HN 日本語サマリー

← 一覧へ戻る
セキュリティ

AWS、PHPのRCEを重要と評価 Amazon Linux 2023のパッチ適用に20日かかる可能性

AWS rates PHP RCE as Important so Amazon Linux 2023 patch may take 20 days (github.com)

107 pointsby hayd26 コメント

要約

Amazon Linux 2023における深刻なPHPの脆弱性（CVE 2026-109618、CVE-2026-109619、CVSS v4.0 9.2）に対するアップデート要求に関するGitHub Issueです。開発チームは対応中ですが、公式のパッチ提供が翌日以降となり、コミュニティからは対応の遅さとコミュニケーション不足に対する懸念が表明されています。

全文翻訳

[パッケージアップデートリクエスト] - PHP CVE 2026-109618 および CVE-2026-109619 #1148

コピーリンク

コピーリンク

開く

開く

［パッケージアップデートリクエスト］ - PHP CVE 2026-109618 および CVE-2026-109619#1148

コピーリンク

説明

［画像: @MrTschi］

MrTschi

2026年10月21日に投稿

Issueの本文アクション

PHPは本日（2026年10月21日）にクリティカルなセキュリティアップデートをリリースします。
https://www.php.net/archive/2026.php#2026-10-20-1
このアップデートは2つのクリティカルなCVEを修正します。

  • CVE 2026-109618
  • CVE-2026-109619
    両方ともCVSS v4.0で9.2と評価されています。

アップデートが利用可能になり次第、AmazonLinux2023のPHPバージョンを迅速にアップデートしてください。

リアクションは現在利用できません

アクティビティ

次へ

  1. alexey-tsvetnov が 2026年10月21日にコメント

    ［画像: @alexey-tsvetnov］

    alexey-tsvetnov

    2026年10月21日に投稿

    メンバー

    その他のアクション

    @MrTschi、報告ありがとうございます！
    これらのクリティカルなCVEは認識しており、できるだけ早くアップデートを提供するために積極的に取り組んでいます。

    MrTschi、seunghyeong-kim、Aaron Parker、Aprian、t2-yoshida、Aled Parry、Ant Weedon、Thijs Gillebaart、luis-grasple、st-man-hori および 39 名がリアクションしました

    Clemens Krack がリアクションしました

    cAstraea、Thijs Gillebaart、Sarina Corrigan、pathwaynavigator、dylan-kramer および Gonzalo Romero がリアクションしました

    Clemens Krack がリアクションしました

  2. cornevandersteen が 2026年10月21日にコメント

    ［画像: @cornevandersteen］

    cornevandersteen

    2026年10月21日に投稿

    その他のアクション

    アップデートがリリースされました：https://www.php.net/archive/2026.php#2026-10-21-5 、できるだけ早くアップデートしてください

    Ant Weedon、dowan-sourcetel、Andy Palmer、p24-max、RavianXReaver、m1cka、luis-grasple、dominic-lear、Dennes Meeusen、Phong Hoang および 8 名がリアクションしました

    bashartman、dowan-sourcetel、seancarnahan1、RavianXReaver、Victor Rosenberg、m1cka、dominic-lear、KIM SOYEON、Dennes Meeusen、Phong Hoang および 3 名がリアクションしました

    Ben、dominic-lear、Dennes Meeusen および Gonzalo Romero がリアクションしました

  3. p24-max が 2026年10月21日にコメント

    ［画像: @p24-max］

    p24-max

    2026年10月21日に投稿

    その他のアクション

    @alexey-tsvetnov AmazonLinux2023ではいつ利用可能になりますか？

    Andy Davies、Ant Weedon、Devzzm、Matt、dowan-sourcetel、Andrew Shuttleworth、YukiMatsuhisa、rsaf、dylan-kramer、Oli Norwell および 4 名がリアクションしました

    dowan-sourcetel、Ben、m1cka、luis-grasple、dominic-lear、rudyzeinoun、RavianXReaver、Aizawa Yu、throwaway8787、Kentaro Saida および 17 名がリアクションしました

  4. kuusas が 2026年10月21日にコメント

    ［画像: @kuusas］

    kuusas

    2026年10月21日に投稿

    その他のアクション

    PHPコミュニティ全体が現在docker-library/php#1694でページをリフレッシュしながら待機しているようです。

    Axel Rindle、RavianXReaver、edgar-accredify、dowan-sourcetel、Dennes Meeusen、Andrew Shuttleworth、Michael Bannach、John F. および Tomas がリアクションしました

