【重要】PHP の脆弱性（CVE-2026-109618、CVE-2026-109619）と AMIMOTO AMI での対応手順について

2026年10月21日に公開された PHP の脆弱性 2 件（CVE-2026-109618、CVE-2026-109619）について、AMIMOTO AMI をご利用のお客様向けに、対象と対応手順をご案内します。

いずれも PHP 内部のメモリの扱いに不備があり、悪用されるとリモートから任意のコードを実行されるおそれがあります。

概要

CVE	内容	深刻度	CVSS v3
CVE-2026-109618	メモリ不足（OOM）エラー処理の不備	Important	8.1（Amazon Linux）／ 9.8（NVD）
CVE-2026-109619	解放済みメモリを指すグローバル状態の不備	Important	8.1（Amazon Linux）／ 9.8（NVD）

• Amazon Linux 2023 版の AMIMOTO AMI をご利用のお客様：2 件をまとめて修正するアップデートが提供されています。お早めに適用してください。
• Amazon Linux 2 版の AMIMOTO AMI、または PHP 8.1 以前をご利用のお客様：修正版が提供されないため、最新の AMIMOTO AMI への移行が必要です（詳細は後述）。
• Amimoto Managed Hosting をご利用のお客様：弊社にて対応を進めておりますので、本記事の作業は不要です。

対象と修正版のアドバイザリ番号（Amazon Linux 2023 版）

アドバイザリ番号は、ご利用の PHP のバージョンによって異なります。各アドバイザリで、上記 2 件の脆弱性がまとめて修正されます。

PHP のバージョン	アドバイザリ番号	状況
PHP 8.5	ALAS2023-2026-3304	修正版あり
PHP 8.4	ALAS2023-2026-3303	修正版あり
PHP 8.3	ALAS2023-2026-3302	修正版あり
PHP 8.2	ALAS2023-2026-3301	修正版あり
PHP 8.1 以前	－	修正予定なし

Amazon Linux 2 版の AMIMOTO AMI、または PHP 8.1 以前をご利用のお客様へ

本記事の手順ではアップデートできません。Amazon Linux 2 は AWS のサポートが終了しており、PHP 8.1 以前には修正版が提供されない方針です。

最新の AMIMOTO AMI（Amazon Linux 2023 版）で新しい EC2 インスタンスを起動し、WordPress のファイルとデータベースを移行してください。

移行が完了するまでの間は、セキュリティグループなどで外部からのアクセスを必要最小限に制限するなど、暫定的な対策をご検討ください。

対応手順（Amazon Linux 2023 版の AMIMOTO AMI）

作業の前に、EC2 インスタンスのスナップショット（または AMI）を取得しておくことをおすすめします。

手順中の ALAS2023-XXXX-XXXX（アドバイザリ番号）は、ご利用の PHP のバージョンによって異なります。手順 2 のコマンドで表示された番号に置き換えて実行してください。

1. PHP のバージョンを確認する

php -v

2. 脆弱性に対応するアドバイザリを確認する

dnf updateinfo list --releasever=latest --cve CVE-2026-109618 --cve CVE-2026-109619

PHP 8.5 の場合の出力例：

ALAS2023-2026-3304 Important/Sec. php8.5-8.5.12-1.amzn2023.0.1.x86_64

ALAS2023-2026-3304 Important/Sec.php8.5-cli-8.5.12-1.amzn2023.0.1.x86_64
（以下略）

3. アップグレードを実行する

手順 2 で確認したアドバイザリ番号に置き換えて実行します。

dnf upgrade --releasever=latest --advisory ALAS2023-XXXX-XXXX

上記の出力例（PHP 8.5）の場合：

dnf upgrade --releasever=latest --advisory ALAS2023-2026-3304

4. PHP のバージョンを確認する

更新後のバージョンになっていることを確認します。

php -v

5. php-fpm を再起動する

systemctl restart php-fpm.service

再起動後、サイトの表示、管理画面へのログイン、お問い合わせフォームなど、主要な機能が正常に動作することをご確認ください。

参考情報

• Amazon Linux Security Center – CVE-2026-109618
• Amazon Linux Security Center – CVE-2026-109619
• ALAS2023-2026-3304（PHP 8.5）
• ALAS2023-2026-3303（PHP 8.4）
• ALAS2023-2026-3302（PHP 8.3）
• ALAS2023-2026-3301（PHP 8.2）