# RHEL, AlmaLinux ja Rocky Linux: PHP paiga kontroll

> PHP paiga kontroll RHEL-is, AlmaLinuxis ja Rockys: mida Red Hat PHP2Shelli kohta teatab, kuidas Errata ja muudatuslogi päritakse ning kuidas taaskäivitada.

Allikas: https://phpsos.de/et/blog/rhel-almalinux-rocky-php/  
Seis: 25.10.2026  
Pakkuja: PHP SOS, PHP hädaabi ja serveri turvalisus. Kohene abi WhatsAppis: https://wa.me/491736494914?text=Tere%2C%20PHP%20SOS%2C%20vajame%20abi%20oma%20PHP-serveriga.%20Ettev%C3%B5te%3A%20%E2%80%A6%20Veebisait%3A%20%E2%80%A6

**Lühidalt:** RHEL-is, AlmaLinuxis ja Rocky Linuxis kontrollite PHP paiga PHP2Shelli vastu kolme teed pidi: distributsiooni turvateated (`dnf updateinfo`), paketi muudatuslogi (`rpm -q --changelog`) ja PHP protsesside käivitusaeg. Red Hat loeb RHEL 7 kuni 10 mõjutatuks ja teatas päringu ajal, et mõned uuendused on saadaval ja teised töös. Pärast uuendust kehtib: käivitage täielikult uuesti, mitte ainult ei laadige uuesti.

## Mida Red Hat PHP2Shelli kohta avaldas

Red Hat andis PHP2Shelli kohta välja turvabülletääni RHSB-2026-013. Pärisime selle 25. oktoobril 2026. Olulisimad punktid administraatoritele:

- **Mõjutatud** on RHEL 10, 9, 8 ja 7 ning nende peale ehitatud tooted ja RHEL-i või UBI kujutistel põhinevad konteinerid.
- **RHEL 7** on Red Hati andmetel mõjutatud ainult CVE-2026-109619-st; CVE-2026-109618 kood olevat seal puudu.
- **Mõjutamata** on süsteemid ilma PHP-ta või PHP-ga, mis ei töötle mitteusaldusväärseid HTTP päringuid.
- **Uuendused:** Mõned olid päringu ajal saadaval, teised töös. Konkreetseid Errata numbreid bülletään ei nimetanud, vaid viitas Errata lehtedele.

Red Hat hindab CVE-2026-109618 oma meetodiga kui „Important“ ja viitab, et vaikepaigaldised alates RHEL 8-st kasutavad mod_php asemel PHP-FPM-i. See on hinnang, mitte vabastus. PHP projekt hindab mõlemat turvaauku CVSS v4.0 9,2-ga ja BSI (Saksamaa föderaalne infoturbeamet) soovitab kohest uuendust.

## AlmaLinux ja Rocky Linux: sama allikas, oma tempo

AlmaLinux ja Rocky Linux ehitavad oma paketid Red Hati lähtekoodist uuesti. Parandused jõuavad seetõttu tavaliselt sisult samad, kuid oma ajahetkel ja oma turvateadete all. Viide Red Hat Errata'le ei tähenda, et pakett on teie järeltuletisel samal päeval valmis.

Otsustav on seetõttu seis teie süsteemis. Kontrollige seda paketihalduse tööriistadega, mitte uudiste või foorumite põhjal.

Jälgige lisaks, kas serveris kasutatakse peegelservereid või sisemisi paketiallikaid. Paljudes ettevõtetes ei hangi serverid uuendusi otse tootjalt, vaid sisemise peegli või haldusvahendi kaudu. Kui see peegel ei ole ajakohane, ei leia `dnf` uusi pakette, kuigi need on ammu avaldatud.

