Linux-Distributionen

PHP2Shell-Fixpakete nach Linux-Distribution

Distributionen portieren den Fix in ihre eigenen PHP-Pakete zurück, daher bleibt die Versionsnummer oft alt. Suchen Sie unten den ersten korrigierten Build Ihres Releases und prüfen Sie dann das Paket, das Ihre Website tatsächlich ausliefert.

Zuletzt geprüft 2026-10-23

Eine alte Versionsnummer kann gepatcht sein

Ubuntu 24.04 meldet nach dem Fix weiterhin PHP 8.3.6; Debian, RHEL, AlmaLinux und SUSE verhalten sich genauso. Vergleichen Sie die vollständige Paketrevision mit dem Hersteller-Advisory. php -v allein reicht nicht.

Verifizierte Paketversionen der Anbieter

Erste korrigierte Builds für die aufgeführten Releases und Quellpakete, die beide CVEs abdecken. Auch eine ältere Upstream-Version kann gepatcht sein. Prüfen Sie Release, offiziellen Updatekanal und installierten Build; starten Sie alle Web-Worker neu. Geprüft am 2026-10-22.

BetriebssystemPHP-PaketErster korrigierter Anbieter-BuildUpdatekanalNachweis
SLE 15 SP7 · Web and Scripting Modulephp88.3.36-150700.3.24.1SUSE-Abonnement / aktiviertes ModulSUSE-SU-2026:4844-1
Ubuntu 26.10php8.58.5.9-0ubuntu2.1SicherheitsupdatesUSN-8948-1
Ubuntu 26.04 LTSphp8.58.5.4-0ubuntu1.5SicherheitsupdatesUSN-8948-1
Ubuntu 24.04 LTSphp8.38.3.6-0ubuntu0.24.04.13SicherheitsupdatesUSN-8948-1
Ubuntu 22.04 LTSphp8.18.1.2-1ubuntu2.28SicherheitsupdatesUSN-8948-1
Ubuntu 20.04 LTSphp7.47.4.3-4ubuntu2.29+esm5Ubuntu Pro / ESMUSN-8948-2
Ubuntu 18.04 LTSphp7.27.2.24-0ubuntu0.18.04.17+esm14Ubuntu Pro / ESMUSN-8948-2
Ubuntu 16.04 LTSphp7.07.0.33-0ubuntu0.16.04.16+esm22Ubuntu Pro + Legacy SupportUSN-8948-2
Ubuntu 14.04 LTSphp55.5.9+dfsg-1ubuntu4.29+esm18Ubuntu Pro + Legacy SupportUSN-8948-2
Debian 13 (trixie)php8.48.4.27-1~deb13u1SicherheitsupdatesDSA-6574-1
Debian 12 (bookworm)php8.28.2.35-1~deb12u1Debian LTS / securityDLA-4848-1
RHEL 8 · php:7.4php7.4.33-8.module+el8.10.0+25117+30337ccaRed Hat AppStreamRHSA-2026:87080
AlmaLinux 10 · php 8.3 (default)php8.3.33-1.el10_2.alma.1AlmaLinux AppStreamAlmaLinux blog
AlmaLinux 10 · php8.4php8.48.4.24-1.el10_2.alma.1AlmaLinux AppStreamAlmaLinux blog
AlmaLinux 9 · php 8.0 (default)php8.0.30-8.el9_8.alma.1AlmaLinux AppStreamAlmaLinux blog
AlmaLinux 9 · php:8.3php8.3.33-1.module_el9.8.0+328+1fdeb728.alma.1AlmaLinux AppStreamAlmaLinux blog
AlmaLinux 9 · php:8.2php8.2.33-1.module_el9.8.0+327+37dfd4b4.alma.1AlmaLinux AppStreamAlmaLinux blog
AlmaLinux 9 · php:8.1php8.1.32-1.module_el9.8.0+326+528679fc.alma.1AlmaLinux, ausgemusterter StreamAlmaLinux blog
AlmaLinux 8 · php:8.2php8.2.33-1.module_el8.10.0+4320+c30d6dbb.alma.1AlmaLinux AppStreamAlmaLinux blog
AlmaLinux 8 · php:8.0php8.0.30-1.module_el8.10.0+4319+26f10322.alma.1AlmaLinux, ausgemusterter StreamAlmaLinux blog
AlmaLinux 8 · php:7.4php7.4.33-8.module_el8.10.0+4321+cf5fd4bbAlmaLinux AppStreamAlmaLinux blog
AlmaLinux 8 · php:7.3php7.3.20-1.module_el8.10.0+4316+90ea5fe5.alma.1AlmaLinux, ausgemusterter StreamAlmaLinux blog
AlmaLinux 8 · php:7.2php7.2.24-1.module_el8.10.0+4315+7b734bf3.alma.1AlmaLinux, ausgemusterter StreamAlmaLinux blog

