Quels paquets Ubuntu et Debian corrigent PHP2Shell ?
Les lignes Ubuntu et Debian marquées comme corrigées proviennent des bulletins de sécurité des éditeurs. Chaque version corrigée ne vaut que pour la version de la distribution concernée et son paquet officiel. Les lignes marquées comme non vérifiées concernent d’autres images, panneaux de contrôle et hébergeurs que nous n’avons pas encore pu confirmer.
| Éditeur | Version | Paquet | Version du paquet corrigé | Statut |
|---|---|---|---|---|
| Ubuntu | 22.04 | php8.1 | 8.1.2-1ubuntu2.28 | Corrigé |
| Ubuntu | 24.04 | php8.3 | 8.3.6-0ubuntu0.24.04.13 | Corrigé |
| Ubuntu | 26.04 | php8.5 | 8.5.4-0ubuntu1.5 | Corrigé |
| Ubuntu | 26.10 | php8.5 | 8.5.9-0ubuntu2.1 | Corrigé |
| Debian | 13 | php8.4 | 8.4.27-1~deb13u1 | Corrigé |
| Docker Official Images | — | php | — | Non vérifié |
| 宝塔 / aaPanel | — | PHP 7.4 | 7.4.34 | Corrigé |
| 宝塔 / aaPanel | — | PHP 8.0 | 8.0.27 | Corrigé |
| 宝塔 / aaPanel | — | PHP 8.1 | 8.1.35 | Corrigé |
| 宝塔 / aaPanel | — | PHP 8.2–8.5 | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 | Corrigé |
| XServer | — | PHP | — | Non vérifié |
| ConoHa WING | — | PHP | — | Non vérifié |
| ロリポップ！ | — | PHP | — | Non vérifié |
| 1Panel | — | 1panel/php | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (-fpm) | Corrigé |
Vérifié entre le 21 octobre 2026 et le 22 octobre 2026.
Si votre version ou votre paquet n’y figure pas, consultez le bulletin de votre fournisseur avant de conclure dans un sens ou dans l’autre.
Pourquoi PHP affiche-t-il encore une ancienne version après la mise à jour ?
Ubuntu, et Debian pour certaines versions, rétroportent les correctifs de sécurité dans la version de PHP qu’ils livrent. Ubuntu 24.04, par exemple, fournit une version précoce de PHP 8.3 : le paquet corrigé garde ce numéro de PHP, et seule la révision du paquet change. Voilà pourquoi php -v peut afficher un numéro inférieur à 8.3.36 alors que le serveur est bien corrigé. Comparez la version complète du paquet avec le tableau ci-dessus, pas PHP_VERSION.
Comment mettre à jour PHP sur Ubuntu ou Debian ?
- Installez les mises à jour de sécurité en attente pour les paquets PHP, depuis les dépôts officiels de votre distribution, avec votre procédure de mise à jour habituelle.
- Comparez la version du paquet installé avec le bulletin du fournisseur.
- Redémarrez les services qui exécutent PHP : le service PHP-FPM de votre branche PHP, ou Apache si vous utilisez mod_php. Les noms des services dépendent de votre installation.
- Vérifiez le PHP réellement servi par votre site, pas seulement celui de la ligne de commande : consultez la Santé du site de WordPress ou votre panneau de contrôle si vous en avez un, et comparez la version du paquet installé avec le tableau. Saisissez les deux dans le vérificateur de version PHP.
Redémarrer uniquement Nginx ou un autre proxy frontal ne redémarre pas PHP.
Comment voir quelle version du paquet PHP est installée ?
Interrogez le gestionnaire de paquets plutôt que PHP. Sur Ubuntu et Debian, dpkg -l | grep php liste les paquets PHP installés avec leur version complète. Comparez la version du paquet utilisé par votre site (par exemple le paquet FPM ou le module Apache de votre branche PHP) avec la version corrigée du tableau. Si plusieurs branches de PHP sont installées côte à côte, vérifiez celle que votre site utilise réellement ; le guide pour vérifier la version de PHP explique comment la repérer.
Faut-il redémarrer le serveur ?
En général, non. PHP2Shell est corrigé dans PHP lui-même : ce qui compte, c’est de redémarrer les services PHP, c’est-à-dire chaque pool PHP-FPM, ou Apache si PHP tourne en mod_php. Un redémarrage complet fonctionne aussi si vous ne savez pas quels services utilisent PHP, mais planifiez-le pour que le site redémarre bien sur les nouveaux paquets.
J’utilise un PPA ou un dépôt tiers : suis-je couvert ?
Pas par les bulletins Ubuntu ou Debian. Les paquets des dépôts tiers suivent leur propre calendrier et peuvent prendre du retard ; consultez les annonces de ce dépôt et vérifiez que le paquet installé contient bien le correctif de la CVE-2026-109618 et de la CVE-2026-109619.
Et Debian 12 ou les autres versions ?
Nous n’avons pas encore vérifié Debian 12 ni toutes les autres versions. Consultez le suivi de sécurité de Debian (security tracker) ou les annonces de votre distribution, et ne déduisez pas le statut d’une version à partir d’une autre.
Et les conteneurs LXC ou autres sur Ubuntu ?
Mettez à jour PHP à l’intérieur du conteneur qui sert le site. Les paquets de l’hôte ne corrigent pas le PHP d’un conteneur. Pour les images Docker, consultez la page image Docker PHP.
Puis-je plutôt passer à la version officielle de PHP ?
Oui, depuis une source de confiance, mais mélanger plusieurs sources de paquets peut laisser le site sur l’ancien binaire. Quel que soit votre choix, redémarrez PHP et vérifiez ensuite le PHP qu’utilise le site. Les anciennes branches sans nouvelle version sont traitées dans PHP en fin de vie ; les étapes générales se trouvent dans le guide du correctif PHP2Shell et sur le vérificateur PHP2Shell.
Sur quelles sources s’appuie cette page ?
- Canonical : USN pour PHP
- Canonical : statut de la CVE-2026-109618
- Canonical : statut de la CVE-2026-109619
- Debian : annonce de sécurité
- The PHP Group : avis de sécurité
- Manuel PHP : php_sapi_name
Vérifiez votre PHP face à PHP2Shell
Saisissez la version indiquée par votre site. Nous la comparons à la première version corrigée de sa branche et vous indiquons la marche à suivre.
Vérificateur PHP2Shell →Sources
Les faits essentiels de cette page (versions corrigées, détails des CVE, paquets des distributions et alertes des agences) proviennent de sources officielles. Les travaux de recherche, articles de presse et publications de la communauté sont signalés comme tels.
- USN-8948-1: PHP vulnerabilitiesÉditeur Canonical
- CVE-2026-109618Éditeur Canonical
- CVE-2026-109619Éditeur Canonical
- DSA-6574-1 php8.4 security updateÉditeur Debian Security Team
- Security advisory: Critical remote code execution vulnerabilities, update nowOfficiel The PHP Group
- php_sapi_nameOfficiel The PHP Group