EditDeleteRevisions PHP 8.2.34リリース対応 PHPセキュリティ保守サービス パッチ配布開始

ESIのPHPセキュリティ延長保守サービス（PHP 5.3〜8.1対応）では既知のセキュリティ問題を修正した古いバージョンのPHPをご利用頂けます。PHPプロジェクトによるPHP 8.1のメンテナンス期間は2025年12月のリリースで終了しました。今後、PHP 8.1以下の利用を継続されるには既知のセキュリティ問題を修正したPHPを利用する必要があります。

※ PHP 5.3のサポートを再開しました。

このリリースアナウンスは要約版です。PHPセキュリティ延長保守サービスの利用者はドキュメントリポジトリのリリースノートを参照してください。中間リリース版も2つリリースしています。そちらのリリースノートも参照ください。

■ 対象
php-8.1.x、8.0.x、7.4.x、7.3.x（openssl3）、7.2.x、7.1.x、7.1.4、7.0.x（amzn2023）、5.6.x（el8、amzn2023）、5.5.38（jsonc、amzn2023）、5.5.21、5.4.45（el8、el9、amzn2023）、5.3.29

■ 主な内容
1. 上流 PHP 8.2.34 のセキュリティ修正 12件（該当コードの無いバージョンを除く）
 ・OpenSSL：TLSのピア名検証で subjectAltName 不一致時にCNで照合する問題（CVE-2026-91769）、ワイルドカード名での範囲外読み込み（CVE-2026-91767）
 ・http:// ストリームラッパー：リダイレクト時に別オリジンへ資格情報を送信（CVE-2026-91766）、空の Location ヘッダーでの範囲外読み込み（CVE-2026-93682）
 ・SOAP：深い入れ子によるスタックオーバーフロー（CVE-2026-91765）、HTTPチャンク長の整数オーバーフロー（CVE-2025-14181）
 ・Phar：tarのサイズ欄の整数オーバーフローによるエントリの差し込み（CVE-2026-6103）
 ・mysqlnd：不正なサーバー応答でのパケット範囲外読み込み（CVE-2025-1218）
 ・FPM：listen.allowed_clients のIPv6アドレスを先頭96ビットしか比較しない問題（CVE-2026-91768）
 ・convert.* ストリームフィルター：NULを含む line-break-chars での範囲外読み込み（CVE-2026-92842）
 ・FILTER_SANITIZE_ENCODED：0xFF を符号化しない場合がある問題
 ・Windows：予約デバイス名を拒否しない問題（CVE-2026-17545。弊社RPMには影響なし）

2. 本サービス独自の修正
 移植時の検証で見つかった、上流の修正の不足分や同じ処理の別の不具合（mysqlnd、Phar、SOAP、OpenSSL、http:// ストリームラッパー）を修正しました。多くは上流のPHPの現行版にも存在する問題です。

3. その他
 ・mysqlnd の CVE-2024-8929 の修正を PHP 8.0以前にも適用
 ・PHP 7.1 の以前のリリースの移植の誤り2件を修正（相対パスの Location ヘッダーによる異常終了、php-7.1.4 で request_fulluri 指定時にURIの改行を検査しない問題）
 ・上流 PHP 7.3.20 の bug #74267 の修正を PHP 7.2以前に適用

■ ご注意いただきたい変更（動作が変わり得るもの）
・TLS：subjectAltName にDNS名等を持つ証明書は、subjectAltName が一致しなければCNが一致しても検証に失敗します
・http:// のリダイレクト：別オリジンへのリダイレクトでは、"header" オプションの Authorization、Cookie、Proxy-Authorization を送信しません
・SOAP：2048段を超えて入れ子になった要求・応答・WSDLを拒否します
・Phar：サイズ欄が不正なエントリを含むtar形式のアーカイブは開けません
・mysqlnd：短すぎる・不正なパケットを拒否します（MySQL 4.1 のサーバーではプリペアドステートメントが失敗します）
・FPM：listen.allowed_clients のIPv6アドレスは完全一致のみ許可します
・その他、SOAPクライアントのチャンク長、FILTER_SANITIZE_ENCODED の 0xFF、Windows のパスの扱いが変わります

各変更の対象バージョンと詳細は、本リリースのリリースノートおよびバージョンごとの注意点（PHP-8.1.md ～ PHP-5.3.29.md）をご確認ください。

■ リリースの確認方法
・RPMのリリース番号は `<ビルド日>.8.2.34` です（php-5.4.45、5.5.38、5.6.x の amzn2023 版は末尾に `.amzn2023` が付きます）
・ESI-RELEASE ファイルとPHPバイナリの文字列にリリースID `esi-8.2.34` が含まれます
・gitリポジトリからビルドする場合は `git checkout esi-8.2.34` でタグを取り出してください
・`php -v` 等で表示されるPHPのバージョン番号は変わりません