PHP2Shell · paquets des distributions · vérifié le 22 octobre 2026
Correctifs PHP2Shell comparés entre distributions Linux
Les paquets PHP des distributions portent rarement le numéro php.net du correctif. Debian et Ubuntu rétroportent les patchs dans d’anciennes versions : comparez avec la version du paquet sur le tracker de votre distribution, pas avec 8.2.35 ou 8.3.36.
Dernière mise à jour
Versions corrigées par distribution
| Version | Paquet source | Version corrigée | État | Tracker |
|---|---|---|---|---|
| Debian 12 bookworm | php8.2 | 8.2.35-1~deb12u1 (DLA-4848-1) | Corrigé | Debian tracker |
| Debian 13 trixie | php8.4 | 8.4.27-1~deb13u1 (DSA-6574-1) | Corrigé | Debian tracker |
| Debian forky (testing) | php8.4 | 8.4.26-1 | Vulnérable (testing) | Debian tracker |
| Debian sid | php8.4 | 8.4.27-1 | Corrigé | Debian tracker |
| Ubuntu 26.10 | php8.5 | 8.5.9-0ubuntu2.1 | Corrigé | Ubuntu CVE page |
| Ubuntu 26.04 LTS | php8.5 | 8.5.4-0ubuntu1.5 | Corrigé | Ubuntu CVE page |
| Ubuntu 24.04 LTS | php8.3 | 8.3.6-0ubuntu0.24.04.13 | Corrigé | Ubuntu CVE page |
| Ubuntu 22.04 LTS | php8.1 | 8.1.2-1ubuntu2.28 | Corrigé | Ubuntu CVE page |
| Ubuntu 20.04 LTS (Pro) | php7.4 | 7.4.3-4ubuntu2.29+esm5 | Corrigé | Ubuntu CVE page |
| Ubuntu 18.04 LTS (Pro) | php7.2 | 7.2.24-0ubuntu0.18.04.17+esm14 | Corrigé | Ubuntu CVE page |
| Ubuntu 16.04 LTS (Pro Legacy) | php7.0 | 7.0.33-0ubuntu0.16.04.16+esm22 | Corrigé | Ubuntu CVE page |
| Ubuntu 14.04 LTS (Pro Legacy) | php5 | 5.5.9+dfsg-1ubuntu4.29+esm18 | Corrigé | Ubuntu CVE page |
| RHEL 8 / 9 / 10 | php | — | Affecté, correctif en cours | RHSB-2026-013 |
| AlmaLinux / Rocky Linux / Oracle Linux | php | — | Inconnu (non vérifié) | — |
| SLES 15 SP7 (Web and Scripting) | php8 | 8.3.36-150700.3.24.1 | Corrigé | SUSE CVE page |
| SLES 16.0 | php8 | 8.4.27-160000.1.1 | Correctif en QA | SUSE CVE page |
| SLES 15 SP4–SP6, LTSS | php7, php8 | — | Affecté, pas encore de correctif | SUSE CVE page |
| openSUSE Leap 15.6 / 16.0 | php7, php8 | — | Affecté, pas encore de correctif | SUSE CVE page |
| SUSE BCI php images | php8 | — | Affecté, pas encore de correctif | SUSE CVE page |
| Alpine 3.23 | php83 | 8.3.36-r0 | Corrigé | Alpine secdb |
| Alpine edge | php83 / php84 / php85 | 8.3.36-r0 / 8.4.27-r0 / 8.5.12-r0 | Corrigé | Alpine secdb edge |
| Alpine 3.22 and older | php8x | — | Inconnu (non vérifié) | — |
| Amazon Linux 2023 | php8.2 / 8.3 / 8.4 / 8.5 | ALAS2023-2026-3301 … 3304 | Corrigé | ALAS CVE page |
| Amazon Linux 2023 | php8.1 | — | Aucun correctif prévu | ALAS CVE page |
| Amazon Linux 2 (Extras php8.2) | php | ALAS2PHP8.2-2026-015 | Corrigé | ALAS CVE page |
| Amazon Linux 2 (core) | php | — | Aucun correctif prévu | ALAS CVE page |
| Fedora, Arch Linux, Gentoo | php | — | Inconnu (non vérifié) | — |
Lire ce tableau
- Une version comme
8.3.6-0ubuntu0.24.04.13peut être corrigée même si 8.3.6 est bien inférieur à 8.3.36. Les scanners qui ne comparent que les numéros amont produisent alors des faux positifs. - Red Hat, SUSE et Amazon notent les deux CVE Important, CVSS v3 8.1 (complexité élevée) ; le NVD indique 9.8. Red Hat rappelle que RHEL utilise PHP-FPM par défaut plutôt que mod_php, ce qui complique l’exploitation, mais publie quand même des correctifs.
