Canonicalは2026年10月21日、PHPの重大な脆弱性CVE-2026-109618、CVE-2026-109619に対するUbuntu向け修正パッケージを公開しました。両脆弱性はCVSS v4.0で9.2と評価され、条件によっては認証されていない攻撃者が遠隔からコードを実行するおそれがあります。
Ubuntu 22.04 LTS以降は通常のセキュリティ更新で対応します。Ubuntu 18.04、20.04 LTSはUbuntu ProのESM経由、14.04、16.04 LTSはさらにLegacy Supportアドオンを通じて修正を受けられます。
Ubuntuは既存パッケージに修正を取り込むバックポートを行うため、PHP本家の最新版とバージョン番号が異なる場合があります。利用者はPHPの表示バージョンだけで判断せず、OSのリリースと導入済みパッケージの更新状況を確認する必要があります。
更新後は、ApacheやPHP-FPMなど稼働中のサービスを再起動し、修正済みコードが実行されていることも確認します。自動更新が有効でも、パッケージの更新と稼働プロセスへの反映は別々に確認することが重要です。

引用元記事：https://rocket-boys.co.jp/security-measures-lab/ubuntu_php2shell_cve_2026_109618_109619_esm_fixes_20261022/