Distributions Linux

Paquets corrigés PHP2Shell par distribution Linux

Les distributions rétroportent le correctif dans leurs propres paquets PHP : le numéro de version reste donc souvent ancien. Trouvez ci-dessous le premier build corrigé de votre version, puis vérifiez le paquet qui sert réellement votre site.

Dernière vérification 2026-10-23

Un ancien numéro de version peut être corrigé

Ubuntu 24.04 affiche toujours PHP 8.3.6 après le correctif ; Debian, RHEL, AlmaLinux et SUSE fonctionnent de la même façon. Comparez la révision complète du paquet avec l’avis de l’éditeur. php -v seul ne suffit pas.

Versions des paquets vérifiées auprès des éditeurs

Premiers builds corrigés pour ces versions et paquets sources, couvrant les deux CVE. Un ancien numéro amont peut être corrigé. Vérifiez votre version du système, le canal officiel et le build installé, puis redémarrez tous les workers web. Vérifié le 2026-10-22.

SystèmePaquet PHPPremier build éditeur corrigéCanal de mise à jourSource
SLE 15 SP7 · Web and Scripting Modulephp88.3.36-150700.3.24.1Abonnement SUSE / module activéSUSE-SU-2026:4844-1
Ubuntu 26.10php8.58.5.9-0ubuntu2.1Mises à jour de sécuritéUSN-8948-1
Ubuntu 26.04 LTSphp8.58.5.4-0ubuntu1.5Mises à jour de sécuritéUSN-8948-1
Ubuntu 24.04 LTSphp8.38.3.6-0ubuntu0.24.04.13Mises à jour de sécuritéUSN-8948-1
Ubuntu 22.04 LTSphp8.18.1.2-1ubuntu2.28Mises à jour de sécuritéUSN-8948-1
Ubuntu 20.04 LTSphp7.47.4.3-4ubuntu2.29+esm5Ubuntu Pro / ESMUSN-8948-2
Ubuntu 18.04 LTSphp7.27.2.24-0ubuntu0.18.04.17+esm14Ubuntu Pro / ESMUSN-8948-2
Ubuntu 16.04 LTSphp7.07.0.33-0ubuntu0.16.04.16+esm22Ubuntu Pro + Legacy SupportUSN-8948-2
Ubuntu 14.04 LTSphp55.5.9+dfsg-1ubuntu4.29+esm18Ubuntu Pro + Legacy SupportUSN-8948-2
Debian 13 (trixie)php8.48.4.27-1~deb13u1Mises à jour de sécuritéDSA-6574-1
Debian 12 (bookworm)php8.28.2.35-1~deb12u1Debian LTS / securityDLA-4848-1
RHEL 8 · php:7.4php7.4.33-8.module+el8.10.0+25117+30337ccaRed Hat AppStreamRHSA-2026:87080
AlmaLinux 10 · php 8.3 (default)php8.3.33-1.el10_2.alma.1AlmaLinux AppStreamAlmaLinux blog
AlmaLinux 10 · php8.4php8.48.4.24-1.el10_2.alma.1AlmaLinux AppStreamAlmaLinux blog
AlmaLinux 9 · php 8.0 (default)php8.0.30-8.el9_8.alma.1AlmaLinux AppStreamAlmaLinux blog
AlmaLinux 9 · php:8.3php8.3.33-1.module_el9.8.0+328+1fdeb728.alma.1AlmaLinux AppStreamAlmaLinux blog
AlmaLinux 9 · php:8.2php8.2.33-1.module_el9.8.0+327+37dfd4b4.alma.1AlmaLinux AppStreamAlmaLinux blog
AlmaLinux 9 · php:8.1php8.1.32-1.module_el9.8.0+326+528679fc.alma.1AlmaLinux, flux retiréAlmaLinux blog
AlmaLinux 8 · php:8.2php8.2.33-1.module_el8.10.0+4320+c30d6dbb.alma.1AlmaLinux AppStreamAlmaLinux blog
AlmaLinux 8 · php:8.0php8.0.30-1.module_el8.10.0+4319+26f10322.alma.1AlmaLinux, flux retiréAlmaLinux blog
AlmaLinux 8 · php:7.4php7.4.33-8.module_el8.10.0+4321+cf5fd4bbAlmaLinux AppStreamAlmaLinux blog
AlmaLinux 8 · php:7.3php7.3.20-1.module_el8.10.0+4316+90ea5fe5.alma.1AlmaLinux, flux retiréAlmaLinux blog
AlmaLinux 8 · php:7.2php7.2.24-1.module_el8.10.0+4315+7b734bf3.alma.1AlmaLinux, flux retiréAlmaLinux blog

