Ukratko: Je li Vaš PHP paket na Debianu ili Ubuntuu zakrpan protiv PHP2Shella, prepoznajete po točnom stanju paketa, a ne po PHP verziji. Ubuntu je 21. listopada 2026. objavio ispravljene pakete za sva podržana izdanja, starija preko Ubuntu Pro. Debian je ispravio php8.2 u bookwormu i php8.4 u trixieju. Usporedite instalirano stanje s dpkg --compare-versions i potom ponovno pokrenite sve PHP usluge.
Pitanje iza pitanja
„Je li moj PHP paket zakrpan?“ zvuči kao pitanje na koje se odgovara s da ili ne. U praksi odgovor ovisi o tri stvari: iz kojeg izvora paket potječe, koje je stanje instalirano i radi li to stanje doista? Ovaj članak odgovara na prve dvije točke za službene pakete Debiana i Ubuntua. Kako općenito provjeriti verziju i pokrenute procese, navodi stranica Ispravno provjeriti PHP verziju i razinu zakrpe.
Podatke u službenim sigurnosnim objavama Ubuntua i u Debian Security Trackeru dohvatili smo 25. listopada 2026. Oba CVE-a, CVE-2026-109618 i CVE-2026-109619, tamo su navedena s istim ispravljenim stanjima.
Ispravljena stanja paketa kod Ubuntua
Ubuntu je ispravke objavio s dvije objave. USN-8948-1 pokriva aktualna izdanja, USN-8948-2 starija, koja sigurnosna ažuriranja dobivaju samo još preko Ubuntu Pro. Za 16.04 i 14.04 Ubuntu uz to navodi ponudu Legacy Support.
| Ubuntu izdanje | Izvorni paket | Ispravljeno stanje |
|---|---|---|
| 26.10 | php8.5 | 8.5.9-0ubuntu2.1 |
| 26.04 LTS | php8.5 | 8.5.4-0ubuntu1.5 |
| 24.04 LTS | php8.3 | 8.3.6-0ubuntu0.24.04.13 |
| 22.04 LTS | php8.1 | 8.1.2-1ubuntu2.28 |
| 20.04 LTS (Ubuntu Pro) | php7.4 | 7.4.3-4ubuntu2.29+esm5 |
| 18.04 LTS (Ubuntu Pro) | php7.2 | 7.2.24-0ubuntu0.18.04.17+esm14 |
Upadljivo je da sva stanja zadržavaju izvornu PHP verziju. Ubuntu 24.04 ostaje na 8.3.6 iako je ispravak preuzet iz 8.3.36. Zašto je tako i kako s tim postupati, objašnjava članak Zašto php -v prikazuje isti broj. Pogođeni su pritom, među ostalim, binarni paketi za FPM, CLI, CGI i Apache modul, primjerice php8.3-fpm i libapache2-mod-php8.3.
Ispravljena stanja paketa kod Debiana
Debian ovdje ide drugim putem i isporučuje nove upstream verzije. Prema Security Trackeru stanje izgleda ovako:
| Debian izdanje | Izvorni paket | Prethodno stanje | Ispravljeno stanje | Objava |
|---|---|---|---|---|
| 12 bookworm | php8.2 | 8.2.32-1~deb12u1 | 8.2.35-1~deb12u1 | DLA-4848-1 |
| 13 trixie | php8.4 | 8.4.24-1~deb13u1 | 8.4.27-1~deb13u1 | DSA-6574-1 |
| forky, sid | php8.4 | 8.4.27-1 |
Objava za bookworm izašla je kao DLA, dakle preko Debian LTS-a. Za php8.2 u unstableu tracker pri dohvatu još ne navodi ispravljeno stanje. Tko vodi testne sustave na unstableu, trebao bi to pratiti.
Starija Debian izdanja pri dohvatu se u oba CVE unosa ne pojavljuju. Ako poslužitelj još radi na takvom izdanju, primjerice Debian 11 s PHP-om 7.4, ne možete se osloniti na sigurnosno ažuriranje iz službene arhive. Tada ostaju tri puta: operacijski sustav podići na podržano izdanje, koristiti komercijalnu ponudu dugoročne podrške čije pokrivanje PHP2Shella si dajete pisanim putem potvrditi ili poslužitelj do migracije osigurati prijelaznim mjerama i ograničiti njegovu dostupnost. Dugoročno je održiv samo prvi put.
Kako točno usporediti instalirano stanje
Pogled na broj verzije nije dovoljan jer se Debianove verzije sortiraju po vlastitim pravilima. dpkg --compare-versions uspoređuje ispravno. Sljedeće naredbe samo čitaju; prilagodite nazive paketa i ciljno stanje svom izdanju.
