【2026年7月版】EOLになったPHPバージョンとAmazon Linux、RHEL系OSによるバックポートについて

皆さんこんにちは。
taneCREATIVEの「ちほうタイガー」です。

本記事は、EOL（End of Life）を迎えたPHPバージョンと、Web系でよく使用されるAmazon Linux、RHEL系のOSによるバックポート対応についてまとめたもので、2026年7月24日に改訂しています。

PHPは、Webサイトやアプリを開発する際に広く採用されているプログラミング言語であり、Webサーバー上で動いてプログラムを実行するサーバーサイドスクリプト言語に分類されます。

2026年7月24日現在の公式ルールでは、PHP各バージョンは、リリースから概ね4年後の12月31日に公式サポートが終了（EOL）します。これは、2024年3月に承認されたRFCにより、セキュリティサポート期間が従来の1年から2年に延長され、EOL日が統一されたためです。
※PHPのバージョン情報とサポート期限(EOL)についてはこちらをご覧ください。

もっとも、EOLを迎えたPHPバージョンであっても、直ちに危険な状態になるとは限りません。OSによっては、EOL後のPHPバージョンに対しても、緊急、重大な脆弱性に対してバックポートと呼ばれる方式で修正を適用するケースがあるためです。

そこで、この記事では、企業のWeb担当者の皆さまに向けて、Web系でよく使用されるAmazon Linux、RHEL系のOSごとのバックポート対応方針とともにご紹介することで、できるだけ安心してPHPを使用していただけるようにしたいと思います。

少しでも皆様のお役に立てる記事にできればと思います。
どうぞよろしくお願い致します。

バックポートとは、新しいソフトウェアのバージョンや開発ブランチで作成された脆弱性修正やバグ修正を取り出し、旧バージョン系列へ移植（backport）して適用する手法を指します。

PHP公式（PHPプロジェクト）側でサポートが終了したPHPバージョンであっても、OSベンダーが提供するPHPパッケージについては、ベンダー独自のライフサイクル内でセキュリティ修正が継続される場合があります。

これは、PHPプロジェクトによる公式サポートが延長されるという意味ではありません。PHPプロジェクトではEOLとなったバージョンについて、OSベンダーが自社で提供するPHPパッケージを、バックポートなどにより独自に保守している状態です。

ただし、どの脆弱性を修正対象とするか、どの重要度まで対応するかは、OSベンダーや製品、サポートフェーズによって異なります。すべての脆弱性に対して必ず修正が提供されるわけではありません。

また、どのPHPバージョンに、どの範囲まで適用するかはOSごとに方針が異なるため、EOL後のPHPバージョンに公式サポートと同等の脆弱性対策が継続されることを意味しているわけではありません。

したがって、公式のPHPバージョンがEOLであっても、OSベンダーのPHPパッケージがサポート期間内にあり、最新のセキュリティ更新が適用され、対象となる脆弱性についてベンダーが修正済みまたは影響なしと判断している場合には、当該脆弱性の影響があると判断するべきではないケースがあります。

AWSはAmazon Linux 2023全般でバックポートを行っており、PHPについてバックポートを一切採用しないという明確な方針は示していませんが、一方で、Amazon Linux 2023のPHPパッケージでは、修正済みの新しい上流リリースへ更新する方式が多く採用されていることから、Amazon Linux 2023のPHPパッケージを使用している場合には、サポート期間中のPHP系列について、AWSが提供する最新のセキュリティ更新済みRPMへ継続的に更新しつつ、利用中のPHP系列がサポート終了を迎える前に、アプリケーションの互換性を確認したうえで、より新しいサポート対象のPHP系列へ移行する必要があります。

また、Amazon Linux 2023で提供されるPHPは、原則としてPHP公式と同じ期間だけセキュリティサポートされます。
2026年7月24日現在、PHP 8.1のサポートは2025年12月31日に終了しており今後セキュリティ更新を受け取りません。
PHP 8.2は2026年12月31日、PHP 8.3は2027年12月31日、PHP 8.4は2028年12月31日までがサポート期間です。PHP 8.5は、PHP公式では2029年12月31日までの予定ですが、Amazon Linux 2023自体のサポート終了に合わせて2029年6月30日までとなっています。

