Lyhyesti: sury PHP-repositorio on laajalle levinnyt kolmannen osapuolen lähde PHP-paketeille Debianilla (packages.sury.org) ja Ubuntulla (PPA ondrej/php). Se sallii useita PHP-versioita rinnakkain ja jakelua uudempia haaroja. PHP2Shellin jälkeen sieltä toimitettiin raporttien mukaan buildit kaikille haaroille 5.6:sta 8.5:een. Todisteen palvelimellenne antavat kuitenkin vain pakettitila ja muutosloki, eivät Debianin tai Ubuntun tietoturvailmoitukset.
Mikä sury-repositorio on
Sury.orgin takana on Ondřej Surý. Projektisivunsa mukaan hän on PHP 5:stä alkaen paketoinut Debian-kehittäjänä PHP-paketit Debianille, ja Debianin ja Ubuntun viralliset PHP-paketit perustuvat hänen työhönsä. Tämän työn rinnalla hän ylläpitää omaa repositoriota PHP-paketeilla, jotka voi asentaa rinnakkain.
Debianille repositorio on osoitteessa packages.sury.org, Ubuntulle se tarjotaan PPA:na ondrej/php. Virheet ilmoitetaan projektisivun mukaan Codebergin issue-trackerilla, ei sähköpostilla. Ylläpito tapahtuu omien tietojen mukaan pääosin vapaa-ajalla; vanhemmille jakeluversioille on kaupallinen tarjous Freexianin kautta.
Monet ylläpitäjät ja hosting-yritykset käyttävät repositoriota, koska se tarjoaa uudempia PHP-haaroja kuin jakelu tuo mukanaan tai koska sovellukset tarvitsevat tietyn version.
Mikä erottaa sen Debianin paketeista
Tärkein turvallisuuteen vaikuttava ero: sury.orgin paketit eivät kuulu Debianin tai Ubuntun tietoturvailmoitusten piiriin. Debian Security Tracker näyttää vain virallisten pakettien tilan. Jos siinä lukee, että php8.4 on trixiessä korjattu, se ei kerro mitään samalla palvelimella olevasta sury.orgin php8.4:stä.
| Ominaisuus | Debianin ja Ubuntun viralliset paketit | sury.org |
|---|---|---|
| Julkaisija | Debian tai Canonical | Ondřej Surý yksityishenkilönä |
| Tietoturvailmoitukset | DSA, DLA, USN | ei mitään näistä ilmoituksista |
| Versiot | yksi haara julkaisua kohti | useita haaroja rinnakkain |
| Versionumero korjauksen jälkeen | Debianilla osin uusi upstream-versio, Ubuntulla yleensä vanha numero uudella pakettitilalla | yleensä ajantasainen upstream-versio |
| Todiste | ilmoitus ja muutosloki | muutosloki ja paketin versio |
Yrityksille se tarkoittaa riippuvuutta yksittäisestä henkilöstä keskeisen komponentin osalta. Se ei ole syy välttää repositoriota mutta syy kantaa se tietoisesti: valvonnalla, todisteella ja varasuunnitelmalla.
sury PHP-repositorio PHP2Shellin jälkeen: tilan tarkistus
Selvittäkää ensin, käyttääkö palvelin suryä ja mille paketeille. Komennot vain lukevat.
# Onko sury kirjattu pakettilähteeksi?
grep -rEl "sury|ondrej" /etc/apt/sources.list /etc/apt/sources.list.d/ 2>/dev/null
# Mistä lähteestä asennettu paketti on peräisin?
apt policy php8.3-fpm
# Asennettu versio ja muutoslokin merkintä CVE-tunnisteista
dpkg-query -W -f='${Package}\t${Version}\n' 'php*-fpm' 'libapache2-mod-php*' 2>/dev/null
zgrep -E "CVE-2026-10961[89]" /usr/share/doc/php8.3-fpm/changelog.Debian.gz
Ajantasaisilla haaroilla tunnistatte korjauksen yleensä paketin nimessä olevasta upstream-versiosta 8.5.12, 8.4.27, 8.3.36 tai 8.2.35. Vanhoilla haaroilla, kuten 7.4 tai 8.1, virallista tavoiteversiota ei ole, ja siellä muutoslokin merkintä on tärkein todiste. Jos sitä ei ole, kysykää projektin issue-trackerilla tai kohdelkaa pakettia selvittämättömänä.
Vanhat PHP-haarat suryltä: petollinen mukavuus
Repositorio tekee helpoksi ajaa PHP 7.4:ää tai jopa 5.6:ta ajantasaisella Debianilla. Raporttien mukaan näillekin haaroille tuli buildit PHP2Shelliä vastaan. Se auttaa akuutissa tilanteessa mutta vain siirtää perusongelmaa: PHP-projekti ei enää ylläpidä näitä haaroja, ja seuraava aukko osuu niihin taas.
