Remi hoidla: PHP ajakohasena hoidmine RHEL-süsteemides

Lühidalt: Remi PHP hoidla tarnib ajakohaseid PHP versioone Fedorale ja RHEL-i perekonnale, kas moodulistriimina, mis asendab süsteemi PHP, või Software Collectionina, mis paigaldab mitu versiooni paralleelselt. PHP2Shelli parandused 8.2.35, 8.3.36, 8.4.27 ja 8.5.12 kuulutati seal välja 22. oktoobril 2026. Kontrollige iga paigaldatud versiooni eraldi ja käivitage iga kuuluv teenus uuesti.

Miks nii paljud RHEL-i serverid hangivad PHP-d Remilt

Ettevõtte distributsioonid nagu RHEL, AlmaLinux ja Rocky Linux panustavad pikale stabiilsusele. Nad tarnivad vähe PHP harusid ja hoiavad neid aastaid. Paljud rakendused nõuavad aga uuemaid versioone, kui distributsioon pakub. Siin astub kaasa Remi Colleti hoidla, kes on Fedora ja RHEL-i keskkonnas PHP pakettide pikaajaline hooldaja.

Remi ehitab PHP versioonid lühikese ajaga pärast ametlikke väljalaskeid. PHP2Shelli kohta ilmus hoidla blogis 22. oktoobril 2026 postitus versioonide 8.2.35, 8.3.36, 8.4.27 ja 8.5.12 kohta. Selles nimetatakse kahte kriitilist turvaauku CVE-2026-109618 ja CVE-2026-109619 ning soovitatakse uuendust kiiresti. Red Hati turvateated nende pakettide kohta ei kehti; mida Red Hat oma pakettide kohta teatab, seisab artiklis RHEL, AlmaLinux ja Rocky Linux: PHP paiga kontroll.

Kaks teed: moodulistriim või Software Collection

Remi blogi järgi on ehitused Enterprise Linuxi versioonile 8 ja uuematele saadaval kahel teel. Milline teie serveris kasutusel on, määrab, kuidas kontrollite ja uuesti käivitate.

Software Collections asuvad tavaliselt kataloogis /opt/remi/phpXY, nende seadistus kataloogis /etc/opt/remi/phpXY. See on praktiline, et käitada vanu ja uusi rakendusi ühes serveris. Kuid see on ka kõige sagedasem põhjus, miks versioon uuendusel kahe silma vahele jääb.

Märkus käsurea kohta: Software Collections ei ole automaatselt käsu php all saadaval. Olenevalt seadistusest kutsuvad cron-tööd ja skriptid neid eraldi käsu või täispika raja kaudu. Kontrollige seetõttu ka crontabe ja juurutusskripte, kui tahate teada, milline collection milleks kasutusel on.

Remi PHP hoidla kontroll pärast PHP2Shelli

Järgmised käsud on puhtalt lugevad ja näitavad, millised Remi paketid on paigaldatud ja millises seisus need on.

# Aktiivsed paketiallikad: kas remi-modular või remi-safe on kaasatud?
dnf repolist

# PHP aktiivne moodulistriim
dnf module list --enabled php

# Põhipaketid ja paralleelselt paigaldatud Software Collections
rpm -qa 'php-*' 'php[0-9][0-9]-php-*' --qf '%{NAME}-%{VERSION}-%{RELEASE}\n' | sort

# Iga paigaldatud collectioni versioon
for b in /opt/remi/php*/root/usr/bin/php; do echo "$b"; "$b" -v | head -1; done

Toetatud harude puhul on olukord selge: kui seal seisab 8.5.12, 8.4.27, 8.3.36 või 8.2.35 või uuem, on parandus sees. Remil vastab versiooninumber tavaliselt upstream-versioonile, erinevalt distributsiooni pakettidest, mis sageli oma vana numbri säilitavad.

