Remi PHP 延長サポート: CentOS 7 のセキュリティ更新を継続
この記事は英語版の日本語訳です。
Remi リポジトリは 2024 年 6 月に CentOS 7 向け PHP のビルドを終了しました。GetPageSpeed は CentOS 7 向けに Remi PHP の延長サポートを提供しています。パッケージ名・パス・ABI が同一のドロップイン互換パッケージなので、いまお使いの PHP はそのまま、通常の yum update でセキュリティ更新を受け取り続けられます。移行作業も、新しいインストール先も、サイトごとの PHP 切り替えも不要です。
このページでは、EL7 の Remi PHP に何が起きたのか、「ドロップイン互換」が実際に何を意味するのか、そして他の延長サポート方式との違いを説明します。PHP2Shell 緊急対応のための手順は CentOS 7 の PHP2Shell 対策をご覧ください。
Remi PHP 延長サポートはコマンド 1 つ
CentOS 7 サーバーの Remi PHP には 2 つの形態があり、GetPageSpeed リポジトリは 5.4 から 8.4 までの全バージョンを両形態で提供しています。まず、どちらの形態かを確認します:
rpm -qa 'php*-common' --qf '%{NAME}-%{VERSION}-%{RELEASE}\n'
ベース名パッケージ(例: php-common-7.4.33-15.el7.remi、remi-php74 などからインストールしたもの)は、バージョンに対応するチャンネルからそのままアップグレードします:
yum -y install https://extras.getpagespeed.com/release-latest.rpm
yum --enablerepo=getpagespeed-extras-php74 upgrade 'php-*'
systemctl restart php-fpm
php74 の部分はお使いのバージョンに置き換えてください: php54、php56、php70、php71、php72、php73、php80、php81、php82、php83、php84。
Software Collections(例: php74-php-common-7.4.33-15.el7.remi、remi-safe からインストールしたもの)は、常時有効なメインリポジトリからアップグレードします。チャンネル指定は不要です:
yum -y install https://extras.getpagespeed.com/release-latest.rpm
yum upgrade 'php74-php*'
systemctl restart php74-php-fpm
アップグレード後、php -v の著作権表示の下に Built by GetPageSpeed LLC と正確なリリース番号が表示されます。Debian / Ubuntu での Surý 系パッケージについては Ubuntu / Debian の PHP2Shell 対策(英語)をご覧ください。
CentOS 7 の Remi PHP に何が起きたのか
Remi リポジトリは 10 年以上にわたり Enterprise Linux における PHP の事実上の標準であり、EL8・EL9・EL10 では現在も優れた選択肢です。しかし EL7 については、CentOS 7 が 2024 年 6 月にサポート終了を迎えた時点でビルドが停止しました。
その影響は静かに進行しました。yum update は正常終了し続けるため監視は正常のまま、インストール済みの PHP だけが凍結されていったのです。EL7 向けビルドは PHP 8.2.20 と 8.3.8 で停止し、古いブランチには、Remi が新しいディストリビューション向けに公開し続けているバックポートが届かなくなりました。2026 年 10 月に重大な PHP2Shell 脆弱性(CVE-2026-109618 および CVE-2026-109619)が公開された際には、php.net 自身が Remi の EL7 ユーザーに対し「リポジトリに更新は来ない。ソースからビルドを」と告知しました。
リリース番号が .el7.remi で終わるパッケージは 2024 年以前のビルドです。7.4.33-15.el7.remi のようなバージョン文字列を検索してこのページに来られたなら、それは Remi の EL7 向け PHP 7.4 最終ビルドであり、それ以降のすべての PHP セキュリティ修正を含んでいません。Everpatch for CentOS 7 のバージョン別ページに、現在提供中のパッチ済みリリースと収録 CVE の一覧があります。
「ドロップイン互換」の意味