Joka pitää tällä tiellä vanhaa sovellusta hengissä, kysyköön itseltään rehellisesti, kuinka kauan vielä. Mitä PHP 8.1:lle ja vanhemmille pätee, tiivistää sivu PHP 8.1 ja vanhemmat: mikä pätee nyt. Kaupalliset vaihtoehdot rajoituksineen kuvaa artikkeli Pitkän tuen tarjoukset vanhoille PHP-versioille.
Älkää sekoittako palvelimella hallitsemattomasti PHP-paketteja jakelusta ja sury.orgista. Laajennusten ja kirjastojen väliset riippuvuudet voivat johtaa seuraavassa päivityksessä odottamattomiin pakettivaihtoihin.
Suositukset käyttöön suryn kanssa
- Dokumentoikaa, mitkä palvelimet käyttävät suryä ja mille haaroille.
- Määritelkää alkuperä, esimerkiksi APT-pinningillä, jotta PHP-paketit tulevat vain yhdestä lähteestä.
- Valvokaa päivityksiä, sillä ilman DSA- tai USN-ilmoitusta tavanomainen vihje puuttuu. Säännöllinen
apt list --upgradable-vertailu auttaa. - Käynnistäkää uudelleen jokaisen päivityksen jälkeen, jokaista asennettua versiota erikseen. Kuinka monta toimii rinnakkain, näyttää artikkeli Useita PHP-versioita yhdellä palvelimella.
- Tukekaa, jos yrityksenne on repositorion varassa. Projektisivu mainitsee lahjoitukset ja kaupallisen tuen keinoina.
Takaisin jakelun paketteihin?
Kaikki palvelimet, jotka käyttävät nyt suryä, eivät sitä enää tarvitse. Usein repositorio on otettu käyttöön vuosia sitten, koska silloinen jakelu toi mukanaan vain vanhemman PHP-version. Nykyään esimerkiksi Debian 13 trixie toimittaa PHP 8.4:n, joka on Debian Security Trackerin mukaan korjattu PHP2Shelliä vastaan. Jos sovelluksenne toimii tällä versiolla, paluu voi lopettaa riippuvuuden kolmannen osapuolen lähteestä.
Paluu on pieni migraatioprojekti. Tarkistakaa ensin, mitä laajennuksia sovellus tarvitsee ja tarjoaako jakelu ne. Testatkaa sovellusta jakelun paketilla kopiolla, ennen kuin poistatte sury-lähteen. Sen jälkeen tietoturvailmoitukset tulevat taas totuttuja teitä, ja todiste tukeutuu DSA:han tai USN:ään pelkän muutoslokin sijaan.
Missä tarvitaan edelleen uudempaa tai vanhempaa versiota kuin jakelulla, sury on yhä järkevä valinta. Silloin päätös tulee kuitenkin tehdä tietoisesti ja dokumentoida.
Miten PHP SOS auttaa konkreettisesti?
- Toteamme, mitkä PHP-paketit palvelimillanne ovat peräisin sury.orgista, jakelusta tai muista lähteistä.
- Tarkistamme PHP2Shell-tilan haaroittain paketin version ja muutoslokin avulla ja käynnistämme kaikki palvelut uudelleen.
- Otamme käyttöön pinningin ja päivitysten valvonnan ja poistamme tarpeettomat haarat palvelimen koventamisen puitteissa.
- Vanhoille haaroille suunnittelemme siirtymän tuettuun versioon.
Usein kysytyt kysymykset
Onko sury-repositorio Debianin virallinen repositorio?
Ei. Sitä ylläpitää Ondřej Surý, joka oman sivunsa mukaan on pitkään paketoinut PHP:n Debianille Debian-kehittäjänä. Se ei kuitenkaan ole Debianin tietoturva-arkisto, eikä sen paketeille ole Debianin tietoturvailmoituksia.
Onko sury.org toimittanut paketit PHP2Shelliä vastaan?
Raporttien mukaan buildit on toimitettu kaikille haaroille 5.6:sta 8.5:een. Tarkistakaa tila silti itse palvelimeltanne paketin version ja muutoslokin avulla, sillä raportit eivät korvaa todistetta järjestelmästänne.
Tekeekö sury.org vanhat PHP-versiot taas turvallisiksi?
Vanhan haaran build voi sulkea tietyn aukon. Se ei muuta sitä, ettei PHP-projekti enää ylläpidä näitä haaroja. Pysyvästi turvallinen käyttö edellyttää siirtymää tuettuun versioon.
Miten selvitän, käyttääkö palvelimeni suryä?
Etsikää pakettilähteistä hakemistosta /etc/apt hakusanoilla sury tai ondrej ja tarkistakaa komennolla apt policy, mistä lähteestä asennetut PHP-paketit ovat peräisin.