Jede PHP-Version von 5.5 bis 8.4 als .deb-Pakete aus einem signierten Repository für Ubuntu 14.04 bis 24.04 und Debian 10. Alle Builds enthalten die Fixes für die kritischen RCE-Lücken vom 21. Oktober 2026, auch die Zweige, die PHP selbst nicht mehr versorgt. Dazu aktuelles PHP 8.3 für Ubuntu 16.04, 18.04 und 20.04. Ein Repository, eine apt-Zeile, keine Migration.
Freischaltung innerhalb von 24 Stunden. Abrechnung über Paddle, Rechnung mit ausgewiesener Umsatzsteuer.
$ lsb_release -ds Ubuntu 18.04.6 LTS $ sudo apt install php8.3-fpm php8.3-cli Reading package lists... Done Setting up php8.3-cli (8.3.36-1~bionic) ... Setting up php8.3-fpm (8.3.36-1~bionic) ... $ php8.3 -v PHP 8.3.36 (cli) (built: Oct 23 2026) (NTS)
PHP hat am 21. Oktober 2026 zwei Schwachstellen veröffentlicht, über die unauthentifizierte Anfragen Code auf dem Server ausführen können. Betroffen ist jede PHP-Installation, die Web-Requests bedient: PHP-FPM, Apache mit mod_php, php-cgi. Das höchste Risiko sieht PHP bei mod_php, weil der Angriff dort greift, bevor Anwendungscode überhaupt läuft.
PHP selbst hat nur 8.2 bis 8.5 gefixt. Wer auf 8.1, 8.0, 7.x oder 5.5 läuft, bekommt von PHP keinen Fix mehr und von seiner Distribution auch nicht. In diesem Repository haben alle zehn Versionen den Fix für diese beiden Lücken.
Die Out-of-Memory-Behandlung kann PHP unterbrechen, während interne Request-Daten erst teilweise initialisiert sind. Das Request-Cleanup behandelt die ungültigen Daten anschließend als gültig.
GHSA-w8hw-w9fx-j79w auf GitHubRequest-eigener interner Zustand überlebt die Freigabe seines Speichers. Ein späterer Request im selben Worker nutzt den veralteten Zustand, bevor die normale Initialisierung ihn zurücksetzt.
GHSA-6wmf-4rv5-p3rp auf GitHubFür 8.2, 8.3 und 8.4 liefern wir die offiziellen Fix-Releases 8.2.35, 8.3.36 und 8.4.27. Für 8.1, 8.0, 7.4, 7.3, 7.2, 7.0 und 5.5 veröffentlicht PHP keine Updates mehr. Diese Zweige haben wir selbst gepatcht: dieselben beiden Fixes, zurückportiert und neu gebaut.
Alle Builds stammen vom 21. bis 26. Oktober 2026, also aus den Tagen unmittelbar nach dem Advisory, jeweils inklusive libapache2-mod-php, dem Weg mit dem höchsten Risiko.
| Distribution | Gefixte Versionen im Repository |
|---|---|
| Ubuntu 24.04 | 8.4.278.3.36 |
| Ubuntu 22.04 | 8.4.278.3.368.1.348.0.30 |
| Ubuntu 20.04 | 8.3.368.2.358.1.348.0.307.4.33 |
| Ubuntu 18.04 | 8.3.368.2.358.1.348.0.307.4.337.3.337.2.34 |
| Ubuntu 16.04 | 8.3.368.1.348.0.307.4.337.3.337.2.347.0.33 |
| Debian 10 | 8.3.368.0.307.4.33 |
| Ubuntu 14.04 | 5.5.9 |
Am 26. Oktober 2026 haben wir einen produktiven Server mit Paketen aus diesem Repository von außen prüfen lassen, mit dem PHP2Shell-Scanner von Pentest-Tools.com. Der Scanner testet gezielt auf CVE-2026-109618 und CVE-2026-109619, die unter dem Namen PHP2Shell bekannt geworden sind.
Ergebnis: „Target is not vulnerable to PHP2Shell.“ Kein Befund in den Stufen Critical, High, Medium und Low.
Jeder Administrator kennt mindestens einen Server, der nicht angefasst werden darf. Die Distribution dort liefert PHP in einer Version, die seit Jahren keine Releases mehr bekommt.
Alte Kundenprojekte, Control Panels, individuell gebaute Module, Compliance-Freezes. Ein dist-upgrade auf einem produktiven 16.04 oder 18.04 ist ein Projekt, kein Wartungsfenster.
