RHEL・AlmaLinux・Ubuntu の PHP のサポート期限は php.net と違う？
Linux の配布元が入れる PHP は、php.net とは別の期限で修正が続くことがある。考え方と、確かめ方をまとめた。
「php.net では保守が終わった版なのに、サーバーのパッケージは更新されている」ということがある。Linux の配布元は、php.net とは別の期限で PHP を直していることがあるためだ。
この記事の要点
- 配布元（Red Hat・Ubuntu など）は、自分たちの期限で PHP の修正を続けることがある
- その場合、版の番号は古いまま、修正だけが入る（バックポート）
- 期限は配布元ごとに違う。必ず配布元の公式の情報で確かめる
- 配布元の保守も終われば、修正は出ない。いずれ移行は必要
php.net の期限と、配布元の期限
| php.net | 配布元のパッケージ | |
|---|---|---|
| 修正を出す人 | PHP の開発チーム | 配布元（Red Hat・Canonical など） |
| 期限 | 公開から約4年 | 配布元の製品ごとの期限 |
| 修正の入り方 | 新しい番号の版を出す | 古い番号のまま直す |
確かめ方
- パッケージの更新履歴を見る：AlmaLinux などは
rpm -q --changelog php、Ubuntu などはapt changelogで、CVE の番号を探す - 配布元のセキュリティ情報のページで、CVE-2026-109618 / 109619 への対応を確かめる
- 配布元の製品ごとの保守期限（ライフサイクル）のページを見る
自分で入れた PHP は別
Remi や ondrej など、配布元以外のリポジトリから入れた PHP は、配布元の保守の対象外。そのリポジトリの更新を確かめる。
配布元の保守があっても移行を考える理由
- 配布元の保守にも期限がある
- プラグインやフレームワークが、古い PHP への対応をやめていく
- 移るなら 8.4（2028年12月31日まで）か 8.5（2029年12月31日まで）が長く使える
よくある質問
php.net で保守が終わった版でも、安全に使えますか？
配布元が修正を続けている間は、修正を受けられることがあります。
ただし配布元の保守にも期限があるので、いずれ移行が必要です。
自分のサーバーの PHP がどこから入ったか分かりません
パッケージの情報（rpm -qi php や apt show php など）で、配布元かどうかを確かめられます。
分からなければ、サーバーを用意した会社に聞いてください。
参考にした情報
- php.net（2026年10月21日のセキュリティ告知）
- php.net：Supported Versions
- php.net：Unsupported Branches
- php.net：付録（移行ガイド）
この記事の情報
2026年10月22日時点の公開情報にもとづく。最新は各公式のページを確認すること。
URL を入れるだけで、PHP2Shell の危険度と今やることが分かる。移行の相談もできる。
無料で診断する
