Lühidalt: sury PHP hoidla on laialt levinud kolmanda osapoole allikas PHP pakettide jaoks Debianis (packages.sury.org) ja Ubuntus (PPA ondrej/php). See lubab mitut PHP versiooni kõrvuti ja uuemaid harusid kui distributsioon. Pärast PHP2Shelli tarniti seal aruannete kohaselt ehitused kõigile harudele 5.6 kuni 8.5. Tõendi teie serveri kohta annavad aga ainult paketi seis ja muudatuslogi, mitte Debiani ega Ubuntu turvateated.
Mis on sury hoidla
sury.org taga on Ondřej Surý. Tema projektilehe andmetel paketeerib ta Debiani arendajana alates PHP 5-st PHP pakette Debianile ning Debiani ja Ubuntu ametlikud PHP paketid põhinevad tema tööl. Lisaks sellele tööle käitab ta oma hoidlat PHP pakettidega, mida saab paralleelselt paigaldada.
Debiani jaoks asub hoidla aadressil packages.sury.org, Ubuntu jaoks pakutakse seda PPA-na ondrej/php. Vigadest teatatakse projektilehe andmetel Codebergi issue trackeri kaudu, mitte e-posti teel. Hooldus toimub tema enda sõnul peamiselt vabal ajal; vanemate distributsiooniversioonide jaoks on kommertspakkumine Freexiani kaudu.
Paljud administraatorid ja veebimajutajad kasutavad hoidlat, sest see pakub uuemaid PHP harusid, kui distributsioon kaasa toob, või sellepärast, et rakendused vajavad kindlat versiooni.
Mille poolest see Debiani pakettidest erineb
Tähtsaim erinevus turvalisuse jaoks: sury.org paketid ei kuulu Debiani ega Ubuntu turvateadete alla. Debian Security Tracker näitab ainult ametlike pakettide seisu. Kui seal seisab, et php8.4 trixies on parandatud, ei ütle see midagi sury.org php8.4 kohta samas serveris.
| Tunnus | Ametlikud Debiani ja Ubuntu paketid | sury.org |
|---|---|---|
| Väljaandja | Debian või Canonical | Ondřej Surý üksikisikuna |
| Turvateated | DSA, DLA, USN | ühtegi neist teadetest ei ole |
| Versioonid | üks haru väljalaskes | mitu haru paralleelselt |
| Versiooninumber pärast parandust | Debian osaliselt uus upstream-versioon, Ubuntu enamasti vana number uue paketiseisuga | tavaliselt ajakohane upstream-versioon |
| Tõend | teade ja muudatuslogi | muudatuslogi ja paketi versioon |
Ettevõtetele tähendab see sõltuvust üksikisikust keskse komponendi osas. See ei ole põhjus hoidlat vältida, kuid on põhjus seda teadlikult kanda: seire, tõendi ja plaan B-ga.
sury PHP hoidla pärast PHP2Shelli: seisu kontroll
Kõigepealt selgitage, kas ja millistele pakettidele server suryt kasutab. Käsud on puhtalt lugevad.
# Kas sury on paketiallikana kirjas?
grep -rEl "sury|ondrej" /etc/apt/sources.list /etc/apt/sources.list.d/ 2>/dev/null
# Millisest allikast paigaldatud pakett pärineb?
apt policy php8.3-fpm
# Paigaldatud versioon ja muudatuslogi kirje CVE-de kohta
dpkg-query -W -f='${Package}\t${Version}\n' 'php*-fpm' 'libapache2-mod-php*' 2>/dev/null
zgrep -E "CVE-2026-10961[89]" /usr/share/doc/php8.3-fpm/changelog.Debian.gz
Ajakohaste harude puhul tunnete parandust ära tavaliselt upstream-versioonist 8.5.12, 8.4.27, 8.3.36 või 8.2.35 paketinimes. Vanade harude nagu 7.4 või 8.1 puhul ametlikku sihtversiooni ei ole, seal on muudatuslogi kirje tähtsaim tõend. Kui see puudub, küsige projekti issue trackeri kaudu järele või käsitlege paketti selgitamata olevana.
Vanad PHP harud sury-st: petlik mugavus
Hoidla teeb lihtsaks käitada PHP 7.4 või isegi 5.6 ajakohasel Debianil. Aruannete kohaselt oli ka nende harude jaoks ehitusi PHP2Shelli vastu. See on ägeda olukorra jaoks abiks, kuid lükkab põhiprobleemi vaid edasi: PHP projekt ei hoolda neid harusid enam ja järgmine turvaauk tabab neid jälle.
