Röviden: A CloudLinuxos szervereken a weboldalak gyakran nem a szabványos PHP-vel futnak, hanem az alt-php-vel, vagyis PHP-verziónként saját csomagokkal, amelyeket az ügyfelek a PHP Selectorral választanak ki. A PHP2Shell ellen a szerver üzemeltetőjének minden telepített alt-php verziót külön kell frissítenie, és az összes PHP-folyamatot újra kell indítania. Tárhelyügyfélként tisztázza, melyik verziót használja a fiókja, és írásban erősíttesse meg annak javítási állapotát.
Miért külön kérdés a CloudLinux a PHP2Shellnél
Sok megosztott tárhelyet kínáló szolgáltató használ CloudLinuxot, vagyis olyan Linux operációs rendszert, amely több ezer ügyfélfiókot választ el egymástól egy szerveren. A weboldal-üzemeltetők számára ez többnyire láthatatlan. Csak akkor válik láthatóvá, amikor maga a PHP-értelmezőben jelenik meg egy rés, mint a PHP2Shellnél a CVE-2026-109618 és a CVE-2026-109619.
Az ok: az ilyen szervereken gyakran több PHP-forrás is van egymás mellett. Az operációs rendszer PHP-je és cPanel esetén az ea-php csomagok mellett ott vannak a CloudLinux alt-php csomagjai. Minden forrásnak saját csomagállapota van. Hogy az egyik javított, semmit sem mond a többiről.
Az ügynökségeknél és a több fiókkal rendelkező vállalatoknál ugyanannál a tárhelyszolgáltatónál egy második szempont is felmerül: minden weboldal más verziót használhat, mert valaki évekkel ezelőtt átállította az ügyfélterületen. Ezért a tárhelyszolgáltató „PHP-jére” vonatkozó egyetlen visszakérdezés kevés. Értelmes egy lista az összes domainről a hozzájuk kiválasztott verzióval.
Mi az az alt-php és a PHP Selector
A CloudLinux-dokumentáció szerint a PHP Selector alternatív PHP-verziókat, az alt-php csomagokat biztosítja. Ezek az /opt/alt/phpXX/ alatt találhatók, például a PHP 8.3-hoz az /opt/alt/php83/, mindegyik saját php.ini fájllal. A dokumentáció az 5.1-től a 8.5-ig sorol fel verziókat, a szerver CloudLinux-verziójától függően.
Az ügyfelek maguk választják ki a verziójukat, cPanelben többnyire a „Select PHP Version” menüpontban. Technikailag ez a CageFS-t feltételezi, vagyis fiókonként egy elzárt fájlrendszert. A dokumentáció szerint a Selector a suPHP-vel, a mod_fcgid-del, a CGI-vel és a LiteSpeeddel működik; az Apache a mod_php-val nem támogatja a CageFS-t.
| Fogalom | Mit jelent az Ön számára |
|---|---|
| CloudLinux | a tárhelyszolgáltató operációs rendszere, elválasztja az ügyfélfiókokat |
| CageFS | fiókonként saját, elzárt fájlrendszer |
| alt-php | a CloudLinux PHP-csomagjai, verziónként egy |
| PHP Selector | az alt-php verzió és egyes opciók kiválasztása az ügyfélterületen |
CloudLinux alt-php és PHP2Shell: mi igazolt és mi marad nyitva
Igazolt: a kijavított PHP-verziók a 8.5.12, 8.4.27, 8.3.36 és 8.2.35. A PHP 8.1-hez és a régebbiekhez a PHP-projekt nem ad ki hivatalos frissítéseket, csak minimális forráskód-backportok vannak a 7.4-hez, a 8.0-hoz és a 8.1-hez. A szakmai sajtó szerint a PHP 5.4-ig szinte minden verzió érintett.
Nyitott a rendelkezésünkre álló forrásokban, hogy a CloudLinux mely alt-php verziókhoz szállít már javított csomagokat. Éppen a régi ágaknál, mint az 5.6 vagy a 7.4, amelyeket a Selector továbbra is kínál, ezért egyedül a szolgáltató nyilatkozata számít. A backportok úgy is telepítve lehetnek, hogy a megjelenített verziószám nem változik.
Egy különlegesség a kereskedelmi hosszú távú támogatású cPanel-szervereket érinti: a cPanel-dokumentáció szerint a TuxCare, a CloudLinux egyik márkája, javított csomagokat szállít a lejárt PHP-verziókhoz alt-php formájában. Aki ott az ea-php74-ről az alt-php74-re lett átállítva, erre az útra van utalva. Erről többet a Hosszú távú támogatás régi PHP-verziókhoz cikkben olvashat.
Ezeket a kérdéseket tegye fel most a tárhelyszolgáltatójának
Ügyfélként nem tudja maga javítani az alt-php-t. De megfelelő kérdéseket tehet fel, és dokumentálhatja a válaszokat. Kész mintát kínál rá a Kérdezze meg a tárhelyszolgáltatót a javítási állapotról útmutató.
- A fiókom alt-php-vel, ea-php-vel vagy az operációs rendszer PHP-jével fut, és pontosan melyik verzióval?
- Pontosan ez a csomag javított a CVE-2026-109618 és a CVE-2026-109619 ellen, és mióta?
- Újraindították ezután az összes PHP-folyamatot, az lsphp- és php-cgi-folyamatokat is?
- Be vannak állítva központilag a php.net átmeneti értékei, különösen a
session.upload_progress.enabled=0? - Mely alt-php verziókat nem javítják többé, és meddig kell váltanom?
