Īsi sakot: Vai jūsu PHP pakotne Debian vai Ubuntu ir ielāpota pret PHP2Shell, atpazīstat pēc precīza pakotnes stāvokļa, nevis pēc PHP versijas. Ubuntu 2026. gada 21. oktobrī publicēja labotas pakotnes visiem atbalstītajiem laidieniem, vecākiem caur Ubuntu Pro. Debian ir izlabojis php8.2 bookworm un php8.4 trixie. Salīdziniet instalēto stāvokli ar dpkg --compare-versions un pēc tam pārstartējiet visus PHP pakalpojumus.
Jautājums aiz jautājuma
“Vai mana PHP pakotne ir ielāpota?” izklausās pēc jautājuma ar atbildi jā vai nē. Praksē atbilde ir atkarīga no trim lietām: no kāda avota nāk pakotne, kurš stāvoklis ir instalēts un vai šis stāvoklis arī darbojas? Šis raksts atbild uz pirmajiem diviem punktiem Debian un Ubuntu oficiālajām pakotnēm. Kā vispār pārbaudīt versiju un darbojošos procesus, lasāms sadaļā PHP versijas un ielāpa stāvokļa pareiza pārbaude.
Datus oficiālajos Ubuntu drošības paziņojumos un Debian Security Tracker mēs atvērām 2026. gada 25. oktobrī. Abas CVE, CVE-2026-109618 un CVE-2026-109619, tur ir norādītas ar tiem pašiem labotajiem stāvokļiem.
Laboti pakotņu stāvokļi Ubuntu
Ubuntu labojumus publicēja ar diviem paziņojumiem. USN-8948-1 aptver aktuālos laidienus, USN-8948-2 vecākos, kas drošības atjauninājumus saņem tikai caur Ubuntu Pro. Versijām 16.04 un 14.04 Ubuntu papildus min Legacy Support piedāvājumu.
| Ubuntu laidiens | Avota pakotne | Labotais stāvoklis |
|---|---|---|
| 26.10 | php8.5 | 8.5.9-0ubuntu2.1 |
| 26.04 LTS | php8.5 | 8.5.4-0ubuntu1.5 |
| 24.04 LTS | php8.3 | 8.3.6-0ubuntu0.24.04.13 |
| 22.04 LTS | php8.1 | 8.1.2-1ubuntu2.28 |
| 20.04 LTS (Ubuntu Pro) | php7.4 | 7.4.3-4ubuntu2.29+esm5 |
| 18.04 LTS (Ubuntu Pro) | php7.2 | 7.2.24-0ubuntu0.18.04.17+esm14 |
Uzkrītoši, ka visi stāvokļi saglabā sākotnējo PHP versiju. Ubuntu 24.04 paliek pie 8.3.6, kaut gan labojums ir pārņemts no 8.3.36. Kāpēc tā un kā ar to rīkoties, izskaidro raksts Kāpēc php -v rāda to pašu numuru. Skartas ir attiecīgi cita starpā binārās pakotnes FPM, CLI, CGI un Apache modulim, piemēram, php8.3-fpm un libapache2-mod-php8.3.
Laboti pakotņu stāvokļi Debian
Debian šeit iet citu ceļu un piegādā jaunās upstream versijas. Saskaņā ar Security Tracker stāvoklis izskatās šādi:
| Debian laidiens | Avota pakotne | Iepriekšējais stāvoklis | Labotais stāvoklis | Paziņojums |
|---|---|---|---|---|
| 12 bookworm | php8.2 | 8.2.32-1~deb12u1 | 8.2.35-1~deb12u1 | DLA-4848-1 |
| 13 trixie | php8.4 | 8.4.24-1~deb13u1 | 8.4.27-1~deb13u1 | DSA-6574-1 |
| forky, sid | php8.4 | 8.4.27-1 |
Paziņojums bookworm parādījās kā DLA, tātad caur Debian LTS. Php8.2 unstable Tracker atvēršanas brīdī vēl neuzrāda labotu stāvokli. Kas testa sistēmas darbina uz unstable, tam tas jāpatur acīs.
Vecāki Debian laidieni abos CVE ierakstos atvēršanas brīdī neparādās. Ja serveris vēl darbojas uz šāda laidiena, piemēram, Debian 11 ar PHP 7.4, uz drošības atjauninājumu no oficiālā arhīva paļauties nevar. Tad paliek trīs ceļi: operētājsistēmu pacelt uz atbalstītu laidienu, izmantot komerciālu ilgtermiņa piedāvājumu, kura aptvērumu PHP2Shell jums rakstiski apstiprina, vai serveri līdz migrācijai nodrošināt ar pagaidu pasākumiem un ierobežot tā sasniedzamību. Ilgtermiņā noturīgs ir tikai pirmais ceļš.
Kā precīzi salīdzināt instalēto stāvokli
Ar skatienu uz versijas numuru nepietiek, jo Debian versijas tiek kārtotas pēc saviem noteikumiem. dpkg --compare-versions salīdzina pareizi. Šīs komandas tikai lasa; pielāgojiet pakotņu nosaukumus un mērķa stāvokli savam laidienam.
