Debian og Ubuntu: Er min PHP-pakke patchet?

Kort sagt: Om jeres PHP-pakke under Debian eller Ubuntu er patchet mod PHP2Shell, kan I se på den nøjagtige pakkestatus, ikke på PHP-versionen. Ubuntu har den 21. oktober 2026 offentliggjort rettede pakker til alle understøttede udgivelser, ældre via Ubuntu Pro. Debian har rettet php8.2 i bookworm og php8.4 i trixie. Sammenlign den installerede status med dpkg --compare-versions, og genstart derefter alle PHP-tjenester.

Spørgsmålet bag spørgsmålet

„Er min PHP-pakke patchet?“ lyder som et ja-eller-nej-spørgsmål. I praksis afhænger svaret af tre ting: Hvilken kilde stammer pakken fra, hvilken status er installeret, og kører denne status også? Dette indlæg besvarer de to første punkter for de officielle pakker fra Debian og Ubuntu. Hvordan I generelt kontrollerer version og kørende processer, står under Kontrollér PHP-version og patchstatus korrekt.

Vi har hentet oplysningerne i de officielle sikkerhedsmeddelelser fra Ubuntu og i Debian Security Tracker den 25. oktober 2026. Begge CVE'er, CVE-2026-109618 og CVE-2026-109619, er dér opført med de samme rettede statusser.

Rettede pakkestatusser hos Ubuntu

Ubuntu har offentliggjort rettelserne med to meddelelser. USN-8948-1 dækker de aktuelle udgivelser, USN-8948-2 de ældre, som kun via Ubuntu Pro stadig får sikkerhedsopdateringer. Ved 16.04 og 14.04 nævner Ubuntu desuden tilbuddet Legacy Support.

Påfaldende er, at alle statusser beholder den oprindelige PHP-version. Ubuntu 24.04 bliver ved 8.3.6, selv om rettelsen er overtaget fra 8.3.36. Hvorfor det er sådan, og hvordan I håndterer det, forklarer indlægget Hvorfor php -v viser det samme nummer. Berørt er hver gang bl.a. binærpakkerne til FPM, CLI, CGI og Apache-modulet, f.eks. php8.3-fpm og libapache2-mod-php8.3.

Rettede pakkestatusser hos Debian

Debian går her en anden vej og leverer de nye upstream-versioner. Ifølge Security Tracker ser statussen sådan ud:

Meddelelsen for bookworm udkom som DLA, altså via Debian LTS. For php8.2 i unstable fører Tracker ved hentningen endnu ingen rettet status. Den, der driver testsystemer på unstable, bør holde øje med det.

Ældre Debian-udgivelser dukker ved hentningen ikke op i de to CVE-poster. Kører en server stadig på en sådan udgivelse, f.eks. Debian 11 med PHP 7.4, kan I ikke stole på en sikkerhedsopdatering fra det officielle arkiv. Så er der tre veje: løfte operativsystemet til en understøttet udgivelse, bruge et kommercielt langtidstilbud, hvis dækning af PHP2Shell I lader jer bekræfte skriftligt, eller sikre serveren med midlertidige foranstaltninger frem til migreringen og begrænse dens tilgængelighed. På lang sigt er kun den første vej bæredygtig.

Sådan sammenligner I den installerede status nøjagtigt

Et blik på versionsnummeret er ikke nok, fordi Debian-versioner sorteres efter egne regler. dpkg --compare-versions sammenligner korrekt. Følgende kommandoer er rent læsende; tilpas pakkenavne og målstatus til jeres udgivelse.

# Installeret status og pakkens oprindelse
apt policy php8.3-fpm

# Alle installerede PHP-pakker med version
dpkg-query -W -f='${Package}\t${Version}\n' 'php*' 'libapache2-mod-php*' 2>/dev/null

# Nøjagtig sammenligning med den rettede status (eksempel Ubuntu 24.04)
v=$(dpkg-query -W -f='${Version}' php8.3-fpm)
dpkg --compare-versions "$v" ge 8.3.6-0ubuntu0.24.04.13 && echo "korrigiert: $v" || echo "PRÜFEN: $v"

Læg i outputtet fra apt policy mærke til linjen med pakkekilden. Står der ikke jeres distributions sikkerhedsarkiv, men f.eks. packages.sury.org eller en PPA, gælder tabellerne ovenfor ikke. Så tæller denne tredjepartskildes status, som vi behandler i indlægget sury.org-repositoryet.

Desuden er et blik i den medfølgende changelog umagen værd. Hvordan I dér finder CVE-numrene og fastholder dem som dokumentation, beskriver indlægget Dokumentér CVE-numre i pakkens changelog.

Typiske faldgruber ved kontrollen

Kun én pakke kontrolleret: PHP består af mange binærpakker. Er php8.3-cli aktuel, men php8.3-fpm ikke, forbliver websitet åbent. Kontrollér alle pakker i en gren, især FPM, CGI og Apache-modulet.

Pakke fastholdt: Pakker, der er fastholdt med apt-mark hold, bliver stående ved opdateringen. apt-mark showhold viser dem.

Ubuntu Pro ikke aktivt: På 20.04 og ældre kommer rettelserne kun, hvis Ubuntu Pro er sat op. Uden Pro forbliver systemet trods opdateringskørsel sårbart.

Forældet spejl: Henter serveren pakker via et internt spejl eller en proxy, ser den først nye sikkerhedsopdateringer, når denne er opdateret. Kontrollér i tvivlstilfælde, om apt update faktisk når sikkerhedskilden.

Genstart glemt: Nye pakker virker først efter genstart af alle tjenester, der har indlæst PHP. needrestart, hvis installeret, viser tjenester med forældet kode.

Hvordan hjælper PHP SOS konkret?

• Vi fastslår for hver server oprindelsen af alle PHP-pakker og sammenligner statussen med de officielle meddelelser.
• Vi indspiller opdateringer, også via Ubuntu Pro, og genstarter alle berørte tjenester.
• Med PHP-patchservice modtager I for hver server en dokumentation med pakkestatus, fund i changelog og tidspunkt for genstart.
• På systemer med tredjepartskilder eller ældre versioner afklarer vi, hvilken vej der fører til en dokumenterbart rettet status.

Ofte stillede spørgsmål

Kilder

• Ubuntu Security Notice USN-8948-1
• Ubuntu Security Notice USN-8948-2
• Debian Security Tracker: CVE-2026-109618
• Debian Security Tracker: CVE-2026-109619