Diese Übersicht bestätigt keine anderen Repositories, Ubuntu-PPAs, Debian sid/forky oder sämtliche Drittanbieter-Images. Spätere Builds im selben offiziellen Kanal können die Fixes enthalten; prüfen Sie die Anbieterhinweise. Der Versionsprüfer fordert weiterhin die Prüfung von Anbieterpaketen. Zeilen für AlmaLinux und RHEL gelten für den genannten Modul-Stream; installieren Sie diesen Build oder neuer. Künftige Fixes für ausgemusterte Streams sind nicht garantiert. Red Hat hat weitere Advisories für beide CVEs, darunter RHSA-2026:87079 für RHEL 9 php:8.3. Diese Tabelle ist eine geprüfte Auswahl, keine vollständige Red-Hat-Liste; prüfen Sie das Advisory für Ihr Produkt und Ihren Stream. Die SUSE-Zeile gilt nur für das Web and Scripting Module 15-SP7 (aarch64, ppc64le, s390x, x86_64). SUSE-Module benötigen das passende registrierte Produkt und aktivierte Repositories; sie sind im SLES-Abonnement enthalten. Installieren Sie das Advisory über YaST Online Update oder zypper patch und starten Sie die tatsächlich verwendeten PHP-FPM/Apache-Worker neu. Ein veröffentlichtes PHP8-Paket bestätigt keinen Fix für PHP7, SLE 16 oder SP6 ohne den erforderlichen Supportkanal.

Installierten Build prüfen

Vergleichen Sie die Ausgabe mit der Tabelle: Die installierte Revision muss im selben Release und Kanal gleich oder neuer als der gelistete Build sein. Starten Sie danach alle PHP-Worker neu.

shell
# Debian / Ubuntu: installed PHP package revisions
dpkg-query -W -f='${binary:Package} ${Version}\n' 'php*-common' 'libapache2-mod-php*' 2>/dev/null

# RHEL / AlmaLinux / Rocky: installed build and module stream
rpm -q php-common php-fpm
dnf module list --enabled php 2>/dev/null

# SUSE: installed build and pending security patches
rpm -q php8 php8-fpm
zypper list-patches --cve=CVE-2026-109618

# Then restart the workers and confirm they started after the upgrade
ps -eo pid,lstart,cmd | grep -E '[p]hp-fpm|[a]pache2|[h]ttpd'

Nicht in der Tabelle?

  • Eine fehlende Zeile heißt nur, dass wir dieses Release noch nicht geprüft haben – nicht, dass es sicher oder ungepatcht ist. Prüfen Sie den Tracker Ihres Herstellers: Ubuntu, Debian, Red Hat, SUSE.
  • Drittanbieter-Repositorys (Ondřej Surýs PPA / packages.sury.org, Remi, CloudLinux alt-php, Panel-Builds) sind eigene Kanäle mit eigenen korrigierten Builds. Siehe Patch-Anleitung und die aaPanel-/1Panel-Seite.
  • Container übernehmen keine Host-Updates. Bauen Sie Images auf einer korrigierten Basis neu und deployen Sie sie erneut.
  • Bei PHP 8.1 oder älter ohne Herstellerpaket lesen Sie den Abschnitt zu End-of-Life-Versionen.

Fragen

Warum zeigt php -v nach dem Update noch eine alte Version?+

Distributionen portieren Sicherheitsfixes zurück, ohne die Upstream-Version zu ändern. Unter Ubuntu 24.04 ist das korrigierte Paket 8.3.6-0ubuntu0.24.04.13, daher meldet php -v weiterhin 8.3.6. Prüfen Sie die Paketrevision mit dpkg-query oder rpm -q und vergleichen Sie sie mit dem Hersteller-Advisory.

Muss ich nach dem Paket-Update etwas neu starten?+

Ja. Laufende PHP-FPM-, Apache- (mod_php) und langlebige PHP-Worker behalten den alten Code im Speicher, bis sie neu starten. Starten Sie sie nach dem Update neu und prüfen Sie die Startzeiten der Prozesse.

Ist Ubuntu 20.04 oder 18.04 gepatcht?+

Ja, über Ubuntu Pro / ESM (USN-8948-2). Ohne aktiviertes Pro ist das korrigierte Paket im Standardarchiv nicht verfügbar. 16.04 und 14.04 benötigen Legacy Support.

Was ist Red Hat RHSB-2026-013?+

RHSB-2026-013 ist Red Hats Sicherheitsbulletin zu PHP2Shell. Es betrifft RHEL 10, 9 und 8 sowie OpenShift Dev Spaces 3 und weist darauf hin, dass Produkte und Container auf RHEL- oder UBI-Basis betroffen sein können: Container nach Updates der Basis-Images neu bauen. Fixes erscheinen je Modul-Stream, etwa RHSA-2026:87079 (RHEL 9 php:8.3) und RHSA-2026:87080 (RHEL 8 php:7.4).

Verwandte Seiten