# A sury.org-tároló: PHP-csomagok harmadik féltől

> A sury PHP-tároló Debianhoz és Ubuntuhoz: ki gondozza, miben tér el a Debiantól, hogyan ellenőrizheti a PHP2Shell-állapotot, és mikor válik kockázattá.

Forrás: https://phpsos.de/hu/blog/sury-repository-php/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** A sury PHP-tároló a PHP-csomagok széles körben elterjedt, harmadik féltől származó forrása Debian (packages.sury.org) és Ubuntu (ondrej/php PPA) alatt. Lehetővé teszi több PHP-verzió egymás melletti telepítését és újabb ágak használatát, mint a disztribúció. A PHP2Shell után beszámolók szerint az 5.6-tól 8.5-ig terjedő összes ághoz rendelkezésre bocsátottak ott buildeket. Az Ön szerverére vonatkozó igazolást azonban csak a csomagállapot és a changelog adja, nem a Debian vagy az Ubuntu biztonsági közleményei.

## Mi a sury-tároló

A sury.org mögött Ondřej Surý áll. Projektoldala szerint Debian-fejlesztőként a PHP 5 óta ő csomagolja a PHP-csomagokat a Debianhoz, és a Debian és az Ubuntu hivatalos PHP-csomagjai az ő munkáján alapulnak. Emellett saját tárolót is üzemeltet, párhuzamosan telepíthető PHP-csomagokkal.

A Debianhoz a tároló a packages.sury.org alatt található, az Ubuntuhoz `ondrej/php` PPA-ként kínálják. A hibákat a projektoldal szerint a Codeberg egyik issue trackerén jelentik, nem e-mailben. A gondozás saját közlése szerint főként szabadidőben történik; régebbi disztribúciós verziókhoz a Freexianon keresztül van kereskedelmi ajánlat.

Sok admin és tárhelyszolgáltató használja a tárolót, mert újabb PHP-ágakat kínál, mint a disztribúció, vagy mert az alkalmazások egy bizonyos verziót igényelnek.

## Miben tér el a Debian-csomagoktól

A legfontosabb különbség a biztonság szempontjából: a sury.org csomagjaira nem vonatkoznak a Debian vagy az Ubuntu biztonsági közleményei. A Debian Security Tracker csak a hivatalos csomagok állapotát mutatja. Ha ott az áll, hogy a trixie php8.4 csomagja javított, az nem mond semmit ugyanazon a szerveren egy sury.org-ról származó php8.4-ről.

| Jellemző | Hivatalos Debian- és Ubuntu-csomagok | sury.org |
|---|---|---|
| Kiadó | Debian illetve Canonical | Ondřej Surý magánszemélyként |
| Biztonsági közlemények | DSA, DLA, USN | e közlemények egyike sem |
| Verziók | kiadásonként egy ág | több ág párhuzamosan |
| Verziószám a javítás után | a Debian részben új upstream verzió, az Ubuntu többnyire a régi szám új csomagállapottal | általában az aktuális upstream verzió |
| Igazolás | közlemény és changelog | changelog és csomagverzió |

A vállalatok számára ez egy központi komponens esetében egyetlen magánszemélytől való függést jelent. Ez nem ok a tároló kerülésére, de ok arra, hogy tudatosan viseljék: felügyelettel, igazolással és egy B tervvel.

## A sury PHP-tároló a PHP2Shell után: az állapot ellenőrzése

Először tisztázza, hogy a szerver használja-e a surytt, és mely csomagokhoz. A parancsok kizárólag olvasnak.

```bash
# Be van jegyezve a sury csomagforrásként?
grep -rEl "sury|ondrej" /etc/apt/sources.list /etc/apt/sources.list.d/ 2>/dev/null

# Melyik forrásból származik a telepített csomag?
apt policy php8.3-fpm

# Telepített verzió és changelog-bejegyzés a CVE-kről
dpkg-query -W -f='${Package}\t${Version}\n' 'php*-fpm' 'libapache2-mod-php*' 2>/dev/null
zgrep -E "CVE-2026-10961[89]" /usr/share/doc/php8.3-fpm/changelog.Debian.gz
```

Az aktuális ágaknál a javítást általában a csomagnévben szereplő 8.5.12, 8.4.27, 8.3.36 vagy 8.2.35 upstream verzióról ismeri fel. A régi ágaknál, például a 7.4-nél vagy a 8.1-nél nincs hivatalos célverzió, ott a changelog-bejegyzés a legfontosabb bizonyíték. Ha hiányzik, kérdezzen rá a projekt issue trackerén, vagy kezelje a csomagot tisztázatlanként.

## Régi PHP-ágak a suryból: megtévesztő kényelem

A tároló megkönnyíti a PHP 7.4 vagy akár az 5.6 üzemeltetését egy aktuális Debianon. Beszámolók szerint ezekhez az ágakhoz is voltak buildek a PHP2Shell ellen. Ez a heves helyzetben hasznos, de csak eltolja az alapproblémát: a PHP-projekt ezeket az ágakat már nem gondozza, és a következő rés ismét eltalálja őket.

