PHP2Shell: gepatchte PHP-pakketten voor grommunio nu beschikbaar

Er zijn nu bijgewerkte PHP-pakketten beschikbaar in zowel de grommunio-community als de ondersteunde repositories, waarmee de kritieke PHP2Shell-kwetsbaarheden worden verholpen. We raden u ten zeerste aan om uw systemen nu te beveiligen.

Wat is PHP2Shell?

PHP2Shell is de naam die is gegeven aan twee kritieke kwetsbaarheden in de PHP-runtime zelf, CVE-2026-109618(opens in a new tab) en CVE-2026-109619, die elk een CVSS-score van 9,2 hebben gekregen. Hierdoor kan een niet-geauthenticeerde aanvaller met één enkel verzoek op afstand code uitvoeren, nog voordat er applicatiecode wordt uitgevoerd. Dit betekent dat een server kwetsbaar kan zijn, zelfs als de PHP-applicaties erop volkomen veilig zijn.

• CVE-2026-109618: een toewijzing die wordt onderbroken door een ‘out-of-memory’-situatie kan ervoor zorgen dat verzoekgegevens gedeeltelijk geïnitialiseerd blijven, waarna de opschoning van het verzoek die ongeldige gegevens mogelijk als geldig behandelt.
• CVE-2026-109619: de interne status van een verzoek kan langer bestaan dan het geheugen waarnaar deze verwijst, waardoor een later verzoek op dezelfde worker deze status kan gebruiken voordat deze wordt gereset.

Elke PHP-installatie die webverzoeken verwerkt, is hierdoor getroffen, inclusief PHP-FPM, dat door grommunio wordt gebruikt. Details over de kwetsbaarheden zijn vóór de gecoördineerde bekendmakingsdatum uitgelekt, en beveiligingsonderzoekers melden al pogingen tot misbruik in het wild. Upstream PHP heeft gepatchte versies uitgebracht (8.5.12, 8.4.27, 8.3.36 en 8.2.35) en stelt dat updaten de enige veilige optie is, omdat de beschikbare tijdelijke oplossingen slechts enkele aanvalsroutes afsluiten.

Meer informatie: Help Net Security, The Hacker News, SecurityWeek en de watchTower FAQ.

Hoe te updaten

Het updaten kost slechts een paar commando’s:

zypper ref
zypper up
zypper in php8-opcache
systemctl restart php-fpm

In plaats van zypper ref en zypper up kun je ook de web-updater in grommunio Admin gebruiken of grommunio-update uitvoeren via de opdrachtregel. Hoe dan ook, start php-fpm daarna opnieuw op: zo zorg je ervoor dat elke worker het gepatchte PHP-binaire bestand gebruikt.

Onze geautomatiseerde tests en een groot aantal handmatige validatiecontroles hebben geen bijwerkingen aan het licht gebracht. Dat gezegd hebbende, kan in dit vroege stadium niemand waar dan ook garanderen dat er geen zijn. Al onze tests zijn geslaagd en de maatregelen zijn in al onze labopstellingen effectief gebleken.

Bonus: een snellere webinterface met OPcache

Sinds enige tijd kun je ook php8-opcache installeren met grommunio. OPcache houdt voorgecompileerde PHP-code in het geheugen, waardoor grommunio Web merkbaar sneller wordt. Daarom is het commando zypper in php8-opcache hierboven opgenomen. Als je het al hebt geïnstalleerd, slaat zypper het gewoon over.

Out-of-band-pakketten, nog vóór de officiële SUSE-updates

Deze pakketten zijn out-of-band-updates die we zelf hebben gebouwd en aanbieden, los van de officiële pakketten die door SUSE worden geleverd. Dankzij onze build-infrastructuur en testpijplijn konden we ze uitbrengen nog voordat de officiële SUSE-onderhoudsupdates beschikbaar waren. Daar zijn we trots op, en we zijn ons team dankbaar voor de snelle afhandeling.

Zodra SUSE zijn eigen gecorrigeerde PHP-pakketten publiceert, zullen we onze tijdelijke pakketten uit de grommunio-repositories verwijderen, zodat de door SUSE geleverde pakketten weer voorrang krijgen. Omdat de pakketten op uw systeem dan van een andere leverancier afkomstig zijn (en mogelijk een lager versienummer hebben), zal zypper niet automatisch terugschakelen. Wanneer dat moment aanbreekt, moet u de leverancierswijziging expliciet toestaan, bijvoorbeeld:

zypper ref
zypper up --allow-vendor-change --allow-downgrade
systemctl restart php-fpm

We zullen aankondigen wanneer die stap moet worden uitgevoerd, samen met de exacte instructies.

Gebruikt u grommunio niet op SUSE?

Op Debian, Ubuntu en andere distributies is PHP afkomstig van uw distributie. Installeer de PHP-beveiligingsupdates die door uw distributie worden aangeboden en start php-fpm daarna opnieuw op.

Vragen?

Er volgt nog meer. Discussies en de laatste updates zijn te vinden in onze community. Klanten met een abonnement kunnen rechtstreeks contact opnemen met de grommunio-ondersteuning.