    RavianXReaver、p24-max、edgar-accredify、PhoenixClaw、Christoph Filnkößl、Oleksandr Davyskyba、dowan-sourcetel、Victor Rosenberg、louaikr、Panagiotis Atmatzidis および 1 名がリアクションしました

  5. RavianXReaver が 2026年10月21日にコメント

    ［画像: @RavianXReaver］

    RavianXReaver

    2026年10月21日に投稿

    その他のアクション

    できるだけ早くパッチが適用されることを願っています 🙏

    dowan-sourcetel、Dennes Meeusen、Clworld、Gonzalo Romero、Tomas および NetworkDevHead がリアクションしました

  6. devzzm が 2026年10月21日にコメント

    ［画像: @devzzm］

    devzzm

    2026年10月21日に投稿

    その他のアクション

    数日前にAmazonに届けられたはずの主要なセキュリティ問題に対して、これは全く受け入れられません。

    charitharo、Dave Smith-Hayes、Matt、danielcmm、James Macintyre、Dennes Meeusen、John Daniel Maguire、Tom Stack、Patrick Barabe、Nicolas Pellegrin および 11 名がリアクションしました

    RavianXReaver、Ben、dowan-sourcetel、Andrew Shuttleworth および Jason Trumpio がリアクションしました

  7. cAstraea が 2026年10月21日にコメント

    ［画像: @cAstraea］

    cAstraea

    2026年10月21日に投稿

    その他のアクション

    お願いです

  8. tallandy が 2026年10月21日にコメント

    ［画像: @tallandy］

    tallandy

    2026年10月21日に投稿

    その他のアクション

    @alexey-tsvetnov dnfアップデートでいつ利用可能になるか、おおよそのタイムラインだけでも教えていただけますか？

    Ben、Devzzm、Timothy Maclean、Victor Rosenberg、Andrew Shuttleworth、Paul Singh、Oli Norwell、Gonzalo Romero、Petro Mäntylä、Tammie および 2 名がリアクションしました

  9. dsh-mabel が 2026年10月21日にコメント

    ［画像: @dsh-mabel］

    dsh-mabel

    2026年10月21日に投稿

    その他のアクション

    @alexey-tsvetnov パッチがリリースされるまでの推定タイムラインも要求しています。

    Andy Davies、Andrew Shuttleworth および Patrick Barabe がリアクションしました

  10. RavianXReaver が 2026年10月21日にコメント

    ［画像: @RavianXReaver］

    RavianXReaver

    2026年10月21日に投稿

    その他のアクション

    @stewartsmith チームがこれに取り組んでいることを願っています (:

    Andy Davies、danielcmm、Andrew Shuttleworth および Petro Mäntylä がリアクションしました

  11. danielcmm が 2026年10月21日にコメント

    ［画像: @danielcmm］

    danielcmm

    2026年10月21日に投稿

    その他のアクション

    ニュースは？

  12. mbuk が 2026年10月21日にコメント

    ［画像: @mbuk］

    mbuk

    2026年10月21日に投稿

    その他のアクション

    サポートに連絡しましたが、満足のいく回答は得られませんでした（2番目の回答はAL2023に全く触れていません）：

    当社のサービスチームは報告された問題について認識しており、現在対応中です。
    現時点では具体的なETAはありませんが、利用可能になり次第、公開CVEページ（https://explore.alas.aws.amazon.com/）で公開されます。
    リリースされたらアドバイザリを監視し、お客様の特定の環境に基づいて影響を評価することをお勧めします。

    そして

    お待ちいただきありがとうございます。私の名前は伏せられており、同僚からケースを引き継ぎました。

    CVE-2026-109618 および CVE-2026-109619 はPHPインタープリタに影響を与えることを認識しています。これらの問題は、デフォルト設定でPHPバージョン8.2から8.5に影響し、認証されていないリモートアクターがPHPワーカープロセスをクラッシュさせる可能性があります。到達可能なシナリオは狭く、実際には悪用が困難であると評価されています。

