Stručně: Repozitář sury PHP je rozšířený cizí zdroj balíčků PHP pro Debian (packages.sury.org) a Ubuntu (PPA ondrej/php). Umožňuje provozovat několik verzí PHP vedle sebe a novější větve, než má distribuce. Po PHP2Shell tam byly podle zpráv poskytnuty buildy pro všechny větve od 5.6 do 8.5. Doklad pro váš server ale dodá jen stav balíčku a changelog, ne bezpečnostní oznámení Debianu nebo Ubuntu.
Co je repozitář sury
Za sury.org stojí Ondřej Surý. Podle stránky projektu balíčkuje jako vývojář Debianu balíčky PHP od PHP 5 a oficiální balíčky PHP v Debianu a Ubuntu vycházejí z jeho práce. Vedle toho provozuje vlastní repozitář s balíčky PHP, které lze instalovat souběžně.
Pro Debian leží repozitář na packages.sury.org, pro Ubuntu se nabízí jako PPA ondrej/php. Chyby se podle stránky projektu hlásí přes issue tracker na Codebergu, ne e-mailem. Údržba probíhá podle vlastních údajů převážně ve volném čase; pro starší verze distribucí existuje komerční nabídka přes Freexian.
Mnoho správců a poskytovatelů hostingu repozitář používá, protože nabízí novější větve PHP, než distribuce přináší, nebo proto, že aplikace potřebují určitou verzi.
V čem se liší od balíčků Debianu
Nejdůležitější rozdíl pro bezpečnost: Balíčky ze sury.org nespadají pod bezpečnostní oznámení Debianu ani Ubuntu. Debian Security Tracker ukazuje jen stav oficiálních balíčků. Pokud tam stojí, že php8.4 v trixie je opraveno, nic to neříká o php8.4 ze sury.org na stejném serveru.
| Znak | Oficiální balíčky Debianu a Ubuntu | sury.org |
|---|---|---|
| Vydavatel | Debian, resp. Canonical | Ondřej Surý jako jednotlivec |
| Bezpečnostní oznámení | DSA, DLA, USN | žádné z těchto oznámení |
| Verze | jedna větev na vydání | několik větví souběžně |
| Číslo verze po opravě | Debian zčásti nová verze upstreamu, Ubuntu většinou staré číslo s novým stavem balíčku | zpravidla aktuální verze upstreamu |
| Doklad | oznámení a changelog | changelog a verze balíčku |
Pro firmy to znamená závislost na jednotlivci u klíčové součásti. To není důvod repozitáři se vyhýbat, ale důvod nést ho vědomě: s dohledem, dokladem a plánem B.
Repozitář sury PHP po PHP2Shell: ověřit stav
Nejprve vyjasněte, zda a pro které balíčky server sury používá. Příkazy jen čtou.
# Je sury zapsán jako zdroj balíčků?
grep -rEl "sury|ondrej" /etc/apt/sources.list /etc/apt/sources.list.d/ 2>/dev/null
# Z jakého zdroje pochází nainstalovaný balíček?
apt policy php8.3-fpm
# Nainstalovaná verze a záznam v changelogu k CVE
dpkg-query -W -f='${Package}\t${Version}\n' 'php*-fpm' 'libapache2-mod-php*' 2>/dev/null
zgrep -E "CVE-2026-10961[89]" /usr/share/doc/php8.3-fpm/changelog.Debian.gz
U aktuálních větví poznáte opravu zpravidla podle verze upstreamu 8.5.12, 8.4.27, 8.3.36 nebo 8.2.35 v názvu balíčku. U starých větví jako 7.4 nebo 8.1 žádná oficiální cílová verze neexistuje, tam je nejdůležitějším dokladem záznam v changelogu. Pokud chybí, zeptejte se přes issue tracker projektu nebo balíček považujte za nevyjasněný.
Staré větve PHP ze sury: klamná pohodlnost
Repozitář usnadňuje provoz PHP 7.4 nebo dokonce 5.6 na aktuálním Debianu. Podle zpráv existovaly buildy proti PHP2Shell i pro tyto větve. To je pro akutní situaci užitečné, ale základní problém jen odsouvá: Projekt PHP tyto větve už nespravuje a příští zranitelnost je opět zasáhne.
