PHP2Shell auf AlmaLinux, Rocky Linux und RHEL beheben

Kurz gesagt: Mit dnf aktualisieren, PHP-FPM und den Webserver neu starten, im Änderungsprotokoll prüfen, ob die Korrektur enthalten ist. AlmaLinux hat bereits korrigierte PHP-Pakete veröffentlicht.

Für wen ist diese Anleitung?

Für Administratoren von Servern mit AlmaLinux, Rocky Linux, Red Hat Enterprise Linux (RHEL), Oracle Linux oder CentOS Stream. Sie brauchen SSH-Zugang mit Administratorrechten.

Sie betreuen den Server nicht selbst? Leiten Sie diese Seite an Ihre IT weiter und lesen Sie den Abschnitt zu den Risiken, damit Sie einschätzen können, was auf Ihr Unternehmen zukommt.

Schritt 1: Herausfinden, woher PHP kommt

rpm -qa 'php*' | sort
dnf module list php       # zeigt den aktiven PHP-Stream (z. B. 8.2)

• Pakete wie php-fpm-8.2.x-…el9 stammen aus der Distribution. Die Distribution liefert Korrekturen nach, oft ohne die Versionsnummer zu erhöhen.
• Pakete wie php83-php-fpm stammen aus dem Remi-Repository. Remi liefert die offiziellen PHP-Versionen, also 8.5.12, 8.4.27, 8.3.36 oder 8.2.35.

Schritt 2: Updates einspielen

sudo dnf upgrade --refresh 'php*'

Danach am besten auch alle anderen Systemupdates:

sudo dnf upgrade --refresh

Bei RHEL werden die Pakete von Red Hat bereitgestellt. Ob für Ihre Version schon eine Korrektur erschienen ist, zeigt die CVE-Datenbank von Red Hat (Suche nach CVE-2026-109618). AlmaLinux, Rocky Linux und Oracle Linux übernehmen die Korrekturen in der Regel kurz danach.

Schritt 3: PHP-FPM und Webserver neu starten

sudo systemctl restart php-fpm           # Distributions-PHP
sudo systemctl restart php83-php-fpm     # Remi, für jede genutzte Version
sudo systemctl restart httpd             # oder: nginx

Ohne Neustart läuft das alte, angreifbare PHP weiter.

Schritt 4: Prüfen, ob die Korrektur enthalten ist

rpm -q --changelog php-fpm | grep -m3 'CVE-2026-10961[89]'

Erscheinen beide CVE-Nummern, ist das Paket korrigiert. Bei Remi zeigt php83 -v direkt die abgesicherte Version, z. B. 8.3.36.

Auch hier gilt: Die Version auf der Kommandozeile kann von der des Webservers abweichen. Maßgeblich ist, welches PHP-FPM die Website ausführt.

Für alte Versionen gibt es keine Pakete

PHP 7.4, 8.0 und 8.1 bekommen aus dem Remi-Repository keine offiziellen Updates mehr. Auch CentOS 7 und CentOS 8 sind seit Jahren ohne Sicherheitsupdates. Läuft Ihr Server noch damit, lesen Sie alte PHP-Version und planen Sie die Umstellung des Servers.

Welche Risiken hat das PHP-Update?

Das Sicherheitsupdate derselben PHP-Version ist risikoarm. Zu beachten:

• Kurze Unterbrechung beim Neustart von PHP-FPM und Webserver. Planen Sie ihn in eine ruhige Zeit.
• dnf upgrade ohne Einschränkung aktualisiert auch Datenbank, Kernel und andere Dienste. Ein Kernel-Update wird erst nach einem Neustart des Servers aktiv.
• Geänderte Konfigurationsdateien legt dnf als .rpmnew ab, statt Ihre Einstellungen zu überschreiben. Gleichen Sie diese bei Bedarf ab.

Der Wechsel des PHP-Streams (z. B. dnf module switch-to php:8.2) oder auf eine neue Remi-Version ist ein größerer Eingriff:

• Alter Programmcode kann Fehlerseiten oder weiße Seiten erzeugen.
• Erweiterungen müssen für die neue Version installiert werden, sonst fehlen Funktionen wie Bildbearbeitung oder Datenbankzugriff.
• Eigene Einstellungen aus php.ini und den PHP-FPM-Pools müssen übertragen werden.

So senken Sie das Risiko:

1. Snapshot oder Backup des Servers anlegen.
2. Auf einer Kopie testen, bevor Sie den Live-Server umstellen.
3. Wartungsfenster festlegen und Beteiligte informieren.
4. Nach dem Update testen: Formulare, Login, Bestellung, Cronjobs, E-Mail-Versand.
5. Notfallplan: dnf history undo last macht das letzte Update rückgängig. Nutzen Sie das nur, um Zeit zu gewinnen, nicht als Dauerlösung.

Schritt 5: Auf Einbruchsspuren prüfen

Prüfen Sie Logs ab dem 1. August 2026: unbekannte PHP-Dateien im Webverzeichnis (find /var/www -name '*.php' -newermt 2026-08-01), Cronjobs des Webserver-Benutzers (crontab -l -u apache) und ungewöhnliche ausgehende Verbindungen.

So prüfen Sie, ob es geklappt hat

Prüfen Sie Ihre Website mit unserem kostenlosen Check. Bei Distributionspaketen kann die angezeigte Version alt aussehen, obwohl die Korrektur enthalten ist. Maßgeblich ist dann das Änderungsprotokoll aus Schritt 4.