PHP unter Ubuntu und Debian aktualisieren (php2shell)

Prüfen Sie nur Systeme, die Ihnen gehören oder für die Sie verantwortlich sind. Unabhängige Seite, nicht mit der PHP Group oder php.net verbunden. Der Checker vergleicht nur die Versionsnummer, die Sie selbst eintippen, in Ihrem Browser; es wird nichts gescannt oder gesendet.

Kurzantwort

Aktualisieren Sie die PHP-Pakete mit apt, starten Sie PHP-FPM bzw. Apache neu und vergleichen Sie dann die installierte Paketversion mit der Tabelle unten. Ubuntu und Debian behalten ihre alten PHP-Nummern (zum Beispiel 8.3.6 unter Ubuntu 24.04) und portieren den Fix zurück (Backport). Maßgeblich ist deshalb die gepatchte Paketversion des Distributors, nicht die Upstream-Nummer von php.net. Für Ubuntu 20.04 und älter gibt es den Fix nur mit Ubuntu Pro. Für Ubuntu 25.04 und 25.10 ist kein Fix aufgeführt. Debian 11 hat von Debian selbst keinen (nur das kostenpflichtige Extended LTS von Freexian nennt einen).

Laut PHP Group können zwei kritische Lücken, CVE-2026-109618 und CVE-2026-109619 (beide CVSS 4.0 9,2), unauthentifizierte Remote-Code-Ausführung auf PHP-Installationen erlauben, die Webanfragen bearbeiten; ein Update sei die einzige vollständige Lösung (php.net-Hinweis). Einfach gesagt: Ein Fremder aus dem Internet kann womöglich Code auf Ihrem Server ausführen. Spielen Sie das Update heute ein.

Sie können Ihre Version auch in den Checker eintippen oder die Tabelle der Fixversionen öffnen.

Schritt 1: Prüfen, was bei Ihnen läuft

. /etc/os-release && echo "$PRETTY_NAME"
dpkg-query -W -f='${Package} ${Version}\n' 'php*-cli' 'php*-fpm' 'libapache2-mod-php*' 2>/dev/null
apt policy php8.3-cli   # 8.3 durch Ihre Reihe ersetzen; zeigt, aus welchem Repository das Paket stammt

Schauen Sie sich das Repository an, das apt policy nennt. Steht dort ppa.launchpadcontent.net/ondrej (Ubuntu) oder packages.sury.org (Debian), springen Sie zum Abschnitt zu Drittanbieter-Repositories und nutzen Sie diese Versionen statt der Distributionstabelle.

Schritt 2: Mit den Fixversionen vergleichen

Ubuntu (offizielles Archiv)

Quellen: USN-8948-1 und USN-8948-2 sowie die Ubuntu-CVE-Seiten zu CVE-2026-109618 und CVE-2026-109619.

Hinweise:

• 22.04 liefert PHP 8.1, das php.net nicht mehr unterstützt. Den Fix gibt es trotzdem, aber im eigenen Paket von Ubuntu: Vergleichen Sie mit der Zeile 8.1.2-1ubuntu2.28, nicht mit einer „8.1.x“-Nummer.
• Ubuntu 25.10 und 25.04 sind aus dem regulären Support und aus ESM ausgelaufen (am 09.07.2026 bzw. 15.01.2026) und stehen nicht in den Hinweisen. Wechseln Sie auf ein unterstütztes Release.
• Laut Canonical ist Ubuntu Pro für den privaten Gebrauch kostenlos (ubuntu.com/pro). Ohne Pro erhält ein Rechner mit 20.04 oder älter den Fix nicht.

Debian (offizielles Archiv)

Quellen: DSA-6574-1, DLA-4848-1 und der Debian-Tracker zu CVE-2026-109618 und CVE-2026-109619. Stand laut Erfassung vom 22.10.2026.

