Producten en stacks · Hostingplatforms en serverbeheerders

PHP2Shell in Amazon Linux and AWS: getroffen en hoe op te lossen

Snel oordeel

Getroffen; er is alleen een fix voor sommige versies of onderdelen.

Status leverancier: Gedeeltelijk opgelost
PHP: AL2023 php8.2–8.5 · AL2 php
Laatst gecontroleerd: 2026-10-22

AWS-bulletin 2026-143-AWS (laatst bijgewerkt 21 oktober, 20:30 PDT): AWS-diensten zelf zijn niet getroffen, maar getroffen PHP die u erop draait wel. Amazon Linux: bijgewerkte PHP-pakketten zijn beschikbaar voor commerciële regio’s, niet-commerciële regio’s staan gepland voor 22 oktober; de kern-PHP op Amazon Linux 2 en php8.1 op Amazon Linux 2023 staan op No Fix Planned. Elastic Beanstalk: PHP-platform v4.13.12 (21 oktober) pakt beide CVE’s aan en een release met de upstream PHP-fix staat gepland voor 22 oktober; zonder Managed Platform Updates werkt u de platformversie zelf bij. Lightsail kan niet ter plekke worden gepatcht: maak nieuwe instances uit de bijgewerkte blueprints en migreer. AWS WAF-gebruikers: versie 2.3 van de PHP managed rule group is nu de standaard.

De PHP-versie van Amazon Linux and AWS controleren

Voer de opdracht voor uw opzet uit. Een versie vanaf 8.2.35, 8.3.36, 8.4.27 of 8.5.12 in de betreffende tak is gepatcht; oudere takken alleen met een leveranciersbuild die dat vermeldt.

dnf updateinfo list --security | grep php
rpm -qa 'php*'

De php op de opdrachtregel kan verschillen van de PHP die de site serveert. Controleer voor de zekerheid de web-SAPI (een tijdelijke phpinfo()-pagina achter een login, of de PHP-instellingen van het paneel) en verwijder die daarna. Onze versiecontrole vergelijkt het nummer voor u.

🔎 Versienummer gevonden? Plak het in de PHP2Shell-checker →

PHP2Shell in Amazon Linux and AWS oplossen

Debian/Ubuntu: sudo apt-get update && sudo apt-get install --only-upgrade 'php8.3*' (voor elke geïnstalleerde PHP-versie).
RHEL/Alma/Rocky/Amazon Linux: sudo dnf upgrade 'php*'.
Herstart PHP: sudo systemctl restart php8.3-fpm (of php-fpm) en herstart Apache volledig als het mod_php gebruikt; een graceful reload is niet genoeg.
Distributies zetten de fix vaak terug zonder het PHP-versienummer te wijzigen; vergelijk de pakketversie of changelog met het advies.

Laat u de controle liever aan een AI-agent over? Controleren of u getroffen bent · Oplossen met een AI-agent

Als u nog niet kunt patchen

Zet session.upload_progress.enabled = 0 waar applicaties het niet kunnen overschrijven (php.ini, php_admin_value in de FPM-pool of Apache-config) en herstart PHP.
Zet op PHP 8.5 fatal_error_backtraces = 0.
Het tijdelijke advies van PHP gaat ook over memory_limit en een lage post_max_size; volg de oplossingspagina precies, want deze instellingen dekken maar een deel van de paden.
Beperk de toegang (VPN, IP-allowlist) of haal de dienst offline als die op PHP 8.1 of ouder draait zonder backport van de leverancier. WAF-regels helpen, maar zijn geen fix.

FAQ

Is Amazon Linux and AWS getroffen door PHP2Shell?

Getroffen; er is alleen een fix voor sommige versies of onderdelen. AWS-bulletin 2026-143-AWS (laatst bijgewerkt 21 oktober, 20:30 PDT): AWS-diensten zelf zijn niet getroffen, maar getroffen PHP die u erop draait wel. Amazon Linux: bijgewerkte PHP-pakketten zijn beschikbaar voor commerciële regio’s, niet-commerciële regio’s staan gepland voor 22 oktober; de kern-PHP op Amazon Linux 2 en php8.1 op Amazon Linux 2023 staan op No Fix Planned. Elastic Beanstalk: PHP-platform v4.13.12 (21 oktober) pakt beide CVE’s aan en een release met de upstream PHP-fix staat gepland voor 22 oktober; zonder Managed Platform Updates werkt u de platformversie zelf bij. Lightsail kan niet ter plekke worden gepatcht: maak nieuwe instances uit de bijgewerkte blueprints en migreer. AWS WAF-gebruikers: versie 2.3 van de PHP managed rule group is nu de standaard.

Lost het bijwerken van Amazon Linux and AWS zelf CVE-2026-109618 en CVE-2026-109619 op?

Alleen als de update gepatchte PHP bevat. PHP2Shell is een lek in de PHP-interpreter; het gaat om de PHP waarop Amazon Linux and AWS draait. Controleer de versie na het bijwerken.

Welke PHP-versies lossen PHP2Shell op?

PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12, uitgebracht op 21 oktober 2026. PHP 8.1 en ouder krijgen geen release van het PHP-project; alleen leveranciersbuilds met backport (of een zelf gebouwde bronpatch voor 7.4, 8.0 en 8.1) lossen ze op.

Wat als er voor Amazon Linux and AWS nog geen fix is?

Houd de PHP-webinterface van internet af (VPN of IP-allowlist), pas de tijdelijke PHP-instellingen toe zoals het uitschakelen van session upload progress, en installeer de update van de leverancier zodra die uitkomt. Tijdelijke instellingen verkleinen het risico, maar zijn geen fix.

← Alle producten met ingebouwde PHP

Zie ook: Oplossing per platform · Getroffen versies · Status leveranciers

Bronnen

Externe links verlaten deze site. Wij hosten geen exploitcode.

Onofficiële samenvatting van openbare bronnen. Deze site is niet verbonden aan de leverancier of het PHP-project en host geen exploitcode.