- Ubuntu 14.04 et 16.04 à 20.04 ne reçoivent les correctifs que via Ubuntu Pro.
- Les dépôts tiers (PPA et DEB.SURY.ORG d’Ondřej Surý, Remi, IUS, versions des panneaux) sont des paquets distincts : voir Produits.
Pas encore corrigé dans un canal supporté
- RHEL 8, 9 et 10 : selon Red Hat, certaines mises à jour sont disponibles et d’autres en cours. Suivez RHSB-2026-013 et lancez
dnf updateinfo list --security. - SLES 15 SP4 à SP6, openSUSE Leap et les images SUSE BCI php restaient affectés ; SLES 16.0 a des paquets en QA.
- Amazon Linux 2023 php8.1 et le php du cœur d’Amazon Linux 2 : aucun correctif prévu. Passez à php8.2 ou plus récent.
- Debian forky (testing) avait 8.4.26-1 lors de la vérification ; le correctif est dans sid en 8.4.27-1.
Vérifier le paquet installé
Ces commandes en lecture seule affichent la version installée. Comparez-la avec la version corrigée de votre version exacte.
# Debian / Ubuntu: installed PHP package versions
dpkg -l 'php*' | awk '/^ii/ {print $2, $3}'
# Debian / Ubuntu: changelog mentions the CVE?
apt changelog php8.2 2>/dev/null | grep -m3 -E 'CVE-2026-10961(8|9)'
# RHEL family / SUSE / Amazon Linux
rpm -qa 'php*' | sort
rpm -q --changelog php-common 2>/dev/null | grep -m3 -E 'CVE-2026-10961(8|9)'
# Alpine
apk info -v | grep '^php'
# Then restart what serves PHP (examples)
systemctl restart php8.2-fpm # or php-fpm, apache2, httpdUbuntu 24.04 affiche PHP 8.3.6. Suis-je vulnérable ?
Non si le paquet est 8.3.6-0ubuntu0.24.04.13 ou plus récent. Ubuntu a rétroporté le correctif dans son propre paquet 8.3.6.
RHEL est-il sûr parce qu’il utilise PHP-FPM ?
Red Hat dit que FPM rend l’exécution de code à distance difficile en pratique, pas impossible, et liste RHEL 8, 9 et 10 comme affectés. Installez les errata dès leur parution.
Ma distribution est marquée inconnue ?
Consultez le tracker officiel de votre éditeur. Sans paquet corrigé, utilisez une version officielle PHP 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 ou une image de conteneur maintenue.
Faut-il redémarrer ?
Oui. Les pools PHP-FPM et Apache mod_php en cours gardent l’ancien code jusqu’au redémarrage.
Sources
Les liens externes quittent ce site. Nous n’hébergeons aucun code d’exploitation.
- CVE-2026-109618 — Debian Security Tracker
- CVE-2026-109619 — Debian Security Tracker
- CVE-2026-109618 — Ubuntu Security (Canonical)
- CVE-2026-109619 — Ubuntu Security (Canonical)
- CVE-2026-109618 — Red Hat Customer Portal
- RHSB-2026-013 Request handling memory corruption – php (php2shell) — Red Hat
- CVE-2026-109618 — SUSE
- CVE-2026-109618 — Amazon Linux Security Center
- community repository security fixes (v3.23) — Alpine Linux secdb
- community repository security fixes (edge) — Alpine Linux secdb
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)