メインコンテンツに移動

PHP ウェブランタイム (CVE-2026-109618 および CVE-2026-109619)

これは現在継続中の問題です。情報は変更される場合があります。最新の修正パッチ適用情報については、この速報を参照してください。

速報 ID: 2026-143-AWS
スコープ: AWS
コンテンツタイプ: 重要 (対応が必要)
公開日: 2026 年 10 月 21 日 午後 2 時 30 分 (太平洋夏時間)
最終更新日: 2026 年 10 月 30 日 午後 1 時 15 分 (太平洋夏時間)

概要:

PHP ウェブランタイムにおいて、認証されていない攻撃者が影響を受けるシステム上でコードを実行できるようになる可能性がある 2 つの重大な問題 (CVE-2026-109618 と CVE-2026-109619) が特定されています。リモート発信者は、細工されたウェブリクエストを影響を受けた PHP ワーカーに送信して任意のコードを実行したり、プロセスでアクセス可能なデータを読み取ったり、サービス拒否を引き起こしたりする可能性があります。

AWS のサービスはこれらの問題の影響を受けません。以下に一覧表示されているサービス内で影響を受けたバージョンの PHP を使用しているお客様は影響を受ける可能性があるため、提供されるガイダンスを確認する必要があります。

影響を受けるバージョン:

  • PHP 8.5: 影響を受けるバージョン 8.5.0～8.5.11 · 最初の修正バージョン: 8.5.12
  • PHP 8.4: 影響を受けるバージョン 8.4.0～8.4.26 · 最初の修正バージョン: 8.4.27
  • PHP 8.3: 影響を受けるバージョン 8.3.0～8.3.35 · 最初の修正バージョン: 8.3.36
  • PHP 8.2: 影響を受けるバージョン 8.2.0～8.2.34 · 最初の修正バージョン: 8.2.35
  • PHP 5.4～8.1: アップストリームの修正はリリースされていません。サポート終了 (EOL) であり、修正の予定はありません。サポートされているブランチへの移行が必要です。

影響:

この問題では、インターネットから顧客アプリケーションの境界を介して、認証なしで攻撃者によるリモートアクセスが可能です。これにより、対象の PHP ワーカーにおけるコードの実行、プロセスからアクセス可能なデータへの意図しないアクセス、またはサービス拒否につながる可能性があります。この問題は影響を受けたワーカーとそのアプリケーションレベルのアクセス許可に限定されており、現時点では顧客間での伝播は確認されていません。

現在の緩和ステータス:

  • Amazon EMR: アプリケーションセットに Ganglia を含めて起動した Amazon EMR on EC2 クラスターは影響を受けます。具体的には、EMR リリース 4.2.0～5.29.0 および 5.30.0～6.15.0 です。Amazon EMR on EKS と Amazon EMR Serverless は、どのリリースでも影響を受けません。Amazon EMR on EC2 では、リリース 7.0.0 以降を実行しているクラスター、および Ganglia をインストールせずに起動したクラスターも影響を受けません。影響を受けたリリースでは、新しいクラスターを起動するお客様は、必要ではない Ganglia は省略する必要があります。可能な場合は、Ganglia が含まれなくなった EMR 7.x にアップグレードし、テレメトリとモニタリング用に Amazon CloudWatch Agent を使用する必要があります。

  • Amazon WorkMail: AWS は、設定レベルのコントロールを適用し、PHP 8.3.36 へのアップグレードを完了しています。お客様のアクションは必要ありません。

  • AWS Elastic Beanstalk: AWS は、サポートされているすべての PHP バージョン (8.2 から 8.5) の更新された PHP プラットフォームバージョンをリリースしました。これらにはアップストリームの PHP 修正が含まれています。マネージドプラットフォーム更新を有効にしているお客様は、次のメンテナンスウィンドウ中に自動的に更新を受け取ります。マネージドプラットフォーム更新を有効にしていないお客様は、ドキュメントに従って環境のプラットフォームバージョンを更新する必要があります。PHP 8.5/8.4 および PHP 8.3/8.2。