GetPageSpeed の EL7 向け PHP ビルドは独立してメンテナンスされており(Remi が新しい Enterprise Linux 向けに維持しているソースが存在する場合はそれを起点にしています)、Remi のパッケージ構成とドロップイン互換です:
- パッケージ名が同一、両形態対応。 ベース名の
php-*パッケージもphpNN-php-*の Software Collections も、Remi の構成そのままです。yum upgradeがその場で置き換えます。新しいインストール先も、サイトごとの切り替えもありません。 - ABI と SONAME が同一。 PECL 拡張や ionCube Loader は再ビルドなしでそのまま動作します。アップグレード前後でロードされるモジュール一覧が同一であることを検証済みです。
- 設定ファイルとサービス名が同一。
php-fpmはphp-fpmのまま、php74-php-fpmはphp74-php-fpmのまま、scl enable php74もそのまま使えます。 - 元に戻せます。
yum downgradeでいつでも Remi パッケージに戻せます。
話題の CVE だけではありません。EL7 に届かなかった 2024〜2026 年のセキュリティ修正も全ブランチに取り込み済みで、新しい PHP セキュリティ修正は公開され次第移植されます。また、サブスクリプション契約者には CVE アドバイザリーメールが届くため、yum upgrade のタイミングを逃しません。
延長サポートは橋であって、目的地ではありません。EL9 や EL10 への移行が現実的に数か月以内なら、移行先には Remi の最新ビルドがあり、このページの内容は不要です。インプレース方式が存在するのは、その移行が延び続けるサーバーのためです。アプリケーションが特定の PHP バージョンで認証されている、開発元が存在しない、台数が多すぎて今年中に移行できない。そうしたサーバーには、いまの場所でパッチが必要です。
他の延長サポート方式との比較
「Remi PHP 延長サポート」を検討すると、方式の異なる選択肢が見つかります。構造的な違いは「いま動いている PHP 環境をどこまで残せるか」です。
| GetPageSpeed | TuxCare ELS for PHP | サイバートラスト | |
|---|---|---|---|
| 提供方式 | 既存の Remi 互換パッケージをそのまま yum upgrade |
/opt/alt/php[バージョン] 配下の別ビルド(alt-php)。各サイトを切り替え |
TuxCare ELS for PHP の再販。自社の延長サポートはベース OS パッケージが対象 |
| 既存の Remi 環境 | そのまま維持: 名前・パス・設定・拡張が同一 | 置き換え: 新しいプレフィックスへ、PHP Selector でサイトを移行 | ベース OS の PHP(5.4)のみ。Remi 系バージョンは TuxCare 再販経由 |
| EL7 の対応 PHP バージョン | 5.4〜8.4(CentOS 7 で動く全バージョン)。それ以前も要望に応じて提供 | 5.2〜8.5 と記載 | TuxCare 再販に準ずる |
| 利用開始まで | 即時インストール。評価にサインアップ不要 | 先にライセンスキーが必要 | ライセンスキー発行までに 5 営業日程度 |
| サポート | Ultra は優先サポート | 同社 ELS 規約に準ずる | 技術的な問い合わせは契約ごとに 2 回まで、回答目安 2 週間以内 |
| 価格 | Ultra: 年額 $500(約 ¥79,000)で最大 10 台 | 非公開 | OS 延長サポート: 1 台あたり年額 ¥120,000 |
出典: TuxCare 社の ELS for PHP ドキュメント(alt-php のインストール先、対応バージョン、対応プラットフォーム)、同社の CentOS 7 ELS ページ(OS レベルの範囲。PHP は別製品の Runtimes が担当)、およびサイバートラスト社が公開している TuxCare ELS PHP 緊急対策パックのページと CentOS 延長サポートカタログ(ライセンスキー発行期間、問い合わせ回数の上限、回答目安、台あたり価格、2028 年 6 月末までの提供期間)。いずれも 2026 年 11 月時点の公開情報です。米ドルは 2026 年 11 月のレートで換算しています。
どの方式を検討する場合も、構造的な問いは同じです。いま動いている PHP 環境はどうなるのか? 別ビルド方式では、PHP は新しいディレクトリ配下の別パッケージとして提供され、すべてのサイトを新しい PHP ツリーへ移行することになります。OS レベルの延長サポートが対象とするのはベース OS の PHP(5.4 系)だけです。3 つの選択肢のうち、いまお使いの PHP を、既存のパッケージ名のまま、その場で更新するのは GetPageSpeed 方式だけです。提供範囲外のバージョン(PHP 5.2 など)が必要ですか? お問い合わせください。古いビルドはご要望に応じて提供します。
