PHP2Shell · Distributionspakete · geprüft am 22. Oktober 2026
PHP2Shell-Fixes im Vergleich der Linux-Distributionen
Distributionspakete tragen selten die php.net-Versionsnummer des Fixes. Debian und Ubuntu portieren Patches in ältere Versionsstrings zurück; vergleichen Sie also mit der Paketversion im Tracker Ihrer Distribution, nicht mit 8.2.35 oder 8.3.36.
Zuletzt aktualisiert
Fix-Versionen nach Distribution
| Release | Quellpaket | Fix-Version | Status | Tracker |
|---|---|---|---|---|
| Debian 12 bookworm | php8.2 | 8.2.35-1~deb12u1 (DLA-4848-1) | Behoben | Debian tracker |
| Debian 13 trixie | php8.4 | 8.4.27-1~deb13u1 (DSA-6574-1) | Behoben | Debian tracker |
| Debian forky (testing) | php8.4 | 8.4.26-1 | Verwundbar (Testing) | Debian tracker |
| Debian sid | php8.4 | 8.4.27-1 | Behoben | Debian tracker |
| Ubuntu 26.10 | php8.5 | 8.5.9-0ubuntu2.1 | Behoben | Ubuntu CVE page |
| Ubuntu 26.04 LTS | php8.5 | 8.5.4-0ubuntu1.5 | Behoben | Ubuntu CVE page |
| Ubuntu 24.04 LTS | php8.3 | 8.3.6-0ubuntu0.24.04.13 | Behoben | Ubuntu CVE page |
| Ubuntu 22.04 LTS | php8.1 | 8.1.2-1ubuntu2.28 | Behoben | Ubuntu CVE page |
| Ubuntu 20.04 LTS (Pro) | php7.4 | 7.4.3-4ubuntu2.29+esm5 | Behoben | Ubuntu CVE page |
| Ubuntu 18.04 LTS (Pro) | php7.2 | 7.2.24-0ubuntu0.18.04.17+esm14 | Behoben | Ubuntu CVE page |
| Ubuntu 16.04 LTS (Pro Legacy) | php7.0 | 7.0.33-0ubuntu0.16.04.16+esm22 | Behoben | Ubuntu CVE page |
| Ubuntu 14.04 LTS (Pro Legacy) | php5 | 5.5.9+dfsg-1ubuntu4.29+esm18 | Behoben | Ubuntu CVE page |
| RHEL 8 / 9 / 10 | php | — | Betroffen, Fix in Arbeit | RHSB-2026-013 |
| AlmaLinux / Rocky Linux / Oracle Linux | php | — | Unbekannt (nicht geprüft) | — |
| SLES 15 SP7 (Web and Scripting) | php8 | 8.3.36-150700.3.24.1 | Behoben | SUSE CVE page |
| SLES 16.0 | php8 | 8.4.27-160000.1.1 | Fix in QA | SUSE CVE page |
| SLES 15 SP4–SP6, LTSS | php7, php8 | — | Betroffen, noch kein Fix | SUSE CVE page |
| openSUSE Leap 15.6 / 16.0 | php7, php8 | — | Betroffen, noch kein Fix | SUSE CVE page |
| SUSE BCI php images | php8 | — | Betroffen, noch kein Fix | SUSE CVE page |
| Alpine 3.23 | php83 | 8.3.36-r0 | Behoben | Alpine secdb |
| Alpine edge | php83 / php84 / php85 | 8.3.36-r0 / 8.4.27-r0 / 8.5.12-r0 | Behoben | Alpine secdb edge |
| Alpine 3.22 and older | php8x | — | Unbekannt (nicht geprüft) | — |
| Amazon Linux 2023 | php8.2 / 8.3 / 8.4 / 8.5 | ALAS2023-2026-3301 … 3304 | Behoben | ALAS CVE page |
| Amazon Linux 2023 | php8.1 | — | Kein Fix geplant | ALAS CVE page |
| Amazon Linux 2 (Extras php8.2) | php | ALAS2PHP8.2-2026-015 | Behoben | ALAS CVE page |
| Amazon Linux 2 (core) | php | — | Kein Fix geplant | ALAS CVE page |
| Fedora, Arch Linux, Gentoo | php | — | Unbekannt (nicht geprüft) | — |
So lesen Sie die Tabelle
- Eine Version wie
8.3.6-0ubuntu0.24.04.13kann gepatcht sein, obwohl 8.3.6 weit unter 8.3.36 liegt. Scanner, die nur Upstream-Nummern vergleichen, melden dann Fehlalarme. - Red Hat, SUSE und Amazon stufen beide CVEs als Important mit CVSS v3 8.1 ein (hohe Angriffskomplexität), NVD mit 9.8. Laut Red Hat nutzt RHEL standardmäßig PHP-FPM statt mod_php, was die Ausnutzung praktisch erschwert; Fixes kommen trotzdem.
