AnswersPublished22 sources
Hoe Ondřej Surý de PHP2Shell-fix bij Debian- en Ubuntu-gebruikers kreeg
PHP bracht op 21 oktober 2026 updates uit voor twee kwetsbaarheden voor uitvoering van code op afstand, beide beoordeeld met 9,2 op de CVSS v4.0 schaal. Ondřej Surý maakte die fixes ook beschikbaar als installeerbare pakketten voor Debian en Ubuntu, met versies van PHP 5.6 tot en met 8.5.[17][28] De situatie laat zi...
Gepubliceerd doorBewerkt met GPT-6 LunaAfbeeldingen gegenereerd met GPT Image 2
Research answer
Key takeaways
- PHP bracht op 21 oktober 2026 updates uit voor twee kwetsbaarheden voor uitvoering van code op afstand, beide beoordeeld met 9,2 op de CVSS v4.0 schaal.
- Ondřej Surý maakte die fixes ook beschikbaar als installeerbare pakketten voor Debian en Ubuntu, met versies van PHP 5.6 tot en met 8.5.[17][28]
- De situatie laat zien dat beveiligingsupdates niet alleen afhangen van de oorspronkelijke ontwikkelaars: pakketbeheerders en softwaredistributies helpen de oplossing bij serverbeheerders te krijgen.[17][24]
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did Ondřej Surý—a volunteer who has maintained Debian and Ubuntu PHP packages mostly in his spare time for more than 20 years while work. Article summary: Surý’s contribution was to help turn emergency PHP security fixes into updates that website operators could actually install—a crucial step between fixing source code and protecting running servers.[7] His experience ill. Topic tags: general, general web, news, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts w
Een beveiligingslek is pas echt aangepakt als beheerders de oplossing ook op hun systemen kunnen installeren. Tijdens de PHP2Shell-respons hielp vrijwillig pakketbeheerder Ondřej Surý die stap te zetten: hij maakte gepatchte PHP-pakketten voor Debian en Ubuntu, ook voor oudere PHP-versies.17
28 Zijn werk maakt een vaak minder zichtbare schakel in opensourcesoftware duidelijk: naast het vinden en verhelpen van kwetsbaarheden is ook het onderhoud van de updateketen belangrijk.
Wat PHP2Shell was
PHP2Shell is de naam voor twee kwetsbaarheden: CVE-2026-109618 en CVE-2026-109619. De beveiligingsteams van PHP beoordeelden beide in een voorafgaande aankondiging met 9,2 op de CVSS v4.0-schaal.6
7 Een aanvaller kon ze misbruiken om zonder in te loggen op afstand code uit te voeren op een kwetsbare PHP-installatie die webverzoeken afhandelt.
3
8
Op 21 oktober 2026 bracht het PHP-project versies uit met oplossingen: 8.2.35, 8.3.36, 8.4.27 en 8.5.12.3 Dat waren de upstreamreleases: de fixes waren opgenomen in de code van PHP zelf. Serverbeheerders hadden daarnaast pakketten nodig die geschikt waren voor hun Linux-distributie.
Van broncode naar installeerbare update
Veel beheerders installeren PHP via kant-en-klare softwarepakketten, in plaats van het programma zelf vanaf de broncode op te bouwen. Die pakketten voorbereiden en verspreiden is een aparte stap naast het ontwikkelen van de oorspronkelijke fix. Surý onderhoudt al meer dan twintig jaar vrijwillig PHP-pakketten voor Debian en Ubuntu, grotendeels in zijn vrije tijd.17
32
Volgens berichtgeving bood zijn repository op de dag van de release gepatchte pakketten aan voor PHP-versies van 5.6 tot en met 8.5.28 Dat was relevant voor oudere installaties. PHP 8.1 en eerdere versies krijgen geen reguliere updates meer van het PHP-project. Het project publiceerde wel broncodeaanpassingen voor versies 7.4, 8.0 en 8.1; ook andere leveranciers boden oplossingen aan.
2
33
Een patch in de broncode helpt vooral wie die zelf kan toepassen en compileren. Een kant-en-klaar pakket geeft beheerders een directere route naar installatie. Surý hielp die route beschikbaar te maken voor Debian- en Ubuntu-gebruikers, ook voor wie een oudere PHP-versie draaide.24
28 De beschikbare berichtgeving toont aan dat de pakketten zijn voorbereid, maar niet hoeveel servers ze hebben geïnstalleerd of hoe snel dat gebeurde.
Een kortere voorbereiding en onenigheid over het embargo
Het PHP-beveiligingsteam had de release gepland voor 21 oktober en gaf aan dat die eerder kon plaatsvinden als details openbaar zouden worden of als er aanwijzingen voor actieve aanvallen opdoken.7 Ook het publicatiemoment leidde tot discussie. De PHP Foundation stelde dat Chainguard, een bedrijf dat softwarepakketten en containerimages aanbiedt, gepatchte images meer dan zes uur vóór de afgesproken release publiceerde en daarmee het embargo schond.
34 Een andere bron meldt dat de CEO van Chainguard zei dat het besluit was genomen omdat er al exploits opdoken.
36 Die bronnen geven de verschillende standpunten weer; ze beslechten het geschil niet onafhankelijk.
De bredere les voor opensourcesoftware
De aanpak van PHP2Shell vroeg om samenwerking tussen verschillende schakels: onderzoekers die kwetsbaarheden opsporen, ontwikkelaars die de code aanpassen, pakketbeheerders die updates klaarmaken en beheerders die ze installeren. Surý’s jarenlange vrijwilligerswerk maakte de rol van pakketbeheer opvallend zichtbaar. De bredere les is dat een beveiligingsfix via onderhouders en softwaredistributies bij de systemen moet komen die ervan afhankelijk zijn.17
24
Daarom is de onderhoudslaag zelf ook een beveiligingskwestie. Betrouwbare updates zijn afhankelijk van mensen en projecten die pakketten actueel houden, ook wanneer het oorspronkelijke softwareproject oudere versies niet langer regulier ondersteunt.28
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Hoe Ondřej Surý de PHP2Shell-fix bij Debian- en Ubuntu-gebruikers kreeg"?
PHP bracht op 21 oktober 2026 updates uit voor twee kwetsbaarheden voor uitvoering van code op afstand, beide beoordeeld met 9,2 op de CVSS v4.0 schaal.
What are the key points to validate first?
PHP bracht op 21 oktober 2026 updates uit voor twee kwetsbaarheden voor uitvoering van code op afstand, beide beoordeeld met 9,2 op de CVSS v4.0 schaal. Ondřej Surý maakte die fixes ook beschikbaar als installeerbare pakketten voor Debian en Ubuntu, met versies van PHP 5.6 tot en met 8.5.[17][28]
What should I do next in practice?
De situatie laat zien dat beveiligingsupdates niet alleen afhangen van de oorspronkelijke ontwikkelaars: pakketbeheerders en softwaredistributies helpen de oplossing bij serverbeheerders te krijgen.[17][24]