Ukratko: sury PHP repozitorij raširen je izvor treće strane za PHP pakete na Debianu (packages.sury.org) i Ubuntuu (PPA ondrej/php). Omogućuje više PHP verzija uporedo i novije grane od distribucije. Nakon PHP2Shella tamo su prema izvješćima stavljeni na raspolaganje buildovi za sve grane od 5.6 do 8.5. Dokaz za Vaš poslužitelj ipak daju samo stanje paketa i changelog, a ne sigurnosne objave Debiana ili Ubuntua.
Što je sury repozitorij
Iza sury.org stoji Ondřej Surý. Prema njegovoj stranici projekta kao Debian developer od PHP-a 5 pakira PHP pakete za Debian, a službeni PHP paketi Debiana i Ubuntua temelje se na njegovu radu. Uz taj rad vodi vlastiti repozitorij s PHP paketima koji se mogu instalirati uporedo.
Za Debian repozitorij se nalazi na packages.sury.org, a za Ubuntu nudi se kao PPA ondrej/php. Pogreške se prema stranici projekta prijavljuju putem issue trackera na Codebergu, a ne e-poštom. Održavanje se prema vlastitim navodima većinom odvija u slobodno vrijeme; za starije verzije distribucija postoji komercijalna ponuda preko Freexiana.
Mnogi administratori i pružatelji hostinga koriste repozitorij jer nudi novije PHP grane nego što ih distribucija donosi ili jer aplikacije trebaju određenu verziju.
Po čemu se razlikuje od Debianovih paketa
Najvažnija razlika za sigurnost: paketi iz sury.org ne spadaju pod sigurnosne objave Debiana ili Ubuntua. Debian Security Tracker prikazuje samo stanje službenih paketa. Ako tamo stoji da je php8.4 u trixieju ispravljen, to ne govori ništa o php8.4 iz sury.org na istom poslužitelju.
| Obilježje | Službeni Debian i Ubuntu paketi | sury.org |
|---|---|---|
| Izdavatelj | Debian odnosno Canonical | Ondřej Surý kao pojedinac |
| Sigurnosne objave | DSA, DLA, USN | nijedna od tih objava |
| Verzije | jedna grana po izdanju | više grana uporedo |
| Broj verzije nakon ispravka | Debian djelomično nova upstream verzija, Ubuntu najčešće stari broj s novim stanjem paketa | u pravilu aktualna upstream verzija |
| Dokaz | Objava i changelog | Changelog i verzija paketa |
Za tvrtke to znači ovisnost o jednoj osobi za središnju komponentu. To nije razlog da se repozitorij izbjegava, ali je razlog da se ta ovisnost nosi svjesno: s nadzorom, dokazom i planom B.
sury PHP repozitorij nakon PHP2Shella: provjeriti stanje
Najprije razjasnite koristi li poslužitelj sury i za koje pakete. Naredbe samo čitaju.
# Je li sury upisan kao izvor paketa?
grep -rEl "sury|ondrej" /etc/apt/sources.list /etc/apt/sources.list.d/ 2>/dev/null
# Iz kojeg izvora potječe instalirani paket?
apt policy php8.3-fpm
# Instalirana verzija i unos u changelogu za CVE-ove
dpkg-query -W -f='${Package}\t${Version}\n' 'php*-fpm' 'libapache2-mod-php*' 2>/dev/null
zgrep -E "CVE-2026-10961[89]" /usr/share/doc/php8.3-fpm/changelog.Debian.gz
Kod aktualnih grana ispravak u pravilu prepoznajete po upstream verziji 8.5.12, 8.4.27, 8.3.36 ili 8.2.35 u nazivu paketa. Kod starih grana poput 7.4 ili 8.1 nema službene ciljne verzije, tamo je unos u changelogu najvažniji dokaz. Ako ga nema, pitajte preko issue trackera projekta ili paket tretirajte kao nerazjašnjen.
Stare PHP grane iz sury: varljiva udobnost
Repozitorij olakšava rad PHP-a 7.4 ili čak 5.6 na aktualnom Debianu. Prema izvješćima postojali su buildovi protiv PHP2Shella i za te grane. To je za akutnu situaciju korisno, ali samo odgađa temeljni problem: PHP projekt te grane više ne održava i sljedeća ranjivost ponovno će ih pogoditi.
