# Debian i Ubuntu: je li moj PHP paket zakrpan?

> Je li Vaš PHP paket na Debianu ili Ubuntuu zakrpan protiv PHP2Shella? Ispravljena stanja paketa po izdanju, naredbe za provjeru i tipične zamke za admine.

Izvor: https://phpsos.de/hr/blog/debian-ubuntu-paket-gepatcht/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** Je li Vaš PHP paket na Debianu ili Ubuntuu zakrpan protiv PHP2Shella, prepoznajete po točnom stanju paketa, a ne po PHP verziji. Ubuntu je 21. listopada 2026. objavio ispravljene pakete za sva podržana izdanja, starija preko Ubuntu Pro. Debian je ispravio php8.2 u bookwormu i php8.4 u trixieju. Usporedite instalirano stanje s `dpkg --compare-versions` i potom ponovno pokrenite sve PHP usluge.

## Pitanje iza pitanja

„Je li moj PHP paket zakrpan?“ zvuči kao pitanje na koje se odgovara s da ili ne. U praksi odgovor ovisi o tri stvari: iz kojeg izvora paket potječe, koje je stanje instalirano i radi li to stanje doista? Ovaj članak odgovara na prve dvije točke za službene pakete Debiana i Ubuntua. Kako općenito provjeriti verziju i pokrenute procese, navodi stranica [Ispravno provjeriti PHP verziju i razinu zakrpe](https://phpsos.de/hr/php2shell/php-version-pruefen/).

Podatke u službenim sigurnosnim objavama Ubuntua i u Debian Security Trackeru dohvatili smo 25. listopada 2026. Oba CVE-a, CVE-2026-109618 i CVE-2026-109619, tamo su navedena s istim ispravljenim stanjima.

## Ispravljena stanja paketa kod Ubuntua

Ubuntu je ispravke objavio s dvije objave. USN-8948-1 pokriva aktualna izdanja, USN-8948-2 starija, koja sigurnosna ažuriranja dobivaju samo još preko Ubuntu Pro. Za 16.04 i 14.04 Ubuntu uz to navodi ponudu Legacy Support.

| Ubuntu izdanje | Izvorni paket | Ispravljeno stanje |
|---|---|---|
| 26.10 | php8.5 | 8.5.9-0ubuntu2.1 |
| 26.04 LTS | php8.5 | 8.5.4-0ubuntu1.5 |
| 24.04 LTS | php8.3 | 8.3.6-0ubuntu0.24.04.13 |
| 22.04 LTS | php8.1 | 8.1.2-1ubuntu2.28 |
| 20.04 LTS (Ubuntu Pro) | php7.4 | 7.4.3-4ubuntu2.29+esm5 |
| 18.04 LTS (Ubuntu Pro) | php7.2 | 7.2.24-0ubuntu0.18.04.17+esm14 |

Upadljivo je da sva stanja zadržavaju izvornu PHP verziju. Ubuntu 24.04 ostaje na 8.3.6 iako je ispravak preuzet iz 8.3.36. Zašto je tako i kako s tim postupati, objašnjava članak [Zašto php -v prikazuje isti broj](https://phpsos.de/hr/blog/php-v-zeigt-alte-nummer/). Pogođeni su pritom, među ostalim, binarni paketi za FPM, CLI, CGI i Apache modul, primjerice `php8.3-fpm` i `libapache2-mod-php8.3`.

## Ispravljena stanja paketa kod Debiana

Debian ovdje ide drugim putem i isporučuje nove upstream verzije. Prema Security Trackeru stanje izgleda ovako:

| Debian izdanje | Izvorni paket | Prethodno stanje | Ispravljeno stanje | Objava |
|---|---|---|---|---|
| 12 bookworm | php8.2 | 8.2.32-1~deb12u1 | 8.2.35-1~deb12u1 | DLA-4848-1 |
| 13 trixie | php8.4 | 8.4.24-1~deb13u1 | 8.4.27-1~deb13u1 | DSA-6574-1 |
| forky, sid | php8.4 | | 8.4.27-1 | |

Objava za bookworm izašla je kao DLA, dakle preko Debian LTS-a. Za php8.2 u unstableu tracker pri dohvatu još ne navodi ispravljeno stanje. Tko vodi testne sustave na unstableu, trebao bi to pratiti.

Starija Debian izdanja pri dohvatu se u oba CVE unosa ne pojavljuju. Ako poslužitelj još radi na takvom izdanju, primjerice Debian 11 s PHP-om 7.4, ne možete se osloniti na sigurnosno ažuriranje iz službene arhive. Tada ostaju tri puta: operacijski sustav podići na podržano izdanje, koristiti komercijalnu ponudu dugoročne podrške čije pokrivanje PHP2Shella si dajete pisanim putem potvrditi ili poslužitelj do migracije osigurati prijelaznim mjerama i ograničiti njegovu dostupnost. Dugoročno je održiv samo prvi put.

