Mit PHP2Shell wurden zwei kritische Sicherheitslücken in PHP bekannt, welche unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt werden. Sie ermöglichen unter bestimmten Bedingungen die Ausführung beliebigen Codes auf betroffenen Servern.
Canonical hat entsprechende Sicherheitsupdates für Ubuntu veröffentlicht. Um die Sicherheitslücken zu schließen, sollte das System aktualisiert werden:
apt update apt upgrade
Alternativ kann die Aktualisierung gezielt über den Ubuntu-Pro-Client angestoßen werden:
pro fix USN-8948-1
Ob die beiden Sicherheitslücken bereits geschlossen sind, lässt sich mit folgenden Kommandos einzeln überprüfen:
pro fix --dry-run CVE-2026-109618 pro fix --dry-run CVE-2026-109619
Dabei ist auf die konkrete Ausgabe zu achten. Da der Dry-Run auch eine erfolgreiche Aktualisierung simuliert, bedeutet eine Meldung über eine behobene Sicherheitslücke nicht zwangsläufig, dass das Update bereits installiert wurde. Eine entsprechende Bestätigung liefert die Meldung:
The update is already installed.
Über den Ubuntu-Sicherheitshinweis von Canonical lassen sich beide Sicherheitslücken auch gemeinsam überprüfen:
pro fix --dry-run USN-8948-1
Die Ausgabe des Kommandos gibt entsprechende Auskunft:
USN-8948-1: PHP vulnerabilities Associated CVEs: - https://ubuntu.com/security/CVE-2026-109618 - https://ubuntu.com/security/CVE-2026-109619 Fixing requested USN-8948-1 1 affected source package is installed: php8.5 (1/1) php8.5: A fix is available in Ubuntu standard updates. The update is already installed. ✔ USN-8948-1 is resolved.
Nach dem Update müssen die betroffenen PHP-Dienste gegebenenfalls neu gestartet werden, damit die aktualisierten Versionen verwendet werden.