PHP2Shell · distributiepakketten · gecontroleerd op 22 oktober 2026
PHP2Shell-fixes vergeleken tussen Linux-distributies
Distributiepakketten dragen zelden het php.net-versienummer van de fix. Debian en Ubuntu backporten patches naar oudere versienummers; vergelijk dus met de pakketversie in de tracker van je distributie, niet met 8.2.35 of 8.3.36.
Laatst bijgewerkt
Fixversies per distributie
| Release | Bronpakket | Fixversie | Status | Tracker |
|---|---|---|---|---|
| Debian 12 bookworm | php8.2 | 8.2.35-1~deb12u1 (DLA-4848-1) | Opgelost | Debian tracker |
| Debian 13 trixie | php8.4 | 8.4.27-1~deb13u1 (DSA-6574-1) | Opgelost | Debian tracker |
| Debian forky (testing) | php8.4 | 8.4.26-1 | Kwetsbaar (testing) | Debian tracker |
| Debian sid | php8.4 | 8.4.27-1 | Opgelost | Debian tracker |
| Ubuntu 26.10 | php8.5 | 8.5.9-0ubuntu2.1 | Opgelost | Ubuntu CVE page |
| Ubuntu 26.04 LTS | php8.5 | 8.5.4-0ubuntu1.5 | Opgelost | Ubuntu CVE page |
| Ubuntu 24.04 LTS | php8.3 | 8.3.6-0ubuntu0.24.04.13 | Opgelost | Ubuntu CVE page |
| Ubuntu 22.04 LTS | php8.1 | 8.1.2-1ubuntu2.28 | Opgelost | Ubuntu CVE page |
| Ubuntu 20.04 LTS (Pro) | php7.4 | 7.4.3-4ubuntu2.29+esm5 | Opgelost | Ubuntu CVE page |
| Ubuntu 18.04 LTS (Pro) | php7.2 | 7.2.24-0ubuntu0.18.04.17+esm14 | Opgelost | Ubuntu CVE page |
| Ubuntu 16.04 LTS (Pro Legacy) | php7.0 | 7.0.33-0ubuntu0.16.04.16+esm22 | Opgelost | Ubuntu CVE page |
| Ubuntu 14.04 LTS (Pro Legacy) | php5 | 5.5.9+dfsg-1ubuntu4.29+esm18 | Opgelost | Ubuntu CVE page |
| RHEL 8 / 9 / 10 | php | — | Getroffen, fix in behandeling | RHSB-2026-013 |
| AlmaLinux / Rocky Linux / Oracle Linux | php | — | Onbekend (niet geverifieerd) | — |
| SLES 15 SP7 (Web and Scripting) | php8 | 8.3.36-150700.3.24.1 | Opgelost | SUSE CVE page |
| SLES 16.0 | php8 | 8.4.27-160000.1.1 | Fix in QA | SUSE CVE page |
| SLES 15 SP4–SP6, LTSS | php7, php8 | — | Getroffen, nog geen fix | SUSE CVE page |
| openSUSE Leap 15.6 / 16.0 | php7, php8 | — | Getroffen, nog geen fix | SUSE CVE page |
| SUSE BCI php images | php8 | — | Getroffen, nog geen fix | SUSE CVE page |
| Alpine 3.23 | php83 | 8.3.36-r0 | Opgelost | Alpine secdb |
| Alpine edge | php83 / php84 / php85 | 8.3.36-r0 / 8.4.27-r0 / 8.5.12-r0 | Opgelost | Alpine secdb edge |
| Alpine 3.22 and older | php8x | — | Onbekend (niet geverifieerd) | — |
| Amazon Linux 2023 | php8.2 / 8.3 / 8.4 / 8.5 | ALAS2023-2026-3301 … 3304 | Opgelost | ALAS CVE page |
| Amazon Linux 2023 | php8.1 | — | Geen fix gepland | ALAS CVE page |
| Amazon Linux 2 (Extras php8.2) | php | ALAS2PHP8.2-2026-015 | Opgelost | ALAS CVE page |
| Amazon Linux 2 (core) | php | — | Geen fix gepland | ALAS CVE page |
| Fedora, Arch Linux, Gentoo | php | — | Onbekend (niet geverifieerd) | — |
Zo lees je de tabel
- Een versie als
8.3.6-0ubuntu0.24.04.13kan gepatcht zijn hoewel 8.3.6 ver onder 8.3.36 ligt. Scanners die alleen upstreamnummers vergelijken geven dan valse meldingen. - Red Hat, SUSE en Amazon beoordelen beide CVE’s als Important met CVSS v3 8.1 (hoge complexiteit); NVD geeft 9.8. Red Hat wijst erop dat RHEL standaard PHP-FPM gebruikt in plaats van mod_php, wat misbruik lastiger maakt, maar levert toch fixes.