Kdo takto udržuje při životě starou aplikaci, měl by se poctivě zeptat, jak dlouho ještě. Co platí pro PHP 8.1 a starší, shrnuje stránka PHP 8.1 a starší: co platí nyní. Komerční alternativy s jejich hranicemi popisuje článek Dlouhodobá podpora pro staré verze PHP.
Nemíchejte na jednom serveru nekontrolovaně balíčky PHP z distribuce a ze sury.org. Závislosti mezi rozšířeními a knihovnami mohou při další aktualizaci vést k neočekávaným změnám balíčků.
Doporučení pro provoz se sury
- Zdokumentovat, které servery sury používají a pro které větve.
- Stanovit původ, například pomocí APT pinningu, aby balíčky PHP pocházely jen z jednoho zdroje.
- Sledovat aktualizace, protože bez DSA nebo USN chybí obvyklé upozornění. Pomůže pravidelné porovnávání
apt list --upgradable. - Restartovat po každé aktualizaci, zvlášť pro každou nainstalovanou verzi. Kolik jich běží souběžně, ukazuje článek Několik verzí PHP na jednom serveru.
- Podpořit, pokud je vaše firma na repozitáři závislá. Stránka projektu uvádí jako cesty dary a komerční podporu.
Zpět k balíčkům distribuce?
Ne každý server, který dnes sury používá, ho ještě potřebuje. Často byl repozitář zapojen před lety, protože tehdejší distribuce přinášela jen starší verzi PHP. Mezitím například Debian 13 trixie dodává PHP 8.4, které je podle Debian Security Tracker proti PHP2Shell opraveno. Pokud vaše aplikace s touto verzí běží, může cesta zpět ukončit závislost na cizím zdroji.
Cesta zpět je malý migrační projekt. Nejprve ověřte, která rozšíření aplikace potřebuje a zda je distribuce nabízí. Aplikaci otestujte s balíčkem distribuce na kopii, než zdroj sury odstraníte. Poté bezpečnostní oznámení opět přicházejí obvyklými cestami a doklad se opírá o DSA nebo USN místo samotného changelogu.
Kde zůstává potřeba novější nebo starší verze, než má distribuce, je sury nadále smysluplnou volbou. Pak by ale rozhodnutí mělo být učiněno vědomě a zdokumentováno.
Jak konkrétně pomáhá PHP SOS?
- Zjišťujeme, které balíčky PHP na vašich serverech pocházejí ze sury.org, z distribuce nebo z jiných zdrojů.
- Kontrolujeme stav PHP2Shell pro každou větev přes verzi balíčku a changelog a restartujeme všechny služby.
- Zřizujeme pinning a dohled nad aktualizacemi a odstraňujeme již nepotřebné větve v rámci zpevnění serveru.
- Pro staré větve plánujeme přechod na podporovanou verzi.
Časté dotazy
Je repozitář sury oficiální repozitář Debianu?
Ne. Provozuje ho Ondřej Surý, který podle vlastní stránky jako vývojář Debianu dlouho balíčkuje PHP pro Debian. Není to ale bezpečnostní archiv Debianu a pro jeho balíčky neexistují bezpečnostní oznámení Debianu.
Poskytl sury.org balíčky proti PHP2Shell?
Podle zpráv byly poskytnuty buildy pro všechny větve od 5.6 do 8.5. Stav na svém serveru přesto ověřte sami přes verzi balíčku a changelog, protože zprávy nenahrazují doklad pro váš systém.
Udělá sury.org staré verze PHP opět bezpečnými?
Build pro starou větev může uzavřít konkrétní zranitelnost. Nemění nic na tom, že projekt PHP tyto větve už nespravuje. Pro trvale bezpečný provoz zůstává nutný přechod na podporovanou verzi.
Jak zjistím, zda můj server používá sury?
Vyhledejte ve zdrojích balíčků pod /etc/apt slova sury nebo ondrej a pomocí apt policy ověřte, z jakého zdroje nainstalované balíčky PHP pocházejí.