Ellenőrizze párhuzamosan, hogy a fiókja ténylegesen melyik verziót használja. Ha van SSH-hozzáférése, a php -v a parancssor verzióját mutatja, amely eltérhet a weboldalétól. Megbízhatóbb az érintett domainhez a PHP Selector kijelzője.
Ha a tárhelyszolgáltató azt válaszolja, hogy az Ön által választott verziót már nem javítják, a tiszta út a támogatott ágra váltás. Előtte nézze meg a CMS-e vagy webshopja rendszerkövetelményeiben, mely PHP-verziókat engedélyezi a gyártó, és a váltást lehetőleg a weboldal egy másolatán tesztelje. A Selectorban a váltás gyorsan megvan, egy hiba a webshopban hétfő reggel viszont nem.
PHP-opciók a Selectorban: óvatosan az átmeneti értékekkel
A PHP Selector lehetővé teszi, hogy az ügyfelek egyes php.ini értékeket maguk módosítsanak, köztük gyakran a memory_limit értéket. Hogy mely értékek engedélyezettek, azt a dokumentáció szerint az üzemeltető határozza meg az /etc/cl.selector/php.conf fájlban. Az összes alt-php verzióra vonatkozó globális értékek az /etc/cl.selector/global_php.ini fájlban vannak.
Ez a PHP2Shell szempontjából fontos. A php.net átmenetként azt javasolja, hogy a memory_limit=-1 értéket úgy állítsák be, hogy az alkalmazások ne írhassák felül, és a session.upload_progress.enabled=0 értéket ne ini_set()-tel vagy .user.ini-vel állítsák be. Az az érték, amelyet minden fiók szabadon átállíthat, nem teljesíti ezt a feltételt. A hátteret a Azonnali intézkedések javítás nélkül oldal ismerteti.
A szerver üzemeltetőinek ebből egy rövid ellenőrzőlista adódik. A parancsok csak olvasnak:
# Mely PHP-verziókat kínálja a Selector, melyik az alapértelmezett?
selectorctl --summary
# Telepített alt-php csomagok és állapotuk
rpm -qa 'alt-php*' | sort
# Szerepelnek a CVE-számok egy csomag changelogjában? (a csomagnév példa)
rpm -q --changelog alt-php83 | grep -E "CVE-2026-10961[89]"
# Futó PHP-folyamatok indulási idővel, az újraindítás igazolásához
ps -eo pid,lstart,cmd | grep -E '[l]sphp|[p]hp-cgi|[p]hp-fpm'
A CloudLinux-dokumentáció szerint a frissítés a yum groupupdate alt-php paranccsal történik. Utána az összes PHP-folyamatot újra kell indítani, különben a régi kód fut tovább a memóriában. Azok az átmeneti értékek, amelyeket nem szabad felülírni, a globális konfigurációba tartoznak, nem az ügyfél-opciók listájába. Hogy az ea-php és az alt-php hogyan viszonyul egymáshoz cPanel-szervereken, azt a cPanel és WHM: a PHP védelme írja le.
A javítás nem távolítja el a korábban beszúrt kártevőket. Ha a fiókja október 17. és 21. között sebezhető verzióval futott, érdemes megnézni az új PHP-fájlokat és a 2026. október 20-tól készült hozzáférési naplókat.
Hogyan segít konkrétan a PHP SOS?
- Az állapot tisztázása: Felmérjük, melyik PHP-forrással és verzióval fut az egyes weboldalai, és megfogalmazzuk a megkeresést a tárhelyszolgáltató felé.
- A válasz értékelése: Ellenőrizzük a tárhelyszolgáltató megerősítését hiányosságok szempontjából, például az újraindításra vagy a régi alt-php ágakra vonatkozó hiányzó adatok tekintetében.
- A váltás kísérése: Ha egy weboldal javítás nélküli verzión fut, megtervezzük az átállást, és előzetesen teszteljük.
- Üzemeltetőknek: A PHP-javítási szolgáltatáson keresztül frissítjük az alt-php-, ea-php- és rendszercsomagokat, újraindítjuk az összes folyamatot, és dokumentáljuk az állapotot.
Gyakori kérdések
Honnan tudom, hogy a tárhelyszolgáltatóm CloudLinuxot és alt-php-t használ?
Tipikus jel a „Select PHP Version” funkció a cPanel ügyfélterületén, amellyel maga válthat a sok PHP-verzió között. Biztosan csak akkor tudja, ha a tárhelyszolgáltató megerősíti.
Frissíthetem az alt-php-t a saját fiókomban?
Nem. Az alt-php csomagok központilag a szerveren vannak, és az üzemeltető gondozza őket. Csak a telepített verziók között választhat, és a kiválasztott verzió javítási állapotát meg kell erősíttetnie.
Védett a PHP2Shell ellen egy régi alt-php verzió, például a 7.4?
A szolgáltató nyilatkozata nélkül ez nem állapítható meg. A szakmai sajtó szerint a PHP 5.4-ig szinte minden verzió érintett, és a PHP-projekt a 8.1-hez és régebbiekhez nem ad ki hivatalos frissítéseket. Hogy be van-e építve egy backport, azt a tárhelyszolgáltatónak írásban kell megerősítenie pontosan az Ön verziójára.
Megváltoztathatom magam a memory_limit értékét a PHP Selectorban?
Technikailag gyakran igen, ha az üzemeltető engedélyezte a beállítást. A php.net azonban átmeneti intézkedésként azt javasolja, hogy a memory_limit értékét úgy állítsák be, hogy az alkalmazások ne írhassák felül. Ezért az ilyen értékeket csak a tárhelyszolgáltatóval egyeztetve módosítsa.