Cet état ne confirme pas les autres dépôts, PPA Ubuntu, Debian sid/forky ou toutes les images tierces. Les builds ultérieurs du même canal officiel peuvent inclure ces correctifs ; vérifiez l’avis de l’éditeur. Le vérificateur demande toujours de confirmer les paquets éditeurs. Les lignes AlmaLinux et RHEL valent pour le flux de module indiqué ; installez ce build ou une version supérieure. Les futurs correctifs des flux retirés ne sont pas garantis. Red Hat publie d’autres avis couvrant les deux CVE, dont RHSA-2026:87079 pour RHEL 9 php:8.3. Ce tableau est une sélection vérifiée, pas la liste complète des publications Red Hat ; consultez l’avis de votre produit et de votre flux. La ligne SUSE concerne uniquement Web and Scripting Module 15-SP7 (aarch64, ppc64le, s390x, x86_64). Les modules SUSE nécessitent le produit enregistré approprié et les dépôts activés ; ils sont inclus dans l’abonnement SLES. Appliquez l’avis via YaST Online Update ou zypper patch, puis redémarrez les workers PHP-FPM/Apache réellement utilisés. La publication d’un paquet PHP8 ne confirme pas la correction de PHP7, SLE 16 ou SP6 sans le canal de support requis.

Vérifier le build installé

Comparez la sortie avec le tableau : la révision installée doit être égale ou plus récente que le build indiqué, pour la même version et le même canal. Redémarrez ensuite tous les workers PHP.

shell
# Debian / Ubuntu: installed PHP package revisions
dpkg-query -W -f='${binary:Package} ${Version}\n' 'php*-common' 'libapache2-mod-php*' 2>/dev/null

# RHEL / AlmaLinux / Rocky: installed build and module stream
rpm -q php-common php-fpm
dnf module list --enabled php 2>/dev/null

# SUSE: installed build and pending security patches
rpm -q php8 php8-fpm
zypper list-patches --cve=CVE-2026-109618

# Then restart the workers and confirm they started after the upgrade
ps -eo pid,lstart,cmd | grep -E '[p]hp-fpm|[a]pache2|[h]ttpd'

Absent du tableau ?

  • Une ligne absente signifie que nous n’avons pas encore vérifié cette version, pas qu’elle est sûre ou non corrigée. Consultez le suivi de votre éditeur : Ubuntu, Debian, Red Hat, SUSE.
  • Les dépôts tiers (PPA d’Ondřej Surý / packages.sury.org, Remi, CloudLinux alt-php, builds des panneaux) sont des canaux distincts avec leurs propres builds corrigés. Voir le guide de correction et la page aaPanel / 1Panel.
  • Les conteneurs n’héritent pas des mises à jour de l’hôte. Reconstruisez les images sur une base corrigée et redéployez-les.
  • Sur PHP 8.1 ou plus ancien sans paquet éditeur, lisez la section fin de vie.

Questions

Pourquoi php -v affiche-t-il encore une ancienne version après la mise à jour ?+

Les distributions rétroportent les correctifs de sécurité sans changer la version amont. Sur Ubuntu 24.04, le paquet corrigé est 8.3.6-0ubuntu0.24.04.13, donc php -v indique toujours 8.3.6. Vérifiez la révision avec dpkg-query ou rpm -q et comparez-la avec l’avis de l’éditeur.

Faut-il redémarrer quelque chose après la mise à jour du paquet ?+

Oui. PHP-FPM, Apache (mod_php) et les workers PHP de longue durée gardent l’ancien code en mémoire jusqu’à leur redémarrage. Redémarrez-les après la mise à jour et vérifiez l’heure de démarrage des processus.

Ubuntu 20.04 ou 18.04 sont-ils corrigés ?+

Oui, via Ubuntu Pro / ESM (USN-8948-2). Sans Pro activé, le paquet corrigé n’est pas disponible dans l’archive standard. 16.04 et 14.04 nécessitent Legacy Support.

Qu’est-ce que le RHSB-2026-013 de Red Hat ?+

RHSB-2026-013 est le bulletin de sécurité de Red Hat sur PHP2Shell. Il couvre RHEL 10, 9 et 8 ainsi qu’OpenShift Dev Spaces 3, et indique que les produits et conteneurs basés sur RHEL ou UBI peuvent être touchés : reconstruisez les conteneurs quand les images de base sont mises à jour. Les correctifs sont publiés par flux de module, par exemple RHSA-2026:87079 (RHEL 9 php:8.3) et RHSA-2026:87080 (RHEL 8 php:7.4).

Voir aussi