RHEL, AlmaLinux ja Rocky Linux: PHP paiga kontroll

Lühidalt: RHEL-is, AlmaLinuxis ja Rocky Linuxis kontrollite PHP paiga PHP2Shelli vastu kolme teed pidi: distributsiooni turvateated (dnf updateinfo), paketi muudatuslogi (rpm -q --changelog) ja PHP protsesside käivitusaeg. Red Hat loeb RHEL 7 kuni 10 mõjutatuks ja teatas päringu ajal, et mõned uuendused on saadaval ja teised töös. Pärast uuendust kehtib: käivitage täielikult uuesti, mitte ainult ei laadige uuesti.

Mida Red Hat PHP2Shelli kohta avaldas

Red Hat andis PHP2Shelli kohta välja turvabülletääni RHSB-2026-013. Pärisime selle 25. oktoobril 2026. Olulisimad punktid administraatoritele:

• Mõjutatud on RHEL 10, 9, 8 ja 7 ning nende peale ehitatud tooted ja RHEL-i või UBI kujutistel põhinevad konteinerid.
• RHEL 7 on Red Hati andmetel mõjutatud ainult CVE-2026-109619-st; CVE-2026-109618 kood olevat seal puudu.
• Mõjutamata on süsteemid ilma PHP-ta või PHP-ga, mis ei töötle mitteusaldusväärseid HTTP päringuid.
• Uuendused: Mõned olid päringu ajal saadaval, teised töös. Konkreetseid Errata numbreid bülletään ei nimetanud, vaid viitas Errata lehtedele.

Red Hat hindab CVE-2026-109618 oma meetodiga kui „Important“ ja viitab, et vaikepaigaldised alates RHEL 8-st kasutavad mod_php asemel PHP-FPM-i. See on hinnang, mitte vabastus. PHP projekt hindab mõlemat turvaauku CVSS v4.0 9,2-ga ja BSI (Saksamaa föderaalne infoturbeamet) soovitab kohest uuendust.

AlmaLinux ja Rocky Linux: sama allikas, oma tempo

AlmaLinux ja Rocky Linux ehitavad oma paketid Red Hati lähtekoodist uuesti. Parandused jõuavad seetõttu tavaliselt sisult samad, kuid oma ajahetkel ja oma turvateadete all. Viide Red Hat Errata'le ei tähenda, et pakett on teie järeltuletisel samal päeval valmis.

Otsustav on seetõttu seis teie süsteemis. Kontrollige seda paketihalduse tööriistadega, mitte uudiste või foorumite põhjal.

Jälgige lisaks, kas serveris kasutatakse peegelservereid või sisemisi paketiallikaid. Paljudes ettevõtetes ei hangi serverid uuendusi otse tootjalt, vaid sisemise peegli või haldusvahendi kaudu. Kui see peegel ei ole ajakohane, ei leia dnf uusi pakette, kuigi need on ammu avaldatud.

PHP paiga kontroll RHEL-is ja järeltuletistes

Järgmised käsud on puhtalt lugevad. Paketinimed kehtivad distributsiooni PHP pakettidele; kolmandate allikate, nagu Remi, paketid on osaliselt teise nimega.

# Milliseid PHP striime süsteem tunneb, milline on aktiivne? (RHEL 8 ja 9)
dnf module list php

# Paigaldatud PHP paketid versiooni ja päritoluga
rpm -qa 'php*' --qf '%{NAME}-%{VERSION}-%{RELEASE}  %{VENDOR}\n' | sort

# Kas selle süsteemi jaoks on CVE-de kohta turvateateid?
dnf updateinfo list --cve CVE-2026-109618
dnf updateinfo list --cve CVE-2026-109619

# Kas parandus on paigaldatud paketi muudatuslogis?
rpm -q --changelog php-fpm | grep -E "CVE-2026-10961[89]"

dnf updateinfo näitab ainult teateid uuenduste kohta, mis ei ole veel paigaldatud; --installed abil näete ka juba paigaldatud. Tühi tulemus võib seega tähendada kahte asja: uuendus on juba sees või veel avaldamata. Muudatuslogi võrdlus selgitab selle. Kuidas tulemust tõendina fikseerida, kirjeldab artikkel CVE-numbrite tõendamine paketi muudatuslogis.

