PHP updaten op Ubuntu en Debian (php2shell)

Controleer alleen servers waarvan je zelf eigenaar of beheerder bent. Onafhankelijke site, niet verbonden aan de PHP Group of php.net. De checker vergelijkt alleen het versienummer dat je zelf intypt, in je eigen browser; er wordt niets gescand of verstuurd.

Kort antwoord

Werk de PHP-pakketten bij met apt, herstart PHP-FPM of Apache en vergelijk daarna de geïnstalleerde pakketversie met de tabel hieronder. Ubuntu en Debian houden hun oude PHP-nummers aan (bijvoorbeeld 8.3.6 op Ubuntu 24.04) en voeren de fix door als backport. Vergelijk daarom met de opgeloste pakketversie van de distributie, niet met het upstream-nummer op php.net. Ubuntu 20.04 en ouder krijgen de fix alleen met Ubuntu Pro. Voor Ubuntu 25.04 en 25.10 staat geen fix in de lijst. Debian 11 heeft er van Debian zelf geen (alleen de betaalde Extended LTS van Freexian noemt er een).

Volgens de PHP Group kunnen twee kritieke fouten, CVE-2026-109618 en CVE-2026-109619 (beide CVSS 4.0 9,2), remote code execution zonder inloggen mogelijk maken op PHP-installaties die webverzoeken verwerken; bijwerken is de enige volledige oplossing (php.net-bericht). Kortom: iemand van buiten kan mogelijk code op je server laten draaien. Update vandaag nog.

Je kunt je versie ook in de checker typen of de tabel met opgeloste versies openen.

Stap 1: kijk wat je draait

. /etc/os-release && echo "$PRETTY_NAME"
dpkg-query -W -f='${Package} ${Version}\n' 'php*-cli' 'php*-fpm' 'libapache2-mod-php*' 2>/dev/null
apt policy php8.3-cli   # vervang 8.3 door jouw tak; toont uit welke repository het pakket komt

Kijk naar de repository die apt policy toont. Staat daar ppa.launchpadcontent.net/ondrej (Ubuntu) of packages.sury.org (Debian), ga dan naar de sectie over repository’s van derden en gebruik die versies in plaats van de distributietabel.

Stap 2: vergelijk met de opgeloste pakketversies

Ubuntu (officieel archief)

Bron: USN-8948-1 en USN-8948-2, plus de Ubuntu-CVE-pagina’s voor CVE-2026-109618 en CVE-2026-109619.

Let op:

• 22.04 levert PHP 8.1, dat php.net niet meer ondersteunt. De fix bestaat wel, maar zit in het eigen pakket van Ubuntu: gebruik de rij met 8.1.2-1ubuntu2.28, niet een “8.1.x”-nummer.
• Ubuntu 25.10 en 25.04 vallen buiten de reguliere support en buiten ESM (geëindigd op 9 juli 2026 en 15 januari 2026) en staan niet in de berichten. Stap over naar een ondersteunde release.
• Volgens Canonical is Ubuntu Pro gratis voor persoonlijk gebruik (ubuntu.com/pro). Zonder Pro krijgt een machine met 20.04 of ouder de fix niet.

Debian (officieel archief)

Bron: DSA-6574-1, DLA-4848-1 en de Debian-tracker voor CVE-2026-109618 en CVE-2026-109619. Stand zoals vastgelegd op 22 oktober 2026.