Laravel, Symfony, WordPress-Plugins, Composer-Abhängigkeiten: Irgendwann verlangt die Toolchain eine PHP-Version, die Ihre Distribution nie bekommen wird.
Ubuntu 14.04 bringt PHP 5.5 mit, 16.04 bringt 7.0, 18.04 bringt 7.2, Debian 10 bringt 7.3. Selbst bauen heißt: Build-Umgebung pflegen, Abhängigkeiten auflösen, bei jedem Release von vorn.
patchdeb entkoppelt PHP vom Betriebssystem. Sie tragen ein Repository ein und installieren die PHP-Version, die Ihre Anwendung braucht. Das System darunter bleibt, wie es ist.
apt install in drei Schritten.Bis 100, 300 oder 1.000 Server, als Jahresabo. Der Checkout läuft über Paddle. Sie erhalten eine Rechnung mit ausgewiesener Umsatzsteuer.
Sie bekommen Ihre Zugangsdaten für das Repository und den öffentlichen Repository-Schlüssel. Spätestens 24 Stunden nach der Bestellung, meist deutlich schneller.
Eine Zeile in der sources.list, Schlüssel hinterlegen, apt install. Alles über den normalen apt-Weg, den Ihre Automatisierung ohnehin kennt.
Alle Pakete sind für amd64 gebaut und nach Debian-Konvention benannt; der Paketindex des Repositories ist GPG-signiert. Jede PHP-Version bringt CLI, FPM, das Apache-Modul und die zugehörigen Erweiterungspakete mit.
| Suite | System | PHP-Versionen | Binärpakete |
|---|---|---|---|
| noble | Ubuntu 24.04 | 8.4.278.3.36 | 87 |
| jammy | Ubuntu 22.04 | 8.4.278.3.368.1.348.0.30 | 175 |
| focal | Ubuntu 20.04 | 8.3.368.2.358.1.348.0.307.4.33 | 222 |
| bionic | Ubuntu 18.04 | 8.3.368.2.358.1.348.0.307.4.337.3.337.2.34 | 314 |
| xenial | Ubuntu 16.04 | 8.3.368.1.348.0.307.4.337.3.337.2.347.0.33 | 314 |
| buster | Debian 10 | 8.3.368.0.307.4.33 | 134 |
| trusty | Ubuntu 14.04 | 5.5.9 php5-*, mod_php | 30 |
libapache2-mod-php| Suite | mod_php verfügbar für |
|---|---|
| noble | 8.48.3 |
| jammy | 8.48.38.18.0 |
| focal | 8.38.28.18.07.4 |
| bionic | 8.38.28.18.07.47.37.2 |
| xenial | 8.38.18.07.47.37.27.0 |
| buster | 8.38.07.4 |
| trusty | php5 (5.5.9) zusätzlich php5filter |
php8.3-fpm und php7.4-fpm lassen sich nebeneinander installieren. Umschalten über FPM-Pools oder update-alternatives.apt update die Echtheit des Index und die SHA256-Prüfsumme jedes Pakets, so wie bei den Distributionspaketen auch. Die einzelnen .deb-Dateien tragen keine eigene Signatur.Sie zahlen für den Zugang zum Repository, gestaffelt nach der Zahl Ihrer Server. Nicht nach PHP-Versionen, nicht nach Distributionen.
Alle Preise zuzüglich Umsatzsteuer. Zahlungsabwicklung und Rechnungsstellung über Paddle.com als Merchant of Record. Mit gültiger USt-IdNr. wird innerhalb der EU im Reverse-Charge-Verfahren abgerechnet.
Sie erwerben den Zugang zum Repository in seinem aktuellen Stand, nicht die Software und keinen Anspruch auf weitere Builds oder Aktualisierungen. PHP ist Open Source und steht unter der PHP-Lizenz.
Mehr als 1.000 Server? Schreiben Sie uns, wir machen Ihnen ein Angebot.
Keine Agenten, keine Zusatzsoftware. Die Zugangsdaten liegen in der apt-eigenen auth.conf, der Schlüssel im Keyring. Ansible, Puppet oder ein Shell-Skript verteilen das in Minuten auf die ganze Flotte.
