cPanel・Plesk・DirectAdmin・CloudLinuxでPHP2Shellを修正する手順と、修正済みかの確認方法
cPanel、Plesk、DirectAdmin、CloudLinuxでPHP2Shellを修正する公式手順と確認方法、WordPressサイト所有者が事業者に確認すべき点。
cPanel・Plesk・DirectAdmin・CloudLinuxでPHP2Shellを修正する手順と、修正済みかの確認方法
PHPは2026年10月21日14:00（UTC）に 8.5.12、8.4.27、8.3.36、8.2.35 をリリースし、PHP2Shellと呼ばれる2件の脆弱性を修正しました（脆弱性の概要）。本記事で扱うパネルでは、PHPはパネルベンダーのパッケージやビルド機構から提供されるため、修正版の番号がphp.netと一致するとは限りません。またcPanelとPleskは、パネル自体が使うPHPも別途更新が必要です。
対象はWeb制作会社、自社でサーバーを運用する中小企業、ホスティング利用者です。内容は2026年10月25日時点の各ベンダー公式ページのスナップショットで、修正ビルドや展開状況、必要な対応は各ベンダーの最新の告知・ステータスページを正としてください。
結論： パネルのベンダーが示す経路で更新し、ハンドラーに合った方法でPHPを再起動し、そのベンダーの方法で確認します。共有・マネージドホスティングでは、後述のWordPressの項の質問を事業者に確認してください。
始める前に：各サイトのPHPブランチを把握する
多くのパネルはドメインごとにPHPを選べるため、全ブランチの更新が必要です。各サイトが実際に使うPHPの確認方法はPHPバージョンを正しく確認する方法をご覧ください。
早見表：修正の入手元、修正版、確認方法
| パネル | 修正の入手元 | 修正済みパッケージ・バージョン（10月25日時点） | 確認方法 |
|---|
| cPanel/WHM | EasyApache 4 リリース25.91 | ea-php82 8.2.35、ea-php83 8.3.36、ea-php84 8.4.27、ea-php85 8.5.12。ea-php74/80/81はバックポート（番号据え置き） | 全ブランチのパッケージ番号、またはchangelogのCVE |
| CloudLinux上のcPanel | CloudLinux製のea-php | ea-php52〜ea-php85（例：ea-php84 8.4.26-2.elX.cloudlinux.1 または 8.4.27-1） | changelogのCVE |
| cPanel自体のPHP | cPanelの更新 | cpanel-php84 8.4.27（134.0.66、136.0.50、138.0.18） | /usr/local/cpanel/cpanel -V |
| Plesk | Plesk Installer | Linux：8.2.35、8.3.36、8.4.27、8.5.12と、2026年10月21日ビルドの7.4.33/8.0.30/8.1.34。Windows：8.2.35、8.3.36、8.4.27、8.5.12 | PHP Settings、またはビルド日 |
| Plesk自体のPHP | Pleskの更新 | Obsidian 18.0.81 Update 4 または 18.0.80 Update 11 | plesk version |
| DirectAdmin | CustomBuild（スタッフ投稿） | 8.2.35、8.3.36、8.4.27、8.5.12。8.1〜5.6にパッチ（番号据え置き） | バージョン末尾の *、またはパッチファイル |
| CloudLinux alt-php | CloudLinuxのリポジトリ | alt-php 5.2〜8.5（alt-php82 8.2.35-1〜alt-php85 8.5.12-1を含む） | changelogのCVE、またはパッケージ番号 |
| WP Engine、Kinsta、Pantheon | 事業者が適用 | 事業者の告知どおり | ステータスページとサイトヘルス |
| aaPanel、HestiaCP | 未確認 | 不明 | ベンダーの文書に従う |
大きな修正のたびに数十台でこの表を埋めるなら、zcrのホスト単位のパッケージ追跡の料金も判断材料にしてください。
cPanel/WHM：EasyApache 4とea-php
EasyApache 4 リリース25.91（10月21日）でea-php82〜ea-php85が修正版になり、ea-php74、ea-php80、ea-php81には番号を変えずに修正がバックポートされました（EA4 change log）。
- 更新： WHMでEasyApache 4を開き Run system update をクリックするとSystem Updateに移ります。ここではPHP以外も含むサーバーの全パッケージが更新され、Include kernel packagesを選ぶと再起動が必要になる場合があります。Proceed をクリックします（cPanel: System Update）。コマンドラインでは
/usr/local/cpanel/scripts/rpmup2 が同じ処理です（Upgrade to Latest Version）。
- ハンドラー別の再起動：
- 確認：
rpm -q ea-php84-php-cli は8.4のCLIパッケージの一例です（8.4.27、またはベンダーの最新告知にある新しいビルド。Ubuntuでは dpkg -l ea-php84-php-cli）。インストール済みの全ブランチで同様に確認し、各サイトが使うWebランタイムも個別に確かめます。ea-php74/80/81は、EA4のchange logにあるea-php74-meta、ea-php80-meta、ea-php81-metaのchangelogを確認します。リリース25.92でバックポートを記載するよう再ビルドされています。