Let op:

• Debian droeg de beveiligingsondersteuning voor bookworm in juli 2026 over aan het LTS-team, en Debian 11 LTS is op 31 augustus 2026 geëindigd (Debian-nieuws). Debian heeft voor deze CVE’s geen php7.4-vermelding. De betaalde Extended LTS-dienst van Freexian noemt 7.4.33-1+deb11u14 als fix (ELA-1853-1), alleen geleverd via een privé-repository voor abonnees. Dat is niet de fix van Debian zelf, dus Debian 11 blijft hier niet bevestigd. Plan een overstap naar een ondersteunde release.
• De tracker noemt de basisversie 8.2.32-1~deb12u1 voor bookworm en 8.4.24-1~deb13u1 voor trixie als kwetsbaar. De fix 8.4.27-1 staat in de tracker voor beide CVE’s als opgelost in forky (testing) en sid (unstable); voor testing komt er geen DSA. Bekijk de tracker opnieuw voordat je in productie op testing of unstable vertrouwt.

Snelle versiecontrole

Vervang de pakketnaam en de opgeloste versie door jouw rij uit de tabellen:

dpkg --compare-versions "$(dpkg-query -W -f='${Version}' php8.3-common)" ge 8.3.6-0ubuntu0.24.04.13 \
  && echo "OK: fixed" || echo "OLD: update needed"

Doe dit voor elke PHP-tak die op de machine staat.

Stap 3: eerst een back-up, dan updaten

Maak eerst een snapshot of back-up (een VM-snapshot, of minimaal /etc/php en je sitebestanden). Een beveiligingsupdate binnen dezelfde release is weinig riskant, maar met een snapshot is terugdraaien eenvoudig. Voor een releaseupgrade (bijvoorbeeld 22.04 naar 24.04, of Debian 12 naar 13) maak je een volledige snapshot en test je eerst op een stagingkopie.

sudo apt update
apt list --upgradable 2>/dev/null | grep -i php     # wat er gaat veranderen
sudo apt install --only-upgrade '*php8.3*'          # vervang 8.3 door jouw tak

Wil je liever alles bijwerken, dan werkt sudo apt upgrade ook. De vorm met --only-upgrade installeert nooit nieuwe PHP-pakketten. Hij herkent namen als php8.3-fpm, php8.3-cli en libapache2-mod-php8.3.

Draai je meerdere takken naast elkaar? Herhaal de stap voor elke tak (bijvoorbeeld '*php8.2*').

Ubuntu 20.04 en ouder: koppel eerst Ubuntu Pro

Maak een Ubuntu Pro-account aan op ubuntu.com/pro (volgens Canonical gratis voor persoonlijk gebruik), kopieer je token en voer uit:

sudo pro attach YOUR_TOKEN
pro status          # esm-infra hoort aan te staan (esm-infra-legacy bij 16.04 / 14.04)
sudo apt update && sudo apt install --only-upgrade '*php7.4*'   # jouw tak

Stap 4: herstart PHP

Een pakketupdate garandeert niet dat langlopende PHP-processen opnieuw zijn gestart. Doe dat zelf:

sudo systemctl restart php8.3-fpm     # PHP-FPM (gebruik jouw versie)
sudo systemctl restart apache2        # Apache met mod_php, of Apache vóór FPM

php.net noemt mod_php de configuratie met het hoogste risico, dus sla de Apache-herstart niet over als je libapache2-mod-php gebruikt. Gebruik je Nginx, dan is alleen de PHP-FPM-herstart nodig. Meerdere FPM-versies zie je met systemctl list-units --type=service 'php*fpm*'.

Stap 5: controleer het resultaat

dpkg-query -W -f='${Package} ${Version}\n' 'php*-common'
sudo php-fpm8.3 -v                              # het binaire bestand dat FPM draait (gebruik jouw versie); toont alleen het upstream-nummer
systemctl status php8.3-fpm --no-pager | head -5   # "active (running)" met een starttijd na je update

Voer daarna de dpkg --compare-versions-controle uit stap 2 opnieuw uit en open een pagina van je site. Is de versie nog oud, dan toont apt policy <pakket> welke repository de update aanbiedt. Veelvoorkomende oorzaken zijn een ontbrekende security-regel in /etc/apt/sources.list*, een niet gekoppeld Ubuntu Pro-abonnement of een vastgezette versie (pinning).

