AWS（エーダブリューエス）でPHP（ピーエイチピー）を動かしている場合も、使うサービスによっては利用者側の更新が必要です。AWSの基盤自体に影響がないという案内だけで、自分のサイトも対応不要とは判断できません。
［IT・ネット］ この記事の要点
2026年10月23日 発表 （2026年10月26日 更新）
- AWS上でPHPを動かすサイトの運営者・保守担当
誰が更新を担当するか
AWSのセキュリティ告知は、同社のサービスと、利用者がその中で動かすPHPを区別しています。すべてを提供元に任せるサービスもあれば、利用者が実行環境を作り、更新するサービスもあります。保守を外注している場合は、契約先へ対象のサービス名とサイトを指定して照会します。
| 利用サービス | 公式案内の対応 |
|---|---|
| Amazon WorkMail（アマゾン・ワークメール） | 設定対策とPHP 8.3.36への更新済み。利用者の作業は不要 |
| Elastic Beanstalk（エラスティック・ビーンストーク） | 対応プラットフォームを提供。自動更新設定が有効なら次の保守時間帯、無効なら利用者が更新 |
| Lambda（ラムダ） | 独自ランタイムやコンテナへPHPを入れた利用者が更新し、再配置する |
| Amazon Linux（アマゾン・リナックス） | 更新パッケージを提供済み。利用者が対象環境へ適用する |
この表はAWSのセキュリティ告知の2026年10月23日更新を基に、10月26日に確認したものです。「パッケージが提供された」と「自分の環境へ反映された」は別の状態です。自動更新を有効にしていても、保守時間帯の前なら適用待ちということがあります。
画像の出典・確認日
公式案内の実画面から引用。2026年10月26日確認。本文で扱う発表・操作を確認するための引用です。
Lambdaなどの確認
LambdaはPHPのマネージドランタイムを提供していません。PHPを自分で組み込んだカスタムランタイムやコンテナを使っていれば、その中のPHPを更新して再配置する必要があります。関数が動くことや、管理画面にエラーがないことだけを修正済みの根拠にしないでください。
- どの実行環境やコンテナにPHPを含めているかを確認する。
- 修正済みのPHPを含む状態へ更新し、再配置した対象を記録する。
- 公開中の処理が更新後の環境を使っているか、保守担当と照合する。
AWSの告知は、データ処理サービスの一部の旧環境についても対象を分けています。Ganglia（ガングリア）を含む対象系列など、アプリの構成まで条件があるため、サービス名だけで一括判定せず公式の対象表を確認します。自分でPHPを追加した環境も、標準構成にPHPがないという理由だけでは対象外にできません。
ライトセールの違い
Lightsail（ライトセール）は、インスタンス作成時に選んだBlueprint（ブループリント、構成のひな型）の提供元を確認します。AWS製とBitnami（ビットナミ）製ではPHPの置き場所と更新経路が異なり、WordPress（ワードプレス）というアプリ名が同じでも手順を共通化できません。
| 構成 | 更新経路の違い |
|---|---|
| AWS製の対象Blueprint | OS（基本ソフト）のパッケージ管理を使う公式手順。変更前にスナップショットを作り、更新後にウェブサーバーを再起動して確認 |
| Bitnami製Blueprint | 独自の場所に含まれるPHPは通常のOS更新だけでは更新されない。AWS製の新しいインスタンスへ移行する公式手順を推奨 |
Bitnami製のPHPは、/opt/bitnami/phpという独自の場所にあります。OS（基本ソフト）の更新コマンドを実行しただけで、このPHPも更新されたと判断しないでください。公式の詳細手順には、その場で置き換える高度な方法もありますが、複数の設定変更を伴います。本番へ一律のコマンドを貼り付ける進め方には向きません。
10月23日の告知は新しいBlueprintへの移行を中心に説明し、リンク先の詳細手順はAWS製構成の標準更新も案内しています。まず提供元を特定し、Lightsailの最新公式手順で自分の構成に該当する節へ進みます。
更新後の確かめ方
今回の初回緊急修正版は8.5.12、8.4.27、8.3.36、8.2.35です。コマンド実行用のPHPと、サイトのリクエストを処理するPHPが別にある環境では、片方だけ見ても確認を終えられません。保守担当には実際にウェブ表示で使っている環境を照合してもらいます。
更新前の保存日時と復元方法、更新後の稼働環境、問い合わせや予約などの受付結果を記録します。受付テストはサービスが認める方法で行い、本番の二重申込や二重決済を避けます。追加の設定条件はPHP 脆弱性/修正版後の追加設定を参照してください。
防御設定と侵害調査
WAF（ワフ、ウェブへの不正な通信を防ぐ仕組み）は、更新までの露出を減らす補助です。導入だけを理由にPHPの修正適用を済ませたことにはできません。AWSは防御ルールの案内も出していますが、既定の版を使うか、特定の版へ固定するかで確認する設定が変わります。
また、修正版が入ったことと、それ以前に侵害がなかったことは別です。不審な変更やエラーがある場合は、記録を保全して保守担当へ渡します。更新・動作・担当者の確認表はPHP 脆弱性/今後の注意と確認事項にまとめています。AWSを使っているかだけでなく、誰がどこまで更新する契約なのかから確認してください。
アイキャッチの出典
イメージ写真。写真の出典／Pexels License結局どうすればよいか
- 使うサービスと更新の担当者を特定する
- LightsailはBlueprintの提供元に合う公式手順を確認する
公式出典
更新履歴
- 2026年10月26日 初版公開。公式発表・案内を確認して作成。
※本記事は2026年10月26日時点で公表されている情報にもとづきます。数値・制度・進路などは今後変わる可能性があるため、最新の内容は各公式発表をご確認ください。
Googleで「おかあさんのおうち」の新着を優先表示する
災害・道路・住まいの新しい記事がGoogleのトップニュースに出やすくなります。ボタン1回で登録できます。
コメント