    AWSは、PHPによってリリースされた修正を以下の影響を受けるサービスに組み込みます。

    AWS Elastic Beanstalk：ElasticBeanstalkの緩和策は、最新のプラットフォームバージョンで導入されています。実行中の環境を持つお客様は、マネージドプラットフォームアップデートを通じて、選択されたメンテナンスウィンドウで最新のプラットフォームバージョンに自動的に更新されます。最新バージョンに更新するために必要な操作はありません。マネージドプラットフォームアップデートを有効にしていないお客様は、ドキュメントに従って環境のプラットフォームバージョンを更新できます［1］。

    AWS Lightsail：AWS Lightsailは、修正をビルドして、お客様が修正を組み込めるようにします。

    ご質問やご不明な点がございましたら、このサポートケースにご連絡ください。

    ［1］ https://docs.aws.amazon.com/elasticbeanstalk/latest/dg/using-features.platform.upgrade.html

    Andy Davies、Dave Smith-Hayes、dowan-sourcetel、RavianXReaver、charitharo、Panda_Program、Clworld、Andrew Shuttleworth、Gonzalo Romero および Petro Mäntylä がリアクションしました

    MrTschi、dowan-sourcetel、Ben、RavianXReaver および Gonzalo Romero がリアクションしました

  13. dsh-mabel が 2026年10月21日にコメント

    ［画像: @dsh-mabel］

    dsh-mabel

    2026年10月21日に投稿

    その他のアクション

    @mbuk サポートに連絡してくれてありがとう。人間が応答せず、その回答が非常にそっけなかったのは残念です。このスレッドを監視し、それまでの間 dnf メタデータを定期的に更新しています。

    Matt がリアクションしました

  14. mbuk が 2026年10月21日にコメント

    ［画像: @mbuk］

    mbuk

    2026年10月21日に投稿

    その他のアクション

    1. @mbuk サポートに連絡してくれてありがとう。人間が応答せず、その回答が非常にそっけなかったのは残念です。このスレッドを監視し、それまでの間 dnf メタデータを定期的に更新しています。

    話したのは人間でした。チャットログからの抜粋です。非常に残念です。

    Dave Smith-Hayes、Dennes Meeusen、Victor Rosenberg および Andrew Shuttleworth がリアクションしました

  15. wikando-ck が 2026年10月21日にコメント

    ［画像: @wikando-ck］

    wikando-ck

    2026年10月21日に投稿

    その他のアクション

    PHPリリース直前に4.13.12がリリースされ、設定に基づいた不完全な緩和策しか含まれていないのは絶対にひどいです。これは完全に誤解を招くものであり、アップデートを実行したDevOps担当者は問題が解決したと思うでしょう。
    これによりエクスプロイトが発生します。
    善意でリリースされたかもしれませんが、これはありえません。

    Dennes Meeusen、Dave Smith-Hayes、gofunz、RavianXReaver、Bård Kalbakk、matthiasPOE、Matt、MrTschi、cAstraea、Isao Teranishi および 8 名がリアクションしました

    seth123-jax、Dennes Meeusen、Matt および Ben がリアクションしました

  16. 残り108件のアイテム
  17. edaemon が 2026年10月21日にコメント

    ［画像: @edaemon］

    edaemon

    2026年10月21日に投稿

    その他のアクション

    出典：https://aws.amazon.com/security/security-bulletins/2026-143-aws/

    Amazon Linux：PHPパッケージのアップデートは2026年10月22日を目標としています。Amazon LinuxでPHPを実行しているお客様は、利用可能になり次第、アップデートされたパッケージを適用してください。詳細については、Amazon LinuxセキュリティセンターでCVE-2026-109618およびCVE-2026-109619をフォローしてください。

    つまり、明日まで新しいバージョンは公開されないということです。問題の深刻さを認識している同じ通知を考えると、これはかなり奇妙に思えます。

    Carlos Aragon および Matt がリアクションしました

  18. jtrumpio が 2026年10月21日にコメント

    ［画像: @jtrumpio］

    jtrumpio

    2026年10月21日に投稿

    その他のアクション

    24時間以上は全くもってばかげており、顧客に対する侮辱です。

    Carlos Aragon、Oli Norwell、Yuya Miyake、Alasdair North、Matt、Tom Stack、Greg Shepperd、klunejko、Andy Hayden および Christian S がリアクションしました

