Kort sagt: Om ert PHP-paket under Debian eller Ubuntu är patchat mot PHP2Shell ser ni på den exakta paketnivån, inte på PHP-versionen. Ubuntu publicerade den 21 oktober 2026 rättade paket för alla releaser med support, äldre via Ubuntu Pro. Debian har rättat php8.2 i bookworm och php8.4 i trixie. Jämför den installerade nivån med dpkg --compare-versions och starta därefter om alla PHP-tjänster.
Frågan bakom frågan
”Är mitt PHP-paket patchat?” låter som en ja-eller-nej-fråga. I praktiken beror svaret på tre saker: Från vilken källa kommer paketet, vilken nivå är installerad och körs den nivån också? Det här inlägget besvarar de två första punkterna för de officiella paketen från Debian och Ubuntu. Hur ni kontrollerar version och körande processer i allmänhet står under Kontrollera PHP-version och patchnivå rätt.
Vi hämtade uppgifterna i Ubuntus och Debians officiella säkerhetsmeddelanden och i Debian Security Tracker den 25 oktober 2026. Båda CVE:erna, CVE-2026-109618 och CVE-2026-109619, anges där med samma rättade nivåer.
Rättade paketnivåer hos Ubuntu
Ubuntu har publicerat rättningarna med två meddelanden. USN-8948-1 täcker de aktuella releaserna, USN-8948-2 de äldre som bara får säkerhetsuppdateringar via Ubuntu Pro. För 16.04 och 14.04 nämner Ubuntu dessutom erbjudandet Legacy Support.
| Ubuntu-release | Källpaket | Rättad nivå |
|---|---|---|
| 26.10 | php8.5 | 8.5.9-0ubuntu2.1 |
| 26.04 LTS | php8.5 | 8.5.4-0ubuntu1.5 |
| 24.04 LTS | php8.3 | 8.3.6-0ubuntu0.24.04.13 |
| 22.04 LTS | php8.1 | 8.1.2-1ubuntu2.28 |
| 20.04 LTS (Ubuntu Pro) | php7.4 | 7.4.3-4ubuntu2.29+esm5 |
| 18.04 LTS (Ubuntu Pro) | php7.2 | 7.2.24-0ubuntu0.18.04.17+esm14 |
Anmärkningsvärt är att alla nivåer behåller den ursprungliga PHP-versionen. Ubuntu 24.04 stannar vid 8.3.6, fast rättningen togs över från 8.3.36. Varför det är så och hur ni hanterar det förklarar inlägget Varför php -v visar samma nummer. Berörda är bland annat binärpaketen för FPM, CLI, CGI och Apache-modulen, till exempel php8.3-fpm och libapache2-mod-php8.3.
Rättade paketnivåer hos Debian
Debian går här en annan väg och levererar de nya upstream-versionerna. Enligt Security Tracker ser läget ut så här:
| Debian-release | Källpaket | Tidigare nivå | Rättad nivå | Meddelande |
|---|---|---|---|---|
| 12 bookworm | php8.2 | 8.2.32-1~deb12u1 | 8.2.35-1~deb12u1 | DLA-4848-1 |
| 13 trixie | php8.4 | 8.4.24-1~deb13u1 | 8.4.27-1~deb13u1 | DSA-6574-1 |
| forky, sid | php8.4 | 8.4.27-1 |
Meddelandet för bookworm kom som DLA, alltså via Debian LTS. För php8.2 i unstable anger trackern vid hämtningen ännu ingen rättad nivå. Den som driver testsystem på unstable bör ha det i åtanke.
Äldre Debian-releaser dyker vid hämtningen inte upp i de båda CVE-posterna. Körs en server fortfarande på en sådan release, till exempel Debian 11 med PHP 7.4, kan ni inte lita på en säkerhetsuppdatering från det officiella arkivet. Då återstår tre vägar: höja operativsystemet till en release med support, använda ett kommersiellt långtidserbjudande vars täckning av PHP2Shell ni låter bekräfta skriftligt, eller säkra servern med tillfälliga åtgärder fram till migreringen och begränsa dess nåbarhet. På sikt är bara den första vägen hållbar.
Så jämför ni den installerade nivån exakt
En blick på versionsnumret räcker inte, eftersom Debian-versioner sorteras enligt egna regler. dpkg --compare-versions jämför korrekt. Följande kommandon är rent läsande; anpassa paketnamn och målnivå till er release.
