PHP2Shell: uppdaterade PHP-paket för grommunio finns nu tillgängliga

Uppdaterade PHP-paket som åtgärdar de kritiska PHP2Shell-sårbarheterna finns nu tillgängliga i både grommunio-communityn och de stödda repositorierna. Vi rekommenderar starkt att ni säkrar era system omedelbart.

Vad är PHP2Shell?

PHP2Shell är namnet på två kritiska sårbarheter i själva PHP-körmiljön, CVE-2026-109618(opens in a new tab) och CVE-2026-109619, som båda har fått betyget CVSS 9,2. De kan göra det möjligt för en oautentiserad angripare att fjärrköra kod med en enda begäran, innan någon applikationskod hinner köras. Det innebär att en server kan utsättas för risk även om PHP-applikationerna på den är helt säkra.

• CVE-2026-109618: en minnesallokering som avbryts på grund av minnesbrist kan leda till att begäranddata delvis initialiseras, och vid upprensningen av begäran kan dessa ogiltiga data då behandlas som giltiga.
• CVE-2026-109619: ett internt tillstånd som tillhör en begäran kan överleva det minne det pekar på, vilket innebär att en senare begäran på samma arbetare kan använda det innan det återställs.

Alla PHP-installationer som hanterar webbförfrågningar påverkas, inklusive PHP-FPM, som grommunio använder. Detaljer om sårbarheterna läckte ut före det samordnade offentliggörandedatumet, och säkerhetsforskare rapporterar redan om försök till utnyttjande i det vilda. Upstream PHP har släppt korrigerade versioner (8.5.12, 8.4.27, 8.3.36 och 8.2.35) och uppger att uppdatering är det enda säkra alternativet, eftersom de tillgängliga tillfälliga lösningarna endast stänger vissa attackvägar.

Mer information: Help Net Security, The Hacker News, SecurityWeek och watchTower FAQ.

Så här uppdaterar du

Uppdateringen kräver bara några få kommandon:

zypper ref
zypper up
zypper in php8-opcache
systemctl restart php-fpm

Istället för zypper ref och zypper up kan du också använda webbuppdateraren i grommunio Admin eller köra grommunio-update på kommandoraden. Oavsett vilket alternativ du väljer ska du starta om php-fpm efteråt: det säkerställer att alla arbetare kör den uppdaterade PHP-binären.

Våra automatiserade tester och ett stort antal manuella valideringskontroller har inte avslöjat några biverkningar. Med det sagt kan ingen i detta tidiga skede garantera att det inte finns några. Alla våra tester har gått bra, och åtgärderna har visat sig vara effektiva i alla våra laboratoriemiljöer.

Bonus: ett snabbare webbgränssnitt med OPcache

Sedan en tid tillbaka har du även kunnat installera php8-opcache med grommunio. OPcache lagrar förkompilerad PHP-kod i minnet, vilket gör grommunio Web märkbart snabbare. Det är därför kommandot zypper in php8-opcache ingår ovan. Om du redan har det installerat hoppar zypper helt enkelt över det.

Out-of-band-paket, före de officiella SUSE-uppdateringarna

Dessa paket är out-of-band-uppdateringar som vi själva har byggt och tillhandahåller, separat från de officiella paket som levereras av SUSE. Tack vare vår bygginfrastruktur och testpipeline kunde vi släppa dem innan de officiella underhållsuppdateringarna från SUSE var tillgängliga. Vi är stolta över detta och tacksamma mot vårt team för den snabba hanteringen.

Så snart SUSE publicerar sina egna korrigerade PHP-paket kommer vi att ta bort våra tillfälliga paket från grommunio-repositorierna så att de paket som tillhandahålls av SUSE återigen får företräde. Eftersom paketen på ditt system då kommer från en annan leverantör (och eventuellt har ett lägre versionsnummer) kommer zypper inte att byta tillbaka automatiskt. När den tiden kommer måste du uttryckligen godkänna leverantörsbytet, till exempel:

zypper ref
zypper up --allow-vendor-change --allow-downgrade
systemctl restart php-fpm

Vi kommer att meddela när det är dags att utföra det steget, tillsammans med exakta instruktioner.

Använder du inte grommunio på SUSE?

På Debian, Ubuntu och andra distributioner kommer PHP från din distribution. Installera de säkerhetsuppdateringar för PHP som tillhandahålls av din distribution och starta om php-fpm därefter.

Frågor?

Mer information kommer. Diskussioner och de senaste uppdateringarna finns i vår community. Kunder med ett abonnemang kan kontakta grommunio-supporten direkt.