  19. 01PC-Felix が 2026年10月21日にコメント

    ［画像: @01PC-Felix］

    01PC-Felix

    2026年10月21日に投稿

    その他のアクション

    @alexey-tsvetnov
    もしこれがあなたなら：https://aws.amazon.com/security/security-bulletins/2026-143-aws/

    ありがとうございます！！！！！！！

    tsval、Steven Leiva および Ted Goldstein がリアクションしました

  20. p24-max が 2026年10月21日にコメント

    ［画像: @p24-max］

    p24-max

    2026年10月21日に投稿

    その他のアクション

    Amazon Linux：PHPパッケージのアップデートは2026年10月22日を目標としています。

    （出典：https://aws.amazon.com/de/security/security-bulletins/2026-143-aws/）

    Andy Davies がリアクションしました

  21. zenchicken が 2026年10月21日にコメント

    ［画像: @zenchicken］

    zenchicken

    2026年10月21日に投稿

    その他のアクション

    私たちのチームは、この#1148 (コメント)を本番インスタンスのコピーにデプロイし、スクリプトを使用してPHP SRPMをビルドし、/opt/php-local-repoディレクトリと/etc/yum.repos.d/php-local.repoをバンドルしました。S3に保存し、Systems Manager経由でサーバーにアップデートをロールアウトしました。

    私たちの呼び出しでは、8.2.35をビルドしたため、dnf update -y php8.2が必要でした。これは、公式アップデートが来るまでの間、人々が自分でパッチを適用するのに役立つはずです。パッケージの優先度がAWSの公式アップデートに譲るようにしてくれた@p24-maxの優れたスクリプトと先見の明に感謝します。👏

    p24-max がリアクションしました

  22. alexey-tsvetnov が 2026年10月21日にコメント

    ［画像: @alexey-tsvetnov］

    alexey-tsvetnov

    2026年10月21日に投稿

    メンバー

    その他のアクション

    @scorgn さん、

    それほど単純ではありません。さまざまなランキングシステムがあり、Linuxディストリビューション間でも違いがあります。
    私はこれに関する特定の知識がなく、CVEを評価していないため、すべての詳細を知りません。

    cve.orgのデータに言及していました。
    PHPのCVE

    ［画像: Image］

対

NginxのCVE

［画像: Image］

しかし、こちらのテキストによるとhttps://aws.amazon.com/security/security-bulletins/2026-143-aws/
PHPのCVEは深刻なものです。

Juan Mier がリアクションしました

23. ### p24-max が 2026年10月21日にコメント

[［画像: @p24-max］](https://github.com/p24-max)

[p24-max](https://github.com/p24-max)

[2026年10月21日に投稿](https://github.com/amazonlinux/amazon-linux-2023/issues/1148#issuecomment-6327291514)

その他のアクション

[@zenchicken](https://github.com/zenchicken) これは私のスクリプトでしたが、問題ありません。

Ben がリアクションしました

Jeff Stice-Hall がリアクションしました

24. ### zenchicken が 2026年10月21日にコメント

[［画像: @zenchicken］](https://github.com/zenchicken)

[zenchicken](https://github.com/zenchicken)

[2026年10月21日に投稿](https://github.com/amazonlinux/amazon-linux-2023/issues/1148#issuecomment-6327335603)

その他のアクション

> 130. [@zenchicken](https://github.com/zenchicken) これは私のスクリプトでしたが、問題ありません。

[@p24-max](https://github.com/p24-max) 申し訳ありませんでした！コメントを修正しました。功績は功績として認めます。改めて感謝します！

p24-max および bissy がリアクションしました

25. ### olinorwell が 2026年10月21日にコメント

[［画像: @olinorwell］](https://github.com/olinorwell)

[olinorwell](https://github.com/olinorwell)

[2026年10月21日に投稿](https://github.com/amazonlinux/amazon-linux-2023/issues/1148#issuecomment-6327335983)

その他のアクション

ようやく公式なコミュニケーションが得られて安心しました。ただし、この情報が7時間前に公開されていれば、多くの人のストレスが軽減されたであろうことを、Amazonの関連部署に伝えてください。

Chris Adams、Jason Trumpio、Tobias Köhler、T.hatori、David McCormack、bissy および Andy Hayden がリアクションしました

26. ### alexey-tsvetnov が 2026年10月21日にコメント

[［画像: @alexey-tsvetnov］](https://github.com/alexey-tsvetnov)

