Lühidalt: Kas teie PHP pakett on Debianis või Ubuntus PHP2Shelli vastu paigatud, tunnete ära täpse paketiseisu, mitte PHP versiooni järgi. Ubuntu avaldas 21. oktoobril 2026 parandatud paketid kõigile toetatud väljalasetele, vanematele Ubuntu Pro kaudu. Debian on parandanud php8.2 bookwormis ja php8.4 trixies. Võrrelge paigaldatud seisu käsuga dpkg --compare-versions ja käivitage seejärel kõik PHP teenused uuesti.
Küsimus küsimuse taga
„Kas minu PHP pakett on paigatud?“ kõlab jah-või-ei küsimusena. Praktikas sõltub vastus kolmest asjast: millisest allikast pakett pärineb, milline seis on paigaldatud ja kas see seis ka töötab? See artikkel vastab esimesele kahele punktile Debiani ja Ubuntu ametlike pakettide kohta. Kuidas versiooni ja töötavaid protsesse üldiselt kontrollida, seisab lehel PHP versiooni ja paigatud seisu õige kontroll.
Pärisime andmed Ubuntu ametlikest turvateadetest ja Debian Security Trackerist 25. oktoobril 2026. Mõlemad CVE-d, CVE-2026-109618 ja CVE-2026-109619, on seal loetletud samade parandatud seisudega.
Parandatud paketiseisud Ubuntus
Ubuntu avaldas parandused kahe teatega. USN-8948-1 katab praegused väljalasked, USN-8948-2 vanemad, mis saavad turvauuendusi veel ainult Ubuntu Pro kaudu. Versioonide 16.04 ja 14.04 puhul nimetab Ubuntu lisaks Legacy-Support-pakkumist.
| Ubuntu väljalase | Lähtepakett | Parandatud seis |
|---|---|---|
| 26.10 | php8.5 | 8.5.9-0ubuntu2.1 |
| 26.04 LTS | php8.5 | 8.5.4-0ubuntu1.5 |
| 24.04 LTS | php8.3 | 8.3.6-0ubuntu0.24.04.13 |
| 22.04 LTS | php8.1 | 8.1.2-1ubuntu2.28 |
| 20.04 LTS (Ubuntu Pro) | php7.4 | 7.4.3-4ubuntu2.29+esm5 |
| 18.04 LTS (Ubuntu Pro) | php7.2 | 7.2.24-0ubuntu0.18.04.17+esm14 |
Silmatorkav on, et kõik seisud säilitavad algse PHP versiooni. Ubuntu 24.04 jääb versioonile 8.3.6, kuigi parandus võeti üle versioonist 8.3.36. Miks see nii on ja kuidas sellega ümber käia, selgitab artikkel Miks php -v näitab sama numbrit. Mõjutatud on igal juhul muu hulgas FPM-i, CLI, CGI ja Apache mooduli binaarpaketid, näiteks php8.3-fpm ja libapache2-mod-php8.3.
Parandatud paketiseisud Debianis
Debian käib siin teist teed ja tarnib uued upstream-versioonid. Security Trackeri kohaselt on seis järgmine:
| Debiani väljalase | Lähtepakett | Eelmine seis | Parandatud seis | Teade |
|---|---|---|---|---|
| 12 bookworm | php8.2 | 8.2.32-1~deb12u1 | 8.2.35-1~deb12u1 | DLA-4848-1 |
| 13 trixie | php8.4 | 8.4.24-1~deb13u1 | 8.4.27-1~deb13u1 | DSA-6574-1 |
| forky, sid | php8.4 | 8.4.27-1 |
Teade bookwormi jaoks ilmus DLA-na, see tähendab Debian LTS kaudu. php8.2 kohta unstable'is ei näita tracker päringu ajal veel parandatud seisu. Kes käitab testsüsteeme unstable'il, peaks seda silmas pidama.
Vanemad Debiani väljalasked mõlemas CVE kirjes päringu ajal ei ilmu. Kui server töötab veel sellisel väljalasel, näiteks Debian 11 PHP 7.4-ga, ei saa te loota ametliku arhiivi turvauuendusele. Siis jäävad kolm teed: tõsta operatsioonisüsteem toetatud väljalasele, kasutada kommertspõhist pikaajalist pakkumist, mille katvust PHP2Shelli jaoks laseksite kirjalikult kinnitada, või kindlustada server migreerimiseni ajutiste meetmetega ja piirata selle kättesaadavust. Pikemas perspektiivis on kantav ainult esimene tee.
Nii võrdlete paigaldatud seisu täpselt
Pilgust versiooninumbrile ei piisa, sest Debiani versioone sorteeritakse omade reeglite järgi. dpkg --compare-versions võrdleb õigesti. Järgmised käsud on puhtalt lugevad; kohandage paketinimed ja sihtseis oma väljalaskele.
