Kort sagt: På servere med CloudLinux kører websites ofte ikke med standard-PHP, men med alt-php, egne pakker pr. PHP-version, som kunderne vælger via PHP Selector. Mod PHP2Shell skal serveroperatøren opdatere hver installeret alt-php-version for sig og genstarte alle PHP-processer. Som hostingkunde afklarer I, hvilken version jeres konto bruger, og lader jer bekræfte dens patchstatus skriftligt.
Hvorfor CloudLinux er et selvstændigt spørgsmål ved PHP2Shell
Mange shared hosting-udbydere bruger CloudLinux, et Linux-operativsystem, der adskiller tusindvis af kundekonti på én server fra hinanden. For website-ejere er det som regel usynligt. Det bliver først synligt, når en sårbarhed i selve PHP-fortolkeren dukker op, som ved PHP2Shell med CVE-2026-109618 og CVE-2026-109619.
Årsagen: På sådanne servere findes der ofte flere PHP-kilder side om side. Ud over operativsystemets PHP og, ved cPanel, ea-php-pakkerne står CloudLinux' alt-php-pakker. Hver kilde har sin egen pakkestatus. At en af dem er patchet, siger intet om de andre.
For bureauer og virksomheder med flere konti hos samme hostingudbyder kommer et andet punkt til: Hvert website kan bruge en anden version, fordi nogen for år tilbage har omstillet det i kundeområdet. En enkelt forespørgsel om hostingudbyderens „PHP“ rækker derfor ikke langt nok. Fornuftigt er en liste over alle domæner med den version, der er valgt for hver.
Hvad alt-php og PHP Selector er
Ifølge CloudLinux-dokumentationen stiller PHP Selector alternative PHP-versioner til rådighed, alt-php-pakkerne. De ligger under /opt/alt/phpXX/, f.eks. /opt/alt/php83/ til PHP 8.3, hver med egen php.ini. Dokumentationen opregner versioner fra 5.1 til 8.5, afhængigt af serverens CloudLinux-version.
Kunderne vælger selv deres version, i cPanel oftest via „Select PHP Version“. Teknisk forudsætter det CageFS, en slags afskærmet filsystem pr. konto. Ifølge dokumentationen arbejder Selector sammen med suPHP, mod_fcgid, CGI og LiteSpeed; Apache med mod_php understøtter ikke CageFS.
| Begreb | Betydning for jer |
|---|---|
| CloudLinux | hostingudbyderens operativsystem, adskiller kundekonti |
| CageFS | eget, afskærmet filsystem pr. konto |
| alt-php | PHP-pakker fra CloudLinux, én pr. version |
| PHP Selector | valg af alt-php-version og enkelte indstillinger i kundeområdet |
CloudLinux alt-php og PHP2Shell: Hvad der er dokumenteret, og hvad der er åbent
Dokumenteret er: Rettede PHP-versioner er 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Til PHP 8.1 og ældre findes der ingen officielle opdateringer fra PHP-projektet længere, kun minimale kilde-backports til 7.4, 8.0 og 8.1. Ifølge fagpressen er stort set alle versioner til og med PHP 5.4 berørt.
Åbent er i de kilder, vi har foran os, for hvilke alt-php-versioner CloudLinux allerede leverer patchede pakker. Netop ved gamle grene som 5.6 eller 7.4, som Selector fortsat tilbyder, er det derfor udbyderens udsagn alene, der tæller. Backports kan være indspillet, uden at det viste versionsnummer ændrer sig.
En særlighed gælder cPanel-servere med kommerciel langtidssupport: Ifølge cPanel-dokumentationen leverer TuxCare, et mærke under CloudLinux, patchede pakker til udløbne PHP-versioner som alt-php. Den, der dér er omstillet fra ea-php74 til alt-php74, er henvist til denne vej. Mere herom i indlægget Langtidssupport til gamle PHP-versioner.
Disse spørgsmål bør I stille jeres hostingudbyder nu
Som kunde kan I ikke selv patche alt-php. Men I kan stille de rette spørgsmål og dokumentere svarene. En færdig skabelon hertil tilbyder vejledningen Spørg hosteren om patch-status.
- Kører min konto med alt-php, ea-php eller operativsystemets PHP, og med hvilken version nøjagtigt?
- Er netop denne pakke patchet mod CVE-2026-109618 og CVE-2026-109619, og siden hvornår?
- Er alle PHP-processer genstartet derefter, også lsphp- og php-cgi-processer?
- Er overgangsværdierne fra php.net sat centralt, især
session.upload_progress.enabled=0? - Hvilke alt-php-versioner patches ikke længere, og inden hvornår skal jeg skifte?
