AlmaLinux・RHEL・Rocky Linux の PHP アップデートで PHP2Shell を修正する

AlmaLinux・RHEL・Rocky Linux は PHP2Shell の影響を受けますか？

受けます。Red Hat の告知 RHSB-2026-013 は RHEL 8・9・10 を影響ありとし、RHEL 7 以前の PHP は影響を受けないとしています。AlmaLinux と Rocky Linux は RHEL 互換なので、同じストリームが対象です。Red Hat の深刻度は「Important」で、標準構成は mod_php ではなく PHP-FPM だと説明していますが、Web で動く PHP はすべて更新が必要です。PHP 本家の修正版は次のとおりです。

RHEL 系のパッケージは古い番号のまま修正を取り込むことが多いため、PHP の番号ではなくパッケージのバージョンで判断します。表の番号より低くても、配布元の告知にある修正済みパッケージ以上なら修正は入っています。

サーバーの PHP パッケージはどう確認しますか？

パッケージ管理ツールで確認します。AlmaLinux の告知では rpm -q php-common（AlmaLinux 10 の PHP 8.4 は rpm -q php8.4-common）を使い、EL 8・9 では dnf module list php で有効なストリームが分かります。php -v はコマンドライン（CLI）の PHP しか示さず、バックポートでは番号も変わりません。Web サイトは Remi の SCL など別の PHP で動いていることもあるので、WordPress のサイトヘルスや一時的な php_sapi_name() で Web 側を確認します（PHP-FPM なら fpm-fcgi）。詳しくは PHP バージョンの確認方法へ。

Red Hat・AlmaLinux・Rocky の修正は出ていますか？

ほぼ出ています（2026年10月21日、Rocky は UTC で22日未明）。次のバージョン以上を入れてください。

AlmaLinux はサポート終了済みの EL 8 の php:7.2・7.3・8.0 と EL 9 の php:8.1 も修正しています。正確なバージョン文字列は AlmaLinux の告知、Red Hat の CSAF データ、Rocky のエラータで確認できます。

Remi リポジトリ： 10月21〜22日に 8.2.35・8.3.36・8.4.27・8.5.12 を remi-modular（モジュール）と remi-safe（php82〜php85 の SCL）に公開しています（EL 9 の一覧）。7.4.33-31・8.0.30-21・8.1.34-6 の変更履歴には両 CVE への「Mitigation fix」が記載されています。2026年10月22日 時点で Remi のブログに告知記事はありません。

どの手順で更新すればいいですか？

1. AlmaLinux の告知どおり sudo dnf clean metadata && sudo dnf upgrade 'php*' を実行します。php* は php83-php-fpm など Remi の SCL も含みます。
2. testing リポジトリを有効にしていた場合は sudo dnf config-manager --disable almalinux-testing で無効に戻します。
3. rpm -q php-common で上の表と照らし合わせます。

Red Hat のエラータには、更新方法の一般的な手順へのリンクがあります。RHEL 9 の php:8.4 は修正パッケージがまだないため、修正済みのストリームへ移るか、下の暫定策を使います。更新は、PHP-FPM の再起動まで済ませて初めて有効になります。サーバーが複数ある場合や、同じサーバーに複数の PHP が入っている場合は、Web サイトが実際に使っているものすべてを更新してください。

PHP-FPM の再起動と確認は？

sudo systemctl restart php-fpm で PHP-FPM を再起動し、mod_php を使う場合（AlmaLinux 8 のみ）は sudo systemctl restart httpd も実行します。mod_php の有無は httpd -M 2>/dev/null | grep -E 'mpm_|php' で分かります。Remi の SCL の FPM も再起動し、Web 側の PHP を確認してから PHP バージョンチェッカーで判定します。

すぐに更新できない場合は？

/etc/php.d/ の設定ファイルで session.upload_progress.enabled を無効にする、post_max_size を下げるといった PHP 公式の暫定策があります。特定の経路を防ぐだけなので、暫定対策のページで限界を確認してください。

php:7.4・8.0・8.1 など古いストリームは？

AlmaLinux は今回サポート終了済みのストリームも修正しましたが、今後の修正は保証しないとしています。PHP 本家も 7.4・8.0・8.1 はソースパッチのみです。sudo dnf module reset php、sudo dnf module enable php:8.2、sudo dnf distro-sync 'php*' で移行を計画してください。PHP のサポート終了、PHP2Shell の対処法、PHP2Shell チェッカーも参照してください。