2026年10月21日、プログラミング言語「PHP」に認証不要でリモートコード（命令）が実行される重大な脆弱性「PHP2Shell」が公表された件。
いやあ、大変でしたね。
非エンジニアの私も担当エンジニアと話をして、エンジニアには徹夜してもらいましたが、私自身、1時ごろに就寝したのですが、某社のセキュリティ部署から3時頃に電話でたたき起こされました。

結局、一部のサイトは一旦閉鎖の設定としましたが、単に発表されたバッチを当てるという単純なものでもなく。
いくつかその時のエンジニアさんから報告を受けた対応方法を、備忘録としておこうかと思った次第です。

1. AlmaLinux 10 ＋ Remi外部リポジトリー
AlmaLinux 10ではOS側からPHP 8.5が提供されていないため、Remiという外部リポジトリーから取得。
事前にPHP8.5.11に更新し、脆弱性対象外の8.5.12に更新。

2. Amazon Linux 2023のOS標準パッケージ
Amazon Linux 2023標準のPHP 8.3を使っている環境は、Amazonが修正パッケージを出すまで待つ必要があり、提供されたのは22日朝。
また別のAWS環境の某サイトのバージョンアップだけ依頼されたのですがすでにEOLはPHP8.1を使っており、対応にいくつかのバージョンアップが必要でした。

3. 自前でコンパイルされたPHP（PHP 8.4）のAWS
これはOSパッケージに入れ替えを要したとのことでした。

まとめると、Remiなどの外部リポジトリーなら修正版が早く出る、OS標準パッケージ（AL2023）ならベンダーのリリース待ち、サポート外のバージョン（8.1）ならバージョンアップ、自前ビルドなら再コンパイルかパッケージへの入れ替え、という対応になりました。

修正版が出るまでのつなぎとしては、upload progressを無効化する緩和策も使ったとのことでした。

ここのところ、AI系のハッキングで数多くの個人情報流出が続き、企業も内閣府からのお達しや社内のDXやセキュリティ部門からの調査シートなどが回ってきて、私にも記入依頼が多々ありました。
単純にメールや電話等の問い合わせも続いていましたが、それに加えてこのPHP事件（？）

およそ1週間経った今日（10/29）、最後に休止していた某サイトへの対応をエンジニアさんにやってもらって再公開でき、一区切りついたところです。
ですが、これからは前出のチェックシートやら調査票やらで回答した内容で、たぶん数々の指摘事項が来週あたりから戻って来るのでは？と戦々恐々としています。

そういった対応も考えて関係する複数のインスタンス環境の「EOL管理台帳」なるものをClaudeに作ってもらったところです。

現場からは以上です。