# Instalētais stāvoklis un pakotnes izcelsme
apt policy php8.3-fpm
# Visas instalētās PHP pakotnes ar versiju
dpkg-query -W -f='${Package}\t${Version}\n' 'php*' 'libapache2-mod-php*' 2>/dev/null
# Precīzs salīdzinājums ar labotu stāvokli (piemērs Ubuntu 24.04)
v=$(dpkg-query -W -f='${Version}' php8.3-fpm)
dpkg --compare-versions "$v" ge 8.3.6-0ubuntu0.24.04.13 && echo "korrigiert: $v" || echo "PRÜFEN: $v"
apt policy izvadē pievērsiet uzmanību rindai ar pakotņu avotu. Ja tur nav jūsu distributīva drošības arhīvs, bet, piemēram, packages.sury.org vai PPA, augstāk esošās tabulas nav spēkā. Tad svarīgs ir šī trešā avota stāvoklis, ko aplūkojam rakstā sury.org repozitorijs.
Papildus vērts ieskatīties komplektā iekļautajā changelog. Kā tur atrast CVE numurus un fiksēt kā apliecinājumu, apraksta raksts CVE numuru apliecināšana pakotnes changelog.
Tipiski slazdi pārbaudē
Pārbaudīta tikai viena pakotne: PHP sastāv no daudzām binārajām pakotnēm. Ja php8.3-cli ir aktuāla, bet php8.3-fpm nav, vietne paliek atvērta. Pārbaudiet visas atzara pakotnes, īpaši FPM, CGI un Apache moduli.
Pakotne turēta: Pakotnes, kas ar apt-mark hold ir fiksētas, atjauninājuma laikā paliek stāvam. apt-mark showhold tās parāda.
Ubuntu Pro nav aktīvs: Versijām 20.04 un vecākām labojumi nāk tikai tad, ja Ubuntu Pro ir ierīkots. Bez Pro sistēma neskatoties uz atjaunināšanas gaitu paliek ievainojama.
Novecojis spogulis: Ja serveris pakotnes ņem caur iekšēju spoguli vai starpniekserveri, jaunos drošības atjauninājumus tas redz tikai pēc tam, kad tas ir atjaunināts. Šaubu gadījumā pārbaudiet, vai apt update drošības avotu patiešām sasniedz.
Pārstartēšana aizmirsta: Jaunas pakotnes darbojas tikai pēc visu pakalpojumu, kas ielādējuši PHP, pārstartēšanas. needrestart, ja instalēts, parāda pakalpojumus ar novecojušu kodu.
Labots pakotnes stāvoklis pierāda tikai to, ka ievainojamība no šī brīža ir aizvērta. Vai serveris iepriekš tika uzbrukts, tas neatbild. Saglabājiet žurnālus no 20. oktobra.
Kā PHP SOS palīdz konkrēti?
- Mēs katram serverim noskaidrojam visu PHP pakotņu izcelsmi un salīdzinām stāvokli ar oficiālajiem paziņojumiem.
- Mēs ieviešam atjauninājumus, arī caur Ubuntu Pro, un pārstartējam visus skartos pakalpojumus.
- Ar PHP ielāpu pakalpojumu jūs katram serverim saņemat apliecinājumu ar pakotnes stāvokli, changelog atbilsmi un pārstartēšanas laiku.
- Sistēmām ar trešo pušu avotiem vai vecām versijām mēs noskaidrojam, kurš ceļš ved uz pierādāmi labotu stāvokli.
Biežāk uzdotie jautājumi
Kura Ubuntu versija satur PHP2Shell labojumu?
Saskaņā ar USN-8948-1 Ubuntu 22.04, 24.04, 26.04 un 26.10 ir apgādātas ar regulāriem atjauninājumiem. Versijām 14.04, 16.04, 18.04 un 20.04 Ubuntu labojumus saskaņā ar USN-8948-2 piegādā caur Ubuntu Pro.
Kāpēc Ubuntu 24.04 turpina rādīt PHP 8.3.6?
Ubuntu drošības labojumus pārņem kā backport esošajā versijā. Upstream numurs paliek 8.3.6, mainās tikai pakotnes stāvoklis. Saskaņā ar USN-8948-1 labotais stāvoklis ir 8.3.6-0ubuntu0.24.04.13.
Vai Debian 12 bookworm vēl tiek apgādāts?
Jā. Saskaņā ar Debian Security Tracker php8.2 bookworm ir labotais stāvoklis 8.2.35-1~deb12u1, paziņots kā DLA-4848-1 Debian LTS ietvaros.
Vai tas attiecas arī uz PHP no sury repozitorija?
Nē. Pakotnēm no trešo pušu avotiem, piemēram, sury.org, ir savi versiju stāvokļi un savi changelog. Debian un Ubuntu dati attiecas tikai uz to oficiālajām pakotnēm.
Vai pietiek ar apt upgrade?
Tas instalē jaunās pakotnes, taču darbojošies PHP-FPM vai Apache procesi atmiņā saglabā veco kodu. Ielāps stājas spēkā tikai pēc visu pakalpojumu, kas ielādē PHP, pārstartēšanas.