Quali pacchetti Ubuntu e Debian correggono PHP2Shell?
Le righe Ubuntu e Debian segnate come corrette provengono dagli avvisi di sicurezza dei fornitori. Ogni versione corretta vale solo per quella release e per il suo pacchetto ufficiale. Le righe non verificate riguardano altre immagini, pannelli e hosting che non abbiamo ancora confermato.
| Fornitore | Release | Pacchetto | Versione del pacchetto corretto | Stato |
|---|---|---|---|---|
| Ubuntu | 22.04 | php8.1 | 8.1.2-1ubuntu2.28 | Corretto |
| Ubuntu | 24.04 | php8.3 | 8.3.6-0ubuntu0.24.04.13 | Corretto |
| Ubuntu | 26.04 | php8.5 | 8.5.4-0ubuntu1.5 | Corretto |
| Ubuntu | 26.10 | php8.5 | 8.5.9-0ubuntu2.1 | Corretto |
| Debian | 13 | php8.4 | 8.4.27-1~deb13u1 | Corretto |
| Docker Official Images | — | php | — | Non verificato |
| 宝塔 / aaPanel | — | PHP 7.4 | 7.4.34 | Corretto |
| 宝塔 / aaPanel | — | PHP 8.0 | 8.0.27 | Corretto |
| 宝塔 / aaPanel | — | PHP 8.1 | 8.1.35 | Corretto |
| 宝塔 / aaPanel | — | PHP 8.2–8.5 | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 | Corretto |
| XServer | — | PHP | — | Non verificato |
| ConoHa WING | — | PHP | — | Non verificato |
| ロリポップ！ | — | PHP | — | Non verificato |
| 1Panel | — | 1panel/php | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (-fpm) | Corretto |
Verificato tra il 21 ottobre 2026 e il 22 ottobre 2026.
Se la tua release o il tuo pacchetto non è in elenco, controlla l’avviso del tuo fornitore prima di trarre conclusioni in un senso o nell’altro.
Perché PHP mostra ancora una versione vecchia dopo l’aggiornamento?
Ubuntu, e in alcune release anche Debian, fa il backport delle correzioni di sicurezza nella versione di PHP che distribuisce. Ubuntu 24.04, per esempio, include una delle prime release di PHP 8.3, e il pacchetto corretto mantiene quella versione di PHP: cambia solo la revisione del pacchetto. Per questo php -v può mostrare un numero inferiore a 8.3.36 anche se il server è patchato. Confronta la versione completa del pacchetto con la tabella qui sopra, non PHP_VERSION.
Come aggiorno PHP su Ubuntu o Debian?
- Installa gli aggiornamenti di sicurezza in sospeso per i pacchetti PHP dai repository ufficiali della tua distribuzione, con la tua normale procedura di aggiornamento dei pacchetti.
- Confronta la versione del pacchetto installato con l’avviso del fornitore.
- Riavvia i servizi che eseguono PHP: il servizio PHP-FPM del tuo ramo di PHP, oppure Apache se usi mod_php. I nomi dei servizi dipendono dalla tua installazione.
- Verifica il PHP che il sito serve davvero, non solo quello da riga di comando: controlla Salute del sito di WordPress o il tuo pannello di controllo se ne hai uno, e confronta la versione del pacchetto installato con la tabella. Inserisci entrambe nel PHP version checker.
Riavviare solo Nginx o un altro proxy front-end non riavvia PHP.
Come vedo quale versione del pacchetto PHP è installata?
Chiedilo al gestore dei pacchetti, non a PHP. Su Ubuntu e Debian, dpkg -l | grep php elenca i pacchetti PHP installati con la loro versione completa. Confronta la versione del pacchetto che usa il tuo sito (per esempio il pacchetto FPM o il modulo Apache del tuo ramo di PHP) con la versione corretta in tabella. Se hai più rami di PHP installati in parallelo, controlla quello che il sito esegue davvero; la guida per controllare la versione di PHP spiega come capirlo.
Devo riavviare il server?
Di solito no. PHP2Shell è corretta dentro PHP, quindi conta riavviare i servizi PHP: ogni pool PHP-FPM, oppure Apache se PHP gira come mod_php. Anche un riavvio completo funziona se non riesci a capire quali servizi usano PHP, ma pianificalo in modo che il sito riparta con i nuovi pacchetti.
Uso un PPA o un repository di terze parti. È coperto?
Non dagli avvisi di Ubuntu o Debian. I pacchetti dei repository di terze parti hanno tempi di rilascio propri e possono restare indietro; controlla gli annunci di quel repository e verifica che il pacchetto installato includa la correzione per CVE-2026-109618 e CVE-2026-109619.
E Debian 12 o altre release?
Non abbiamo ancora verificato Debian 12 né tutte le altre release. Consulta il security tracker di Debian o gli annunci della tua distribuzione, e non dedurre lo stato da un’altra release.
E i container LXC o di altro tipo su Ubuntu?
Aggiorna PHP dentro il container che serve il sito. I pacchetti dell’host non correggono il PHP di un container. Per le immagini Docker, vedi immagine Docker PHP.
Posso passare direttamente alla release upstream di PHP?
Puoi, da una fonte di cui ti fidi, ma mescolare fonti di pacchetti può lasciare il sito sul binario vecchio. Qualunque strada scegli, riavvia PHP e poi controlla il runtime web. I rami vecchi senza release sono trattati in PHP end of life; i passaggi generali sono nella guida alla patch PHP2Shell e nel verificatore PHP2Shell.
Quali fonti sostengono questa pagina?
- Canonical: USN per PHP
- Canonical: stato di CVE-2026-109618
- Canonical: stato di CVE-2026-109619
- Debian: annuncio di sicurezza
- The PHP Group: advisory di sicurezza
- Manuale PHP: php_sapi_name
Verifica se il tuo PHP è esposto a PHP2Shell
Inserisci la versione indicata dal tuo sito. La confrontiamo con la prima versione corretta del suo ramo e ti diciamo cosa fare.
Verificatore PHP2Shell →Fonti
I fatti principali di questa pagina (versioni corrette, dettagli dei CVE, pacchetti dei fornitori e avvisi delle agenzie) provengono da fonti ufficiali. Ricerche, notizie e post della community sono indicati come tali.
- USN-8948-1: PHP vulnerabilitiesFornitore Canonical
- CVE-2026-109618Fornitore Canonical
- CVE-2026-109619Fornitore Canonical
- DSA-6574-1 php8.4 security updateFornitore Debian Security Team
- Security advisory: Critical remote code execution vulnerabilities, update nowUfficiale The PHP Group
- php_sapi_nameUfficiale The PHP Group