Εν ολίγοις: Ο PHP handler του Plesk καθορίζει πώς τρέχει η PHP για έναν ιστότοπο: ως εφαρμογή FPM με κοινό pool, ως Dedicated FPM με δικό pool ανά ιστότοπο, ως εφαρμογή FastCGI ή ως module Apache (mod_php). Από πλευράς ασφάλειας το Dedicated FPM είναι σε Linux συνήθως η καλύτερη επιλογή και το module Apache η χειρότερη. Το ίδιο το Plesk το χαρακτηρίζει ως παρωχημένο ή μη ασφαλές και, στο PHP2Shell, η ομάδα PHP βλέπει τον υψηλότερο κίνδυνο ακριβώς στο mod_php.
Γιατί ο handler είναι κάτι παραπάνω από ζήτημα απόδοσης
Στο Plesk επιλέγετε για κάθε ιστότοπο μια έκδοση PHP και έναν handler. Πολλοί αντιμετωπίζουν τον handler ως λεπτομέρεια για την απόδοση και τη μνήμη. Αποφασίζει όμως και για το πόσο έντονα διαχωρίζονται οι ιστότοποι μεταξύ τους, πού ισχύουν οι ρυθμίσεις ασφαλείας και ποιες διεργασίες πρέπει να επανεκκινηθούν μετά από μια ενημέρωση.
Μετά το PHP2Shell αυτή η επιλογή γίνεται συγκεκριμένη. Οι ευπάθειες CVE-2026-109618 και CVE-2026-109619 αφορούν όλους τους συνήθεις τρόπους λειτουργίας, η ομάδα PHP εκτιμά όμως τον κίνδυνο στο mod_php ως τον υψηλότερο. Όποιος λειτουργεί στον διακομιστή Plesk του ακόμη domains με το module Apache, πρέπει να το αλλάξει τώρα. Πώς ελέγχετε εκδόσεις και κάνετε patch, περιγράφει η σελίδα Διακομιστής Plesk: έλεγχος και patch των εκδόσεων PHP· εδώ πρόκειται για την επιλογή του τρόπου λειτουργίας.
Οι PHP handlers του Plesk με μια ματιά
Η παρακάτω επισκόπηση βασίζεται στην τεκμηρίωση του Plesk για το Plesk Obsidian, συμπληρωμένη με την οπτική της ασφάλειας. Σε Linux οι handlers FPM μπορούν, σύμφωνα με το Plesk, να παραδίδονται προαιρετικά μέσω Apache ή nginx, το FastCGI πάντα μέσω Apache.
| Handler | Παράδοση μέσω | Απομόνωση | Σύσταση σύμφωνα με το Plesk | Οπτική ασφάλειας |
|---|---|---|---|---|
| Dedicated FPM application | Apache ή nginx | δικό pool ανά ιστότοπο | Linux με shared hosting | καλύτερος διαχωρισμός, δικές τιμές ανά pool |
| FPM application | Apache ή nginx | κοινό pool ανά έκδοση PHP | αποκλειστικοί διακομιστές Linux | ένας προβληματικός ιστότοπος μπορεί να διαταράξει άλλους με την ίδια έκδοση |
| FastCGI application | Apache (Linux) | διαρκείς διεργασίες, καλός διαχωρισμός | διακομιστές Windows | στέρεο, σε Linux συνήθως αντικαταστάθηκε από το FPM |
| Apache module (mod_php) | Apache | PHP μέσα στη διεργασία του διακομιστή ιστού | δεν συνιστάται | υψηλότερος κίνδυνος PHP2Shell σύμφωνα με την ομάδα PHP |
| CGI application | Apache | νέα διεργασία ανά αίτημα | δεν συνιστάται | παρωχημένο |
Το υπόβαθρο των ίδιων των τρόπων λειτουργίας εξηγούν οι σελίδες Το PHP-FPM εξηγείται και Γιατί το mod_php φέρει τον υψηλότερο κίνδυνο.
Κοινό ή δικό pool;
Η διαφορά μεταξύ FPM και Dedicated FPM υποτιμάται συχνά. Στον κανονικό handler FPM, σύμφωνα με το Plesk, όλοι οι ιστότοποι με την ίδια έκδοση PHP μοιράζονται ένα pool διεργασιών. Αυτό εξοικονομεί μνήμη, σημαίνει όμως και: ένας ιστότοπος που προκαλεί προβλήματα μπορεί να παρασύρει όλους τους άλλους με την ίδια έκδοση και η κοινή μνήμη cache μοιράζεται.