Hinweise:

• Den Sicherheitssupport für bookworm hat Debian im Juli 2026 an das LTS-Team übergeben, und Debian 11 LTS ist am 31. August 2026 ausgelaufen (Debian-News). Debian hat für diese CVEs keinen php7.4-Eintrag. Der kostenpflichtige Extended-LTS-Dienst von Freexian nennt 7.4.33-1+deb11u14 als Fix (ELA-1853-1), ausgeliefert nur über ein privates Repository für Abonnenten. Das ist nicht der Fix von Debian selbst, daher bleibt Debian 11 hier nicht bestätigt. Planen Sie den Wechsel auf ein unterstütztes Release.
• Der Tracker führt die Basisversion 8.2.32-1~deb12u1 für bookworm und 8.4.24-1~deb13u1 für trixie als verwundbar. Den Fix 8.4.27-1 führt der Tracker für beide CVEs in forky (testing) und sid (unstable) als behoben; für testing gibt es kein DSA. Prüfen Sie den Tracker erneut, bevor Sie sich in der Produktion auf testing oder unstable verlassen.

Schnelle Versionsprüfung

Ersetzen Sie Paketnamen und Fixversion durch Ihre Zeile aus den Tabellen:

dpkg --compare-versions "$(dpkg-query -W -f='${Version}' php8.3-common)" ge 8.3.6-0ubuntu0.24.04.13 \
  && echo "OK: fixed" || echo "OLD: update needed"

Führen Sie das für jede auf dem Rechner installierte PHP-Reihe aus.

Schritt 3: Sichern, dann aktualisieren

Legen Sie zuerst einen Snapshot oder ein Backup an (VM-Snapshot oder zumindest /etc/php und Ihre Website-Dateien). Ein Sicherheitsupdate innerhalb desselben Releases ist risikoarm, mit einem Snapshot ist ein Rollback aber trivial. Bei einem Release-Upgrade (etwa 22.04 auf 24.04 oder Debian 12 auf 13) erstellen Sie einen vollständigen Snapshot und testen vorher auf einer Staging-Kopie.

sudo apt update
apt list --upgradable 2>/dev/null | grep -i php     # was sich ändern wird
sudo apt install --only-upgrade '*php8.3*'          # 8.3 durch Ihre Reihe ersetzen

Wenn Sie lieber alles aktualisieren, funktioniert auch sudo apt upgrade. Die Form mit --only-upgrade installiert nie neue PHP-Pakete. Sie erfasst Namen wie php8.3-fpm, php8.3-cli und libapache2-mod-php8.3.

Mehrere Reihen parallel im Einsatz? Wiederholen Sie den Schritt für jede (zum Beispiel '*php8.2*').

Ubuntu 20.04 und älter: zuerst Ubuntu Pro anbinden

Legen Sie unter ubuntu.com/pro ein Ubuntu-Pro-Konto an (laut Canonical für den privaten Gebrauch kostenlos), kopieren Sie Ihr Token und führen Sie aus:

sudo pro attach YOUR_TOKEN
pro status          # esm-infra sollte aktiviert sein (esm-infra-legacy bei 16.04 / 14.04)
sudo apt update && sudo apt install --only-upgrade '*php7.4*'   # Ihre Reihe

Schritt 4: PHP neu starten

Ein Paketupdate garantiert nicht, dass lang laufende PHP-Prozesse neu gestartet wurden. Erledigen Sie das selbst:

sudo systemctl restart php8.3-fpm     # PHP-FPM (Ihre Version einsetzen)
sudo systemctl restart apache2        # Apache mit mod_php oder Apache vor FPM

php.net nennt mod_php als Konfiguration mit dem höchsten Risiko; überspringen Sie den Apache-Neustart daher nicht, wenn Sie libapache2-mod-php nutzen. Wer Nginx einsetzt, braucht nur den PHP-FPM-Neustart. Mehrere FPM-Versionen listen Sie mit systemctl list-units --type=service 'php*fpm*' auf.

Schritt 5: Kontrollieren

dpkg-query -W -f='${Package} ${Version}\n' 'php*-common'
sudo php-fpm8.3 -v                              # die von FPM ausgeführte Binärdatei (Ihre Version einsetzen); zeigt nur die Upstream-Nummer
systemctl status php8.3-fpm --no-pager | head -5   # "active (running)" mit einer Startzeit nach Ihrem Update

Wiederholen Sie dann die Prüfung mit dpkg --compare-versions aus Schritt 2 und rufen Sie eine Seite Ihrer Website auf. Ist die Version noch alt, zeigt apt policy <Paket>, welches Repository das Update anbietet. Häufige Ursachen sind eine fehlende Security-Zeile in /etc/apt/sources.list*, ein nicht angebundenes Ubuntu-Pro-Abo oder eine festgesetzte Version (Pinning).

