2026-10-21 PHP2SHELL CVE-2026-109618, CVE-2026-109619

• https://www.php.net/archive/2026.php#2026-10-21-5

Versions a jour

8.2.35
8.3.36
8.4.27
8.5.12

• apt update apt upgrade

Debian 11 n'est plus maintenu, voila comment appliquer le patch:

• sources sur debian archives: /etc/apt/sources.list

  deb http://archive.debian.org/debian bullseye main contrib non-free
  deb http://archive.debian.org/debian bullseye-updates main contrib non-free

• ajout du fichier de pinning: /etc/apt/preferences.d/php-sury.pref

  Package: php* libapache2-mod-php*
  Pin: version 1:7.4*
  Pin-Priority: 500
  
  Package: libpcre2-8-0
  Pin: origin "packages.sury.org"
  Pin-Priority: 500
  
  Package: *
  Pin: origin "packages.sury.org"
  Pin-Priority: 50

• ajout des sources php-sury: /etc/apt/sources.list.d/php-sury.list:

  deb [signed-by=/usr/share/keyrings/deb.sury.org-php.gpg] https://packages.sury.org/php/ bullseye main

• ajout de la clef du dépôt:

  wget https://packages.sury.org/php/apt.gpg -O /usr/share/keyrings/deb.sury.org-php.gpg

• maj des depots: apt update
• Vérification: le pinning sert a ne mettre a jour que les version de php en 7.4. Si un meta paquet comme php-fpm ou php-cli est installé, alors debian va chercher la dernière version disponible et avec le depot packages.sury.org la dernière version de php est la 8.5. Le pinning sert à éviter une mise à jour vers une nouvelle version majeur de php.
  • faire un apt policy php-fpm pour vérifier: le résultat doit indiquer un candidat en 7.4 et non pas en 8.qqchose. Exemple

    # apt policy php-fpm
    php-fpm:
      Installé : 2:7.4+76
      Candidat : 2:7.4+76
     Table de version :
         2:8.4+101+0~20261021.78+debian11~1.gbp53f25f 50
             50 https://packages.sury.org/php bullseye/main amd64 Packages
     *** 2:7.4+76 500
            500 http://archive.debian.org/debian bullseye/main amd64 Packages
            100 /var/lib/dpkg/status

• patch payant sur https://www.freexian.com/ (debian 10 et 9)
• sinon rien pour le moment