- Ubuntu 14.04 sowie 16.04 bis 20.04 erhalten Fixes nur über Ubuntu Pro.
- Drittanbieter-Repos (Ondřej Surýs PPA und DEB.SURY.ORG, Remi, IUS, Panel-Builds) sind eigene Pakete; prüfen Sie sie unter Produkte.
Noch nicht gepatcht in unterstützten Kanälen
- RHEL 8, 9 und 10: Laut Red Hat sind manche Updates verfügbar, andere in Arbeit. RHSB-2026-013 verfolgen und
dnf updateinfo list --securityausführen. - SLES 15 SP4 bis SP6, openSUSE Leap und SUSE-BCI-php-Images waren noch betroffen; SLES 16.0 hat Pakete in QA.
- Amazon Linux 2023 php8.1 und das Core-php von Amazon Linux 2: kein Fix geplant. Wechseln Sie auf php8.2 oder neuer.
- Debian forky (Testing) hatte beim Prüfen 8.4.26-1; der Fix steht in sid als 8.4.27-1.
Installiertes Paket prüfen
Diese reinen Lesebefehle zeigen die installierte Version. Vergleichen Sie sie mit der Fix-Version Ihres genauen Releases.
# Debian / Ubuntu: installed PHP package versions
dpkg -l 'php*' | awk '/^ii/ {print $2, $3}'
# Debian / Ubuntu: changelog mentions the CVE?
apt changelog php8.2 2>/dev/null | grep -m3 -E 'CVE-2026-10961(8|9)'
# RHEL family / SUSE / Amazon Linux
rpm -qa 'php*' | sort
rpm -q --changelog php-common 2>/dev/null | grep -m3 -E 'CVE-2026-10961(8|9)'
# Alpine
apk info -v | grep '^php'
# Then restart what serves PHP (examples)
systemctl restart php8.2-fpm # or php-fpm, apache2, httpdUbuntu 24.04 zeigt PHP 8.3.6. Bin ich verwundbar?
Nicht, wenn das Paket 8.3.6-0ubuntu0.24.04.13 oder neuer ist. Ubuntu hat den Fix in das eigene 8.3.6-Paket zurückportiert.
Ist RHEL wegen PHP-FPM sicher?
Red Hat sagt, FPM erschwere Remote Code Execution in der Praxis, mache sie aber nicht unmöglich, und listet RHEL 8, 9 und 10 als betroffen. Installieren Sie die Errata, sobald sie erscheinen.
Meine Distribution steht auf unbekannt?
Prüfen Sie den offiziellen Tracker Ihres Herstellers. Gibt es kein gepatchtes Paket, nutzen Sie ein offizielles PHP 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 oder ein gepflegtes Container-Image.
Muss ich neu starten?
Ja. Laufende PHP-FPM-Pools und Apache mod_php behalten den alten Code bis zum Neustart.
Quellen
Externe Links verlassen diese Website. Wir hosten keinen Exploit-Code.
- CVE-2026-109618 — Debian Security Tracker
- CVE-2026-109619 — Debian Security Tracker
- CVE-2026-109618 — Ubuntu Security (Canonical)
- CVE-2026-109619 — Ubuntu Security (Canonical)
- CVE-2026-109618 — Red Hat Customer Portal
- RHSB-2026-013 Request handling memory corruption – php (php2shell) — Red Hat
- CVE-2026-109618 — SUSE
- CVE-2026-109618 — Amazon Linux Security Center
- community repository security fixes (v3.23) — Alpine Linux secdb
- community repository security fixes (edge) — Alpine Linux secdb
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)