Debian en Ubuntu: is mijn PHP-pakket gepatcht?

Kort gezegd: Of uw PHP-pakket onder Debian of Ubuntu tegen PHP2Shell is gepatcht, herkent u aan de exacte pakketstand, niet aan de PHP-versie. Ubuntu heeft op 21 oktober 2026 gecorrigeerde pakketten gepubliceerd voor alle ondersteunde releases, oudere via Ubuntu Pro. Debian heeft php8.2 in bookworm en php8.4 in trixie gecorrigeerd. Vergelijk de geïnstalleerde stand met dpkg --compare-versions en herstart daarna alle PHP-diensten.

De vraag achter de vraag

„Is mijn PHP-pakket gepatcht?” klinkt als een ja-of-nee-vraag. In de praktijk hangt het antwoord van drie dingen af: uit welke bron komt het pakket, welke stand is geïnstalleerd en draait die stand ook? Deze bijdrage beantwoordt de eerste twee punten voor de officiële pakketten van Debian en Ubuntu. Hoe u versie en draaiende processen in het algemeen controleert, staat onder PHP-versie en patchstatus juist controleren.

Wij hebben de opgaven op 25 oktober 2026 opgevraagd in de officiële beveiligingsmeldingen van Ubuntu en in de Debian Security Tracker. Beide CVE's, CVE-2026-109618 en CVE-2026-109619, staan daar met dezelfde gecorrigeerde standen vermeld.

Gecorrigeerde pakketstanden bij Ubuntu

Ubuntu heeft de correcties met twee meldingen gepubliceerd. USN-8948-1 dekt de actuele releases, USN-8948-2 de oudere, die alleen nog via Ubuntu Pro beveiligingsupdates krijgen. Bij 16.04 en 14.04 noemt Ubuntu daarnaast het Legacy-Support-aanbod.

Opvallend is dat alle standen de oorspronkelijke PHP-versie behouden. Ubuntu 24.04 blijft bij 8.3.6, hoewel de correctie uit 8.3.36 is overgenomen. Waarom dat zo is en hoe u ermee omgaat, legt de bijdrage Waarom php -v hetzelfde nummer toont uit. Getroffen zijn telkens onder meer de binaire pakketten voor FPM, CLI, CGI en de Apache-module, zoals php8.3-fpm en libapache2-mod-php8.3.

Gecorrigeerde pakketstanden bij Debian

Debian kiest hier een andere weg en levert de nieuwe upstreamversies uit. Volgens de Security Tracker ziet de stand er zo uit:

De melding voor bookworm verscheen als DLA, dus via Debian LTS. Voor php8.2 in unstable vermeldt de tracker bij het opvragen nog geen gecorrigeerde stand. Wie testsystemen op unstable beheert, moet dat in het oog houden.

Oudere Debian-releases verschijnen bij het opvragen niet in de twee CVE-vermeldingen. Draait een server nog op zo'n release, bijvoorbeeld Debian 11 met PHP 7.4, dan kunt u niet vertrouwen op een beveiligingsupdate uit het officiële archief. Dan blijven drie wegen: het besturingssysteem naar een ondersteunde release tillen, een commercieel langetermijnaanbod gebruiken waarvan u de dekking voor PHP2Shell schriftelijk laat bevestigen, of de server tot de migratie met tussentijdse maatregelen beveiligen en zijn bereikbaarheid beperken. Op de lange termijn is alleen de eerste weg houdbaar.

Zo vergelijkt u de geïnstalleerde stand exact

Een blik op het versienummer volstaat niet, omdat Debian-versies volgens eigen regels worden gesorteerd. dpkg --compare-versions vergelijkt correct. De volgende opdrachten zijn uitsluitend lezend; pas pakketnamen en doelstand aan uw release aan.

# Geïnstalleerde stand en herkomst van het pakket
apt policy php8.3-fpm

# Alle geïnstalleerde PHP-pakketten met versie
dpkg-query -W -f='${Package}\t${Version}\n' 'php*' 'libapache2-mod-php*' 2>/dev/null

# Exacte vergelijking met de gecorrigeerde stand (voorbeeld Ubuntu 24.04)
v=$(dpkg-query -W -f='${Version}' php8.3-fpm)
dpkg --compare-versions "$v" ge 8.3.6-0ubuntu0.24.04.13 && echo "korrigiert: $v" || echo "PRÜFEN: $v"

Let in de uitvoer van apt policy op de regel met de pakketbron. Staat daar niet het beveiligingsarchief van uw distributie, maar bijvoorbeeld packages.sury.org of een PPA, dan gelden de tabellen hierboven niet. Dan telt de stand van die externe bron, die wij behandelen in de bijdrage De sury.org-repository.

Daarnaast loont een blik in de meegeleverde changelog. Hoe u daar de CVE-nummers vindt en als bewijs vastlegt, beschrijft de bijdrage CVE-nummers in de pakket-changelog aantonen.

Typische valkuilen bij de controle

Slechts één pakket gecontroleerd: PHP bestaat uit veel binaire pakketten. Is php8.3-cli actueel, maar php8.3-fpm niet, dan blijft de website open. Controleer alle pakketten van een tak, vooral FPM, CGI en de Apache-module.

Pakket vastgehouden: Pakketten die met apt-mark hold zijn vastgezet, blijven bij de update staan. apt-mark showhold toont ze.

Ubuntu Pro niet actief: Op 20.04 en ouder komen de correcties alleen als Ubuntu Pro is ingericht. Zonder Pro blijft het systeem ondanks een update-run kwetsbaar.

Verouderde spiegel: Haalt de server pakketten via een interne spiegel of proxy, dan ziet hij nieuwe beveiligingsupdates pas als die is bijgewerkt. Controleer in geval van twijfel of apt update de beveiligingsbron daadwerkelijk bereikt.

Herstart vergeten: Nieuwe pakketten werken pas na de herstart van alle diensten die PHP hebben geladen. needrestart, indien geïnstalleerd, toont diensten met verouderde code.

Hoe helpt PHP SOS concreet?

• Wij stellen voor elke server de herkomst van alle PHP-pakketten vast en vergelijken de stand met de officiële meldingen.
• Wij spelen updates in, ook via Ubuntu Pro, en herstarten alle getroffen diensten.
• Met de PHP-patchservice ontvangt u per server een bewijs met pakketstand, changelog-treffer en herstarttijd.
• Op systemen met externe bronnen of oude versies regelen wij welke weg tot een aantoonbaar gecorrigeerde stand leidt.

Veelgestelde vragen

Bronnen

• Ubuntu Security Notice USN-8948-1
• Ubuntu Security Notice USN-8948-2
• Debian Security Tracker: CVE-2026-109618
• Debian Security Tracker: CVE-2026-109619