Nagu teistel ettevõtte distributsioonidel, säilitab pakett tavaliselt oma algse PHP versiooni; muutub ainult väljalaskemärge. Vanem number käsuga php -v ei viita seega puuduvale parandusele. Üldised märkused versioonikontrolli kohta on lehel PHP versiooni ja paigatud seisu õige kontroll.

Õige töörežiimi tuvastamine

Red Hat nimetab vaiketöörežiime: alates RHEL 8-st töötab PHP PHP-FPM-i kaudu, RHEL 7-s mod_php-na Apache'i teenuses httpd. Paljud serverid kalduvad sellest kõrvale, näiteks paneelide, kolmandate allikate või vanade seadistuste tõttu.

Konteinerite jaoks soovitab Red Hat pärast ajakohastatud baaskujutisi oma kujutised uuesti ehitada ning töötavad konteinerid või podid asendada. Uuendus töötavas konteineris ei ole töökindel tee.

Pärast uuendust: taaskäivitus ja kontroll

Red Hat rõhutab, et uuesti laadimisest ei piisa. Olemasolevad töötajad võivad mõjutatud seisu säilitada. Käivitage seetõttu iga PHP-d laadiv teenus uuesti ja kontrollige tulemust:

# Kuva teenused vananenud teekidega (dnf-utils või dnf-plugins-core)
needs-restarting -s

# Võrdle PHP protsesside käivitusaega uuenduse ajahetkega
ps -eo pid,lstart,cmd | grep -E "[p]hp-fpm|[h]ttpd"

Seadistuse kohta on Red Hatil praktiline märkus: php -i näitab käsurea, mitte veebiserveri sätteid. Kes tahab kontrollida, kas ajutised väärtused nagu session.upload_progress.enabled=0 veebikontekstis rakenduvad, kasutab ajutiselt kaitstud phpinfo-lehte ja kustutab selle pärast. Mida taaskäivitusel veel arvestada, seisab lehel PHP-FPM-i ja kõigi töötajate taaskäivitamine.

Ajutised meetmed: Red Hati märkused

Kus uuendus veel puudub, viitab Red Hat samadele ajutistele meetmetele kui php.net ja lisab mõned praktilised märkused RHEL-süsteemide jaoks. Need uuendust ei asenda.

• Rida tõesti täiendada: Red Hati andmetel on rida session.upload_progress.enabled tarnitud seadistuses välja kommenteeritud, funktsioon on seega vaikimisi aktiivne. Väärtus 0 tuleb selgesõnaliselt seada.
• Seada üle kirjutamatult: php_admin_value kaudu PHP-FPM-i poolis, mod_php puhul Apache'i seadistuses. Mitte ini_set() ega .user.ini kaudu.
• Otsida vastasmängijaid: Red Hat soovitab kontrollida .htaccess faile, VirtualHoste ja .user.ini faile selle suhtes, kas need mõjutatud sätted uuesti sisse lülitavad.
• Seada piirid ka ette: Lisaks post_max_size PHP-s soovitab Red Hat kaaluda päringu suuruse piire ka veebiserveris või puhverserveris.

PHP-FPM-süsteemides asuvad poolid tavaliselt kataloogis /etc/php-fpm.d/. Pärast iga muudatust kehtib sama, mis pärast uuendust: käivitage kõik töötajad täielikult uuesti.

Kuidas PHP SOS konkreetselt aitab?

• Kontrollime RHEL-is, AlmaLinuxis ja Rocky Linuxis kõiki PHP pakette, striime ja kolmandaid allikaid ning võrdleme neid turvateadetega.
• Paigaldame uuendused, käivitame kõik töötajad täielikult uuesti ja kontrollime protsesside käivitusaegu.
• Konteinerikeskkondade jaoks ehitame kujutised uuesti ja asendame töötavad instantsid kontrollitult.
• Seisu serveri kaupa fikseerime PHP paigateenuse tõendis.

Korduma kippuvad küsimused

Allikad

• Red Hat Security Bulletin RHSB-2026-013
• Red Hat: CVE-2026-109618
• php.net: turvateated