/etc/apt/auth.conf statt auth.conf.d/.apt-key add importieren, da apt 1.0 kein signed-by kennt.trusty, xenial, bionic, focal, jammy, noble oder buster.# 1. Repository-Schlüssel hinterlegen curl -fsSL https://repo.patchdeb.de/patchdeb.gpg \ | sudo tee /usr/share/keyrings/patchdeb.gpg >/dev/null # 2. Zugangsdaten für apt (aus Ihrer Freischaltungs-Mail) printf 'machine repo.patchdeb.de login KUNDE password TOKEN\n' \ | sudo tee /etc/apt/auth.conf.d/patchdeb.conf >/dev/null sudo chmod 600 /etc/apt/auth.conf.d/patchdeb.conf # 3. Repository eintragen, Beispiel Ubuntu 18.04 "bionic" echo "deb [signed-by=/usr/share/keyrings/patchdeb.gpg] \ https://repo.patchdeb.de/ bionic main" \ | sudo tee /etc/apt/sources.list.d/patchdeb.list sudo apt update sudo apt install php8.3-fpm php8.3-cli
Den Zugang zu unserem APT-Repository für die Laufzeit Ihres Abos, in seinem aktuellen Stand: 1.276 Pakete im signierten Repository, gebaut vom 21. bis 26. Oktober 2026, inklusive des Notfall-Patches für die beiden RCE-Lücken in den Zweigen, die PHP selbst nicht mehr pflegt. Nicht mehr und nicht weniger. Weitere Builds oder Aktualisierungen sind nicht Bestandteil des Abos. Die Software selbst wird nicht verkauft: PHP ist Open Source und steht unter der PHP-Lizenz.
Ja, in jeder Version im Repository, von 5.5.9 bis 8.4.27. Für 8.2, 8.3 und 8.4 sind es die offiziellen Fix-Releases von PHP. Für 8.1 und älter, für die PHP keine Updates mehr veröffentlicht, haben wir die beiden Fixes zurückportiert und neu gebaut. Alle Builds stammen vom 21. bis 26. Oktober 2026 und enthalten jeweils auch mod_php.
Für 8.1 und älter ist das ausdrücklich ein Notfall-Patch: Er schließt genau diese beiden Lücken. Andere Sicherheitslücken, die in diesen Zweigen seit ihrem Ende bekannt geworden sind, bleiben bestehen, so wie in Ihren bisherigen Paketen auch. Abgesehen davon entsprechen die Builds dem Stand des letzten Upstream-Releases.
Den Fix haben wir von außen prüfen lassen: Ein Scan mit dem PHP2Shell-Scanner von Pentest-Tools.com am 26. Oktober 2026 meldet für einen Server mit Paketen aus diesem Repository „not vulnerable“, ohne Befund in allen Stufen.
Ein Host, der das Repository nutzt, physisch oder virtuell. Wie viele PHP-Versionen Sie auf diesem Host installieren, spielt keine Rolle.
Innerhalb von 24 Stunden nach der Bestellung erhalten Sie Ihre Zugangsdaten und den öffentlichen Repository-Schlüssel per E-Mail.
Für amd64. Das deckt praktisch alle Server ab, auf denen Ubuntu 14.04 bis 24.04 oder Debian 10 produktiv laufen.
Ja. Die Pakete folgen der Debian-Konvention mit versionierten Namen wie php8.3-fpm und php7.4-fpm. Sie laufen nebeneinander, pro vHost oder FPM-Pool wählen Sie die Version. Das ist der übliche Weg, eine Anwendung schrittweise zu migrieren.
Nein, das versprechen wir nicht. Das Abo umfasst den Zugang zum Repository im Stand vom 26. Oktober 2026, mit allen 1.276 Paketen und den Notfall-Patches für die beiden RCE-Lücken. Weitere Builds, neue PHP-Releases oder Aktualisierungen bestehender Pakete sind nicht Bestandteil des Abos und werden nicht zugesagt.
Über Paddle.com als Merchant of Record. Sie zahlen per Kreditkarte, PayPal oder einer der weiteren von Paddle angebotenen Zahlungsarten und erhalten eine Rechnung mit ausgewiesener Umsatzsteuer. Mit gültiger USt-IdNr. wird innerhalb der EU im Reverse-Charge-Verfahren abgerechnet.
Das Abo läuft ein Jahr und verlängert sich um ein weiteres Jahr, wenn Sie nicht kündigen. Kündigen können Sie jederzeit zum Ende der Laufzeit über das Paddle-Kundenportal oder per E-Mail an uns.
Ja, unter patchdeb.com. Repository, Pakete und Preise sind identisch.
Bestellen Sie heute, morgen tragen Sie das Repository ein und schließen die Lücken auf jedem Server mit einem apt upgrade. Fragen vorab beantworten wir per E-Mail.