Kes hoiab sel teel vana rakendust elus, peaks endalt ausalt küsima, kui kauaks veel. Mis kehtib PHP 8.1 ja vanemate kohta, võtab kokku leht PHP 8.1 ja vanemad: mis nüüd kehtib. Kommertspõhiseid alternatiive piiridega kirjeldab artikkel Pikaajaline tugi vanadele PHP versioonidele.
Ärge segage serveris kontrollimatult distributsiooni ja sury.org PHP pakette. Laienduste ja teekide sõltuvused võivad järgmisel uuendusel viia ootamatute paketivahetusteni.
Soovitused sury-ga töötamiseks
- Dokumenteerige, millised serverid suryt kasutavad ja millistele harudele.
- Määrake päritolu, näiteks APT-pinningu abil, et PHP paketid tuleksid ainult ühest allikast.
- Jälgige uuendusi, sest ilma DSA või USN-ita puudub tavapärane märge. Abiks on
apt list --upgradablekorrapärane võrdlus. - Käivitage uuesti pärast iga uuendust, iga paigaldatud versiooni kohta eraldi. Mitu neist paralleelselt töötab, näitab artikkel Mitu PHP versiooni ühes serveris.
- Toetage, kui teie ettevõte hoidlast sõltub. Projektileht nimetab teedena annetusi ja kommertstuge.
Tagasi distributsiooni pakettide juurde?
Mitte iga server, mis täna suryt kasutab, ei vaja seda enam. Sageli lisati hoidla aastate eest, sest toonane distributsioon tõi kaasa vaid vanema PHP versiooni. Vahepeal tarnib näiteks Debian 13 trixie PHP 8.4, mis on Debian Security Trackeri kohaselt PHP2Shelli vastu parandatud. Kui teie rakendus töötab selle versiooniga, võib tagasitee lõpetada sõltuvuse kolmandast allikast.
Tagasitee on väike migreerimisprojekt. Kontrollige kõigepealt, milliseid laiendusi rakendus vajab ja kas distributsioon neid pakub. Testige rakendust distributsiooni paketiga koopial, enne kui sury allika eemaldate. Pärast seda tulevad turvateated taas tavapäraseid teid pidi ning tõend toetub DSA-le või USN-ile, mitte ainult muudatuslogile.
Kus jääb vajalikuks distributsioonist uuem või vanem versioon, on sury jätkuvalt mõistlik valik. Siis peaks otsus aga olema teadlik ja dokumenteeritud.
Kuidas PHP SOS konkreetselt aitab?
- Selgitame välja, millised PHP paketid teie serverites pärinevad sury.org-ist, distributsioonist või muudest allikatest.
- Kontrollime PHP2Shelli seisu haru kaupa paketi versiooni ja muudatuslogi kaudu ning käivitame kõik teenused uuesti.
- Seadistame pinningu ja uuenduste seire ning eemaldame mittevajalikud harud serveri karastamise raames.
- Vanade harude jaoks planeerime ülemineku toetatud versioonile.
Korduma kippuvad küsimused
Kas sury hoidla on ametlik Debiani hoidla?
Ei. Seda käitab Ondřej Surý, kes paketeerib oma lehe andmetel Debiani arendajana PHP-d Debianile juba ammu. See ei ole aga Debiani turvaarhiiv ning selle pakettide kohta ei ole Debiani turvateateid.
Kas sury.org on PHP2Shelli vastu paketid tarninud?
Aruannete kohaselt tarniti ehitused kõigile harudele 5.6 kuni 8.5. Kontrollige seisu oma serveris siiski ise paketi versiooni ja muudatuslogi kaudu, sest aruanded ei asenda tõendit teie süsteemi kohta.
Kas sury.org teeb vanad PHP versioonid taas turvaliseks?
Vana haru ehitus võib sulgeda konkreetse turvaaugu. See ei muuda midagi selles, et PHP projekt neid harusid enam ei hoolda. Püsivalt turvaliseks tööks jääb vajalikuks üleminek toetatud versioonile.
Kuidas ma teada saan, kas minu server kasutab suryt?
Otsige kataloogist /etc/apt paketiallikate seast sõnu sury või ondrej ja kontrollige käsuga apt policy, millisest allikast paigaldatud PHP paketid pärinevad.