Накратко: PHP хранилището sury е широко разпространен външен източник на PHP пакети за Debian (packages.sury.org) и Ubuntu (PPA ondrej/php). То позволява няколко PHP версии една до друга и по-нови клонове от тези на дистрибуцията. След PHP2Shell там според съобщенията са предоставени компилации за всички клонове от 5.6 до 8.5. Доказателство за Вашия сървър обаче дават само състоянието на пакета и changelog-ът, не съобщенията за сигурност на Debian или Ubuntu.
Какво е хранилището sury
Зад sury.org стои Ondřej Surý. Според страницата на проекта той като разработчик на Debian пакетира от PHP 5 насам PHP пакетите за Debian, а официалните PHP пакети на Debian и Ubuntu се основават на неговата работа. Освен тази работа той поддържа собствено хранилище с PHP пакети, които могат да се инсталират паралелно.
За Debian хранилището е на packages.sury.org, за Ubuntu се предлага като PPA ondrej/php. Според страницата на проекта грешките се съобщават чрез issue tracker в Codeberg, не по имейл. Поддръжката според собствените му данни се извършва предимно в свободното време; за по-стари версии на дистрибуции има търговско предложение чрез Freexian.
Много админи и хостинг доставчици ползват хранилището, защото предлага по-нови PHP клонове от тези, които дистрибуцията носи, или защото приложенията изискват определена версия.
С какво се различава от пакетите на Debian
Най-важната разлика за сигурността: пакетите от sury.org не попадат под съобщенията за сигурност на Debian или Ubuntu. Debian Security Tracker показва само състоянието на официалните пакети. Ако там пише, че php8.4 в trixie е коригиран, това не казва нищо за php8.4 от sury.org на същия сървър.
| Характеристика | Официални пакети на Debian и Ubuntu | sury.org |
|---|---|---|
| Издател | Debian съответно Canonical | Ondřej Surý като отделно лице |
| Съобщения за сигурност | DSA, DLA, USN | никое от тези съобщения |
| Версии | един клон за всяко издание | няколко клона паралелно |
| Номер на версията след поправка | Debian на места нова upstream версия, Ubuntu най-често стар номер с ново състояние на пакета | по правило актуална upstream версия |
| Доказателство | Съобщение и changelog | Changelog и версия на пакета |
За фирмите това означава зависимост от едно отделно лице за централен компонент. Това не е причина да се избягва хранилището, но е причина да се носи съзнателно: с наблюдение, доказателство и план Б.
PHP хранилището sury след PHP2Shell: проверка на състоянието
Първо изяснете дали и за кои пакети сървърът ползва sury. Командите са само за четене.
# Записано ли е sury като източник на пакети?
grep -rEl "sury|ondrej" /etc/apt/sources.list /etc/apt/sources.list.d/ 2>/dev/null
# От кой източник е инсталираният пакет?
apt policy php8.3-fpm
# Инсталирана версия и запис в changelog-а за CVE
dpkg-query -W -f='${Package}\t${Version}\n' 'php*-fpm' 'libapache2-mod-php*' 2>/dev/null
zgrep -E "CVE-2026-10961[89]" /usr/share/doc/php8.3-fpm/changelog.Debian.gz
При актуалните клонове поправката по правило разпознавате по upstream версията 8.5.12, 8.4.27, 8.3.36 или 8.2.35 в името на пакета. При стари клонове като 7.4 или 8.1 няма официална целева версия, там записът в changelog-а е най-важното доказателство. Ако липсва, питайте през issue tracker на проекта или третирайте пакета като неизяснен.
Стари PHP клонове от sury: измамно удобство
Хранилището улеснява работата с PHP 7.4 или дори 5.6 на актуален Debian. Според съобщенията е имало компилации срещу PHP2Shell и за тези клонове. Това е полезно за острата ситуация, но само отлага основния проблем: PHP проектът вече не поддържа тези клонове и следващата уязвимост пак ги засяга.
Който по този начин поддържа жив стар приложение, трябва честно да се попита докога още. Какво важи за PHP 8.1 и по-стари, обобщава страницата PHP 8.1 и по-стари: какво важи сега. Търговските алтернативи с техните граници описва статията Дългосрочна поддръжка за стари PHP версии.
Не смесвайте неконтролирано на един сървър PHP пакети от дистрибуцията и от sury.org. Зависимостите между разширения и библиотеки при следващата актуализация могат да доведат до неочаквани замествания на пакети.
Препоръки за работа със sury
- Документирайте кои сървъри ползват sury и за кои клонове.
- Определете произхода, например чрез APT pinning, за да идват PHP пакетите само от един източник.
- Наблюдавайте актуализациите, защото без DSA или USN липсва обичайното указание. Редовното сравнение на
apt list --upgradableпомага. - Рестартирайте след всяка актуализация, поотделно за всяка инсталирана версия. Колко работят паралелно, показва статията Няколко PHP версии на един сървър.
- Подкрепяйте, ако Вашата фирма зависи от хранилището. Страницата на проекта посочва дарения и търговска поддръжка като възможности.
Обратно към пакетите на дистрибуцията?
Не всеки сървър, който днес ползва sury, още се нуждае от него. Често хранилището е включено преди години, защото тогавашната дистрибуция е носела само по-стара PHP версия. Междувременно например Debian 13 trixie доставя PHP 8.4, което според Debian Security Tracker е коригирано срещу PHP2Shell. Ако Вашето приложение работи с тази версия, връщането може да прекрати зависимостта от външен източник.
Връщането е малък проект за миграция. Първо проверете кои разширения приложението изисква и дали дистрибуцията ги предлага. Тествайте приложението с пакета на дистрибуцията на копие, преди да премахнете източника sury. След това съобщенията за сигурност отново идват по обичайните пътища, а доказателството се опира на DSA или USN вместо само на changelog.
Където остава нужна по-нова или по-стара версия от тази на дистрибуцията, sury продължава да е смислен избор. Тогава обаче решението трябва да е взето съзнателно и документирано.
Как помага PHP SOS конкретно?
- Установяваме кои PHP пакети на Вашите сървъри идват от sury.org, от дистрибуцията или от други източници.
- Проверяваме състоянието за PHP2Shell за всеки клон чрез версията на пакета и changelog-а и рестартираме всички услуги.
- Изграждаме pinning и наблюдение на актуализациите и премахваме вече ненужни клонове в рамките на заздравяването на сървъра.
- За старите клонове планираме прехода към поддържана версия.
Често задавани въпроси
Официално хранилище на Debian ли е sury?
Не. Поддържа се от Ondřej Surý, който според собствената си страница като разработчик на Debian отдавна пакетира PHP за Debian. То обаче не е архивът за сигурност на Debian и за пакетите му няма съобщения за сигурност на Debian.
Предоставил ли е sury.org пакети срещу PHP2Shell?
Според съобщенията са предоставени компилации за всички клонове от 5.6 до 8.5. Въпреки това проверете състоянието на Вашия сървър сами чрез версията на пакета и changelog-а, защото съобщенията не заместват доказателство за Вашата система.
Прави ли sury.org старите PHP версии отново сигурни?
Компилация за стар клон може да затвори конкретна уязвимост. Тя не променя факта, че PHP проектът вече не поддържа тези клонове. За трайно сигурна работа остава необходим преходът към поддържана версия.
Как да разбера дали сървърът ми ползва sury?
Потърсете в източниците на пакети под /etc/apt за sury или ondrej и проверете с apt policy от кой източник са инсталираните PHP пакети.