昨日ご案内いたしました PHP の重大な脆弱性（CVE-2026-109618 / CVE-2026-109619）につきまして、10/22 AM9:00 時点の対応状況をご報告いたします。
目次
現在の状況
- 弊社で実施可能なサーバ側の緩和設定は、すべてのサーバで適用済みです。
- 日本国外 IP からの POST リクエストの遮断（AWS WAF）は継続中です。
- 根本対策となる修正版 PHP パッケージは、AWS からの配信がまだ行われていないため、現時点では適用できておりません。AWS の公式発表では、Amazon Linux 向けの修正パッケージは 2026年10月22日（米国時間）の提供を目標としています。
- 旧プランまたは古い OS バージョンでご利用のサーバは、修正パッケージの適用が遅れる、または適用できない可能性があります（詳細は後述）。
経緯
PHP 公式は、10月21日 22時40分頃（日本時間）に修正版（PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35）を公開しました。
Amimoto Managed Hosting のサーバは Amazon Linux を使用しているため、修正版は AWS が提供する Amazon Linux 用パッケージとして配信される必要があります。AWS は 10月21日（米国時間）に本件のセキュリティ速報を公開し、Amazon Linux 向け更新パッケージの提供目標を 10月22日としています。米国時間が基準のため、日本時間では 10月22日午後〜10月23日午前になる見込みです。
参考：https://aws.amazon.com/jp/security/security-bulletins/2026-143-aws/
実施済みの対策
- サーバ側の緩和設定
- PHP 公式が暫定的な緩和策として示している設定（session.upload_progress.enabled = Off）を、全サーバに適用済みです。公式によれば、この設定は確認済みの攻撃経路の一部を塞ぐものであり、すべての経路を防ぐものではありません。
日本国外 IP からの POST 遮断- 昨日 19:00 より、AWS WAF で継続しております。当初は本日 10:00 までの予定でしたが、修正パッケージの適用が完了するまで延長いたします。解除の時期は、あらためてご連絡いたします。
旧プラン・古い OS バージョンをご利用のお客様へ
修正パッケージの提供状況は、サーバの OS バージョンによって異なります。
- Amazon Linux 2023 でご利用のサーバ
- AWS から修正パッケージが配信され次第、速やかに適用いたします。
- Amazon Linux 2 以前でご利用のサーバ
- OS のサポートが終了しているため、AWS から修正パッケージが提供されない、または大幅に遅れる可能性があります。また PHP 公式も、PHP 8.1 以前のバージョンについては公式の修正版リリースを行わないと発表しています。該当するサーバでは、緩和設定による暫定対応を継続しつつ、根本対策としてサポート中の OS・PHP バージョンへの移行が必要となります。移行については別途ご案内いたします。
- 旧プランでご利用のサーバ
- AWS WAF が構成されていないため、日本国外 IP からの POST 遮断は適用されておらず、緩和設定のみの対応となります。修正パッケージの提供状況は、上記の OS バージョンに準じます。
今後の予定
AWS から修正パッケージが配信され次第、昨日ご案内した基本方針のとおり、お客様への事前確認を待たずに弊社の判断で速やかに全サーバへ適用いたします。
作業時はメンテナンス画面への切り替えは行わず、サービス稼働中に実施いたします。PHP プロセスの再起動により、数秒〜数十秒程度の応答遅延やエラーが発生する可能性があります。適用完了後にあらためてご報告いたしますので、お問い合わせフォーム、会員ログイン、決済など業務上の機能について、お客様にて動作確認をお願いいたします。
現時点のリスク評価
修正版が適用できていないため、脆弱性が残存した状態であることは事実です。一方で、以下の点から、リスクは一定程度低減されていると判断しております。
- ・日本国外 IP からの POST 遮断により、自動化された無差別攻撃の大半を遮断できていると考えられること
- ・緩和設定により、確認済みの攻撃経路の一部が塞がれていること
- ・PHP 公式は、リスクが最も高い構成として mod_php を挙げており、Amimoto は PHP-FPM 構成であること（ただし、PHP-FPM も影響対象には含まれます）
ただし「これで安全」と断言できるものではありません。修正パッケージの配信を監視し、配信され次第、最優先で適用いたします。
ご注意
本脆弱性については、実際の攻撃が世界的に観測され始めています。サイトの表示異常、身に覚えのないファイルやユーザーの追加、管理画面の挙動の変化など、異常にお気づきの場合は速やかにご連絡ください。
作業中の緊急連絡先：info@digitalcube.jp