# Instalirano stanje i podrijetlo paketa
apt policy php8.3-fpm
# Svi instalirani PHP paketi s verzijom
dpkg-query -W -f='${Package}\t${Version}\n' 'php*' 'libapache2-mod-php*' 2>/dev/null
# Točna usporedba s ispravljenim stanjem (primjer Ubuntu 24.04)
v=$(dpkg-query -W -f='${Version}' php8.3-fpm)
dpkg --compare-versions "$v" ge 8.3.6-0ubuntu0.24.04.13 && echo "korrigiert: $v" || echo "PRÜFEN: $v"
U ispisu apt policy pazite na redak s izvorom paketa. Ako tamo ne stoji sigurnosna arhiva Vaše distribucije, nego primjerice packages.sury.org ili PPA, gornje tablice ne vrijede. Tada vrijedi stanje tog izvora treće strane, koje obrađujemo u članku Repozitorij sury.org.
Dodatno se isplati pogledati priloženi changelog. Kako tamo pronaći CVE brojeve i zabilježiti ih kao dokaz, opisuje članak Dokazati CVE brojeve u changelogu paketa.
Tipične zamke pri provjeri
Provjeren samo jedan paket: PHP se sastoji od mnogo binarnih paketa. Ako je php8.3-cli aktualan, a php8.3-fpm nije, web-stranica ostaje otvorena. Provjerite sve pakete jedne grane, osobito FPM, CGI i Apache modul.
Paket zadržan: Paketi koji su zadržani s apt-mark hold pri ažuriranju ostaju stajati. apt-mark showhold ih prikazuje.
Ubuntu Pro nije aktivan: Na 20.04 i starijem ispravke stižu samo ako je postavljen Ubuntu Pro. Bez Pro sustav ostaje ranjiv unatoč pokrenutom ažuriranju.
Zastarjelo zrcalo: Ako poslužitelj pakete dohvaća preko internog zrcala ili proxyja, nova sigurnosna ažuriranja vidi tek kad je ono ažurirano. U sumnji provjerite doseže li apt update doista sigurnosni izvor.
Zaboravljeno ponovno pokretanje: Novi paketi djeluju tek nakon ponovnog pokretanja svih usluga koje su učitale PHP. needrestart, ako je instaliran, prikazuje usluge sa zastarjelim kodom.
Ispravljeno stanje paketa dokazuje samo da je ranjivost od sada zatvorena. Je li poslužitelj prije bio napadnut, ne odgovara. Sigurnosno pohranite logove od 20. listopada.
Kako PHP SOS konkretno pomaže?
- Za svaki poslužitelj utvrđujemo podrijetlo svih PHP paketa i uspoređujemo stanje sa službenim objavama.
- Instaliramo ažuriranja, i preko Ubuntu Pro, te ponovno pokrećemo sve pogođene usluge.
- Uz PHP uslugu zakrpa po poslužitelju dobivate dokaz sa stanjem paketa, pogotkom u changelogu i vremenom ponovnog pokretanja.
- Na sustavima s izvorima trećih strana ili starim verzijama razjašnjavamo koji put vodi do dokazivo ispravljenog stanja.
Česta pitanja
Koja Ubuntu verzija sadrži PHP2Shell ispravak?
Prema USN-8948-1 Ubuntu 22.04, 24.04, 26.04 i 26.10 opskrbljeni su redovitim ažuriranjima. Za 14.04, 16.04, 18.04 i 20.04 Ubuntu prema USN-8948-2 isporučuje ispravke preko Ubuntu Pro.
Zašto Ubuntu 24.04 i dalje prikazuje PHP 8.3.6?
Ubuntu sigurnosne ispravke preuzima kao backport u postojeću verziju. Upstream broj ostaje 8.3.6, mijenja se samo stanje paketa. Prema USN-8948-1 ispravljeno stanje je 8.3.6-0ubuntu0.24.04.13.
Je li Debian 12 bookworm još opskrbljen?
Da. Prema Debian Security Trackeru za php8.2 u bookwormu postoji ispravljeno stanje 8.2.35-1~deb12u1, najavljeno kao DLA-4848-1 u okviru Debian LTS-a.
Vrijedi li to i za PHP iz sury repozitorija?
Ne. Paketi iz izvora trećih strana poput sury.org imaju vlastita stanja verzija i vlastite changelogove. Podaci Debiana i Ubuntua vrijede samo za njihove službene pakete.
Je li apt upgrade dovoljan?
On instalira nove pakete, ali pokrenuti PHP-FPM ili Apache procesi zadržavaju stari kod u memoriji. Tek ponovno pokretanje svih usluga koje učitavaju PHP čini zakrpu djelotvornom.