# Installerad nivå och paketets ursprung
apt policy php8.3-fpm
# Alla installerade PHP-paket med version
dpkg-query -W -f='${Package}\t${Version}\n' 'php*' 'libapache2-mod-php*' 2>/dev/null
# Exakt jämförelse med den rättade nivån (exempel Ubuntu 24.04)
v=$(dpkg-query -W -f='${Version}' php8.3-fpm)
dpkg --compare-versions "$v" ge 8.3.6-0ubuntu0.24.04.13 && echo "korrigiert: $v" || echo "PRÜFEN: $v"
Se i utskriften från apt policy på raden med paketkällan. Står där inte er distributions säkerhetsarkiv utan till exempel packages.sury.org eller en PPA gäller inte tabellerna ovan. Då räknas nivån hos den tredjepartskällan, som vi behandlar i inlägget Förrådet sury.org.
Dessutom lönar det sig att titta i den medföljande changelogen. Hur ni hittar CVE-numren där och dokumenterar dem som bevis beskriver inlägget Styrka CVE-nummer i paketets changelog.
Typiska fallgropar vid kontrollen
Bara ett paket kontrollerat: PHP består av många binärpaket. Är php8.3-cli aktuellt men php8.3-fpm inte, förblir webbplatsen öppen. Kontrollera alla paket i en gren, särskilt FPM, CGI och Apache-modulen.
Paket låst: Paket som fasthållits med apt-mark hold stannar kvar vid uppdateringen. apt-mark showhold visar dem.
Ubuntu Pro inte aktivt: På 20.04 och äldre kommer rättningarna bara om Ubuntu Pro är inrättat. Utan Pro förblir systemet sårbart trots uppdateringskörning.
Föråldrad spegel: Hämtar servern paket via en intern spegel eller proxy ser den nya säkerhetsuppdateringar först när den uppdaterats. Kontrollera vid tvivel om apt update verkligen når säkerhetskällan.
Omstart bortglömd: Nya paket verkar först efter omstart av alla tjänster som har laddat PHP. needrestart, om det är installerat, visar tjänster med föråldrad kod.
En rättad paketnivå visar bara att sårbarheten är stängd från och med nu. Om servern angreps tidigare besvarar den inte. Säkra loggarna från och med den 20 oktober.
Hur hjälper PHP SOS konkret?
- Vi tar för varje server reda på ursprunget för alla PHP-paket och jämför nivån med de officiella meddelandena.
- Vi installerar uppdateringar, även via Ubuntu Pro, och startar om alla berörda tjänster.
- Med PHP-patchtjänsten får ni per server ett bevis med paketnivå, changelog-träff och omstartstid.
- På system med tredjepartskällor eller äldre versioner klargör vi vilken väg som leder till en belagt rättad nivå.
Vanliga frågor
Vilken Ubuntu-version innehåller PHP2Shell-rättningen?
Enligt USN-8948-1 har Ubuntu 22.04, 24.04, 26.04 och 26.10 försetts med reguljära uppdateringar. För 14.04, 16.04, 18.04 och 20.04 levererar Ubuntu rättningarna enligt USN-8948-2 via Ubuntu Pro.
Varför visar Ubuntu 24.04 fortfarande PHP 8.3.6?
Ubuntu för in säkerhetsrättningar som backport i den befintliga versionen. Upstream-numret förblir 8.3.6, bara paketnivån ändras. Enligt USN-8948-1 är den rättade nivån 8.3.6-0ubuntu0.24.04.13.
Får Debian 12 bookworm fortfarande uppdateringar?
Ja. Enligt Debian Security Tracker finns för php8.2 i bookworm den rättade nivån 8.2.35-1~deb12u1, aviserad som DLA-4848-1 inom ramen för Debian LTS.
Gäller det även PHP från sury-förrådet?
Nej. Paket från tredjepartskällor som sury.org har egna versionsnivåer och egna changelogs. Uppgifterna från Debian och Ubuntu gäller bara deras officiella paket.
Räcker en apt upgrade?
Den installerar de nya paketen, men körande PHP-FPM- eller Apache-processer behåller den gamla koden i minnet. Först en omstart av alla tjänster som laddar PHP gör patchen verksam.