[alexey-tsvetnov](https://github.com/alexey-tsvetnov)

[2026年10月21日に投稿](https://github.com/amazonlinux/amazon-linux-2023/issues/1148#issuecomment-6327415425)

メンバー

その他のアクション

[@olinorwell](https://github.com/olinorwell) さん、

> この情報が7時間前に公開されていれば

少なくとも[15時間前](https://github.com/amazonlinux/amazon-linux-2023/issues/1148#issuecomment-6309534890)には、Amazon Linuxがこの問題を無視しないようにするためのコメントがありました。そして、おっしゃる通り、これは公式なコミュニケーションではなく、GitHubプラットフォーム上でのやり取りです。

Andy Hayden および Juan Mier がリアクションしました

27. ### BiddlyWiddly が 2026年10月21日にコメント

[［画像: @BiddlyWiddly］](https://github.com/BiddlyWiddly)

[BiddlyWiddly](https://github.com/BiddlyWiddly)

[2026年10月21日に投稿](https://github.com/amazonlinux/amazon-linux-2023/issues/1148#issuecomment-6327440327)

その他のアクション

脆弱性に関するwiz.ioのブログから（[こちら](https://www.wiz.io/blog/php2shell-php-rce/)）：

「私たちは、Automattic、Akamai、**AWS**、Cloudflare、Fastly、Google、Imperva、Microsoft、Vercel、その他多くの企業に、パッチをすぐに適用できない顧客のためにガイダンスとすぐに使える緩和策を提供してくれたことに心から感謝します。」

AWSへの感謝の意を繰り返したいと思います。

/s

Jason Trumpio、Tobias Köhler、Andy Hayden、Mike Adelson、oevna および Oli Norwell がリアクションしました

Mike Ehrenberg がリアクションしました

28. ### 925dk が 2026年10月21日にコメント

[［画像: @925dk］](https://github.com/925dk)

[925dk](https://github.com/925dk)

[2026年10月21日に投稿](https://github.com/amazonlinux/amazon-linux-2023/issues/1148#issuecomment-6327615657)

その他のアクション

[@alexey-tsvetnov](https://github.com/alexey-tsvetnov) あなたは明確さよりも混乱を招きました。

Andy Hayden がリアクションしました

29. ### vc-sascha が 2026年10月21日にコメント

[［画像: @vc-sascha］](https://github.com/vc-sascha)

[vc-sascha](https://github.com/vc-sascha)

[2026年10月21日に投稿](https://github.com/amazonlinux/amazon-linux-2023/issues/1148#issuecomment-6327660941)

その他のアクション

最初のアップデートは：[https://docs.aws.amazon.com/elasticbeanstalk/latest/platforms/platform-history-php.html#platform-history-2026-10-21](https://docs.aws.amazon.com/elasticbeanstalk/latest/platforms/platform-history-php.html#platform-history-2026-10-21)

30. ### SreeSunku が 2026年10月21日にコメント

[［画像: @SreeSunku］](https://github.com/SreeSunku)

[SreeSunku](https://github.com/SreeSunku)

[2026年10月21日に投稿](https://github.com/amazonlinux/amazon-linux-2023/issues/1148#issuecomment-6327721260)

その他のアクション

アップデート：[https://aws.amazon.com/security/security-bulletins/2026-143-aws/](https://aws.amazon.com/security/security-bulletins/2026-143-aws/)

31. ### matthew-hallsworth が 2026年10月21日にコメント

[［画像: @matthew-hallsworth］](https://github.com/matthew-hallsworth)

[matthew-hallsworth](https://github.com/matthew-hallsworth)

[2026年10月21日に投稿](https://github.com/amazonlinux/amazon-linux-2023/issues/1148#issuecomment-6327803841)

その他のアクション

EBで4.13.13が利用可能になりました。これは、私が使用しているバージョン（8.4.27）の最新PHPを含んでいます。 FYI

01PC-Felix がリアクションしました

Sign up for free この会話にGitHubで参加するにはサインアップしてください。 すでにアカウントをお持ちですか？ サインインしてコメントする

メタデータ

メタデータ

担当者

割り当てなし

ラベル

ラベルなし

ラベルなし

タイプ

タイプなし

プロジェクト

プロジェクトなし

マイルストーン

マイルストーンなし

関係性

まだなし

開発

ブランチまたはプルリクエストなし

Issueアクション