8.1以前の更新版を出しておらず、7.4・8.0・8.1向けには最小限のソースバックポートだけを公開しています。旧バージョンへの修正の適用を告知している会社（エックスサーバー・シン・レンタルサーバー・ConoHa WING・ロリポップ！・お名前.com レンタルサーバー・mixhost・カラフルボックス・ヘテムル）もあります。一方、CPIは7.4・8.0の修正版を10月27日（ACE01）と10月29日（SV-Basicなどほかのプランの7.4）に適用済みで、それより古い版は提供対象外として緩和策や版の変更を案内しています。契約先の案内を確認し、サポート中の版への移行も検討してください。
この一覧はいつ更新されますか？
毎日更新します。各社の公式発表だけを確認し、変わった点は「更新履歴」に日時つきで記録します。
あわせて読みたい：Node.js の2026年10月のセキュリティリリース（10件）の解説
あわせて読みたい：モスカードWebチャージの一時停止（10/22）と、別件のモスカード情報流出
あわせて読みたい：AI が見つける脆弱性は増えている？（PHP2Shell の例）
あわせて読みたい：Brotli の脆弱性（HTTP2Shell）はレンタルサーバー各社の告知なし（2026年10月28日時点）
あわせて読みたい：NAS・ファイアウォール・クラウドなど製品ごとの影響一覧（毎日更新）
まとめ
- 2026年11月11日時点で、確認した21社のすべてが修正の配布・適用を告知しています（うち2社〔AWS・Rocky Linux〕は一部のみ）。
- 国内のレンタルサーバーは10社すべてが完了を告知しています（CPIは提供対象外の古い版に緩和策を案内）。
- 版番号の表示が変わらない修正もあるため、表示だけでなく契約先・配布元の公式発表で確認します。
- この一覧は毎日更新します。脆弱性そのものの解説はPHPの重大脆弱性php2shellは自分のサイトも対象？をご覧ください。
参考（確認日：2026年10月22日〜11月11日・時刻は日本時間）
各社のお知らせは表の「備考・確認した公式URL」にリンクしています。ほかに確認した公式ページは次のとおりです。
- IPA（情報処理推進機構）：PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)（2026年10月22日公開・27日更新）（10月23日11:50・10月27日22:55）
- CISA：CISA Adds Two Known Exploited Vulnerabilities to Catalog（2026年10月26日）（10月27日22:55）
- PHP公式：セキュリティアドバイザリ（2026年10月21日）（12:55）
- PHP公式：Informational advisory: Session upload progress（CVE-2026-115560・2026年10月23日）（10月25日22:45）
- AWS：Amazon Linux 2023 Security Advisories（ALAS2023-2026-3301〜3304）（12:55）
- Google Cloud：Responding to core PHP vulnerabilities（12:58）
- Red Hat：RHSB-2026-013（12:58）
- Ubuntu：USN-8948-1（13:00）
- Ubuntu：USN-8948-2（13:00）
コメント