Kontrollér parallelt, hvilken version jeres konto faktisk bruger. Har I SSH-adgang, viser php -v kommandolinjens version, som kan afvige fra websitets. Mere pålidelig er visningen i PHP Selector for det berørte domæne.
Svarer hostingudbyderen, at jeres valgte version ikke længere patches, er skiftet til en understøttet gren den rene vej. Kontrollér først i systemkravene for jeres CMS eller shop, hvilke PHP-versioner producenten frigiver, og test skiftet helst på en kopi af websitet. En omskiftning i Selector er hurtigt overstået, en fejl i shoppen mandag morgen er ikke.
PHP-indstillinger i Selector: Forsigtighed med overgangsværdierne
PHP Selector giver kunderne mulighed for selv at ændre enkelte php.ini-værdier, deriblandt ofte memory_limit. Hvilke værdier der er frigivet, fastlægger ifølge dokumentationen operatøren i filen /etc/cl.selector/php.conf. Globale værdier for alle alt-php-versioner står i /etc/cl.selector/global_php.ini.
Det er vigtigt for PHP2Shell. php.net anbefaler som overgang at sætte memory_limit=-1 sådan, at applikationer ikke kan overskrive værdien, og ikke at sætte session.upload_progress.enabled=0 via ini_set() eller .user.ini. En værdi, som enhver konto frit kan ændre, opfylder ikke denne betingelse. Baggrunden står under Hasteforanstaltninger uden patch.
For serveroperatører giver det en kort tjekliste. Kommandoerne læser kun:
# Hvilke PHP-versioner tilbyder Selector, hvilken er standard?
selectorctl --summary
# Installerede alt-php-pakker og deres status
rpm -qa 'alt-php*' | sort
# Står CVE-numrene i en pakkes changelog? (pakkenavn som eksempel)
rpm -q --changelog alt-php83 | grep -E "CVE-2026-10961[89]"
# Kørende PHP-processer med starttidspunkt, for at dokumentere genstarten
ps -eo pid,lstart,cmd | grep -E '[l]sphp|[p]hp-cgi|[p]hp-fpm'
Opdateret bliver der ifølge CloudLinux-dokumentationen med yum groupupdate alt-php. Derefter skal alle PHP-processer genstartes, ellers kører den gamle kode videre i hukommelsen. Overgangsværdier, der ikke må overskrives, hører hjemme i den globale konfiguration og ikke i listen over kundeindstillinger. Hvordan ea-php og alt-php forholder sig til hinanden på cPanel-servere, beskriver cPanel og WHM: Sikring af PHP.
En patch fjerner ikke malware, der er smuglet ind før. Kørte jeres konto mellem den 17. og den 21. oktober med en sårbar version, er et kig på nye PHP-filer og adgangslogs fra og med den 20. oktober umagen værd.
Hvordan hjælper PHP SOS konkret?
- Afklar status: Vi finder ud af, med hvilken PHP-kilde og version hvert af jeres websites kører, og formulerer forespørgslen til hostingudbyderen.
- Vurdér svaret: Vi gennemgår hostingudbyderens bekræftelse for huller, f.eks. manglende oplysninger om genstarten eller om gamle alt-php-grene.
- Ledsag skiftet: Kører et website på en version uden patch, planlægger vi omstigningen og tester den på forhånd.
- For operatører: Via PHP-patchservice opdaterer vi alt-php-, ea-php- og systempakker, genstarter alle processer og dokumenterer statussen.
Ofte stillede spørgsmål
Hvordan kan jeg se, om min hostingudbyder bruger CloudLinux og alt-php?
Et typisk tegn er funktionen „Select PHP Version“ i cPanel-kundeområdet, hvor I selv kan skifte mellem mange PHP-versioner. Sikkert ved I det først, når hostingudbyderen bekræfter det.
Kan jeg selv opdatere alt-php i min konto?
Nej. alt-php-pakkerne ligger centralt på serveren og vedligeholdes af operatøren. I kan kun vælge mellem de installerede versioner og bør lade jer bekræfte patchstatus for den valgte version.
Er en gammel alt-php-version som 7.4 beskyttet mod PHP2Shell?
Det kan ikke siges uden en udtalelse fra udbyderen. Ifølge fagpressen er stort set alle versioner til og med PHP 5.4 berørt, og PHP-projektet leverer ingen officielle opdateringer til 8.1 og ældre. Om en backport er indspillet, skal hostingudbyderen skriftligt bekræfte for netop jeres version.
Må jeg selv ændre memory_limit i PHP Selector?
Teknisk ofte ja, hvis operatøren har frigivet indstillingen. php.net anbefaler dog som overgangsforanstaltning at sætte memory_limit sådan, at applikationer ikke kan overskrive værdien. Ændr derfor kun sådanne værdier efter aftale med hostingudbyderen.