Tko na taj način održava na životu staru aplikaciju, trebao bi se iskreno pitati do kada. Što vrijedi za PHP 8.1 i starije, sažima stranica PHP 8.1 i starije: što sada vrijedi. Komercijalne alternative s njihovim granicama opisuje članak Dugoročna podrška za stare PHP verzije.
Na jednom poslužitelju nemojte nekontrolirano miješati PHP pakete iz distribucije i iz sury.org. Ovisnosti između proširenja i biblioteka kod idućeg ažuriranja mogu dovesti do neočekivanih zamjena paketa.
Preporuke za rad sa sury
- Dokumentirati koji poslužitelji koriste sury i za koje grane.
- Odrediti podrijetlo, primjerice APT pinningom, kako bi PHP paketi dolazili samo iz jednog izvora.
- Nadzirati ažuriranja, jer bez DSA ili USN nedostaje uobičajena napomena. Pomaže redovita usporedba
apt list --upgradable. - Ponovno pokrenuti nakon svakog ažuriranja, za svaku instaliranu verziju zasebno. Koliko ih radi uporedo, pokazuje članak Više PHP verzija na jednom poslužitelju.
- Podržati ako se Vaša tvrtka oslanja na repozitorij. Stranica projekta navodi donacije i komercijalnu podršku kao puteve.
Natrag na pakete distribucije?
Ne treba svaki poslužitelj koji danas koristi sury još taj repozitorij. Često je repozitorij uključen prije mnogo godina jer je tadašnja distribucija donosila samo stariju PHP verziju. U međuvremenu primjerice Debian 13 trixie isporučuje PHP 8.4, koji je prema Debian Security Trackeru ispravljen protiv PHP2Shella. Ako Vaša aplikacija radi s tom verzijom, povratak može okončati ovisnost o izvoru treće strane.
Povratak je malen migracijski projekt. Najprije provjerite koja proširenja aplikacija treba i nudi li ih distribucija. Aplikaciju testirajte s paketom distribucije na kopiji prije nego što uklonite sury izvor. Nakon toga sigurnosne objave ponovno stižu uobičajenim putevima, a dokaz se oslanja na DSA ili USN umjesto samo na changelog.
Gdje i dalje treba novija ili starija verzija od one koju nudi distribucija, sury je i dalje smislen izbor. Tada bi odluka ipak trebala biti donesena svjesno i dokumentirana.
Kako PHP SOS konkretno pomaže?
- Utvrđujemo koji PHP paketi na Vašim poslužiteljima potječu iz sury.org, iz distribucije ili iz drugih izvora.
- Provjeravamo PHP2Shell stanje po grani preko verzije paketa i changelogova te ponovno pokrećemo sve usluge.
- Postavljamo pinning i nadzor ažuriranja te uklanjamo grane koje više nisu potrebne u okviru ojačavanja poslužitelja.
- Za stare grane planiramo prelazak na podržanu verziju.
Česta pitanja
Je li sury repozitorij službeni Debian repozitorij?
Ne. Vodi ga Ondřej Surý, koji prema vlastitoj stranici kao Debian developer odavno pakira PHP za Debian. Ali to nije Debianova sigurnosna arhiva i za njegove pakete ne postoje Debianove sigurnosne objave.
Je li sury.org stavio na raspolaganje pakete protiv PHP2Shella?
Prema izvješćima stavljeni su na raspolaganje buildovi za sve grane od 5.6 do 8.5. Stanje na svom poslužitelju ipak provjerite sami preko verzije paketa i changelogova, jer izvješća ne zamjenjuju dokaz za Vaš sustav.
Čini li sury.org stare PHP verzije ponovno sigurnima?
Build za staru granu može zatvoriti konkretnu ranjivost. To ne mijenja činjenicu da PHP projekt te grane više ne održava. Za trajno siguran rad potreban je prelazak na podržanu verziju.
Kako saznati koristi li moj poslužitelj sury?
U izvorima paketa pod /etc/apt potražite sury ili ondrej i s apt policy provjerite iz kojeg izvora potječu instalirani PHP paketi.