php2shell - Update php Version?

[benno]

Hi zusammen, hallo Ulrich,

wie wahrscheinlich die meisten mitbekommen haben, wurden vor 2 Tagen zwei kritische Sicherheitslücken in php veröffentlicht (CVE-2026-109618 und CVE-2026-109619).
Auch wenn hier ja ganz deutlich davon abgeraten wird/wurde solaranzeige öffentlich erreichbar zu machen (und somit sollte der Angriffsvektor deutlich reduziert sein), ist es trotzdem sinnvoll die php Version upzugraden.

Debian stellt mittlerweile aktualisierte Versionen bereit. Ich habe bisher aber davon abgesehen "auf eigene Faust" einfach per

Code: Alles auswählen

 sudo apt upgrade 

ein php Upgrade zu versuchen, insbesondere weil die in solaranzeige verwendete php Version ja ein paar Versionen hinterher ist.

Wie gehen wir damit um?
@Ulrich: bist du an dem Thema schon dran? Ich hatte per Suche keine Informationen im Forum gefunden.

Gruß
Benno

[Ulrich]

Da das Image nicht für den Zugriff vom Internet her gedacht ist, muss jeder selber die sicherheitsrelevanten Pakete Updaten.

Bitte erst php -v eingeben, damit man die aktuelle Version angezeigt bekommt.

Das Sicherheitspaket gibt es nur für 8.2 und 8.3 und 8.4 Benutzt man noch ein älteres PHP muss man das PHP auf 8.3 upgraden. Das ist nicht so einfach. Dazu braucht man schon etwas Erfahrung. Besser ist es, das aktuelle Image 6.x (64Bit) oder 6.x (32BIT) neu herunterzuladen.
Wer möchte kann auch die neueste Solaranzeigen Version 7.0.1 aufspielen. Die benötigt aber mindestens einen Raspberry 4B oder 5B mit mindestens 4GB Ram.

Wenn man nur PHP upgraden möchte, dann bitte folgendes auf der Konsole eingeben:

sudo apt update
sudo apt --only-upgrade install "php*"

Die Images auf dem Support Server werden den Sicherheitspach erst ab Anfang Dezember haben. Bis dahin nach der Installation folgendes auf der Konsole eingeben:

sudo apt update
sudo apt --only-upgrade install "php*"

So ist man geschützt. Trotzdem ist es keine gute Idee, den Raspberry öffentlich von dem Internet her zugänglich zu machen. Besser man nutzt eine VPN Verbindung. Der Raspberry sollte nur vom lokalen Netz her zugänglich sein, dann benötigt man auch diese Sicherheits Patche nicht.