Ben ik kwetsbaar?

PHP2Shell-versiechecker

Plak een versie, de uitvoer van php -v of een heel serverpark — één versie per regel. De controle draait in je browser; er wordt niets verstuurd.

Laatst gecontroleerd 2026-10-22

Plak een versie, de uitvoer van php -v, of één versie per regel voor een hele serverpark. Draait volledig in je browser.

Probeer:

De CLI en de webserver kunnen verschillende PHP-builds draaien. Controleer de versie die je webserver echt gebruikt: php-fpm -v (of php-fpm8.3 -v), of phpinfo() via die site.

BranchKwetsbaarOpgelost in
8.5< 8.5.128.5.12
8.4< 8.4.278.4.27
8.3< 8.3.368.3.36
8.2< 8.2.358.2.35
8.1 · 8.0 · 7.4alleAlleen source-backport
5.4 – 7.3alleGeen fix

Versies verzamelen om te plakken

Het gaat om de PHP die webrequests beantwoordt. De CLI op dezelfde machine kan een andere build zijn.

shell
# One host: the binary that serves web traffic
php-fpm -v 2>/dev/null || php -v

# Many hosts over SSH — paste the output into the checker
for h in web1 web2 web3; do
  printf '%s ' "$h"; ssh "$h" "php -r 'echo PHP_VERSION, PHP_EOL;'"
done

# Exact Debian/Ubuntu package version (shows distro backports)
dpkg-query -W -f='${Package} ${Version}\n' 'php*-common'

# RHEL family
rpm -q php-common

Wat elk resultaat betekent

ResultaatBetekenisWat te doen
KwetsbaarUpstream-versie onder de eerste gepatchte release van de branch.Upgraden en herstarten. Is het een OS-pakket, controleer dan eerst de changelog — de backport kan er al in zitten.
Check leverancierVersiestring met een distro-achtervoegsel (ubuntu, deb, el, amzn, suse, fc).Distributies backporten fixes zonder het upstream-nummer te verhogen. Zoek de CVE in de changelog van het pakket.
Kwetsbaar · EOLBranch 8.1 of ouder — geen nieuwe PHP-release.Migreer naar 8.4/8.5. Noodoplossing: backport van de leverancier, of de source-backport van PHP voor 7.4/8.0/8.1.
GepatchtGelijk aan of hoger dan de eerste gepatchte release.Zorg dat elke worker na de update is herstart.
Nieuwere branchEen branch die nieuwer is dan alles in de advisory.Hoort de fix te bevatten; controleer de release notes.
Niet ondersteundOuder dan 5.4 — buiten het gemelde bereik.Niet als kwetsbaar vermeld, maar al lang niet ondersteund en vol andere kritieke bugs. Migreer.

Waarom distro-builds een tweede blik nodig hebben

Ubuntu’s 8.3.6-0ubuntu0.24.04.x of Debian’s 8.2.x-1~deb12uN houden het upstream-nummer waarmee ze zijn uitgebracht en voegen security-fixes daarbovenop toe. Een machine kan dus “8.3.6” melden en toch gepatcht zijn. Het omgekeerde kan ook: een hoog ogend nummer uit een oud image kan ongepatcht zijn.

Pakketten uit de repository van Ondřej Surý (deb.sury.org) volgen de upstream-versies, dus de checker behandelt ze als officiële releases.

Volgende stap