すなわち、Amazon Linux 2023についてもバックポート対応は存在しますが、PHPに関しては、公式のEOLを越えて長期にバックポート保守される仕組みにはなっていません。

RHEL（Red Hat Enterprise Linux）10のPHPパッケージについては、Red Hatの一般的な更新方針として、上流の最新版へ全面的に更新するのではなく、既存のバージョン系列へセキュリティ修正を取り込むバックポート方式が基本となります（ただし、Red Hatは、十分な検証と分析を行ったうえで、一部のパッケージを新しい上流バージョンへ更新する場合もあると説明しています）。

RHEL 10では、PHP 8.3パッケージを2025年5月からFull Life Application Streamとして提供しており、RHEL 10のライフサイクル（10年間）に沿って保守されます。これは、10年間まったく同じRPMパッケージに固定されるという意味ではなく、PHP 8.3系を基盤として、Red Hatのサポート方針に基づくセキュリティ更新や不具合修正が提供されることを意味します。
※RHEL 10 Full Life Application Streams Release Life Cycle参照
このため、RHEL 10のPHP 8.3パッケージを使用されている場合には、PHP公式のEOL（2027年12月31日）以降も、2035年5月頃までは、バックポート方式などによる一定の脆弱性対応を期待することができます。

また、RHEL 10では、PHP 8.4パッケージを2026年5月から3年間、Application Streamとして提供しており、保守されます。
※RHEL 10 Application Streams Release Life Cycle参照
このため、RHEL 10のPHP 8.4パッケージを使用されている場合には、PHP公式のEOL（2028年12月31日）以降も、2029年5月頃まではバックポート方式などによる一定の脆弱性対応を期待することができます。

Red Hatが2025年4月1日以降の標準Errata基準として示しているセキュリティ修正の対象は、Red HatがCritical、ImportantまたはModerateと評価し、かつRed HatによるCVSSスコアが7以上のCVEです。ただし、すべてのErrataはRed Hatの裁量で提供されます（Lowに分類されたCVEは標準Errata基準には含まれていませんが、ほかの更新に修正が含まれる場合などもあるため、「Lowの脆弱性はバックポートされない」とは断定するものではありません）。
また、この基準はセキュリティErrataを提供する範囲に関するものであり、修正方法としてバックポートと上流バージョンの更新のどちらを選択するかを定める基準ではありません。

なお、AlmaLinux OS 10およびRocky Linux 10はRHEL 10との互換性を重視していますが、パッケージのビルド、公開時期、Errata、個別CVEのステータスは各ディストリビューションが管理しています。RHELのRHSAだけで対応済みと判断せず、AlmaLinuxでは同ディストリビューションのErrata、Rocky Linuxでは同ディストリビューションのアドバイザリと、実際に導入されているパッケージを確認してください。

RHEL（Red Hat Enterprise Linux）9のPHPパッケージについても、既存のバージョン系列へセキュリティ修正を取り込むバックポート方式が基本となります。

RHEL 9では、PHP 8.0パッケージを2022年5月からFull Life Application Streamとして提供しており、RHEL 9のライフサイクル（10年間）に沿って保守されます。
※RHEL 9 Full Life Application Streams Release Life Cycle参照
このため、RHEL 9のPHP 8.0パッケージを使用されている場合には、PHP公式のEOL（2023年11月26日）以降も、2032年5月頃までは、バックポート方式などによる一定の脆弱性対応を期待することができます。

また、RHEL 9では、PHP 8.2、8.3パッケージをそれぞれ、Application Streamとして提供・保守しています。
※RHEL 9 Application Streams Release Life Cycle参照
このため、RHEL 9のPHP 8.2、8.3パッケージを使用されている場合には、PHP公式のEOL以降も、2029年5月頃まではバックポート方式などによる一定の脆弱性対応を期待することができます(PHP 8.1も保守対象でしたが、2025年5月に終了しています)。

