Lyhyesti: Onko PHP-pakettinne Debianilla tai Ubuntulla päivitetty PHP2Shelliä vastaan, näette tarkasta pakettitilasta, ei PHP-versiosta. Ubuntu julkaisi 21. lokakuuta 2026 korjatut paketit kaikille tuetuille julkaisuille, vanhemmille Ubuntu Pron kautta. Debian on korjannut php8.2:n bookwormissa ja php8.4:n trixiessä. Vertailkaa asennettua tilaa komennolla dpkg --compare-versions ja käynnistäkää sen jälkeen kaikki PHP-palvelut uudelleen.
Kysymys kysymyksen takana
”Onko PHP-pakettini päivitetty?” kuulostaa kyllä-tai-ei-kysymykseltä. Käytännössä vastaus riippuu kolmesta asiasta: Mistä lähteestä paketti tulee, mikä tila on asennettu ja toimiiko tämä tila myös käynnissä? Tämä artikkeli vastaa kahteen ensimmäiseen Debianin ja Ubuntun virallisille paketeille. Miten version ja käynnissä olevat prosessit tarkistetaan yleisesti, kerrotaan kohdassa PHP-version ja korjaustilan tarkistaminen oikein.
Haimme tiedot Ubuntun ja Debian Security Trackerin virallisista tietoturvailmoituksista 25. lokakuuta 2026. Molemmat CVE-tunnisteet, CVE-2026-109618 ja CVE-2026-109619, on siellä lueteltu samoilla korjatuilla tiloilla.
Korjatut pakettitilat Ubuntulla
Ubuntu on julkaissut korjaukset kahdella ilmoituksella. USN-8948-1 kattaa ajantasaiset julkaisut, USN-8948-2 vanhemmat, jotka saavat tietoturvapäivityksiä enää vain Ubuntu Pron kautta. Versioiden 16.04 ja 14.04 osalta Ubuntu mainitsee lisäksi Legacy Support -tarjouksen.
| Ubuntu-julkaisu | Lähdepaketti | Korjattu tila |
|---|---|---|
| 26.10 | php8.5 | 8.5.9-0ubuntu2.1 |
| 26.04 LTS | php8.5 | 8.5.4-0ubuntu1.5 |
| 24.04 LTS | php8.3 | 8.3.6-0ubuntu0.24.04.13 |
| 22.04 LTS | php8.1 | 8.1.2-1ubuntu2.28 |
| 20.04 LTS (Ubuntu Pro) | php7.4 | 7.4.3-4ubuntu2.29+esm5 |
| 18.04 LTS (Ubuntu Pro) | php7.2 | 7.2.24-0ubuntu0.18.04.17+esm14 |
Huomionarvoista on, että kaikki tilat säilyttävät alkuperäisen PHP-version. Ubuntu 24.04 pysyy versiossa 8.3.6, vaikka korjaus on otettu versiosta 8.3.36. Miksi näin on ja miten sen kanssa toimitaan, selittää artikkeli Miksi php -v näyttää saman numeron. Alttiita ovat kulloinkin muun muassa FPM:n, CLI:n, CGI:n ja Apache-moduulin binääripaketit, esimerkiksi php8.3-fpm ja libapache2-mod-php8.3.
Korjatut pakettitilat Debianilla
Debian kulkee tässä toista tietä ja toimittaa uudet upstream-versiot. Security Trackerin mukaan tilanne on tämä:
| Debian-julkaisu | Lähdepaketti | Aiempi tila | Korjattu tila | Ilmoitus |
|---|---|---|---|---|
| 12 bookworm | php8.2 | 8.2.32-1~deb12u1 | 8.2.35-1~deb12u1 | DLA-4848-1 |
| 13 trixie | php8.4 | 8.4.24-1~deb13u1 | 8.4.27-1~deb13u1 | DSA-6574-1 |
| forky, sid | php8.4 | 8.4.27-1 |
Bookwormin ilmoitus ilmestyi DLA:na eli Debian LTS:n kautta. php8.2:lle unstablessa tracker ei haun hetkellä vielä listaa korjattua tilaa. Joka ylläpitää testijärjestelmiä unstablella, pitäköön tämän silmällä.
Vanhemmat Debian-julkaisut eivät näy kummassakaan CVE-merkinnässä haun hetkellä. Jos palvelin toimii yhä tällaisella julkaisulla, esimerkiksi Debian 11:llä ja PHP 7.4:llä, ei voi luottaa viralliseen arkistoon tulevaan tietoturvapäivitykseen. Silloin jää kolme tietä: nostaa käyttöjärjestelmä tuettuun julkaisuun, käyttää kaupallista pitkän tuen tarjousta, jonka kattavuuden PHP2Shellille pyydätte vahvistettavaksi kirjallisesti, tai suojata palvelin väliaikaistoimilla migraatioon asti ja rajoittaa sen tavoitettavuutta. Pitkällä aikavälillä kantava on vain ensimmäinen tie.
Näin vertaatte asennetun tilan tarkasti
Pelkkä versionumeron katsominen ei riitä, koska Debian-versiot järjestetään omien sääntöjensä mukaan. dpkg --compare-versions vertaa oikein. Seuraavat komennot vain lukevat; mukauttakaa pakettinimet ja tavoitetila julkaisuunne.