- ea-php73以前： EA4のchange logに修正はありません。修正済みブランチへ移すか、MultiPHP Managerの文書がPHP 5.6と7.x向けに案内しているTuxCare ELSを使います（両CVEの修正をベンダーに確認）。詳しくは旧バージョンのPHPを使い続けている場合へ。
CloudLinux上のcPanel はCloudLinux製のea-phpを使います。10月21日にphp.netより低い番号のバックポート（例：ea-php84 8.4.26-2.elX.cloudlinux.1）、10月23日にphp.netと同じ番号（例：ea-php84 8.4.27-1）で提供され、CloudLinuxによれば最初のビルドで両CVEは修正済みです。更新後は手順2のとおり再起動し、全ブランチを確認します（例はea-php84）。
# CloudLinux OS 8, 9, 10（OS 7は yum clean all && yum update "ea-php*"）
dnf clean all && dnf upgrade "ea-php*"
# 確認（読み取りのみ）
rpm -q --changelog ea-php84-php-cli | grep -E 'CVE-2026-(109618|109619)'
cPanel自体のPHP： cpanel-php84はビルド134.0.66、136.0.50、138.0.18で8.4.27になりました（136 change log）。/usr/local/cpanel/cpanel -V で確認し、古ければWHM » Home » cPanel » Upgrade to Latest Version、または /scripts/upcp で更新します（リリースティアの範囲内）。確認した132のchange log（最新ビルド132.0.35、5月20日）にこの修正はなく、132以前はメジャーバージョンのアップグレードかcPanelへの確認が必要です。/etc/cpupdate.conf でビルド番号を固定したサーバーでは、毎時のセキュリティ更新cronが動きません（Update Preferences）。
Plesk
Pleskの告知が示す対応は「Update Plesk to the latest available version」の1点です。
- 更新： Tools & Settings > Updates > Update Components > Continue、またはSSHで
plesk installer update（Windowsは管理者のコマンドプロンプト）。コンポーネントが更新されたサービスは再起動されます（How to install Plesk updates）。
- PHPの確認： Tools & Settings > PHP Settingsのハンドラー名、または各ブランチのバイナリ（例：
/opt/plesk/php/8.3/bin/php -v）でバージョンとビルド日を確認します。7.4.33、8.0.30、8.1.34は番号が変わらないため、2026年10月21日以降のビルドであることを確認します。CLIの値なので、Web側でも確認してください。
- Plesk自体： sw-engine（Linux）とplesk-engine（Windows）はObsidian 18.0.81 Update 4、18.0.80 Update 11以降で修正済みです。
plesk version で確認します。
- Plesk for Windows の修正は8.2.35、8.3.36、8.4.27、8.5.12のみです。
- PHP 5.6、7.2、7.3： Pleskは有償のTuxCare ELSを推奨しています。対応プラットフォームと両CVEの修正をベンダーに確認してください。
DirectAdmin：CustomBuild
この項はDirectAdmin公式フォーラムのスレッド「Critical PHP updates」でのスタッフ（Staff memberのユーザーfln）の投稿に基づきます。10月25日時点で確認した情報源では、DirectAdminの独立した告知ページは見つかりませんでした。
- 更新と再ビルド：
da update の後に da build php を実行します。スタッフによれば、本体は自動更新されますが、PHPのビルドはCustomBuildのcron機能を有効にしていない限り手動です。
- 内容： 最初のビルド（10月21日13:54 UTC）で8.2〜8.5を8.2.35、8.3.36、8.4.27、8.5.12にし、8.1、8.0、7.4にパッチを追加しました。続くビルドで7.3、7.2、7.1、7.0、5.6にパッチが追加され8.1のビルド失敗も修正、その後rhel7とdebian10のレガシーチャンネルにもビルドが出ています。
- 確認： 末尾の
* は同じバージョンに新しいパッチを加えた印です。7.4は custombuild/patches/php-7.4/143-php-7.4-cve-2026-109618.patch があり、7.4の更新が残っていなければ最新です。スタッフは、1つのパッチファイルで両CVEに対応すると述べています。
- 再起動： スタッフ投稿に手順はなく、確認した情報源でも公式手順は見つかりませんでした。DirectAdminの文書に従い、Web側で確認してください。
CloudLinux：alt-php
alt-phpは利用者がPHP Selectorで選ぶPHPです。修正済みのalt-php 5.2〜8.5は10月22日00:07（UTC）にCloudLinux OS 7、8、9のstableに入りました。CloudLinux OS 10はELS ALT PHPリポジトリから提供されます。
# CloudLinux OS 8, 9, 10（OS 7は yum clean all && yum update "alt-php*"）
dnf clean all && dnf upgrade "alt-php*"
# 確認（読み取りのみ）。全ブランチで繰り返す
rpm -q --changelog alt-php74-common | grep -E "CVE-2026-(109618|109619)"
