ubuntuusers.de

Ich habe grade alle Updates eingespielt mit dem Befehl

sudo apt update
sudo apt upgrade -y

und dann den Server neu gestartet. Ist das jetzt die neuste Version, es wird noch der 19. Oktober ausgegeben aber die Sicherheitslücke wurde ja später publik.

PHP 8.1.2-1ubuntu2.28 (cli) (built: Oct 19 2026 18:54:45) (NTS)
Copyright (c) The PHP Group
Zend Engine v4.1.2, Copyright (c) Zend Technologies
    with Zend OPcache v8.1.2-1ubuntu2.28, Copyright (c), by Zend Technologies

apt policy php

Zeigt dir was installiert ist.

https://ubuntu.com/security/notices/USN-8948-1

Und da findest du was es aktuell sein muss.

Dankeschön. Puh, langsam Zeit auf nen neues System zu wechseln. Ubuntu 22.04 ist nicht mehr lange im Support.

gnude schrieb:

Ubuntu 22.04 ist nicht mehr lange im Support.

Die main-Abteilung ist nicht mehr lange im Support. universe und multiverse sind lange nicht mehr im Support ☺ Hier hast du eine Übersicht.

Nee mal ehrlich, eine LTS upgradet man, sobald die nächste LTS.1 erscheint.

Du hast noch mehr Probleme, hausgemachte, wie "Firefox spotted a potentially serious security issue with gnude.feste-ip.net.". Wie kann man bei einer für ein Blog genutzten Subdomain auf ein selbstsigniertes Zertifikat kommen? Bei http gibt's natürlich auch Warnungen - Du willst keine Besucher?

Irgendwo wurde gemeint, dass PHP 8.1 die Sicherheitsupdates gar nicht mehr erhält, die Ubuntumaintainer pflegen das halt noch ein.

Neuere PHP-Versionen für Jammy und Noble gibts hier: https://launchpad.net/~ondrej/+archive/ubuntu/php

apt policy php8.5
php8.5:
  Installed: (none)
  Candidate: 8.5.12-1+ubuntu24.04.1+deb.sury.org+1
  Version table:
     8.5.12-1+ubuntu24.04.1+deb.sury.org+1 500
        500 https://ppa.launchpadcontent.net/ondrej/php/ubuntu noble/main amd64 Packages

8.5 ist bei mir installiert, nur das Metapaket nicht.

Mein Server hat mich heute damit begrüßt:

New release '26.04.1 LTS' available.
Run 'do-release-upgrade' to upgrade to it.

Verschiebe ich aber, weil ich 26.04 eh neu installieren wollte demnächst.

verdooft schrieb:

Irgendwo wurde gemeint, dass PHP 8.1 die Sicherheitsupdates gar nicht mehr erhält, die Ubuntumaintainer pflegen das halt noch ein.

Wer (english) lesen kann ist wie immer klar im Vorteil:

PHP 8.1 and older no longer receive updates from the PHP project. Some distributions and LTS vendors provide backported fixes, so contact your vendor for details, or upgrade to a supported version.

Quelle: Security advisory: Critical remote code execution vulnerabilities, update now

Ist aber klar, dass soche backported fixes nicht so schnell verfügbar sind, wie die offiziellen Patches für die noch supporteten Versionen.

NurNochDebianUser schrieb:

Ist aber klar, dass soche backported fixes nicht so schnell verfügbar sind, wie die offiziellen Patches für die noch supporteten Versionen.

Das sehe ich nicht so. Wenn Herausgeber von Distributionen werbend in die Gegend plärren, wichtige Bestandteile bis zum jüngsten Tag supporten zu wollen (ich sage nur ESM, wofür jenachdem auch Kosten anfallen), obwohl sie Upstream längst zu Grabe getragen worden sind, haben die sich zu drehen und zwar pronto. Big Player bekommen entsprechende Informationen auch früher.

@von.wert, von Canonical zu php2shell habe ich nur das gefunden:

• USN-8948-1: PHP vulnerabilities

Demnach gibt es von Canonical Patches für 26.10 - 26.04 - 24.04 und 22.04. ESM Versionen wie 20.04 oder 18.04 werden nicht erwähnt.

Davon abgesehen würde ich die 10 Jahre mit ESM auch nicht als, bis zum jüngsten Tag supporten zu wollen, verstehen.

NurNochDebianUser

... 20.04 oder 18.04 werden nicht erwähnt.

Da schaust du dann unter dem CVE direkt >

https://ubuntu.com/security/CVE-2026-109618

Der Update-Druck ist bei mir auch schon sehr gross, und der Wunsch die 26.04 zu nutzen ist auch da. Aktuell scheue ich aber den Arbeisaufwand und achte mir immer... LTS heisst ja lange Support. Aber auch das lange geht jetzt langsam zu Ende. Mir ist klar das die nächsten Wochen ein Wechsel auf 26.04 ansteht. Das Problem mit dem selbstsignierten Zertifikaten ist mir auch bekannt. Zur Zeit läuft der Blog aber eher so nebenher und bekommt ehrlich gesagt nicht die Aufmerksamkeit die er bräuchte.

gnude schrieb:

LTS heisst ja lange Support.

Es bedeutet es aber nicht.

Zur Zeit läuft der Blog aber eher so nebenher und bekommt ehrlich gesagt nicht die Aufmerksamkeit die er bräuchte.

Wennschon nicht durch Dich, wieso sollte es durch andere?