## PHP paiga kontroll RHEL-is ja järeltuletistes

Järgmised käsud on puhtalt lugevad. Paketinimed kehtivad distributsiooni PHP pakettidele; kolmandate allikate, nagu Remi, paketid on osaliselt teise nimega.

```bash
# Milliseid PHP striime süsteem tunneb, milline on aktiivne? (RHEL 8 ja 9)
dnf module list php

# Paigaldatud PHP paketid versiooni ja päritoluga
rpm -qa 'php*' --qf '%{NAME}-%{VERSION}-%{RELEASE}  %{VENDOR}\n' | sort

# Kas selle süsteemi jaoks on CVE-de kohta turvateateid?
dnf updateinfo list --cve CVE-2026-109618
dnf updateinfo list --cve CVE-2026-109619

# Kas parandus on paigaldatud paketi muudatuslogis?
rpm -q --changelog php-fpm | grep -E "CVE-2026-10961[89]"
```

`dnf updateinfo` näitab ainult teateid uuenduste kohta, mis ei ole veel paigaldatud; `--installed` abil näete ka juba paigaldatud. Tühi tulemus võib seega tähendada kahte asja: uuendus on juba sees või veel avaldamata. Muudatuslogi võrdlus selgitab selle. Kuidas tulemust tõendina fikseerida, kirjeldab artikkel [CVE-numbrite tõendamine paketi muudatuslogis](https://phpsos.de/et/blog/cve-im-changelog-nachweisen/).

Nagu teistel ettevõtte distributsioonidel, säilitab pakett tavaliselt oma algse PHP versiooni; muutub ainult väljalaskemärge. Vanem number käsuga `php -v` ei viita seega puuduvale parandusele. Üldised märkused versioonikontrolli kohta on lehel [PHP versiooni ja paigatud seisu õige kontroll](https://phpsos.de/et/php2shell/php-version-pruefen/).

## Õige töörežiimi tuvastamine

Red Hat nimetab vaiketöörežiime: alates RHEL 8-st töötab PHP PHP-FPM-i kaudu, RHEL 7-s mod_php-na Apache'i teenuses `httpd`. Paljud serverid kalduvad sellest kõrvale, näiteks paneelide, kolmandate allikate või vanade seadistuste tõttu.

| Süsteem | Vaike Red Hati järgi | Taaskäivitus pärast uuendust |
|---|---|---|
| RHEL 8, 9, 10 ja järeltuletised | PHP-FPM | `systemctl restart php-fpm` |
| RHEL 7 | mod_php httpd-s | `systemctl restart httpd` |
| Konteinerid RHEL-i või UBI baasil | kujutise järgi | ehitada kujutis uuesti, konteiner asendada |

Konteinerite jaoks soovitab Red Hat pärast ajakohastatud baaskujutisi oma kujutised uuesti ehitada ning töötavad konteinerid või podid asendada. Uuendus töötavas konteineris ei ole töökindel tee.

## Pärast uuendust: taaskäivitus ja kontroll

Red Hat rõhutab, et uuesti laadimisest ei piisa. Olemasolevad töötajad võivad mõjutatud seisu säilitada. Käivitage seetõttu iga PHP-d laadiv teenus uuesti ja kontrollige tulemust:

```bash
# Kuva teenused vananenud teekidega (dnf-utils või dnf-plugins-core)
needs-restarting -s

# Võrdle PHP protsesside käivitusaega uuenduse ajahetkega
ps -eo pid,lstart,cmd | grep -E "[p]hp-fpm|[h]ttpd"
```

Seadistuse kohta on Red Hatil praktiline märkus: `php -i` näitab käsurea, mitte veebiserveri sätteid. Kes tahab kontrollida, kas ajutised väärtused nagu `session.upload_progress.enabled=0` veebikontekstis rakenduvad, kasutab ajutiselt kaitstud phpinfo-lehte ja kustutab selle pärast. Mida taaskäivitusel veel arvestada, seisab lehel [PHP-FPM-i ja kõigi töötajate taaskäivitamine](https://phpsos.de/et/php2shell/php-fpm-neustart/).

## Ajutised meetmed: Red Hati märkused

Kus uuendus veel puudub, viitab Red Hat samadele ajutistele meetmetele kui php.net ja lisab mõned praktilised märkused RHEL-süsteemide jaoks. Need uuendust ei asenda.

