重要ポイント
- 何が起きたか: 10月22日朝にお伝えした PHP の RCE 脆弱性2件(CVE-2026-109618・CVE-2026-109619)の修正版が、Amazon Linux 2023 にも届きました
- 対象: AL2023 の php8.2・php8.3・php8.4・php8.5(php8.1 は修正の予定なし)
- 深刻度: AWS の重大度は Important(上流の CVSS は 9.2)
- 対処:
sudo dnf update php*で修正版にし、PHP-FPM や Apache を再起動する - 公開: 2026年10月22日(ALAS2023-2026-3301〜3304)
バージョンと対処(まずここを確認)
| 製品(AL2023) | ALAS | 修正版のパッケージ |
|---|---|---|
| php8.2 | ALAS2023-2026-3301 | ALAS で確認(上流の修正は 8.2.35) |
| php8.3 | ALAS2023-2026-3302 | php8.3-8.3.36-1.amzn2023.0.1 |
| php8.4 | ALAS2023-2026-3303 | php8.4-8.4.27-1.amzn2023.0.1 |
| php8.5 | ALAS2023-2026-3304 | php8.5-8.5.12-1.amzn2023.0.1 |
| php8.1 | なし | 修正の予定なし(No Fix Planned) |
対処: sudo dnf check-update --security で確認し、sudo dnf update php* で更新します。そのあと sudo systemctl restart php-fpm(Apache の mod_php なら httpd)で反映します。
確認: rpm -q php8.3 のように使っている系列を調べ、上の表のバージョン以上であることを確かめます。cat /etc/amazon-linux-release でリリースも確認できます。
概要
10月22日にお伝えした PHP の修正が、Amazon Linux 2023 にも届きました。AWS の CVE ページでは、2件とも php8.2〜8.5 が Fixed になっています。php8.1 は「修正の予定なし」なので、使っている場合は新しい系列への移行を検討してください。
影響と対処
影響を受けるもの
AL2023 の php8.2・php8.3・php8.4・php8.5 のパッケージが対象です。2件とも、メモリ処理の不具合から、リモートでコードを実行される可能性があります。
対処方法
上の表の修正版へ更新してください。修正が入るのは PHP のパッケージだけなので、更新後は PHP を動かしているサービスの再起動が必要です。
php8.1 を使っている場合
AWS は php8.1 を「修正の予定なし」としています。php8.3 以降の系列へ移行してください。
対応チェックリスト
- 使っている PHP の系列を
rpm -qで確認する sudo dnf update php*で修正版にする- PHP-FPM(または httpd)を再起動する
- php8.1 を使っているなら、新しい系列への移行を計画する
出典
- ALAS2023-2026-3303(php8.4)(AWS・2026年10月22日)
- ALAS2023-2026-3302(php8.3)(AWS・2026年10月22日)
- ALAS2023-2026-3304(php8.5)(AWS・2026年10月22日)
- CVE-2026-109618(AWS)
