Linux-distributies

PHP2Shell-fixpakketten per Linux-distributie

Distributies backporten de fix naar hun eigen PHP-pakketten, dus het versienummer blijft vaak oud. Zoek hieronder de eerste gepatchte build voor jouw release en controleer daarna het pakket dat je site echt bedient.

Laatst gecontroleerd 2026-10-23

Een oud versienummer kan gepatcht zijn

Ubuntu 24.04 meldt na de fix nog steeds PHP 8.3.6; Debian, RHEL, AlmaLinux en SUSE werken net zo. Vergelijk de volledige pakketrevisie met het advies van de leverancier. php -v alleen zegt het niet.

Geverifieerde pakketversies van leveranciers

Eerste gepatchte builds voor deze releases en bronpakketten, voor beide CVE’s. Een oud upstream-nummer kan dus gepatcht zijn. Controleer je exacte release, officiële updatekanaal en geïnstalleerde build, en herstart alle webworkers. Gecontroleerd op 2026-10-22.

BesturingssysteemPHP-pakketEerste gepatchte leveranciersbuildUpdatekanaalBron
SLE 15 SP7 · Web and Scripting Modulephp88.3.36-150700.3.24.1SUSE-abonnement / ingeschakelde moduleSUSE-SU-2026:4844-1
Ubuntu 26.10php8.58.5.9-0ubuntu2.1BeveiligingsupdatesUSN-8948-1
Ubuntu 26.04 LTSphp8.58.5.4-0ubuntu1.5BeveiligingsupdatesUSN-8948-1
Ubuntu 24.04 LTSphp8.38.3.6-0ubuntu0.24.04.13BeveiligingsupdatesUSN-8948-1
Ubuntu 22.04 LTSphp8.18.1.2-1ubuntu2.28BeveiligingsupdatesUSN-8948-1
Ubuntu 20.04 LTSphp7.47.4.3-4ubuntu2.29+esm5Ubuntu Pro / ESMUSN-8948-2
Ubuntu 18.04 LTSphp7.27.2.24-0ubuntu0.18.04.17+esm14Ubuntu Pro / ESMUSN-8948-2
Ubuntu 16.04 LTSphp7.07.0.33-0ubuntu0.16.04.16+esm22Ubuntu Pro + Legacy SupportUSN-8948-2
Ubuntu 14.04 LTSphp55.5.9+dfsg-1ubuntu4.29+esm18Ubuntu Pro + Legacy SupportUSN-8948-2
Debian 13 (trixie)php8.48.4.27-1~deb13u1BeveiligingsupdatesDSA-6574-1
Debian 12 (bookworm)php8.28.2.35-1~deb12u1Debian LTS / securityDLA-4848-1
RHEL 8 · php:7.4php7.4.33-8.module+el8.10.0+25117+30337ccaRed Hat AppStreamRHSA-2026:87080
AlmaLinux 10 · php 8.3 (default)php8.3.33-1.el10_2.alma.1AlmaLinux AppStreamAlmaLinux blog
AlmaLinux 10 · php8.4php8.48.4.24-1.el10_2.alma.1AlmaLinux AppStreamAlmaLinux blog
AlmaLinux 9 · php 8.0 (default)php8.0.30-8.el9_8.alma.1AlmaLinux AppStreamAlmaLinux blog
AlmaLinux 9 · php:8.3php8.3.33-1.module_el9.8.0+328+1fdeb728.alma.1AlmaLinux AppStreamAlmaLinux blog
AlmaLinux 9 · php:8.2php8.2.33-1.module_el9.8.0+327+37dfd4b4.alma.1AlmaLinux AppStreamAlmaLinux blog
AlmaLinux 9 · php:8.1php8.1.32-1.module_el9.8.0+326+528679fc.alma.1AlmaLinux, uitgefaseerde streamAlmaLinux blog
AlmaLinux 8 · php:8.2php8.2.33-1.module_el8.10.0+4320+c30d6dbb.alma.1AlmaLinux AppStreamAlmaLinux blog
AlmaLinux 8 · php:8.0php8.0.30-1.module_el8.10.0+4319+26f10322.alma.1AlmaLinux, uitgefaseerde streamAlmaLinux blog
AlmaLinux 8 · php:7.4php7.4.33-8.module_el8.10.0+4321+cf5fd4bbAlmaLinux AppStreamAlmaLinux blog
AlmaLinux 8 · php:7.3php7.3.20-1.module_el8.10.0+4316+90ea5fe5.alma.1AlmaLinux, uitgefaseerde streamAlmaLinux blog
AlmaLinux 8 · php:7.2php7.2.24-1.module_el8.10.0+4315+7b734bf3.alma.1AlmaLinux, uitgefaseerde streamAlmaLinux blog