Vanemate collectionite nagu php81, php80 või php74 jaoks ametlikku sihtversiooni ei ole. Remi loeb PHP 8.1 End-of-Life'iks. Kas paigaldatud pakett sisaldab PHP2Shelli vastast parandust, selgitate muudatuslogist, näiteks käsuga rpm -q --changelog php81-php-fpm | grep -E "CVE-2026-10961[89]". Ilma tabamuseta käsitlege paketti selgitamata olevana. Kuidas selliseid tabamusi korrektselt tõendada, kirjeldab artikkel CVE-numbrite tõendamine paketi muudatuslogis.

Iga versiooni uuendus ja taaskäivitus

Uuendus ise on Remil enamasti märkamatu: dnf upgrade toob uued paketid striimile ja collectionitele. Kriitiline osa järgneb pärast. Igal collectionil on oma FPM-teenus ja igaüks tuleb uuesti käivitada.

# Loetle kõik PHP-FPM-teenused, ka collectionite omad
systemctl list-units --type=service --all | grep -E "php.*fpm"

# Kontrolli kõigi PHP protsesside käivitusaegu
ps -eo pid,lstart,cmd | grep -E "[p]hp-fpm|[h]ttpd"

Käivitusajad enne uuendust tähendavad: see teenus töötab veel vana koodiga. Miks uuesti laadimisest ei piisa, selgitab leht PHP-FPM-i ja kõigi töötajate taaskäivitamine.

Remi ja distributsioon: kes vastutab?

Kes lülitub moodulistriimi kaudu Remile, vahetab PHP jaoks tarnijat. Red Hati, AlmaLinuxi või Rocky Linuxi turvateated ei puuduta siis enam paigaldatud PHP pakette. Vastupidi ei teata Remi probleemidest süsteemi teistes pakettides. Mõlemat allikat peate seega silmas pidama.

Kust paigaldatud pakett pärineb, näitab paketiandmebaas, näiteks rpm -qi php-fpm väljadel tarnija ja paketeerija kohta. Kuna Remi pakettidele Errata'sid Red Hati mõttes ei ole, sobib hoidla blogi teavitusteeks; seda saab RSS-voo kaudu tellida. PHP2Shelli puhul ilmus märkus seal üks päev pärast ametlikke väljalaskeid.

Ettevõtetele see jaotus takistuseks ei ole, kuid see peab olema dokumenteeritud. Pange kirja, millised serverid hangivad PHP-d Remilt, kes teateid loeb ja kes pärast uuendust teenused uuesti käivitab. Muidu loodab igaüks teisele.

Korra hoida: vähem versioone, vähem riski

Software Collections kutsuvad vanu versioone lihtsalt seisma jätma. Pärast PHP2Shelli on hea aeg korrastada:

1. Selgitage iga collectioni kohta, milline veebisait või cron-töö seda kasutab.
2. Kasutamata collectionid deaktiveerige ja eemaldage pärast jälgimisaega.
3. Vanadel collectionitel olevad rakendused tõstke toetatud harule.
4. Allesjäävad versioonid dokumenteerige otstarbe ja vastutajaga.

Kuidas mitme paralleelse versiooni ülevaadet hoida, kirjeldab artikkel Mitu PHP versiooni ühes serveris.

Kuidas PHP SOS konkreetselt aitab?

• Kaardistame kõik Remi striimid ja collectionid teie serverites ning seome need veebisaitide ja cron-töödega.
• Kontrollime PHP2Shelli seisu versiooni kaupa paketi versiooni ja muudatuslogi kaudu.
• Paigaldame uuendused, käivitame iga teenuse uuesti ja tõendame seda protsesside käivitusaegadega PHP paigateenuse raames.
• Mittevajalikud collectionid eemaldame pärast kooskõlastust kontrollitult.

Korduma kippuvad küsimused

Allikad

• Remi's RPM repository: blogi
• Red Hat Security Bulletin RHSB-2026-013
• php.net: toetatud versioonid