Plesk-server: PHP versioonide kontroll ja paikamine

Lühidalt: Plesk PHP uuendus on lõpetatud alles siis, kui iga paigaldatud PHP versioon on parandatud seisus, kõik PHP-FPM teenused on uuesti käivitatud ja te saate seda tõendada paketi seisu ning protsesside käivitusajaga. Paneelis kuvatavast versiooninumbrist ei piisa, sest backportide korral jääb see sageli samaks.

Millest PHP2Shelli puhul Plesk-serverites jutt käib

PHP2Shell tähistab kahte kriitilist turvaauku PHP-s endas (CVE-2026-109618 ja CVE-2026-109619, kummagi hinne CVSS v4.0 9,2). Need võimaldavad ründajatel käivitada serveris koodi ilma sisselogimata. Mõjutatud on muu hulgas PHP-FPM ja Apache koos mod_php-ga, see tähendab just need töörežiimid, mille Plesk veebisaitidele seadistab.

21.10.2026 avaldas PHP projekt parandatud versioonid 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. PHP 8.1 ja vanemate jaoks ametlikke uuendusi enam ei ole. Plesk-serveritel on üks eripära: siin töötab sageli mitu PHP versiooni kõrvuti, osa Pleski enda, osa operatsioonisüsteemi omad. Iga neist vajab eraldi kontrolli.

Plesk PHP uuendus: kõigepealt kaardistage olemasolev

Enne kui midagi uuendate, koostage nimekiri kõigist PHP käsitlejatest ja domeenidest, mis neid kasutavad. See õnnestub paneeli kaudu (Tools & Settings, PHP Settings) või käsurealt. Järgmised käsud ei muuda midagi, nad ainult loevad.

# Kõik registreeritud PHP käsitlejad koos versiooni ja teekonnaga
plesk bin php_handler --list

# Iga Pleski paigaldatud PHP versiooni täpne versioon (tee on näide)
for p in /opt/plesk/php/*/bin/php; do echo "$p"; "$p" -v | head -1; done

Märkige iga käsitleja kohta üles versioon, töörežiim (FPM, FastCGI, Apache moodul) ja domeenide arv. Käsitleja, millel pole ühtegi domeeni, ei ole põhjus muretsemata jätta. See võidakse hiljem määrata või töötada testalamdomeenidel.

Kontrollige paketi seisu, mitte kuvatavat numbrit

Plesk kuvab versiooninumbrit, mida PHP ise teatab. Kui Plesk või distributsioon tarnib parandust backportina, võib seal edasi olla näiteks 8.2.34, kuigi parandus on sees. Vastupidi võib värske tunduv number eksitada, kui pakett pole veel järele jõudnud. Otsustavad on paigaldatud paketi seis ja pakkuja kirjalik kinnitus.

# Debian/Ubuntu (paketinimed on näited)
dpkg -l | grep -E 'plesk-php|php[0-9.]+-(fpm|cli)'

# AlmaLinux/Rocky/RHEL (paketinimed on näited)
rpm -qa | grep -E 'plesk-php|^php' | sort

Võrrelge paketiversioone Pleski muudatuslogide ja oma distributsiooni märkustega. Kui seal pole üheselt dokumenteeritud, et CVE-2026-109618 ja CVE-2026-109619 on kõrvaldatud, küsige pakkujalt järele. Näidise selleks leiate lehelt Veebimajutajalt paikamise seisu küsimine.

Paigaldage uuendus ja käivitage kõik tööprotsessid uuesti

Uuendus ise toimub Plesk Installeri või süsteemi paketihalduse kaudu. Seejärel tuleb samm, mis kõige sagedamini ära unustatakse: taaskäivitus. Iga PHP versioon on Pleskis oma FPM teenusega. Käivitage kõik uuesti, mitte ainult peamise domeeni oma.

# Loetleda kõik PHP-FPM teenused (teenuste nimed on näited)
systemctl list-units --type=service | grep -i 'php.*fpm'

# Iga teenus eraldi uuesti käivitada, nt:
systemctl restart plesk-php84-fpm

# Kontrollida töötavate PHP protsesside käivitusaega
ps -eo pid,lstart,cmd | grep -E 'php-fpm|php-cgi' | grep -v grep

Kui domeen töötab Apache'i ja mod_php-ga, käivitage Apache täielikult uuesti. Kui PHP protsessi käivitusaeg on enne uuendust, ei ole see veel uuenenud. Lisateavet selle sammu kohta leiate lehelt PHP-FPM-i ja kõigi tööprotsesside taaskäivitus.

Ajutine kaitse, kui uuendus veel puudub

Kui mõne versiooni jaoks paika veel ei ole, soovitab php.net ajutisi meetmeid. Need ei ole täielik kaitse. Pleskis seadke väärtused, mida rakendused üle kirjutada ei tohi, php_admin_value kujul domeeni lisaliste FPM-direktiivide all või serveri tasemel vastava versiooni php.ini-s.

; Näide lisaliste PHP-FPM direktiivide kohta Pleskis
php_admin_value[session.upload_progress.enabled] = 0
php_admin_value[post_max_size] = 8M
php_admin_value[upload_max_filesize] = 6M

Üleslaadimistega saitide puhul on php.net-i järgi ette nähtud post_max_size = 32M, upload_max_filesize sellest väiksem. PHP 8.5 puhul lisandub fatal_error_backtraces=0. Mälu piiramist sättega memory_limit=-1 tohib kasutada ainult koos piiranguga konteineri või cgroupi tasemel. Seejärel järgneb jälle kõigi tööprotsesside taaskäivitus. Üksikasjad leiate lehelt Kohesed meetmed ilma paigata. BSI soovitab veebiserverid ajutiselt võrgust lahti ühendada, kui uuendus ei ole kohe võimalik.

Pärast paika: logide kindlustamine ja jälgede kontroll

Paik sulgeb turvaaugu tuleviku jaoks. See ei eemalda varem sisse toodud kahjulikku tarkvara ega tõesta, et midagi ei juhtunud. Säilitage seetõttu veebiserveri logid alates 20.10.2026. Plesk paigutab need domeeni kohta kataloogi logs; ärge lühendage selles olukorras säilitusaega.

Jälgige uusi või muudetud PHP faile üleslaadimiskataloogides, tundmatuid ajastatud ülesandeid ja uusi administraatorikontosid. Avaldatud ja kinnitatud kompromiteerimisnäitajaid (Indicators of Compromise) siiani ei ole; tuvastamine põhineb käitumisanalüüsil. Kui leiate midagi kahtlast, ärge jätkake omal käel, vaid kindlustage esmalt seis.

Kuidas PHP SOS konkreetselt aitab?

• Kaardistame teie Plesk-serveri kõik PHP käsitlejad, seostame domeenid nendega ja kontrollime iga versiooni tegelikku paketi seisu.
• PHP paikamisteenuse raames paigaldame uuendused, käivitame kõik teenused uuesti ja dokumenteerime protsesside käivitusajad tõendina.
• Kus paik puudub, seame php.net-i ajutised meetmed serveri tasemel ja üle kirjutamatult.
• Kindlustame logid ja otsime kompromiteerimise jälgi, leiu korral koos intsidendile reageerimisega.
• Seejärel karastame serveri püsivalt ja eemaldame mittevajalikud PHP versioonid.

Korduma kippuvad küsimused

Allikad

• php.net: turvateated
• PHP 8 ChangeLog
• php.net: toetatud versioonid
• BSI