Dit overzicht bevestigt geen andere repositories, Ubuntu-PPA’s, Debian sid/forky of alle externe images. Latere builds in hetzelfde officiële updatekanaal kunnen deze fixes bevatten; controleer de leveranciersmelding. De versiechecker vraagt je leverancierspakketten apart te verifiëren. Rijen voor AlmaLinux en RHEL gelden voor de genoemde modulestream; installeer die build of hoger. Toekomstige fixes voor uitgefaseerde streams zijn niet gegarandeerd. Red Hat heeft aanvullende advisories voor beide CVE’s, waaronder RHSA-2026:87079 voor RHEL 9 php:8.3. Deze tabel is een geverifieerde selectie, niet de volledige Red Hat-releaselijst; controleer de advisory voor jouw product en stream. De SUSE-rij geldt alleen voor Web and Scripting Module 15-SP7 (aarch64, ppc64le, s390x, x86_64). SUSE-modules vereisen het juiste geregistreerde product en ingeschakelde repositories; ze zijn inbegrepen in het SLES-abonnement. Installeer de advisory via YaST Online Update of zypper patch en herstart de actieve PHP-FPM/Apache-workers. Een uitgebracht PHP8-pakket bevestigt geen fix voor PHP7, SLE 16 of SP6 zonder het vereiste supportkanaal.

Controleer de geïnstalleerde build

Vergelijk de uitvoer met de tabel: binnen dezelfde release en hetzelfde kanaal moet de geïnstalleerde revisie gelijk of nieuwer zijn dan de vermelde build. Herstart daarna alle PHP-workers.

shell
# Debian / Ubuntu: installed PHP package revisions
dpkg-query -W -f='${binary:Package} ${Version}\n' 'php*-common' 'libapache2-mod-php*' 2>/dev/null

# RHEL / AlmaLinux / Rocky: installed build and module stream
rpm -q php-common php-fpm
dnf module list --enabled php 2>/dev/null

# SUSE: installed build and pending security patches
rpm -q php8 php8-fpm
zypper list-patches --cve=CVE-2026-109618

# Then restart the workers and confirm they started after the upgrade
ps -eo pid,lstart,cmd | grep -E '[p]hp-fpm|[a]pache2|[h]ttpd'

Staat jouw release er niet in?

  • Een ontbrekende rij betekent dat we die release nog niet hebben gecontroleerd, niet dat hij veilig of ongepatcht is. Kijk in de tracker van je leverancier: Ubuntu, Debian, Red Hat, SUSE.
  • Externe repositories (de PPA van Ondřej Surý / packages.sury.org, Remi, CloudLinux alt-php, panel-builds) zijn aparte kanalen met eigen gepatchte builds. Zie de patchgids en de aaPanel-/1Panel-pagina.
  • Containers nemen geen host-updates over. Bouw images opnieuw op een gepatchte basis en deploy ze opnieuw.
  • Op PHP 8.1 of ouder zonder leverancierspakket: lees de sectie over end-of-life.

Vragen

Waarom toont php -v na de update nog een oude versie?+

Distributies backporten beveiligingsfixes zonder de upstream-versie te wijzigen. Op Ubuntu 24.04 is het gepatchte pakket 8.3.6-0ubuntu0.24.04.13, dus php -v meldt nog 8.3.6. Controleer de pakketrevisie met dpkg-query of rpm -q en vergelijk die met het advies van de leverancier.

Moet ik na het bijwerken van het pakket iets herstarten?+

Ja. Draaiende PHP-FPM-, Apache- (mod_php) en langlopende PHP-workers houden de oude code in het geheugen tot ze herstarten. Herstart ze na de update en controleer de starttijden van de processen.

Is Ubuntu 20.04 of 18.04 gepatcht?+

Ja, via Ubuntu Pro / ESM (USN-8948-2). Zonder Pro is het gepatchte pakket niet beschikbaar in het standaardarchief. 16.04 en 14.04 hebben Legacy Support nodig.

Wat is Red Hat RHSB-2026-013?+

RHSB-2026-013 is het beveiligingsbulletin van Red Hat over PHP2Shell. Het geldt voor RHEL 10, 9 en 8 en OpenShift Dev Spaces 3, en meldt dat producten en containers op basis van RHEL of UBI getroffen kunnen zijn: bouw containers opnieuw zodra de basisimages zijn bijgewerkt. Fixes verschijnen per modulestream, bijvoorbeeld RHSA-2026:87079 (RHEL 9 php:8.3) en RHSA-2026:87080 (RHEL 8 php:7.4).

Gerelateerd