# Paigaldatud seis ja paketi päritolu
apt policy php8.3-fpm
# Kõik paigaldatud PHP paketid versiooniga
dpkg-query -W -f='${Package}\t${Version}\n' 'php*' 'libapache2-mod-php*' 2>/dev/null
# Täpne võrdlus parandatud seisuga (näide Ubuntu 24.04)
v=$(dpkg-query -W -f='${Version}' php8.3-fpm)
dpkg --compare-versions "$v" ge 8.3.6-0ubuntu0.24.04.13 && echo "korrigiert: $v" || echo "PRÜFEN: $v"
Jälgige apt policy väljundis rida paketi allikaga. Kui seal ei seisa teie distributsiooni turvaarhiiv, vaid näiteks packages.sury.org või PPA, ei kehti ülaltoodud tabelid. Siis loeb selle kolmanda allika seis, mida käsitleme artiklis Hoidla sury.org.
Lisaks tasub vaadata kaasasolevasse muudatuslogisse. Kuidas sealt CVE-numbreid leida ja tõendina fikseerida, kirjeldab artikkel CVE-numbrite tõendamine paketi muudatuslogis.
Tüüpilised lõksud kontrollimisel
Kontrollitud ainult üht paketti: PHP koosneb paljudest binaarpakettidest. Kui php8.3-cli on ajakohane, aga php8.3-fpm mitte, jääb veebisait lahti. Kontrollige haru kõiki pakette, eriti FPM-i, CGI-d ja Apache moodulit.
Pakett on kinni hoitud: Paketid, mis on apt-mark hold abil kinni hoitud, jäävad uuendusel seisma. apt-mark showhold näitab neid.
Ubuntu Pro ei ole aktiivne: Versioonidel 20.04 ja vanematel tulevad parandused ainult siis, kui Ubuntu Pro on seadistatud. Ilma Pro-ta jääb süsteem hoolimata uuenduse käivitamisest haavatavaks.
Vananenud peegel: Kui server hangib pakette sisemise peegli või puhverserveri kaudu, näeb ta uusi turvauuendusi alles siis, kui see on ajakohastatud. Kontrollige kahtluse korral, kas apt update jõuab turvaallikani tegelikult.
Taaskäivitus unustatud: Uued paketid mõjuvad alles pärast kõigi PHP-d laadinud teenuste taaskäivitust. needrestart, kui see on paigaldatud, näitab teenuseid vananenud koodiga.
Parandatud paketiseis tõendab ainult seda, et turvaauk on nüüdsest suletud. Kas server oli enne rünnatud, sellele see ei vasta. Kindlustage logid alates 20. oktoobrist.
Kuidas PHP SOS konkreetselt aitab?
- Selgitame iga serveri kohta välja kõigi PHP pakettide päritolu ja võrdleme seisu ametlike teadetega.
- Paigaldame uuendused, ka Ubuntu Pro kaudu, ja käivitame kõik mõjutatud teenused uuesti.
- PHP paigateenusega saate serveri kohta tõendi koos paketiseisu, muudatuslogi tabamuse ja taaskäivituse ajaga.
- Kolmandate allikate või vanade versioonidega süsteemides selgitame, milline tee viib tõendatult parandatud seisuni.
Korduma kippuvad küsimused
Milline Ubuntu versioon sisaldab PHP2Shelli parandust?
USN-8948-1 kohaselt on Ubuntu 22.04, 24.04, 26.04 ja 26.10 varustatud tavaliste uuendustega. Versioonidele 14.04, 16.04, 18.04 ja 20.04 tarnib Ubuntu parandused USN-8948-2 kohaselt Ubuntu Pro kaudu.
Miks näitab Ubuntu 24.04 edasi PHP 8.3.6?
Ubuntu võtab turvaparandused üle backportina olemasolevasse versiooni. Upstream-number jääb 8.3.6, muutub ainult paketi seis. USN-8948-1 kohaselt on parandatud seis 8.3.6-0ubuntu0.24.04.13.
Kas Debian 12 bookworm on veel hoolduses?
Jah. Debian Security Trackeri kohaselt on php8.2 jaoks bookwormis parandatud seis 8.2.35-1~deb12u1, välja kuulutatud kui DLA-4848-1 Debian LTS raames.
Kas see kehtib ka PHP kohta sury hoidlast?
Ei. Kolmandate allikate, nagu sury.org, paketil on oma versiooniseisud ja oma muudatuslogid. Debiani ja Ubuntu andmed kehtivad ainult nende ametlike pakettide kohta.
Kas apt upgrade piisab?
See paigaldab uued paketid, kuid töötavad PHP-FPM-i või Apache'i protsessid hoiavad vana koodi mälus. Alles kõigi PHP-d laadivate teenuste taaskäivitus teeb paiga mõjusaks.