# CloudLinux i alt-php: što trebaju znati korisnici hostinga

> CloudLinux alt-php i PHP2Shell: koju PHP verziju koristi Vaš račun, tko zakrpava alt-php pakete i koja pitanja sada trebate postaviti svom hosteru.

Izvor: https://phpsos.de/hr/blog/cloudlinux-alt-php/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** Na poslužiteljima s CloudLinuxom web-stranice često ne rade sa standardnim PHP-om, nego s alt-php-om, vlastitim paketima po PHP verziji koje korisnici biraju putem PHP Selectora. Protiv PHP2Shella operater poslužitelja mora zasebno ažurirati svaku instaliranu alt-php verziju i ponovno pokrenuti sve PHP procese. Kao korisnik hostinga razjasnite koju verziju koristi Vaš račun i zatražite pisanu potvrdu njezina stanja zakrpe.

## Zašto je CloudLinux kod PHP2Shella zasebno pitanje

Mnogi pružatelji zajedničkog hostinga koriste CloudLinux, Linux operacijski sustav koji tisuće korisničkih računa na jednom poslužitelju odvaja jedne od drugih. Operaterima web-stranica to je uglavnom nevidljivo. Vidljivim postaje tek kad se pojavi ranjivost u samom PHP interpreteru, kao kod PHP2Shella s CVE-2026-109618 i CVE-2026-109619.

Razlog: na takvim poslužiteljima često paralelno postoji više izvora PHP-a. Uz PHP operacijskog sustava i, kod cPanela, ea-php pakete tu su i alt-php paketi CloudLinuxa. Svaki izvor ima vlastito stanje paketa. To što je jedan zakrpan, ne govori ništa o ostalima.

Za agencije i tvrtke s više računa kod istog hostera dolazi i druga točka: svaka web-stranica može koristiti drugu verziju, jer ju je netko prije godina prebacio u korisničkom području. Jedno pitanje o „PHP-u“ hostera stoga je prekratko. Smisleno je imati popis svih domena s odabranom verzijom.

## Što su alt-php i PHP Selector

Prema CloudLinux dokumentaciji PHP Selector stavlja na raspolaganje alternativne PHP verzije, alt-php pakete. Nalaze se pod `/opt/alt/phpXX/`, primjerice `/opt/alt/php83/` za PHP 8.3, svaki s vlastitim `php.ini`. Dokumentacija navodi verzije od 5.1 do 8.5, ovisno o CloudLinux verziji poslužitelja.

Korisnici sami biraju verziju, u cPanelu najčešće putem „Select PHP Version“. Tehnički to pretpostavlja CageFS, svojevrstan odvojeni datotečni sustav po računu. Prema dokumentaciji Selector radi sa suPHP-om, mod_fcgid-om, CGI-jem i LiteSpeedom; Apache s mod_php-om CageFS ne podržava.

| Pojam | Što znači za Vas |
|---|---|
| CloudLinux | operacijski sustav hostera, razdvaja korisničke račune |
| CageFS | vlastiti, odvojeni datotečni sustav po računu |
| alt-php | PHP paketi CloudLinuxa, jedan po verziji |
| PHP Selector | odabir alt-php verzije i pojedinih opcija u korisničkom području |

## CloudLinux alt-php i PHP2Shell: što je dokazano, a što ostaje otvoreno

Dokazano je: ispravljene PHP verzije su 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Za PHP 8.1 i starije PHP projekt više ne daje službena ažuriranja, samo minimalne backportove izvornog koda za 7.4, 8.0 i 8.1. Prema stručnom tisku pogođene su gotovo sve verzije do PHP-a 5.4.

Otvoreno je u izvorima koji su nam dostupni za koje alt-php verzije CloudLinux već isporučuje zakrpane pakete. Upravo kod starih grana poput 5.6 ili 7.4, koje Selector i dalje nudi, zato presuđuje samo izjava pružatelja. Backportovi mogu biti instalirani, a da se prikazani broj verzije ne promijeni.

Posebnost se odnosi na cPanel poslužitelje s komercijalnom dugoročnom podrškom: prema cPanel dokumentaciji TuxCare, marka CloudLinuxa, kao alt-php isporučuje zakrpane pakete za istekle PHP verzije. Tko je tamo prebačen s ea-php74 na alt-php74, upućen je na taj put. Više o tome u članku [Dugoročna podrška za stare PHP verzije](https://phpsos.de/hr/blog/langzeitsupport-alte-php-versionen/).

## Ova pitanja sada trebate postaviti svom hosteru

Kao korisnik alt-php ne možete sami zakrpati. Možete ipak postaviti prava pitanja i dokumentirati odgovore. Gotov predložak za to nudi vodič [Pitati hostera za stanje zakrpe](https://phpsos.de/hr/ratgeber/hoster-patch-status-erfragen/).

1. Radi li moj račun s alt-php-om, ea-php-om ili PHP-om operacijskog sustava, i s kojom točno verzijom?
2. Je li upravo taj paket zakrpan protiv CVE-2026-109618 i CVE-2026-109619, i otkad?
3. Jesu li nakon toga ponovno pokrenuti svi PHP procesi, uključujući lsphp i php-cgi procese?
4. Jesu li privremene vrijednosti s php.net-a postavljene centralno, osobito `session.upload_progress.enabled=0`?
5. Koje se alt-php verzije više ne zakrpavaju i do kada moram prijeći na drugu?

Paralelno provjerite koju verziju Vaš račun doista koristi. Ako imate SSH pristup, `php -v` prikazuje verziju naredbenog retka, koja se može razlikovati od one za web-stranicu. Pouzdaniji je prikaz u PHP Selectoru za pogođenu domenu.

