Ubuntu・Debian の PHP アップデートで PHP2Shell を修正する

Ubuntu・Debian で修正済みのパッケージはどれですか？

確認できている配布元の修正済みパッケージは次のとおりです。

Ubuntu は USN-8948-1、Debian は DSA-6574-1 で告知しています。表にない OS のリリースや、PPA など公式以外のリポジトリの状況は確認できていません。

アップデートしても PHP の番号が変わらないのはなぜですか？

Ubuntu や Debian は、OS のサポート期間中、PHP の系列を変えずにセキュリティ修正だけを取り込みます。そのため、php -v の表示は古い番号のままでも、パッケージのバージョンが告知の修正済みパッケージ以上なら修正が入っています。

判断に使うのは PHP の表示番号ではなく、パッケージのバージョンです。OS のリリース、パッケージ名、パッケージのバージョンを上の表と照らし合わせてください。

どの手順で更新すればいいですか？

1. OS のリリースと、PHP がどのリポジトリから入っているかを確認します。
2. 配布元の告知に従って、PHP 関連のパッケージを更新します。
3. 実際に Web リクエストを処理している PHP-FPM または Apache を再起動します。サービス名は構成によって違います。
4. パッケージのバージョンを確認し、OS のリリースと合わせて PHP バージョンチェッカーに入力して判定します。WordPress ならサイトヘルスでも Web 側の PHP を確認できます。

PHP-FPM のプールが複数ある場合や、複数の PHP の系列を並べて入れている場合は、Web サイトが使っているものすべてを更新・再起動してください。

PPA や外部リポジトリの PHP を使っている場合は？

公式リポジトリ以外から入れた PHP は、その提供元の告知を確認する必要があります。このサイトでは、公式以外のリポジトリの修正状況は確認できていません。

LXC やコンテナの中で動かしている場合は？

アプリが動いているコンテナの中の OS とパッケージを確認します。ホスト側を更新しても、コンテナの中の PHP は変わりません。Docker の場合は Docker の PHP イメージを見てください。

更新後に確認することは？

コマンドラインの php -v だけでは、Web 側の PHP は分かりません。サイトで動いている PHP を確認し、古いワーカーが残っていないことを確かめます。更新が遅れた場合は サイト改ざん・侵害の確認方法も行ってください。全体の流れは PHP2Shell チェッカーにまとめています。