Ondřej-PPA und sury-Repo

Zeigt apt policy ppa:ondrej/php unter Ubuntu oder packages.sury.org unter Debian, stammt Ihr PHP aus dem Drittanbieter-Repository von Ondřej Surý, nicht von Ubuntu oder Debian. Vergleichen Sie dann mit den folgenden Versionen; die Hinweise der Distributionen gelten für diese Pakete nicht. Die Angaben stammen aus den Changelogs des Repositorys. Eine eigene Sicherheitsmeldung der beiden Repositories haben wir nicht gefunden.

Die gefixten PHP-Upstream-Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35 (php.net). Die PPA- und sury-Versionen unten enthalten denselben Fix.

Ubuntu ppa:ondrej/php (am 21.10.2026 veröffentlicht laut Launchpad; der Changelog-Eintrag lautet „CVE-2026-109618, CVE-2026-109619: Avoid state corruption via bailout“). Wählen Sie die Tabelle für Ihr Ubuntu-Release.

Ubuntu 24.04 (noble):

Ubuntu 22.04 (jammy):

Die Reihen 8.1 und älter sind upstream am Lebensende; das Repository hat den Fix zurückportiert, es handelt sich also um einen reinen Anbieter-Fix, nicht um ein php.net-Release.

Debian packages.sury.org/php (bullseye, bookworm, trixie; Beleg ist der Changelog in den veröffentlichten Quellpaketen):

Fertig gebaute Pakete tragen ein Suffix, zum Beispiel 8.4.27-1+0~20261021.57+debian12~1.gbp7636b9 unter bookworm. Ein Build, dessen Version größer oder gleich der Fixversion ist, ist gepatcht; genau das prüft dpkg --compare-versions ... ge. Aktualisiert wird auf demselben Weg:

sudo apt update && sudo apt install --only-upgrade '*php8.3*'
sudo systemctl restart php8.3-fpm

Verwechseln Sie die beiden Repositories nicht. Ubuntu 22.04 mit dem PPA hat PHP 8.1 mit der Nummer 8.1.34-9+ubuntu22.04.1+deb.sury.org+1, dasselbe Release aus dem Ubuntu-Archiv dagegen 8.1.2-1ubuntu2.28. Maßgeblich ist die Zeile, die zum Repository passt, das apt policy meldet.

Versionsstrings richtig lesen

• Ein führendes 1: ist die Epoche. Sie zählt beim Vergleich mit und muss stehen bleiben, zum Beispiel 1:7.4.33-31+ubuntu22.04.1+deb.sury.org+1. Lassen Sie sie nicht weg.
• Ein Suffix wie +ubuntu22.04.1+deb.sury.org+1 kennzeichnet einen Build aus dem Ondřej-PPA oder dem sury-Repo, nicht von Ubuntu oder Debian.
• Ein Suffix +esmN kennzeichnet einen Build von Ubuntu Pro (ESM), zum Beispiel 7.4.3-4ubuntu2.29+esm5 oder 5.5.9+dfsg-1ubuntu4.29+esm18.
• Vergleichen Sie mit dpkg --compare-versions statt nach Augenmaß; die Regeln stehen in der Debian Policy 5.6.12. Sie können auch die Ausgabe von dpkg -l oder apt policy in den Checker einfügen.

Wenn Sie jetzt nicht aktualisieren können

php.net nennt vorläufige Einschränkungen für Server und Konfiguration und sagt ausdrücklich, dass sie eine Installation nicht schützen und es keine vollständigen Gegenmaßnahmen gebe. Nutzen Sie sie nur als Übergangslösung und folgen Sie für die Liste dem php.net-Hinweis. Läuft Ihre Seite bei einem Hoster, der PHP für Sie verwaltet, lesen Sie die Hoster-Status-Seite und die Hosting-Anleitung. Hintergrund: php2shell: Was ist das und was tun? Die Version einer Website lesen Sie mit PHP-Version prüfen ab.

Sie möchten es für Ihr genaues Setup erledigt haben?

Wenn Sie schriftliche Schritte für Ihren Server bevorzugen: Der persönliche Patch-Plan für 49 US-Dollar kommt innerhalb von 24 Stunden per E-Mail. Wir loggen uns nie auf Ihrem Server ein: Patch-Plan ansehen.