Odgovori li hoster da se Vaša odabrana verzija više ne zakrpava, čist je put prijelaz na podržanu granu. Prethodno u zahtjevima sustava svog CMS-a ili shopa provjerite koje PHP verzije proizvođač odobrava i prebacivanje po mogućnosti testirajte na kopiji web-stranice. Prebacivanje u Selectoru brzo je gotovo, a pogreška u shopu u ponedjeljak ujutro nije.

## PHP opcije u Selectoru: oprez s privremenim vrijednostima

PHP Selector korisnicima dopušta da pojedine php.ini vrijednosti sami mijenjaju, među njima često `memory_limit`. Koje su vrijednosti dopuštene, prema dokumentaciji određuje operater, u datoteci `/etc/cl.selector/php.conf`. Globalne vrijednosti za sve alt-php verzije nalaze se u `/etc/cl.selector/global_php.ini`.

To je za PHP2Shell važno. php.net kao prijelaz preporučuje postaviti `memory_limit=-1` tako da ga aplikacije ne mogu nadjačati te `session.upload_progress.enabled=0` ne postavljati putem `ini_set()` ili `.user.ini`. Vrijednost koju svaki račun može slobodno mijenjati taj uvjet ne ispunjava. Pozadinu donosi članak [Hitne mjere bez zakrpe](https://phpsos.de/hr/php2shell/sofortmassnahmen-ohne-patch/).

Za operatere poslužitelja iz toga proizlazi kratak kontrolni popis. Naredbe samo čitaju:

```bash
# Koje PHP verzije Selector nudi, koja je zadana?
selectorctl --summary

# Instalirani alt-php paketi i njihovo stanje
rpm -qa 'alt-php*' | sort

# Nalaze li se CVE brojevi u changelogu paketa? (naziv paketa kao primjer)
rpm -q --changelog alt-php83 | grep -E "CVE-2026-10961[89]"

# Aktivni PHP procesi s vremenom pokretanja, kao dokaz ponovnog pokretanja
ps -eo pid,lstart,cmd | grep -E '[l]sphp|[p]hp-cgi|[p]hp-fpm'
```

Prema CloudLinux dokumentaciji ažurira se naredbom `yum groupupdate alt-php`. Nakon toga svi PHP procesi moraju se ponovno pokrenuti, inače stari kod u memoriji nastavlja raditi. Privremene vrijednosti koje se ne smiju nadjačati pripadaju u globalnu konfiguraciju, a ne u popis korisničkih opcija. Kako se ea-php i alt-php međusobno odnose na cPanel poslužiteljima, opisuje članak [cPanel i WHM: zaštititi PHP](https://phpsos.de/hr/server/cpanel/).

> **Važno:**
> Zakrpa ne uklanja zlonamjerni softver ubačen prije toga. Ako je Vaš račun između 17. i 21. listopada radio s ranjivom verzijom, isplati se pogledati nove PHP datoteke i pristupne zapisnike od 20. listopada.

## Kako PHP SOS konkretno pomaže?

- **Razjasniti stanje:** Utvrđujemo s kojim izvorom PHP-a i kojom verzijom radi svaka Vaša web-stranica te formuliramo upit hosteru.
- **Procijeniti odgovor:** Potvrdu hostera provjeravamo na praznine, primjerice nedostajuće podatke o ponovnom pokretanju ili o starim alt-php granama.
- **Pratiti prelazak:** Ako web-stranica radi na verziji bez zakrpe, planiramo prelazak i unaprijed ga testiramo.
- **Za operatere:** Putem [PHP usluge zakrpa](https://phpsos.de/hr/leistungen/php-patch-service/) ažuriramo alt-php, ea-php i sistemske pakete, ponovno pokrećemo sve procese i dokumentiramo stanje.


## Česta pitanja

**Po čemu prepoznajem koristi li moj hoster CloudLinux i alt-php?**  
Tipičan znak je funkcija „Select PHP Version“ u cPanel korisničkom području, putem koje sami možete mijenjati između mnogo PHP verzija. Sigurno to znate tek kad hoster potvrdi.

**Mogu li alt-php u svom računu sam ažurirati?**  
Ne. Paketi alt-php nalaze se centralno na poslužitelju i održava ih operater. Možete birati samo između instaliranih verzija i trebali biste zatražiti potvrdu stanja zakrpe odabrane verzije.

**Je li stara alt-php verzija poput 7.4 zaštićena od PHP2Shella?**  
Bez izjave pružatelja to se ne može reći. Prema stručnom tisku pogođene su gotovo sve verzije do PHP-a 5.4, a PHP projekt za 8.1 i starije ne isporučuje službena ažuriranja. Je li backport instaliran, hoster mora pisano potvrditi za točno Vašu verziju.

**Smijem li memory_limit u PHP Selectoru sam mijenjati?**  
Tehnički često da, ako je operater tu postavku dopustio. No php.net kao privremenu mjeru preporučuje da se memory_limit postavi tako da ga aplikacije ne mogu nadjačati. Takve vrijednosti zato mijenjajte samo uz dogovor s hosterom.

## Izvori

- [php.net: sigurnosne objave](https://www.php.net/)
- [CloudLinux dokumentacija: komponente (CageFS, PHP Selector)](https://docs.cloudlinux.com/cloudlinuxos/cloudlinux_os_components/)
- [cPanel dokumentacija: TuxCare Extended Lifecycle Support for PHP](https://docs.cpanel.net/knowledge-base/third-party/tuxcare-extended-lifecycle-support-els-php/)
- [PHP: podržane verzije](https://www.php.net/supported-versions.php)