  • AWS Lambda: AWS Lambda はマネージド PHP ランタイムを提供していません。カスタムランタイムまたはコンテナイメージとして PHP をデプロイしたお客様は、関数で使用される PHP バージョンをご自身で更新する必要があります。パッチが適用された PHP リリースにできるだけ早くアップグレードし、関数を再デプロイすることをお勧めします。カスタムランタイムの構築と維持に関するガイダンスについては、AWS Lambda ドキュメントを参照してください。Lambda で PHP を実行するためにサードパーティの Bref プロジェクトを使用している場合、Bref では、パッチが適用された PHP バージョンを含む更新されたレイヤーと Docker イメージを搭載したセキュリティリリースが公開されています。更新手順については、Bref セキュリティリリースに従ってください。

  • Amazon Linux: すべてのリージョンで更新された PHP パッケージが利用可能です。Amazon Linux で PHP を実行しているお客様は、更新されたパッケージが利用可能になり次第、速やかに適用する必要があります。詳細については、Amazon Linux セキュリティセンター内の CVE-2026-109618 と CVE-2026-109619 を参照してください。

  • Amazon Lightsail: すべてのリージョンで、更新された Lightsail ブループリントが現在利用可能です。AWS は、実行中の Lightsail インスタンスをその場で更新することはできません。Lightsail で PHP ワークロードを実行しているお客様は、更新されたブループリントから新しいインスタンスを作成し、ドキュメントに従ってアプリケーションを移行する必要があります。

  • AWS CodeBuild: AWS は、2026 年 10 月 30 日から、PHP 8.2.35、8.3.36、8.4.27、および 8.5.12 で更新された CodeBuild のキュレートされたイメージをリリースします。プロジェクトが最新のキュレートされたイメージを使用しているお客様は、次回のビルドで更新を受け取ります。特別なアクションは必要ありません。特定のイメージバージョンをピン留めしているお客様は、最新のイメージバージョンに更新する必要があり、CodeBuild のキュレートされたイメージからカスタムイメージをビルドしているお客様は、それらを再ビルドする必要があります。PHP 8.1 以前はサポート終了 (EOL) しており、修正の予定はありません。buildspec でこれらのバージョンを選択しているお客様は、サポートされている PHP バージョンに移行する必要があります。
    CodeBuild はビルドサービスの一部として PHP サーバーを実行しません。これらの問題は PHP サーバーを開始するビルドにのみ関連しています。利用可能なイメージとランタイムバージョンについては、「Docker images provided by CodeBuild」を参照してください。

緩和のガイダンス:

  • パッチが適用された PHP リリースにすぐに更新することが唯一の完全な修正です: 8.5.12、8.4.27、8.3.36、または 8.2.35。以下の設定変更により、すぐに更新できないお客様の影響を軽減できる可能性がありますが、いずれも完全な緩和策ではありません。

  • 「セキュリティアドバイザリ」を参照してください: 重大なリモートコード実行脆弱性、追加の緩和策のために今すぐ更新してください。

  • サポート終了 (EOL) ランタイム 5.4～8.1: 有効な場合は CVE-2026-109619 の暫定的な設定コントロールを適用し、PHP ワーカーを再起動して、サポートされ修正済みの PHP ブランチへの移行をすぐに開始してください。CVE-2026-109618 の修正は、サポート終了 (EOL) ブランチでは使用できません。

  • AWS WAF を使用している場合の補完的コントロール:
    パッチ適用が唯一の完全な修正であり、お客様は PHP の更新を最優先事項として行う必要があります。フリートへのパッチ適用には時間がかかるため、このブログ記事を確認することをお勧めします。この記事では、AWS ウェブアプリケーションファイアウォール (AWS WAF) を使用して、その期間中の露出を減らす方法をご紹介しています。状況の変化に応じて、AWS WAF ガイドラインの変更が本ブログに反映されることにご留意ください。

    AWS では、CVE-2026-109618 と CVE-2026-109619 の両方に対する保護を追加するため、AWS WAF PHP マネージドルールグループを継続的に更新しています。デフォルトバージョンを使用しているお客様は、ご自身によるアクションなしで自動的に保護されます。特定のバージョンをピン留めしているお客様は、この保護を受けるために最新バージョンに更新する必要があります。最新バージョンと追加されたルールの詳細については、「AWS WAF マネージドルール変更履歴」を参照し、AWS マネージドルール SNS トピックにサブスクライブしてください。

参考情報:


セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com  まで E メールでお問い合わせください。