いま Remi PHP が動いているサーバーにとって、実際の比較対象は「全サイトを新しい PHP ビルドツリーへ移行する作業」と「yum upgrade を 1 回実行する作業」です。機能ごとの詳細な比較は Everpatch vs TuxCare ELS for PHP(英語)をご覧ください。
まず評価、動いてから支払い
パッケージはサインアップなしで公開 GetPageSpeed リポジトリからインストールできるため、インストールそのものが評価です。検証サーバーをアップグレードし、php -v を確認し、テストを流してください。個人利用・開発・評価目的はリポジトリ利用規約のもとで無料です。
商用本番環境でのご利用には GetPageSpeed Ultra(年額 $500、自社サービスを運用するサーバー最大 10 台)が必要です。新しい PHP CVE が公開されるたびに、何年も前に上流が手放したブランチへの移植作業が発生します。Ultra はその作業を支えるとともに、CentOS 7 向け NGINX ビルドとモジュールを含む GetPageSpeed リポジトリ全体をカバーします。顧客のサーバーを管理している、または 10 台を超える場合は、年額 $800 からの GetPageSpeed Fleet をご利用ください。契約上の SLA や請求書・発注書(PO)での調達が必要な組織には Enterprise をご用意しています。
Ultra を購入: 年額 $500 で 10 台 顧客サーバーには Fleet
よくある質問
いまの Remi パッケージと設定をそのまま使い続けられますか?
はい。それがドロップイン方式の目的です。GetPageSpeed ビルドは、置き換える Remi パッケージとパッケージ名・設定ファイル・ABI・サービス名が同一で、ベース名と Software Collections の両形態に対応しています。必要になれば yum downgrade で元に戻せます。
Remi リポジトリのコピーですか?
いいえ。EL7 向けに独立してメンテナンスしている PHP ビルド群で、Remi のパッケージ構成とドロップイン互換です。Remi が新しい Enterprise Linux 向けにソースを維持している場合はその修正を EL7 へ取り込み、PHP2Shell の際の PHP 7.3 以前のように上流が何も公開しない場合は、GetPageSpeed 自身が修正を移植します。
CentOS 7 ではどの PHP バージョンに対応していますか?
CentOS 7 で動くすべてのバージョンです: 5.4(標準搭載ビルド)、5.6、7.0〜7.4、8.0〜8.4。いずれも両パッケージ形態で提供しています。Remi が一度も提供しなかった新しいバージョンについては CentOS 7 に PHP 8.5 をインストールする方法(英語)を、PHP 5.2 などの古いバージョンはお問い合わせください。ご要望に応じて提供します。
いまの PHP が更新を受け取れているかを確認するには?
rpm -qa 'php*-common' を実行してください。リリース番号が .el7.remi で終わっていれば、最後の更新は 2024 年 6 月以前です。パッケージ一覧を無料の PHP2Shell チェッカーに貼り付ければパッケージごとの判定が得られます。ベンダーのバックポートを理解するワンコマンドスキャナー CVEfox も利用できます。
まとめ
CentOS 7 の Remi PHP は 2024 年 6 月に更新が止まり、その差は新しい PHP セキュリティ修正が出るたびに広がっています。PHP ツリーを丸ごと置き換える延長サポートは、移行作業を別の移行作業に置き換えるだけです。既存パッケージをその場で更新する延長サポートなら、yum upgrade 1 回で済みます。それが GetPageSpeed リポジトリの提供するもので、CentOS 7 で動くすべての PHP バージョンに対応し、今日から無料で評価できます。
パッチ済み PHP は、EOL サーバーの一層にすぎません。その前段の NGINX をはじめ、スタック全体も設定変更のたびに少しずつ劣化していきます。GetPageSpeed Amplify は全ホストに対して gixy スキャンを定期実行し、検出結果を NGINX の実行時メトリクスと結び付けます。提供終了となった nginx-amplify-agent(2026 年 1 月 EOL)のドロップイン互換です。
業務でこれらのサーバーを運用していますか? GetPageSpeed Ultra(年額 $500、最大 10 台)が、次の EOL PHP CVE にも備えます。GetPageSpeed リポジトリ全体が含まれます。