PHP2Shell: Oppdaterte PHP-pakker for grommunio er nå tilgjengelige

Oppdaterte PHP-pakker som avhjelper de kritiske PHP2Shell-sårbarhetene, er nå tilgjengelige i både grommunio-fellesskaps- og støttede repositorier. Vi anbefaler på det sterkeste at du sikrer systemene dine nå.

Hva er PHP2Shell?

PHP2Shell er navnet på to kritiske sårbarheter i selve PHP-kjøringsmiljøet, CVE-2026-109618(opens in a new tab) og CVE-2026-109619, som begge har fått en CVSS-score på 9,2. De kan gjøre det mulig for en uautentisert angriper å kjøre kode eksternt med én enkelt forespørsel, før noen applikasjonskode kjører. Det betyr at en server kan være utsatt selv om PHP-applikasjonene på den er helt sikre.

• CVE-2026-109618: en allokering som avbrytes på grunn av minnefullhet, kan føre til at forespørselsdata blir delvis initialisert, og oppryddingen av forespørselen kan da behandle disse ugyldige dataene som gyldige.
• CVE-2026-109619: En intern tilstand knyttet til en forespørsel kan overleve lenger enn minnet den peker til, slik at en senere forespørsel på samme arbeider kan bruke den før den tilbakestilles.

Alle PHP-installasjoner som betjener webforespørsler er berørt, inkludert PHP-FPM, som grommunio bruker. Detaljer om sikkerhetshullene lekket før den koordinerte offentliggjøringsdatoen, og sikkerhetsforskere rapporterer allerede om utnyttelsesforsøk i det virkelige miljøet. PHP har gitt ut oppdaterte versjoner (8.5.12, 8.4.27, 8.3.36 og 8.2.35) og sier at oppdatering er det eneste sikre alternativet, fordi de tilgjengelige midlertidige løsningene kun lukker noen av angrepsveiene.

Videre lesning: Help Net Security, The Hacker News, SecurityWeek og watchTower FAQ.

Slik oppdaterer du

Oppdateringen krever bare noen få kommandoer:

zypper ref
zypper up
zypper in php8-opcache
systemctl restart php-fpm

I stedet for zypper ref og zypper up kan du også bruke nettoppdateringen i grommunio Admin eller kjøre grommunio-update på kommandolinjen. Uansett må du starte php-fpm på nytt etterpå: dette sikrer at alle arbeiderprosesser kjører den oppdaterte PHP-binærfilen.

Våre automatiserte tester og et stort antall manuelle valideringskontroller har ikke avdekket noen bivirkninger. Det sagt, på dette tidlige stadiet kan ingen noen steder garantere at det ikke finnes noen. Alle testene våre har gått bra, og avhjelpningstiltakene har vist seg å være effektive i alle våre laboratorieoppsett.

Bonus: et raskere webgrensesnitt med OPcache

I en stund nå har du også kunnet installere php8-opcache med grommunio. OPcache lagrer forhåndskompilert PHP-kode i minnet, noe som gjør grommunio Web merkbart raskere. Det er derfor kommandoen zypper in php8-opcache er inkludert ovenfor. Hvis du allerede har den installert, hopper zypper ganske enkelt over den.

Pakker utenfor den vanlige oppdateringssyklusen, før de offisielle SUSE-oppdateringene

Disse pakkene er «out-of-band»-oppdateringer som vi har bygget og leverer selv, uavhengig av de offisielle pakkene som leveres av SUSE. Takket være vår byggeinfrastruktur og testprosess kunne vi levere dem før de offisielle SUSE-vedlikeholdsoppdateringene var tilgjengelige. Vi er stolte av dette, og takknemlige overfor teamet vårt for den raske gjennomføringen.

Så snart SUSE publiserer sine egne korrigerte PHP-pakker, vil vi fjerne våre midlertidige pakker fra grommunio-repositoriene, slik at pakkene fra SUSE igjen får forrang. Siden pakkene på systemet ditt da vil komme fra en annen leverandør (og muligens ha et lavere versjonsnummer), vil zypper ikke bytte tilbake automatisk. Når den tiden kommer, må du eksplisitt godkjenne leverandørbyttet, for eksempel:

zypper ref
zypper up --allow-vendor-change --allow-downgrade
systemctl restart php-fpm

Vi vil gi beskjed når det er på tide å utføre dette trinnet, sammen med de nøyaktige instruksjonene.

Bruker du ikke grommunio på SUSE?

På Debian, Ubuntu og andre distribusjoner kommer PHP fra distribusjonen din. Installer sikkerhetsoppdateringene for PHP som distribusjonen din tilbyr, og start deretter php-fpm på nytt.

Spørsmål?

Mer kommer. Diskusjoner og de siste oppdateringene finner du i vårt fellesskap. Kunder med abonnement kan kontakte grommunio-kundestøtte direkte.