# Asennettu tila ja paketin alkuperä
apt policy php8.3-fpm
# Kaikki asennetut PHP-paketit versioineen
dpkg-query -W -f='${Package}\t${Version}\n' 'php*' 'libapache2-mod-php*' 2>/dev/null
# Tarkka vertailu korjattuun tilaan (esimerkki Ubuntu 24.04)
v=$(dpkg-query -W -f='${Version}' php8.3-fpm)
dpkg --compare-versions "$v" ge 8.3.6-0ubuntu0.24.04.13 && echo "korrigiert: $v" || echo "PRÜFEN: $v"
Kiinnittäkää apt policy -tulosteessa huomiota paketin lähteen riviin. Jos siinä ei lue jakelunne tietoturva-arkisto vaan esimerkiksi packages.sury.org tai PPA, yllä olevat taulukot eivät päde. Silloin ratkaisee tämän kolmannen osapuolen lähteen tila, jota käsittelemme artikkelissa sury.org-repositorio.
Lisäksi kannattaa katsoa mukana tulevaa muutoslokia. Miten sieltä löytää CVE-numerot ja kirjaa ne todisteeksi, kuvaa artikkeli CVE-numeroiden todistaminen paketin muutoslokista.
Tarkistuksen tyypilliset sudenkuopat
Tarkistettu vain yksi paketti: PHP koostuu monista binääripaketeista. Jos php8.3-cli on ajan tasalla mutta php8.3-fpm ei, verkkosivusto pysyy auki. Tarkistakaa kaikki haaran paketit, erityisesti FPM, CGI ja Apache-moduuli.
Paketti pidätetty: Paketit, jotka on kiinnitetty komennolla apt-mark hold, jäävät päivityksessä paikalleen. apt-mark showhold näyttää ne.
Ubuntu Pro ei aktiivinen: Versioilla 20.04 ja vanhemmat korjaukset tulevat vain, jos Ubuntu Pro on otettu käyttöön. Ilman Proa järjestelmä pysyy haavoittuvana päivitysajosta huolimatta.
Vanhentunut peilipalvelin: Jos palvelin hakee paketit sisäisen peilin tai välityspalvelimen kautta, se näkee uudet tietoturvapäivitykset vasta, kun peili on päivitetty. Tarkistakaa epäselvässä tapauksessa, tavoittaako apt update tietoturvalähteen todella.
Uudelleenkäynnistys unohtunut: Uudet paketit vaikuttavat vasta kaikkien PHP:n ladanneiden palveluiden uudelleenkäynnistyksen jälkeen. needrestart, jos asennettu, näyttää palvelut, joilla on vanhentunut koodi.
Korjattu pakettitila todistaa vain, että aukko on tästä hetkestä suljettu. Se ei vastaa siihen, onko palvelinta hyökätty aiemmin. Tallentakaa lokit 20. lokakuuta alkaen.
Miten PHP SOS auttaa konkreettisesti?
- Selvitämme jokaisesta palvelimesta kaikkien PHP-pakettien alkuperän ja vertaamme tilan virallisiin ilmoituksiin.
- Asennamme päivitykset, myös Ubuntu Pron kautta, ja käynnistämme kaikki alttiit palvelut uudelleen.
- PHP-päivityspalvelulla saatte palvelinkohtaisen todisteen pakettitilasta, muutoslokin osumasta ja uudelleenkäynnistyksen ajankohdasta.
- Järjestelmissä, joissa on kolmannen osapuolen lähteitä tai vanhoja versioita, selvitämme, mikä tie johtaa todistettavasti korjattuun tilaan.
Usein kysytyt kysymykset
Mikä Ubuntu-versio sisältää PHP2Shell-korjauksen?
USN-8948-1:n mukaan Ubuntu 22.04, 24.04, 26.04 ja 26.10 on varustettu säännöllisillä päivityksillä. Versioille 14.04, 16.04, 18.04 ja 20.04 Ubuntu toimittaa korjaukset USN-8948-2:n mukaan Ubuntu Pron kautta.
Miksi Ubuntu 24.04 näyttää yhä PHP 8.3.6:ta?
Ubuntu ottaa tietoturvakorjaukset backporttina olemassa olevaan versioon. Upstream-numero pysyy 8.3.6:na, vain pakettitila muuttuu. USN-8948-1:n mukaan korjattu tila on 8.3.6-0ubuntu0.24.04.13.
Onko Debian 12 bookworm yhä tuettu?
Kyllä. Debian Security Trackerin mukaan php8.2:lle bookwormissa on korjattu tila 8.2.35-1~deb12u1, ilmoitettu nimellä DLA-4848-1 Debian LTS:n puitteissa.
Koskeeko tämä myös sury-repositoriosta tulevaa PHP:tä?
Ei. Kolmannen osapuolen lähteiden, kuten sury.orgin, paketeilla on omat versiotilansa ja omat muutoslokinsa. Debianin ja Ubuntun tiedot koskevat vain niiden virallisia paketteja.
Riittääkö apt upgrade?
Se asentaa uudet paketit, mutta käynnissä olevat PHP-FPM- tai Apache-prosessit pitävät vanhan koodin muistissa. Vasta kaikkien PHP:n lataavien palveluiden uudelleenkäynnistys tekee päivityksestä tehokkaan.