# Debian og Ubuntu: Er min PHP-pakke patchet?

> Er jeres PHP-pakke under Debian eller Ubuntu patchet mod PHP2Shell? Rettede pakkestatusser pr. udgivelse, kontrolkommandoer og typiske faldgruber for administratorer.

Kilde: https://phpsos.de/da/blog/debian-ubuntu-paket-gepatcht/  
Status: 25.10.2026  
Udbyder: PHP SOS, PHP-nødhjælp og serversikkerhed. Akut hjælp på WhatsApp: https://wa.me/491736494914?text=Hej%20PHP%20SOS%2C%20vi%20har%20brug%20for%20hj%C3%A6lp%20med%20vores%20PHP-server.%20Firma%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6

**Kort sagt:** Om jeres PHP-pakke under Debian eller Ubuntu er patchet mod PHP2Shell, kan I se på den nøjagtige pakkestatus, ikke på PHP-versionen. Ubuntu har den 21. oktober 2026 offentliggjort rettede pakker til alle understøttede udgivelser, ældre via Ubuntu Pro. Debian har rettet php8.2 i bookworm og php8.4 i trixie. Sammenlign den installerede status med `dpkg --compare-versions`, og genstart derefter alle PHP-tjenester.

## Spørgsmålet bag spørgsmålet

„Er min PHP-pakke patchet?“ lyder som et ja-eller-nej-spørgsmål. I praksis afhænger svaret af tre ting: Hvilken kilde stammer pakken fra, hvilken status er installeret, og kører denne status også? Dette indlæg besvarer de to første punkter for de officielle pakker fra Debian og Ubuntu. Hvordan I generelt kontrollerer version og kørende processer, står under [Kontrollér PHP-version og patchstatus korrekt](https://phpsos.de/da/php2shell/php-version-pruefen/).

Vi har hentet oplysningerne i de officielle sikkerhedsmeddelelser fra Ubuntu og i Debian Security Tracker den 25. oktober 2026. Begge CVE'er, CVE-2026-109618 og CVE-2026-109619, er dér opført med de samme rettede statusser.

## Rettede pakkestatusser hos Ubuntu

Ubuntu har offentliggjort rettelserne med to meddelelser. USN-8948-1 dækker de aktuelle udgivelser, USN-8948-2 de ældre, som kun via Ubuntu Pro stadig får sikkerhedsopdateringer. Ved 16.04 og 14.04 nævner Ubuntu desuden tilbuddet Legacy Support.

| Ubuntu-udgivelse | Kildepakke | Rettet status |
|---|---|---|
| 26.10 | php8.5 | 8.5.9-0ubuntu2.1 |
| 26.04 LTS | php8.5 | 8.5.4-0ubuntu1.5 |
| 24.04 LTS | php8.3 | 8.3.6-0ubuntu0.24.04.13 |
| 22.04 LTS | php8.1 | 8.1.2-1ubuntu2.28 |
| 20.04 LTS (Ubuntu Pro) | php7.4 | 7.4.3-4ubuntu2.29+esm5 |
| 18.04 LTS (Ubuntu Pro) | php7.2 | 7.2.24-0ubuntu0.18.04.17+esm14 |

Påfaldende er, at alle statusser beholder den oprindelige PHP-version. Ubuntu 24.04 bliver ved 8.3.6, selv om rettelsen er overtaget fra 8.3.36. Hvorfor det er sådan, og hvordan I håndterer det, forklarer indlægget [Hvorfor php -v viser det samme nummer](https://phpsos.de/da/blog/php-v-zeigt-alte-nummer/). Berørt er hver gang bl.a. binærpakkerne til FPM, CLI, CGI og Apache-modulet, f.eks. `php8.3-fpm` og `libapache2-mod-php8.3`.

## Rettede pakkestatusser hos Debian

Debian går her en anden vej og leverer de nye upstream-versioner. Ifølge Security Tracker ser statussen sådan ud:

| Debian-udgivelse | Kildepakke | Tidligere status | Rettet status | Meddelelse |
|---|---|---|---|---|
| 12 bookworm | php8.2 | 8.2.32-1~deb12u1 | 8.2.35-1~deb12u1 | DLA-4848-1 |
| 13 trixie | php8.4 | 8.4.24-1~deb13u1 | 8.4.27-1~deb13u1 | DSA-6574-1 |
| forky, sid | php8.4 | | 8.4.27-1 | |

Meddelelsen for bookworm udkom som DLA, altså via Debian LTS. For php8.2 i unstable fører Tracker ved hentningen endnu ingen rettet status. Den, der driver testsystemer på unstable, bør holde øje med det.

Ældre Debian-udgivelser dukker ved hentningen ikke op i de to CVE-poster. Kører en server stadig på en sådan udgivelse, f.eks. Debian 11 med PHP 7.4, kan I ikke stole på en sikkerhedsopdatering fra det officielle arkiv. Så er der tre veje: løfte operativsystemet til en understøttet udgivelse, bruge et kommercielt langtidstilbud, hvis dækning af PHP2Shell I lader jer bekræfte skriftligt, eller sikre serveren med midlertidige foranstaltninger frem til migreringen og begrænse dens tilgængelighed. På lang sigt er kun den første vej bæredygtig.