Red Hatが2025年4月1日以降の標準Errata基準として示しているセキュリティ修正の対象は、Red HatがCritical、ImportantまたはModerateと評価し、かつRed HatによるCVSSスコアが7以上のCVEです。ただし、すべてのErrataはRed Hatの裁量で提供されます（Lowに分類されたCVEは標準Errata基準には含まれていませんが、ほかの更新に修正が含まれる場合などもあるため、「Lowの脆弱性はバックポートされない」とは断定するものではありません）。
また、この基準はセキュリティErrataを提供する範囲に関するものであり、修正方法としてバックポートと上流バージョンの更新のどちらを選択するかを定める基準ではありません。

なお、AlmaLinux OS 9およびRocky Linux 9はRHEL 9との互換性を重視していますが、パッケージのビルド、公開時期、Errata、個別CVEのステータスは各ディストリビューションが管理しています。RHELのRHSAだけで対応済みと判断せず、AlmaLinuxでは同ディストリビューションのErrata、Rocky Linuxでは同ディストリビューションのアドバイザリと、実際に導入されているパッケージを確認してください。

RHEL（Red Hat Enterprise Linux）8のPHPパッケージについても、既存のバージョン系列へセキュリティ修正を取り込むバックポート方式が基本となります。

RHEL 8では、PHP 7.4パッケージを2020年11月からFull Life Application Streamとして提供しており、RHEL 8のライフサイクルに沿って、2029年5月頃まで保守されます。
※RHEL 8 Full Life Application Streams Release Life Cycle参照
このため、RHEL 8のPHP 7.4パッケージを使用されている場合には、PHP公式のEOL（2022年11月28日）以降も、2029年5月頃までは、バックポート方式などによる一定の脆弱性対応を期待することができます。

また、RHEL 8では、PHP 8.2パッケージを、Application Streamとして提供・保守しています。
※RHEL 8 Application Streams Release Life Cycle参照
このため、RHEL 8のPHP 8.2パッケージを使用されている場合には、PHP公式のEOL以降も、2029年5月31日頃まではバックポート方式などによる一定の脆弱性対応を期待することができます(PHP 7.2、7.3、8.0も保守対象でしたが、2026年7月24日現在保守期間は終了しています)。

Red Hatが2025年4月1日以降の標準Errata基準として示しているセキュリティ修正の対象は、Red HatがCritical、ImportantまたはModerateと評価し、かつRed HatによるCVSSスコアが7以上のCVEです。ただし、すべてのErrataはRed Hatの裁量で提供されます（Lowに分類されたCVEは標準Errata基準には含まれていませんが、ほかの更新に修正が含まれる場合などもあるため、「Lowの脆弱性はバックポートされない」とは断定するものではありません）。
また、この基準はセキュリティErrataを提供する範囲に関するものであり、修正方法としてバックポートと上流バージョンの更新のどちらを選択するかを定める基準ではありません。

なお、AlmaLinux OS 8およびRocky Linux 8はRHEL 8との互換性を重視していますが、パッケージのビルド、公開時期、Errata、個別CVEのステータスは各ディストリビューションが管理しています。RHELのRHSAだけで対応済みと判断せず、AlmaLinuxでは同ディストリビューションのErrata、Rocky Linuxでは同ディストリビューションのアドバイザリと、実際に導入されているパッケージを確認してください。

PHPの最新バージョンへのバージョンアップについては、Webアプリケーション側に不具合が発生する確率が非常に高く、工数がかかることが予想されます。
この場合、不具合の原因を特定し、これを改修できる専門的な知識が必要です。

また、Web制作会社はいわゆるWebアプリケーション側（WebサイトやCMS等）を専門としていますので、PHPを含めたミドルウェアについては対応されていない会社も多いと思います。