Το Dedicated FPM δίνει σε κάθε ιστότοπο δικό του pool. Σύμφωνα με το Plesk βελτιώνει την απομόνωση και την απόδοση, κοστίζει όμως περισσότερη μνήμη. Από πλευράς ασφάλειας το δικό pool είναι η βάση για να ορίζετε χωριστά για κάθε ιστότοπο ρυθμίσεις όπως το open_basedir, όρια μνήμης ή όρια upload. Πώς διαχωρίζετε συνεπώς τα pools, περιγράφει το άρθρο Απομόνωση των pools PHP-FPM ανά ιστότοπο.
nginx ή Apache: η παγίδα του .htaccess
Αν επιλέξετε handler που παραδίδεται μέσω nginx, αλλάζει κάτι θεμελιώδες: σύμφωνα με το Plesk, αυτοί οι handlers αγνοούν το αρχείο .htaccess. Ό,τι αναγράφεται εκεί παύει να ισχύει.
Αυτό είναι θέμα ασφάλειας. Πολλές εφαρμογές και διαχειριστές τοποθετούν κανόνες προστασίας στο .htaccess, για παράδειγμα απαγόρευση εκτέλεσης αρχείων PHP σε φακέλους upload ή μπλοκαρίσματα για αρχεία διαμόρφωσης. Μετά την αλλαγή σε nginx αυτοί οι κανόνες τίθενται σιωπηλά εκτός ισχύος. Ελέγξτε γι' αυτό πριν από την αλλαγή ποιοι κανόνες προστασίας υπάρχουν στο .htaccess και μεταφέρετέ τους στη διαμόρφωση nginx του domain.
Η αλλαγή handler είναι αλλαγή στη διαμόρφωση ασφαλείας. Δοκιμάστε μετά στοχευμένα αν οι αποκλεισμένες διαδρομές παραμένουν αποκλεισμένες και όχι μόνο αν φορτώνει η αρχική σελίδα.
Έλεγχος και αλλαγή του handler
Πρώτα αποκτάτε εικόνα για το ποια domains χρησιμοποιούν ποιον handler. Οι εντολές είναι αμιγώς ανάγνωσης.
# Όλοι οι καταχωρισμένοι handlers με ID, έκδοση και τύπο
plesk bin php_handler --list
# Domains που χρησιμοποιούν έναν συγκεκριμένο handler (ID από τη λίστα)
plesk bin php_handler --get-usage -id <handler-id>
# Τρέχει η PHP μέσα στη διεργασία του Apache; (Debian/Ubuntu: apache2ctl, οικογένεια RHEL: httpd)
apache2ctl -M 2>/dev/null | grep -i php
Για την αλλαγή προχωράτε domain προς domain:
- Καταγράψτε τους κανόνες προστασίας από το
.htaccess, αν ο νέος handler παραδίδεται μέσω nginx. - Ορίστε για τον νέο handler τις προσωρινές τιμές κατά του PHP2Shell, για παράδειγμα
session.upload_progress.enabled=0. Στο FPM ανήκουν ωςphp_admin_valueστις πρόσθετες οδηγίες του pool, στο FastCGI ισχύουν άλλοι δρόμοι. - Αλλάξτε τον handler στις ρυθμίσεις PHP του domain, κατά το δυνατόν πρώτα σε αντίγραφο.
- Δοκιμάστε τις λειτουργίες και ελέγξτε αν το domain εξυπηρετείται από διεργασίες με τρέχοντα κώδικα.
- Αν το module Apache δεν χρησιμοποιείται πλέον από κανένα domain, απενεργοποιήστε τον handler.
Με ποια σειρά να γίνει η αλλαγή;
Σε έναν διακομιστή Plesk που έχει μεγαλώσει με τα χρόνια σπάνια αλλάζουν όλα σε μία ημέρα. Μια σειρά με βάση τον κίνδυνο βοηθά να αξιοποιηθεί ο περιορισμένος χρόνος:
- Πρώτα τα domains με το module Apache, γιατί εκεί ο κίνδυνος από το PHP2Shell είναι σύμφωνα με την ομάδα PHP ο υψηλότερος και το Plesk αποτρέπει ούτως ή άλλως.