- Ubuntu 14.04 en 16.04 tot 20.04 krijgen fixes alleen via Ubuntu Pro.
- Repositories van derden (Ondřej Surý’s PPA en DEB.SURY.ORG, Remi, IUS, panelbuilds) zijn aparte pakketten; zie Producten.
Nog niet opgelost in een ondersteund kanaal
- RHEL 8, 9 en 10: volgens Red Hat zijn sommige updates beschikbaar en andere in behandeling. Volg RHSB-2026-013 en draai
dnf updateinfo list --security. - SLES 15 SP4 tot SP6, openSUSE Leap en SUSE BCI-php-images stonden nog op getroffen; SLES 16.0 heeft pakketten in QA.
- Amazon Linux 2023 php8.1 en de core-php van Amazon Linux 2: geen fix gepland. Stap over op php8.2 of nieuwer.
- Debian forky (testing) had bij controle 8.4.26-1; de fix staat in sid als 8.4.27-1.
Controleer je geïnstalleerde pakket
Deze alleen-lezen commando’s tonen de geïnstalleerde versie. Vergelijk die met de fixversie van jouw release.
# Debian / Ubuntu: installed PHP package versions
dpkg -l 'php*' | awk '/^ii/ {print $2, $3}'
# Debian / Ubuntu: changelog mentions the CVE?
apt changelog php8.2 2>/dev/null | grep -m3 -E 'CVE-2026-10961(8|9)'
# RHEL family / SUSE / Amazon Linux
rpm -qa 'php*' | sort
rpm -q --changelog php-common 2>/dev/null | grep -m3 -E 'CVE-2026-10961(8|9)'
# Alpine
apk info -v | grep '^php'
# Then restart what serves PHP (examples)
systemctl restart php8.2-fpm # or php-fpm, apache2, httpdUbuntu 24.04 toont PHP 8.3.6. Ben ik kwetsbaar?
Niet als het pakket 8.3.6-0ubuntu0.24.04.13 of nieuwer is. Ubuntu heeft de fix in het eigen 8.3.6-pakket gebackport.
Is RHEL veilig omdat het PHP-FPM gebruikt?
Red Hat zegt dat FPM remote code execution in de praktijk moeilijk maakt, niet onmogelijk, en noemt RHEL 8, 9 en 10 getroffen. Installeer de errata zodra ze verschijnen.
Mijn distributie staat op onbekend?
Kijk in de officiële tracker van je leverancier. Is er geen gepatcht pakket, gebruik dan een officiële PHP 8.2.35, 8.3.36, 8.4.27 of 8.5.12 of een onderhouden containerimage.
Moet ik herstarten?
Ja. Draaiende PHP-FPM-pools en Apache mod_php houden de oude code tot de herstart.
Bronnen
Externe links verlaten deze site. Wij hosten geen exploitcode.
- CVE-2026-109618 — Debian Security Tracker
- CVE-2026-109619 — Debian Security Tracker
- CVE-2026-109618 — Ubuntu Security (Canonical)
- CVE-2026-109619 — Ubuntu Security (Canonical)
- CVE-2026-109618 — Red Hat Customer Portal
- RHSB-2026-013 Request handling memory corruption – php (php2shell) — Red Hat
- CVE-2026-109618 — SUSE
- CVE-2026-109618 — Amazon Linux Security Center
- community repository security fixes (v3.23) — Alpine Linux secdb
- community repository security fixes (edge) — Alpine Linux secdb
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)