PHP2Shell と AWS：EC2・Lightsail・Elastic Beanstalk・AWS WAF での対応

AWS は PHP2Shell の影響を受けますか？

AWS のセキュリティ情報 2026-143-AWS によると、AWS のサービス自体は影響を受けませんが、利用者が AWS 上で動かしている PHP は対象です。PHP2Shell（CVE-2026-109618・CVE-2026-109619）は PHP 本体の脆弱性なので、修正前の PHP で Web リクエストを処理している EC2、Lightsail、Elastic Beanstalk、コンテナはすべて含まれます。誰が修正するかはサービスによって違います。

Elastic Beanstalk ではどうしますか？

環境を修正済みの PHP プラットフォームに更新します。AWS は 2026年10月21日に PHP プラットフォーム 4.13.12 を公開し、PHP 本家の修正を含む次のリリースを 10月22日に予定していると案内しています。マネージドプラットフォーム更新を有効にしていれば、次のメンテナンス時間に自動で適用されます。有効にしていない場合は、Elastic Beanstalk コンソールで環境のプラットフォームバージョンを更新してください。手順はセキュリティ情報からリンクされています。

Lightsail ではどうしますか？

更新済みのブループリントから新しいインスタンスを作り、サイトを移します。AWS は稼働中の Lightsail インスタンスをその場で更新できないとしており、更新済みのブループリントを 10月21日に公開する予定だと案内しています。サイトとデータベースをバックアップし、新しいインスタンスを作って移行し、PHP のバージョンを確認してから切り替え、古いインスタンスを停止します。

EC2・Amazon Linux ではどうしますか？

インスタンス上の PHP パッケージを更新し、PHP を再起動します。EC2 では OS を利用者が管理します。

• Amazon Linux：AWS は更新済みの PHP パッケージを 10月22日に予定しています。Amazon Linux Security Center で CVE-2026-109618 と CVE-2026-109619 を確認し、公開されたら更新して PHP-FPM か Apache を再起動します。
• Ubuntu・Debian：Ubuntu での PHP 更新をご覧ください。修正が取り込まれても PHP の番号は変わらないことがあるため、パッケージのバージョンで確認します。
• ECS・EKS のコンテナ：修正済みの PHP でイメージを作り直してデプロイします。Docker の PHP イメージをご覧ください。

更新後は、サイトで実際に動いている PHP を PHP2Shell チェッカーで確認してください。PHP 本家の修正版は次のとおりです。

PHP 8.1 以前には新しいリリースは出ず、AWS もサポート中の系列への移行が必要としています。PHP サポート終了版と php2shellをご覧ください。

AWS WAF は PHP2Shell にどう効きますか？

更新するまでの間、既知の攻撃パターンを止められます。AWS のセキュリティ情報は次の二つを案内しています。

• CVE-2026-109618 向け：AWS WAF のコアルールセットにある SizeRestrictions_BODY ルール。8KB を超えるリクエスト本文を止めます。
• CVE-2026-109619 向け：PHP_SESSION_UPLOAD_PROGRESS と PHPSESSID を含む POST リクエストを止めるカスタムルール。

本文サイズのルールは大きなフォームやアップロードも止めるため、先に試してください。AWS はどちらも完全な対策ではないとしています。ほかの WAF との比較は PHP2Shell と WAF にまとめています。

今日すぐに更新できない場合は？

CVE-2026-109618 回避策の PHP 公式の暫定対策と AWS WAF を組み合わせ、可能ならサイトへのアクセスを絞ってください。どれも更新の代わりにはなりません。PHP を更新したら、侵害の確認方法で更新前の侵入がないか確認してください。