Quais pacotes do Ubuntu e do Debian corrigem o PHP2Shell?
As linhas do Ubuntu e do Debian marcadas como corrigidas vêm dos avisos de segurança dos próprios fornecedores. Cada versão corrigida vale apenas para aquela versão do sistema e para o pacote oficial dela. As linhas marcadas como não verificadas são outras imagens, painéis e provedores de hospedagem que ainda não confirmamos.
| Fornecedor | Versão | Pacote | Versão do pacote corrigido | Status |
|---|---|---|---|---|
| Ubuntu | 22.04 | php8.1 | 8.1.2-1ubuntu2.28 | Corrigido |
| Ubuntu | 24.04 | php8.3 | 8.3.6-0ubuntu0.24.04.13 | Corrigido |
| Ubuntu | 26.04 | php8.5 | 8.5.4-0ubuntu1.5 | Corrigido |
| Ubuntu | 26.10 | php8.5 | 8.5.9-0ubuntu2.1 | Corrigido |
| Debian | 13 | php8.4 | 8.4.27-1~deb13u1 | Corrigido |
| Docker Official Images | — | php | — | Não verificado |
| 宝塔 / aaPanel | — | PHP 7.4 | 7.4.34 | Corrigido |
| 宝塔 / aaPanel | — | PHP 8.0 | 8.0.27 | Corrigido |
| 宝塔 / aaPanel | — | PHP 8.1 | 8.1.35 | Corrigido |
| 宝塔 / aaPanel | — | PHP 8.2–8.5 | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 | Corrigido |
| XServer | — | PHP | — | Não verificado |
| ConoHa WING | — | PHP | — | Não verificado |
| ロリポップ！ | — | PHP | — | Não verificado |
| 1Panel | — | 1panel/php | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (-fpm) | Corrigido |
Verificado entre 21 de outubro de 2026 e 22 de outubro de 2026.
Se a sua versão do sistema ou o seu pacote não aparece na lista, consulte o aviso do seu fornecedor antes de tirar conclusões para qualquer lado.
Por que o PHP continua mostrando uma versão antiga depois da atualização?
O Ubuntu, e o Debian em algumas versões, fazem backport das correções de segurança para a versão do PHP que distribuem. O Ubuntu 24.04, por exemplo, traz uma versão inicial do PHP 8.3, e o pacote corrigido mantém essa versão do PHP; só a revisão do pacote muda. É por isso que o php -v pode mostrar um número abaixo de 8.3.36 mesmo com o servidor corrigido. Compare a versão completa do pacote com a tabela acima, não o PHP_VERSION.
Como atualizo o PHP no Ubuntu ou no Debian?
- Instale as atualizações de segurança pendentes dos pacotes do PHP a partir dos repositórios oficiais da sua distribuição, usando o seu processo normal de atualização de pacotes.
- Compare a versão do pacote instalado com o aviso do fornecedor.
- Reinicie os serviços que rodam o PHP: o serviço do PHP-FPM do seu ramo do PHP, ou o Apache se você usa mod_php. Os nomes dos serviços dependem da sua instalação.
- Confirme o PHP que o seu site serve, não só o da linha de comando: veja a Saúde do site do WordPress ou o seu painel de controle, se tiver um, e compare a versão do pacote instalado com a tabela. Informe as duas no verificador de versão do PHP.
Reiniciar só o Nginx ou outro proxy na frente não reinicia o PHP.
Como vejo qual versão do pacote PHP está instalada?
Pergunte ao gerenciador de pacotes, não ao PHP. No Ubuntu e no Debian, dpkg -l | grep php lista os pacotes do PHP instalados com as versões completas. Compare a versão do pacote que o seu site usa (por exemplo, o pacote do FPM ou do módulo do Apache do seu ramo do PHP) com a versão corrigida da tabela. Se houver vários ramos do PHP instalados lado a lado, confira aquele que o site realmente usa; o guia para ver a versão do PHP explica como descobrir.
Preciso reiniciar o servidor?
Normalmente não. O PHP2Shell é corrigido no próprio PHP, então o que importa é reiniciar os serviços do PHP: todos os pools do PHP-FPM, ou o Apache se o PHP roda como mod_php. Um reboot completo também resolve se você não sabe quais serviços usam o PHP, mas planeje para que o site volte já com os pacotes novos.
Uso um PPA ou repositório de terceiros. Isso está coberto?
Não pelos avisos do Ubuntu ou do Debian. Pacotes de repositórios de terceiros têm seu próprio cronograma e podem atrasar; acompanhe os anúncios desse repositório e confirme que o pacote instalado inclui a correção da CVE-2026-109618 e da CVE-2026-109619.
E o Debian 12 ou outras versões?
Ainda não verificamos o Debian 12 nem todas as outras versões. Consulte o security tracker do Debian ou os anúncios da sua distribuição, e não deduza a situação a partir de outra versão.
E o LXC ou outros contêineres no Ubuntu?
Atualize o PHP dentro do contêiner que serve o site. Os pacotes do host não corrigem o PHP de um contêiner. Para imagens Docker, veja imagem Docker do PHP.
Posso simplesmente trocar pela versão oficial do PHP?
Pode, a partir de uma fonte em que você confie, mas misturar origens de pacotes pode deixar o site rodando no binário antigo. Seja qual for a escolha, reinicie o PHP e confira o PHP que o site usa depois. Ramos antigos sem versões novas são tratados em fim do suporte do PHP; os passos gerais estão no guia de correção do PHP2Shell e no verificador PHP2Shell.
Quais fontes embasam esta página?
- Canonical: USN do PHP
- Canonical: situação da CVE-2026-109618
- Canonical: situação da CVE-2026-109619
- Debian: anúncio de segurança
- The PHP Group: boletim de segurança
- Manual do PHP: php_sapi_name
Verifique se o seu PHP é afetado pelo PHP2Shell
Informe a versão que o seu site mostra. Comparamos com a primeira versão corrigida do mesmo ramo e dizemos o que fazer em seguida.
Verificador PHP2Shell →Fontes
Os fatos centrais desta página (versões corrigidas, detalhes dos CVEs, pacotes das distribuições e alertas de órgãos oficiais) vêm de fontes oficiais. Pesquisas, notícias e posts da comunidade estão identificados como tal.
- USN-8948-1: PHP vulnerabilitiesFornecedor Canonical
- CVE-2026-109618Fornecedor Canonical
- CVE-2026-109619Fornecedor Canonical
- DSA-6574-1 php8.4 security updateFornecedor Debian Security Team
- Security advisory: Critical remote code execution vulnerabilities, update nowOficial The PHP Group
- php_sapi_nameOficial The PHP Group