## Sådan sammenligner I den installerede status nøjagtigt

Et blik på versionsnummeret er ikke nok, fordi Debian-versioner sorteres efter egne regler. `dpkg --compare-versions` sammenligner korrekt. Følgende kommandoer er rent læsende; tilpas pakkenavne og målstatus til jeres udgivelse.

```bash
# Installeret status og pakkens oprindelse
apt policy php8.3-fpm

# Alle installerede PHP-pakker med version
dpkg-query -W -f='${Package}\t${Version}\n' 'php*' 'libapache2-mod-php*' 2>/dev/null

# Nøjagtig sammenligning med den rettede status (eksempel Ubuntu 24.04)
v=$(dpkg-query -W -f='${Version}' php8.3-fpm)
dpkg --compare-versions "$v" ge 8.3.6-0ubuntu0.24.04.13 && echo "korrigiert: $v" || echo "PRÜFEN: $v"
```

Læg i outputtet fra `apt policy` mærke til linjen med pakkekilden. Står der ikke jeres distributions sikkerhedsarkiv, men f.eks. `packages.sury.org` eller en PPA, gælder tabellerne ovenfor ikke. Så tæller denne tredjepartskildes status, som vi behandler i indlægget [sury.org-repositoryet](https://phpsos.de/da/blog/sury-repository-php/).

Desuden er et blik i den medfølgende changelog umagen værd. Hvordan I dér finder CVE-numrene og fastholder dem som dokumentation, beskriver indlægget [Dokumentér CVE-numre i pakkens changelog](https://phpsos.de/da/blog/cve-im-changelog-nachweisen/).

## Typiske faldgruber ved kontrollen

**Kun én pakke kontrolleret:** PHP består af mange binærpakker. Er `php8.3-cli` aktuel, men `php8.3-fpm` ikke, forbliver websitet åbent. Kontrollér alle pakker i en gren, især FPM, CGI og Apache-modulet.

**Pakke fastholdt:** Pakker, der er fastholdt med `apt-mark hold`, bliver stående ved opdateringen. `apt-mark showhold` viser dem.

**Ubuntu Pro ikke aktivt:** På 20.04 og ældre kommer rettelserne kun, hvis Ubuntu Pro er sat op. Uden Pro forbliver systemet trods opdateringskørsel sårbart.

**Forældet spejl:** Henter serveren pakker via et internt spejl eller en proxy, ser den først nye sikkerhedsopdateringer, når denne er opdateret. Kontrollér i tvivlstilfælde, om `apt update` faktisk når sikkerhedskilden.

**Genstart glemt:** Nye pakker virker først efter genstart af alle tjenester, der har indlæst PHP. `needrestart`, hvis installeret, viser tjenester med forældet kode.

> **Vigtigt:**
> En rettet pakkestatus dokumenterer kun, at sårbarheden er lukket fra nu af. Om serveren blev angrebet før, besvarer den ikke. Sikr logs fra og med den 20. oktober.

## Hvordan hjælper PHP SOS konkret?

- Vi fastslår for hver server oprindelsen af alle PHP-pakker og sammenligner statussen med de officielle meddelelser.
- Vi indspiller opdateringer, også via Ubuntu Pro, og genstarter alle berørte tjenester.
- Med [PHP-patchservice](https://phpsos.de/da/leistungen/php-patch-service/) modtager I for hver server en dokumentation med pakkestatus, fund i changelog og tidspunkt for genstart.
- På systemer med tredjepartskilder eller ældre versioner afklarer vi, hvilken vej der fører til en dokumenterbart rettet status.


## Ofte stillede spørgsmål

**Hvilken Ubuntu-version indeholder PHP2Shell-rettelsen?**  
Ifølge USN-8948-1 er Ubuntu 22.04, 24.04, 26.04 og 26.10 forsynet med regulære opdateringer. Til 14.04, 16.04, 18.04 og 20.04 leverer Ubuntu rettelserne ifølge USN-8948-2 via Ubuntu Pro.

**Hvorfor viser Ubuntu 24.04 fortsat PHP 8.3.6?**  
Ubuntu overtager sikkerhedsrettelser som backport i den eksisterende version. Upstream-nummeret forbliver 8.3.6, kun pakkestatus ændrer sig. Ifølge USN-8948-1 er den rettede status 8.3.6-0ubuntu0.24.04.13.

**Er Debian 12 bookworm stadig forsynet?**  
Ja. Ifølge Debian Security Tracker findes der for php8.2 i bookworm den rettede status 8.2.35-1~deb12u1, varslet som DLA-4848-1 som led i Debian LTS.

**Gælder det også for PHP fra sury-repositoryet?**  
Nej. Pakker fra tredjepartskilder som sury.org har egne versionsstatusser og egne changelogs. Oplysningerne fra Debian og Ubuntu gælder kun for deres officielle pakker.

**Er en apt upgrade nok?**  
Den installerer de nye pakker, men kørende PHP-FPM- eller Apache-processer beholder den gamle kode i hukommelsen. Først en genstart af alle tjenester, der indlæser PHP, gør patchen virksom.

## Kilder

- [Ubuntu Security Notice USN-8948-1](https://ubuntu.com/security/notices/USN-8948-1)
- [Ubuntu Security Notice USN-8948-2](https://ubuntu.com/security/notices/USN-8948-2)
- [Debian Security Tracker: CVE-2026-109618](https://security-tracker.debian.org/tracker/CVE-2026-109618)
- [Debian Security Tracker: CVE-2026-109619](https://security-tracker.debian.org/tracker/CVE-2026-109619)