Ondřej-PPA en sury-repo

Toont apt policy ppa:ondrej/php op Ubuntu of packages.sury.org op Debian, dan komt je PHP uit de repository van een derde, Ondřej Surý, en niet van Ubuntu of Debian. Vergelijk dan met de versies hieronder; de berichten van de distributies gelden niet voor die pakketten. De gegevens komen uit de changelogs van de repository. Een eigen beveiligingsmelding van beide repository’s hebben we niet gevonden.

De opgeloste upstream-versies van PHP zijn 8.5.12, 8.4.27, 8.3.36 en 8.2.35 (php.net). De PPA- en sury-versies hieronder bevatten dezelfde fix.

Ubuntu ppa:ondrej/php (gepubliceerd op 21 oktober 2026 volgens Launchpad; de changelogregel luidt “CVE-2026-109618, CVE-2026-109619: Avoid state corruption via bailout”). Kies de tabel voor jouw Ubuntu-release.

Ubuntu 24.04 (noble):

Ubuntu 22.04 (jammy):

De takken 8.1 en ouder zijn upstream end-of-life; de repository heeft de fix teruggeporteerd. Dat is dus een fix van alleen de leverancier, geen php.net-release.

Debian packages.sury.org/php (bullseye, bookworm, trixie; het bewijs is de changelog in de gepubliceerde bronpakketten):

Gebouwde pakketten hebben een achtervoegsel, bijvoorbeeld 8.4.27-1+0~20261021.57+debian12~1.gbp7636b9 op bookworm. Een build waarvan de versie groter dan of gelijk aan de opgeloste versie is, is opgelost; precies dat controleert dpkg --compare-versions ... ge. Bijwerken gaat op dezelfde manier:

sudo apt update && sudo apt install --only-upgrade '*php8.3*'
sudo systemctl restart php8.3-fpm

Haal de twee repository’s niet door elkaar. Ubuntu 22.04 met de PPA heeft PHP 8.1 met nummer 8.1.34-9+ubuntu22.04.1+deb.sury.org+1, terwijl dezelfde release uit het Ubuntu-archief 8.1.2-1ubuntu2.28 is. Gebruik de rij die hoort bij de repository die apt policy meldt.

De versiestring lezen

• Een voorloop-1: is de epoch. Die telt mee in de vergelijking en moet blijven staan, bijvoorbeeld 1:7.4.33-31+ubuntu22.04.1+deb.sury.org+1. Laat hem niet weg.
• Een achtervoegsel als +ubuntu22.04.1+deb.sury.org+1 wijst op een build uit de Ondřej-PPA of de sury-repo, niet van Ubuntu of Debian.
• Een achtervoegsel +esmN wijst op een Ubuntu Pro-build (ESM), bijvoorbeeld 7.4.3-4ubuntu2.29+esm5 of 5.5.9+dfsg-1ubuntu4.29+esm18.
• Vergelijk met dpkg --compare-versions en niet op het oog; de regels staan in Debian Policy 5.6.12. Je kunt ook de uitvoer van dpkg -l of apt policy in de checker plakken.

Kun je nu niet updaten?

php.net noemt tijdelijke beperkingen voor server en configuratie en zegt er duidelijk bij dat ze een installatie niet beschermen en dat er geen volledige tijdelijke maatregelen zijn. Gebruik ze alleen als noodoplossing en volg voor de lijst het php.net-bericht. Laat je PHP beheren door een hoster, bekijk dan de hostingstatus en de gids voor hosting. Achtergrond: php2shell: wat is het en wat moet je doen? Hoe je de versie van een website uitleest, staat in PHP-versie controleren.

Liever dat wij het voor jouw situatie uitwerken?

Wil je liever schriftelijke stappen voor jouw exacte server? Het persoonlijke patchplan van US$ 49 komt binnen 24 uur per e-mail. We loggen nooit in op je server: bekijk het plan.