Produkte und Stacks · Firewalls, Appliances und IT-Tools

PHP2Shell in FreePBX: betroffen und wie beheben

So prüfen Sie die PHP-Version von FreePBX

Führen Sie den passenden Befehl aus. Eine Version ab 8.2.35, 8.3.36, 8.4.27 bzw. 8.5.12 im jeweiligen Zweig ist gepatcht; ältere Zweige nur mit einem Hersteller-Build, der das ausdrücklich sagt.

php -v
fwconsole --version
cat /etc/os-release

Das Kommandozeilen-php kann sich vom PHP unterscheiden, das die Website ausliefert. Prüfen Sie sicherheitshalber die Web-SAPI (temporäre phpinfo()-Seite hinter Login oder die PHP-Einstellungen im Panel) und entfernen Sie sie danach. Unser Versions-Check vergleicht die Nummer für Sie.

🔎 Versionsnummer gefunden? Prüfen Sie sie im PHP2Shell-Checker →

So beheben Sie PHP2Shell in FreePBX

FreePBX 17: apt-get update && apt-get install --only-upgrade 'php8.2*', dann fwconsole restart und Apache neu starten.
FreePBX 16: Admin-Weboberfläche aus dem Internet sperren (Firewall oder VPN) und das Upgrade auf 17 planen.
Bis der Hersteller gepatchtes PHP liefert, darf die PHP-basierte Oberfläche aus nicht vertrauenswürdigen Netzen nicht erreichbar sein: auf Management-Netz, IP-Allowlist oder VPN beschränken.
Das Hersteller-Update sofort nach Erscheinen installieren und die Version erneut prüfen.

Die Prüfung lieber einem KI-Agenten überlassen? Betroffenheit prüfen · Mit KI-Agent beheben

Wenn Sie noch nicht patchen können

session.upload_progress.enabled = 0 dort setzen, wo Anwendungen es nicht überschreiben können (php.ini, php_admin_value im FPM-Pool oder in der Apache-Konfiguration), und PHP neu starten.
Unter PHP 8.5 fatal_error_backtraces = 0 setzen.
PHPs Übergangsempfehlung umfasst auch memory_limit und ein niedriges post_max_size; folgen Sie genau der Abhilfe-Seite, denn diese Einstellungen decken nur einige Pfade ab.
Bei PHP 8.1 oder älter ohne Hersteller-Backport Zugriff beschränken (VPN, IP-Allowlist) oder den Dienst offline nehmen. WAF-Regeln helfen, sind aber kein Fix.

FAQ

Ist FreePBX von PHP2Shell betroffen?

Betroffen, und der Hersteller hat noch keinen Fix geliefert. Sangoma untersuchte noch. FreePBX und PBXact 17 laufen auf Debian-12-PHP 8.2, das Debian gepatcht hat. FreePBX und PBXact 16 nutzen PHP 7.4 aus Sangomas Repository auf einem EOL-Betriebssystem; etwa die Hälfte der im Internet sichtbaren FreePBX-Systeme mit PHP-Version läuft auf 7.4.

Behebt ein Update von FreePBX selbst CVE-2026-109618 und CVE-2026-109619?

Nur wenn das Update gepatchtes PHP enthält. PHP2Shell ist eine Lücke im PHP-Interpreter; entscheidend ist das PHP, auf dem FreePBX läuft. Prüfen Sie die Version nach dem Update.

Welche PHP-Versionen beheben PHP2Shell?

PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12, veröffentlicht am 21. Oktober 2026. PHP 8.1 und älter bekommen kein Release vom PHP-Projekt; nur Hersteller-Builds mit Backport (oder selbst gebaute Quell-Patches für 7.4, 8.0 und 8.1) beheben sie.

Was, wenn es für FreePBX noch keinen Fix gibt?

Die PHP-basierte Weboberfläche vom Internet fernhalten (VPN oder IP-Allowlist), PHPs Übergangseinstellungen wie das Abschalten von Session-Upload-Progress anwenden und das Hersteller-Update sofort installieren. Übergangseinstellungen senken das Risiko, sind aber kein Fix.

← Alle Produkte mit eingebautem PHP

Siehe auch: Abhilfe nach Plattform · Betroffene Versionen · Herstellerstatus

Quellen

Externe Links verlassen diese Website. Wir hosten keinen Exploit-Code.

Inoffizielle Zusammenfassung öffentlicher Quellen. Diese Website ist weder mit dem Hersteller noch mit dem PHP-Projekt verbunden und hostet keinen Exploit-Code.