PHP2Shell の対応を実施されている皆様、本当にお疲れ様です。
Security advisory: Critical remote code execution vulnerabilities, update now で、対応済みの PHP (8.5.12 / 8.4.27 / 8.3.36 / 8.2.35) がリリースされました。
Azure App Service でのこのバージョンの PHP の利用ですが、次のアナウンスが行われました。
PHP2Shell: Patched PHP images are live in Azure App Service on Linux (Latest and Standard) channels. If you have cstom containers, plan to re-build/re-deploy; upgrade apps targeting EOL PHP versions. #AzurePaaS #PHP2Shell https://t.co/vqqy4NSLSj
— Azure App Service (@AzAppService) October 21, 2026
詳細な情報は Critical PHP Security Release: What It Means for Azure App Service on Linux から確認できます。
プラットフォーム リリース設定が Latest / Standard を使用しているのであれば、パッチ適用済みの PHP のバージョンとなっているようですが、上記のドキュメントの 「What you should do」で確認方法が記載されていますので、実際に確認をしてみるとよさそうです。
Dev Container の PHP のイメージ は現時点では、8.5.12 のイメージ待ちとなるのでしょうか。
Docker Hub のオフィシャルイメージ についてはパッチ適用済みのイメージが提供されているようです。
Addressing PHP2Shell CVE-2026-109618 and CVE-2026-109619: upgrade guidance and Azure WAF mitigations でも本影響について触れられていますので、Azure の WAF による対応はこのドキュメントから確認するとよさそうです。
投稿時点では、Frontdoor については、マージドルールの 99006001 として準備中 (2026/10/28 対応予定) のようですので、ルールの提供状況は Azure Front Door WAF DRS ルールグループとルール を確認しておくとよいのかもしれません。
マネージドルールの提供までの期間 / マネージドルールが使用できない SKU については Azure WAF custom rules for PHP2Shell mitigation で公開されているカスタムルールを使用することも検討することができるようです。