- Μετά τα domains με ευαίσθητα δεδομένα, για παράδειγμα καταστήματα, πύλες πελατών ή φόρμες με δεδομένα υγείας ή συμβάσεων. Εδώ αξίζει ιδιαίτερα το δικό pool.
- Έπειτα τα domains σε παλιές εκδόσεις PHP, που ούτως ή άλλως πρέπει να μεταφερθούν. Handler και έκδοση μπορούν να αλλάξουν μαζί σε ένα παράθυρο συντήρησης.
- Τελευταία η αλλαγή από κοινό σε δικό pool για τα υπόλοιπα domains, εφόσον το επιτρέπει η μνήμη του διακομιστή.
Ελέγξτε πριν από το τελευταίο στάδιο τη χρήση της μνήμης. Το Plesk επισημαίνει ότι το Dedicated FPM χρειάζεται περισσότερη μνήμη και συνιστά παρακολούθηση όταν υπάρχουν πολλοί ιστότοποι. Ένας διακομιστής που μετά την αλλαγή αρχίζει να χρησιμοποιεί swap στον δίσκο γίνεται αργός και η περιορισμένη μνήμη δεν είναι καλή κατάσταση ειδικά στο PHP2Shell.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Καταγράφουμε ποια domains στον διακομιστή Plesk σας χρησιμοποιούν ποιον handler και επισημαίνουμε τα domains με module Apache.
- Μεταβαίνουμε σε Dedicated FPM και μεταφέρουμε, όπου χρειάζεται, κανόνες προστασίας από το
.htaccessστη διαμόρφωση nginx. - Ορίζουμε προσωρινές τιμές και όρια ανά pool και ελέγχουμε ότι ισχύουν στο πλαίσιο του ιστού.
- Στο πλαίσιο της θωράκισης διακομιστή απενεργοποιούμε παρωχημένους handlers και τεκμηριώνουμε τη διαμόρφωση.
Συχνές ερωτήσεις
Ποιον PHP handler συνιστά το Plesk;
Σύμφωνα με την τεκμηρίωση του Plesk, ο συνιστώμενος handler σε αποκλειστικούς διακομιστές Linux είναι το FPM, σε διακομιστές Linux για shared hosting το Dedicated FPM και σε διακομιστές Windows το FastCGI. Το module Apache, το CGI και το ISAPI τα χαρακτηρίζει το Plesk ως έντονα παρωχημένα ή μη ασφαλή.
Γιατί ο handler module Apache είναι ιδιαίτερα κρίσιμος μετά το PHP2Shell;
Ο handler αντιστοιχεί στο mod_php. Η ομάδα PHP εκτιμά τον κίνδυνο του PHP2Shell στο mod_php ως τον υψηλότερο, επειδή εκεί δείχθηκε ένα exploit πριν εκτελεστεί κώδικας εφαρμογής. Επιπλέον το ίδιο το Plesk αποτρέπει από αυτόν τον handler.
Τι αλλάζει όταν η PHP παραδίδεται μέσω nginx αντί για Apache;
Σύμφωνα με το Plesk, οι handlers που παραδίδονται μέσω nginx αγνοούν το αρχείο .htaccess. Οι κανόνες ασφαλείας που βρίσκονται εκεί, όπως τα μπλοκαρίσματα της PHP σε φακέλους upload, δεν ισχύουν πλέον και πρέπει να μεταφερθούν σε κανόνες nginx.
Πρέπει να επανεκκινήσω την PHP μετά από αλλαγή handler;
Ελέγξτε μετά την αλλαγή ποιες διεργασίες PHP τρέχουν για το domain και από πότε. Στο Dedicated FPM το domain αποκτά δικό του pool. Μια παλιά διεργασία με παρωχημένο κώδικα δεν πρέπει πλέον να εξυπηρετεί το domain.
Είναι το Dedicated FPM πάντα η καλύτερη επιλογή;
Για την απομόνωση ναι, επειδή κάθε ιστότοπος αποκτά δικό του pool. Το τίμημα είναι μεγαλύτερη ανάγκη μνήμης. Το Plesk συνιστά την παρακολούθηση των διακομιστών με πολλούς ιστότοπους.