rpm -q alt-php85-common
- 通常の更新を使う： OVALとUpdateInfoが未公開のため、
yum --security などでは表示されません。
- php-elsリポジトリは有効のまま： CloudLinuxは10月23日に訂正し、alt-phpの唯一の提供元になるとしています。
- 何も更新されない場合：
rpm -q cloudlinux-release を7.9-2.17、8.10-16、9.8-3、10-5と比べ、古ければ先に更新して再実行します。
- 再起動： CloudLinuxのステータスページはApache、PHP-FPM、LiteSpeedの再起動を求めていますが、個別のコマンドはありません。Webサーバーの文書に従ってください。
- OS標準のPHP 8.2と8.3は8.2.35/8.3.36にリベースされ、changelogにCVE番号がないため
rpm -q php-cli で確認します。
CloudLinuxは、Imunify360のルールセット8.83〜8.85がupload progressの経路を対象とし、10月21日23:00 UTC時点でCVE-2026-109618のメモリ不足の経路を防ぐルールはないと報告しています。CloudLinux自身「an interim mitigation, not a fix」としています（WAFでどこまで防げるか）。
マネージドホスティングのWordPress：サイト所有者がすべきこと
WordPress.orgは10月21日、この脆弱性はWordPress固有ではなく、WordPressの更新は不要で予定もないとしています。事業者にPHPの更新を確認し、バージョンはツール > サイトヘルス > 情報 > サーバーで確かめます。
大手マネージドWordPress事業者の当時の告知（各社の発表）：
- WP Engine（10月22日）：顧客側の対応は不要、全顧客サイトが修正済みのPHPで稼働。
- Kinsta（10月22日08:26 UTCに解決）：PHP 7.4〜8.5の修正を全体に展開、侵害の証拠なし。
- Pantheon（10月22日に解決）：顧客側の対応は不要。8.2〜8.5のliveサイトとLTS版は10月21日に修正、free/sandbox環境は24〜48時間以内に更新すると10月21日に告知。
告知がない事業者には、書面で次を確認してください。
- 自社サイトのPHPブランチと、導入済みパッケージが両CVE（CVE-2026-109618、CVE-2026-109619）を修正しているか。パッケージ名とビルドも確認します。バックポート版は修正済みでも、サイトヘルスにphp.netより低い番号が出ることがあります。
- 更新後にPHPワーカーを再起動したか。
- cPanelやPleskなどパネル自体は更新済みか。
- 8.1以前の場合、修正の入手元と8.2以降への移行時期（8.2も2026年12月31日にサポート終了）。
- ステージング、開発、サンドボックス環境も対象か。
「WAFを有効にした」だけでは修正済みとは言えません。
確認できていない点（2026年10月25日時点）
- aaPanel： フォーラムの告知ページが確認時に表示されず、確認済みの手順はありません。aaPanel自身の告知を確認してください。
- HestiaCP： 確認できた最新のリリースページ（1.10.5、9月14日）はPHP2Shell以前のもので、公式な声明は見つかりませんでした。
パネルのないサーバー（自社サーバーでのPHP更新）、PHPを内蔵した製品（PHPを内蔵する製品）、侵害の有無（ログで痕跡を調べる方法）は範囲外です。
今回の作業を締める前に
サーバーごとに、パネル、PHPブランチ、パッケージのビルド、修正と再起動の日時、Web側での確認の有無を記録しておけば、次回も使えます。自社で運用するLinuxサーバーでは、zcrXのAgentが各ホストのパッケージをCVEアドバイザリとCISA KEVのステータスに継続的に照合します。ただし、更新や上記の確認の代わりにはなりません。
📞 無料相談
zcrが提供するのはソフトウェアで、パッチ適用やサーバー確認の実作業はパートナーを通じて提供します。
関連記事
PHP2Shellシリーズの関連記事です。
出典
- PHP News Archive 2026 — 修正版、PHP 8.1以前、8.2のサポート終了（2026年12月31日）
- cPanel — EasyApache 4 Change Log 25 — リリース25.91と25.92
- cPanel — 132 Change Log、134 Change Log、136 Change Log、138 Change Log — cpanel-php84 8.4.27
- cPanel — EasyApache 4 Interface、System Update、Upgrade to Latest Version、Update Preferences
- cPanel — The restartsrv Script、MultiPHP Manager for WHM
- CloudLinux Status — Critical PHP vulnerabilities CVE-2026-109618 / CVE-2026-109619 — ea-php、alt-php、更新と確認のコマンド、Imunify360
- Plesk — Vulnerability CVE-2026-109618 and CVE-2026-109619 (PHP2Shell)、How to install Plesk updates
- DirectAdmin Forums — Critical PHP updates — スタッフの投稿のみ
- WordPress.org — Critical PHP Security Release
- WP Engine — Two critical CVEs affecting PHP、Kinsta Status、Pantheon Status
- HestiaCP release 1.10.5