## Kako točno usporediti instalirano stanje

Pogled na broj verzije nije dovoljan jer se Debianove verzije sortiraju po vlastitim pravilima. `dpkg --compare-versions` uspoređuje ispravno. Sljedeće naredbe samo čitaju; prilagodite nazive paketa i ciljno stanje svom izdanju.

```bash
# Instalirano stanje i podrijetlo paketa
apt policy php8.3-fpm

# Svi instalirani PHP paketi s verzijom
dpkg-query -W -f='${Package}\t${Version}\n' 'php*' 'libapache2-mod-php*' 2>/dev/null

# Točna usporedba s ispravljenim stanjem (primjer Ubuntu 24.04)
v=$(dpkg-query -W -f='${Version}' php8.3-fpm)
dpkg --compare-versions "$v" ge 8.3.6-0ubuntu0.24.04.13 && echo "korrigiert: $v" || echo "PRÜFEN: $v"
```

U ispisu `apt policy` pazite na redak s izvorom paketa. Ako tamo ne stoji sigurnosna arhiva Vaše distribucije, nego primjerice `packages.sury.org` ili PPA, gornje tablice ne vrijede. Tada vrijedi stanje tog izvora treće strane, koje obrađujemo u članku [Repozitorij sury.org](https://phpsos.de/hr/blog/sury-repository-php/).

Dodatno se isplati pogledati priloženi changelog. Kako tamo pronaći CVE brojeve i zabilježiti ih kao dokaz, opisuje članak [Dokazati CVE brojeve u changelogu paketa](https://phpsos.de/hr/blog/cve-im-changelog-nachweisen/).

## Tipične zamke pri provjeri

**Provjeren samo jedan paket:** PHP se sastoji od mnogo binarnih paketa. Ako je `php8.3-cli` aktualan, a `php8.3-fpm` nije, web-stranica ostaje otvorena. Provjerite sve pakete jedne grane, osobito FPM, CGI i Apache modul.

**Paket zadržan:** Paketi koji su zadržani s `apt-mark hold` pri ažuriranju ostaju stajati. `apt-mark showhold` ih prikazuje.

**Ubuntu Pro nije aktivan:** Na 20.04 i starijem ispravke stižu samo ako je postavljen Ubuntu Pro. Bez Pro sustav ostaje ranjiv unatoč pokrenutom ažuriranju.

**Zastarjelo zrcalo:** Ako poslužitelj pakete dohvaća preko internog zrcala ili proxyja, nova sigurnosna ažuriranja vidi tek kad je ono ažurirano. U sumnji provjerite doseže li `apt update` doista sigurnosni izvor.

**Zaboravljeno ponovno pokretanje:** Novi paketi djeluju tek nakon ponovnog pokretanja svih usluga koje su učitale PHP. `needrestart`, ako je instaliran, prikazuje usluge sa zastarjelim kodom.

> **Važno:**
> Ispravljeno stanje paketa dokazuje samo da je ranjivost od sada zatvorena. Je li poslužitelj prije bio napadnut, ne odgovara. Sigurnosno pohranite logove od 20. listopada.

## Kako PHP SOS konkretno pomaže?

- Za svaki poslužitelj utvrđujemo podrijetlo svih PHP paketa i uspoređujemo stanje sa službenim objavama.
- Instaliramo ažuriranja, i preko Ubuntu Pro, te ponovno pokrećemo sve pogođene usluge.
- Uz [PHP uslugu zakrpa](https://phpsos.de/hr/leistungen/php-patch-service/) po poslužitelju dobivate dokaz sa stanjem paketa, pogotkom u changelogu i vremenom ponovnog pokretanja.
- Na sustavima s izvorima trećih strana ili starim verzijama razjašnjavamo koji put vodi do dokazivo ispravljenog stanja.


## Česta pitanja

**Koja Ubuntu verzija sadrži PHP2Shell ispravak?**  
Prema USN-8948-1 Ubuntu 22.04, 24.04, 26.04 i 26.10 opskrbljeni su redovitim ažuriranjima. Za 14.04, 16.04, 18.04 i 20.04 Ubuntu prema USN-8948-2 isporučuje ispravke preko Ubuntu Pro.

**Zašto Ubuntu 24.04 i dalje prikazuje PHP 8.3.6?**  
Ubuntu sigurnosne ispravke preuzima kao backport u postojeću verziju. Upstream broj ostaje 8.3.6, mijenja se samo stanje paketa. Prema USN-8948-1 ispravljeno stanje je 8.3.6-0ubuntu0.24.04.13.

**Je li Debian 12 bookworm još opskrbljen?**  
Da. Prema Debian Security Trackeru za php8.2 u bookwormu postoji ispravljeno stanje 8.2.35-1~deb12u1, najavljeno kao DLA-4848-1 u okviru Debian LTS-a.

**Vrijedi li to i za PHP iz sury repozitorija?**  
Ne. Paketi iz izvora trećih strana poput sury.org imaju vlastita stanja verzija i vlastite changelogove. Podaci Debiana i Ubuntua vrijede samo za njihove službene pakete.

**Je li apt upgrade dovoljan?**  
On instalira nove pakete, ali pokrenuti PHP-FPM ili Apache procesi zadržavaju stari kod u memoriji. Tek ponovno pokretanje svih usluga koje učitavaju PHP čini zakrpu djelotvornom.

## Izvori

- [Ubuntu Security Notice USN-8948-1](https://ubuntu.com/security/notices/USN-8948-1)
- [Ubuntu Security Notice USN-8948-2](https://ubuntu.com/security/notices/USN-8948-2)
- [Debian Security Tracker: CVE-2026-109618](https://security-tracker.debian.org/tracker/CVE-2026-109618)
- [Debian Security Tracker: CVE-2026-109619](https://security-tracker.debian.org/tracker/CVE-2026-109619)