- **Rida tõesti täiendada:** Red Hati andmetel on rida `session.upload_progress.enabled` tarnitud seadistuses välja kommenteeritud, funktsioon on seega vaikimisi aktiivne. Väärtus `0` tuleb selgesõnaliselt seada.
- **Seada üle kirjutamatult:** `php_admin_value` kaudu PHP-FPM-i poolis, mod_php puhul Apache'i seadistuses. Mitte `ini_set()` ega `.user.ini` kaudu.
- **Otsida vastasmängijaid:** Red Hat soovitab kontrollida `.htaccess` faile, VirtualHoste ja `.user.ini` faile selle suhtes, kas need mõjutatud sätted uuesti sisse lülitavad.
- **Seada piirid ka ette:** Lisaks `post_max_size` PHP-s soovitab Red Hat kaaluda päringu suuruse piire ka veebiserveris või puhverserveris.

PHP-FPM-süsteemides asuvad poolid tavaliselt kataloogis `/etc/php-fpm.d/`. Pärast iga muudatust kehtib sama, mis pärast uuendust: käivitage kõik töötajad täielikult uuesti.

> **Näpunäide:**
> Kui samas serveris töötab lisaks PHP Remi hoidlast, kehtivad selle jaoks omad paketid ja teenused. Lugege selle kohta artiklit [Remi hoidla](https://phpsos.de/et/blog/remi-repository-php/).

## Kuidas PHP SOS konkreetselt aitab?

- Kontrollime RHEL-is, AlmaLinuxis ja Rocky Linuxis kõiki PHP pakette, striime ja kolmandaid allikaid ning võrdleme neid turvateadetega.
- Paigaldame uuendused, käivitame kõik töötajad täielikult uuesti ja kontrollime protsesside käivitusaegu.
- Konteinerikeskkondade jaoks ehitame kujutised uuesti ja asendame töötavad instantsid kontrollitult.
- Seisu serveri kaupa fikseerime [PHP paigateenuse](https://phpsos.de/et/leistungen/php-patch-service/) tõendis.


## Korduma kippuvad küsimused

**Kas RHEL 7 on PHP2Shellist mõjutatud?**  
Red Hati andmetel on RHEL 7 mõjutatud ainult CVE-2026-109619-st, CVE-2026-109618 haavatav kood seal puuduvat. RHEL 7-s on mod_php vaiketöörežiim, mida PHP meeskond peab eriti riskantseks.

**Miks Red Hat hindab turvaauku madalamalt kui php.net?**  
Red Hat kasutab oma hinnangut CVSS v3.1 järgi ja liigitab CVE-2026-109618 kui Important, sest ärakasutamine nõuavat täpset ajastust. php.net hindab CVSS v4.0 9,2-ga. Mõlemad peavad koodi käivitamist ilma sisselogimiseta võimalikuks, uuendus on igal juhul vajalik.

**Kas AlmaLinux ja Rocky Linux saavad parandused automaatselt?**  
Mõlemad ehitavad oma paketid Red Hati lähtekoodist uuesti ja avaldavad omi turvateateid. Ajahetk võib Red Hatist erineda. Kontrollige seisu seetõttu oma süsteemis ja oma distributsiooni teadetes.

**Kas pärast uuendust piisab systemctl reload php-fpm?**  
Ei. Red Hat juhib selgesõnaliselt tähelepanu, et uuesti laadimisest ei piisa, sest olemasolevad töötajad võivad mõjutatud seisu säilitada. Käivitage kõik töötajad uuesti, mod_php puhul Apache'i teenus httpd.

## Allikad

- [Red Hat Security Bulletin RHSB-2026-013](https://access.redhat.com/security/vulnerabilities/RHSB-2026-013)
- [Red Hat: CVE-2026-109618](https://access.redhat.com/security/cve/CVE-2026-109618)
- [php.net: turvateated](https://www.php.net/)