cPanel i WHM: zaštita PHP-a

Ukratko: cPanel PHP ažuriranje nakon PHP2Shella obuhvaća tri koraka: sve ea-php pakete i, ako postoje, alt-php pakete dovesti na ispravljeno stanje, potpuno ponovno pokrenuti PHP-FPM i Apache te dokumentirati stanje paketa. Korisnici na poslužitelju najvažnije privremene vrijednosti ne mogu postaviti sami, to mora učiniti WHM administrator.

Početno stanje na cPanel poslužiteljima

PHP2Shell obuhvaća ranjivosti CVE-2026-109618 i CVE-2026-109619 u samom PHP-u. Obje omogućuju izvršavanje zlonamjernog koda bez prijave i ocijenjene su s CVSS v4.0 9,2. Pogođeni su PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP i LiteSpeed. PHP projekt je 21. 10. 2026. objavio verzije 8.5.12, 8.4.27, 8.3.36 i 8.2.35.

cPanel PHP ne isporučuje kao jedan paket, nego putem EasyApachea 4 s po jednim skupom paketa za svaku verziju, primjerice ea-php83 ili ea-php84. Na nekim poslužiteljima tome se pridružuju paketi operacijskog sustava, a na CloudLinuxu alt-php verzije. Svaki izvor ima vlastito stanje. Potpunu sliku dobit ćete tek kad provjerite sva tri.

cPanel PHP ažuriranje: provjerite popis i dodjelu

Počnite popisom postojećeg stanja. Sljedeće naredbe samo čitaju i ništa ne mijenjaju. Putanje i nazivi paketa su primjeri i mogu se razlikovati ovisno o instalaciji.

# Instalirane PHP verzije prema WHM API-ju
whmapi1 php_get_installed_versions

# Verzija po ea-php instalaciji
for p in /opt/cpanel/ea-php*/root/usr/bin/php; do echo "$p"; "$p" -v | head -1; done

# Stanje paketa (sustavi temeljeni na RPM-u, primjer)
rpm -qa | grep -E '^ea-php[0-9]+-php-(cli|fpm|common)' | sort

U MultiPHP Manageru vidite koja domena koristi koju verziju i je li PHP-FPM uključen. Zabilježite verzije koje su instalirane, a nisu dodijeljene nijednoj domeni. I one se moraju ažurirati ili ukloniti.

Ispravno procijenite backporte

Kao i kod drugih pružatelja vrijedi: prikazani broj verzije nije jedino mjerilo. Ako se ispravak isporučuje kao backport, broj može ostati nepromijenjen. Zato dodatno provjerite zapisnik promjena paketa i napomene pružatelja.

# Pretražite zapisnik promjena paketa po CVE brojevima (primjer)
rpm -q --changelog ea-php84-php-cli | grep -iE 'CVE-2026-1096(18|19)'

Ako nema nijednog unosa, to ne znači automatski da ispravak nedostaje. Znači ipak da Vam je potrebna pisana potvrda prije nego što poslužitelj ocijenite zakrpanim. Kako ispravno čitati verzije opisano je u članku Provjera PHP verzije i stanja zakrpe.

Ažuriranje, ponovno pokretanje i kontrola

Ažuriranje instalirate u WHM-u putem ažuriranja sustava ili upravitelja paketa. Nakon toga ponovno pokrenite sve PHP procese. Nove datoteke same nisu dovoljne dok stari procesi rade u memoriji.

# Ponovno pokrenite PHP-FPM usluge svih verzija (cPanel skripta)
/scripts/restartsrv_apache_php_fpm

# Potpuno ponovno pokrenite Apache
/scripts/restartsrv_httpd

# Provjerite vrijeme pokretanja PHP procesa
ps -eo pid,lstart,cmd | grep -E 'php-fpm|lsphp|php-cgi' | grep -v grep

Svaki PHP proces trebao bi imati vrijeme pokretanja nakon ažuriranja. Ako nije tako, zaustavite ga ciljano putem pripadajuće usluge. Kod više poslužitelja isplati se kratak zapisnik po stroju koji možete kasnije upotrijebiti kao dokaz.

Središnje postavljanje privremenih vrijednosti

Ako verzija još nije ispravljena, php.net preporučuje privremene mjere koje ne pružaju potpunu zaštitu. Na cPanelu ih postavite u MultiPHP INI Editoru u administratorskom načinu rada ili izravno u php.ini odgovarajuće ea-php verzije. Vrijednosti u .user.ini korisničkih računa za session.upload_progress.enabled nisu dovoljne.

; php.ini za cijeli poslužitelj, za pogođenu verziju (primjer)
session.upload_progress.enabled = 0
post_max_size = 32M
upload_max_filesize = 24M

Bez funkcije uploada php.net navodi post_max_size = 8M. Na PHP-u 8.5 dodaje se fatal_error_backtraces=0. Nakon toga ponovno pokrenite sve workere. Ograničenje memorije postavite putem cgroupa, primjerice limitima CloudLinuxa, a ne putem RLIMIT_AS ili RLIMIT_DATA. Dodatne pojedinosti su u članku Hitne mjere bez zakrpe.

Odgovornost između operatera poslužitelja i vlasnika računa

Na cPanel poslužitelju s mnogo računa administrator WHM-a odgovoran je za PHP, usluge i konfiguraciju cijelog poslužitelja. Vlasnici pojedinih računa odgovorni su za svoje aplikacije, dodatke i pristupne podatke. Obavijestite vlasnike računa kada i kako je zakrpa instalirana te im preporučite da provjere svoje aplikacije zbog nepravilnosti. Kako situacija izgleda iz perspektive korisnika opisano je u članku Shared hosting.

Sačuvajte zapisnike od 20. 10. 2026. Zakrpa ne uklanja zlonamjerni softver koji je ubačen prije.

Za dokaz je dovoljan jednostavan zapisnik po poslužitelju: datum i vrijeme ažuriranja, popis ea-php i alt-php paketa s verzijom prije i poslije, popis procesa s vremenima pokretanja nakon ponovnog pokretanja i, po potrebi, potvrda isporučitelja paketa o backportima. Zapisnik spremite izvan poslužitelja. Kasnije služi kao dokaz prema korisnicima, osiguravateljima ili revizorima i olakšava sljedeće hitno ažuriranje jer su koraci već opisani. Ako upravljate s više cPanel poslužitelja, isplati se naredbe za čitanje s ove stranice objediniti u malu skriptu koja na svim strojevima radi jednako i prikuplja rezultate. Tako na prvi pogled prepoznajete odstupanja među poslužiteljima, primjerice zaboravljenu PHP verziju.

Kako PHP SOS konkretno pomaže?

• Popisujemo ea-php, alt-php i sistemske pakete te sve račune pridružujemo njihovoj PHP verziji.
• Putem naše usluge PHP zakrpa ažuriramo, ponovno pokrećemo sve usluge i stanje dokazujemo popisima paketa i vremenima procesa.
• Gdje je potrebno, privremene vrijednosti postavljamo na razini cijelog poslužitelja i tako da se ne mogu nadjačati.
• Provjeravamo račune zbog tipičnih tragova kompromitacije i u slučaju nalaza pokrećemo uklanjanje zlonamjernog softvera.
• Zatim smanjujemo broj PHP verzija i ojačavamo konfiguraciju.

Česta pitanja

Izvori

• php.net: sigurnosne objave
• PHP 8 ChangeLog
• php.net: podržane verzije
• BSI