Aki ezen az úton tart életben egy régi alkalmazást, tegye fel magának őszintén a kérdést, meddig még. Hogy mi érvényes a PHP 8.1-re és a régebbiekre, azt a [PHP 8.1 és régebbi: mi érvényes most](https://phpsos.de/hu/php2shell/php-8-1-und-aelter/) oldal foglalja össze. A kereskedelmi alternatívákat és korlátaikat a [Hosszú távú támogatás régi PHP-verziókhoz](https://phpsos.de/hu/blog/langzeitsupport-alte-php-versionen/) írás ismerteti.

> **Fontos:**
> Ne keverje ellenőrizetlenül egy szerveren a disztribúcióból és a sury.org-ról származó PHP-csomagokat. A bővítmények és a könyvtárak közötti függőségek a következő frissítésnél váratlan csomagcserékhez vezethetnek.

## Javaslatok a surys üzemeltetéshez

1. **Dokumentálja**, mely szerverek használják a surytt, és mely ágakhoz.
2. **Rögzítse az eredetet**, például APT-pinninggel, hogy a PHP-csomagok csak egy forrásból érkezzenek.
3. **Figyelje a frissítéseket**, mert DSA vagy USN nélkül hiányzik a szokásos jelzés. Segít az `apt list --upgradable` rendszeres összevetése.
4. **Indítsa újra** minden frissítés után, minden telepített verzióra külön. Hogy hány fut párhuzamosan, azt a [Több PHP-verzió egy szerveren](https://phpsos.de/hu/blog/mehrere-php-versionen-server/) írás mutatja.
5. **Támogassa**, ha a vállalata a tárolóra van utalva. A projektoldal az adományokat és a kereskedelmi támogatást nevezi meg útként.

## Vissza a disztribúciós csomagokhoz?

Nem minden szerver, amely ma a surytt használja, szorul még rá. Gyakran évekkel ezelőtt kötötték be a tárolót, mert az akkori disztribúció csak régebbi PHP-verziót hozott magával. Mostanra például a Debian 13 trixie PHP 8.4-et szállít, amely a Debian Security Tracker szerint javított a PHP2Shell ellen. Ha az alkalmazása fut ezzel a verzióval, a visszaút megszüntetheti a harmadik féltől való függést.

A visszaút egy kis migrációs projekt. Először ellenőrizze, mely bővítményeket igényli az alkalmazás, és kínálja-e azokat a disztribúció. Tesztelje az alkalmazást a disztribúciós csomaggal egy másolaton, mielőtt eltávolítja a sury-forrást. Utána a biztonsági közlemények ismét a megszokott utakon érkeznek, az igazolás pedig DSA-ra vagy USN-re támaszkodik, nem kizárólag egy changelogra.

Ahol a disztribúcióénál újabb vagy régebbi verzió marad szükséges, a sury továbbra is értelmes választás. Akkor azonban a döntést tudatosan kell meghozni és dokumentálni.

## Hogyan segít konkrétan a PHP SOS?

- Megállapítjuk, hogy a szervereinek mely PHP-csomagjai származnak a sury.org-ról, a disztribúcióból vagy más forrásokból.
- Ágonként ellenőrizzük a PHP2Shell-állapotot a csomagverzión és a changelogon keresztül, és újraindítunk minden szolgáltatást.
- Pinninget és frissítésfelügyeletet állítunk be, és a nem már szükséges ágakat eltávolítjuk a [Szerverkeményítés](https://phpsos.de/hu/leistungen/server-haertung/) keretében.
- A régi ágakhoz megtervezzük az átállást egy támogatott verzióra.


## Gyakori kérdések

**Hivatalos Debian-tároló a sury-tároló?**  
Nem. Ondřej Surý üzemelteti, aki saját oldala szerint Debian-fejlesztőként régóta csomagolja a PHP-t a Debianhoz. Nem a Debian biztonsági archívuma, és a csomagjaihoz nincsenek Debian-biztonsági közlemények.

**Bocsátott rendelkezésre a sury.org csomagokat a PHP2Shell ellen?**  
Beszámolók szerint az 5.6-tól 8.5-ig terjedő összes ághoz rendelkezésre bocsátottak buildeket. Az állapotot ettől függetlenül ellenőrizze maga a szerverén a csomagverzión és a changelogon keresztül, mert a beszámolók nem helyettesítik az Ön rendszerére vonatkozó igazolást.

**Biztonságossá teszi a sury.org a régi PHP-verziókat?**  
Egy régi ághoz készült build bezárhat egy konkrét rést. Ezen nem változtat, hogy a PHP-projekt ezeket az ágakat már nem gondozza. A tartósan biztonságos üzemeltetéshez az átállás egy támogatott verzióra továbbra is szükséges.

**Hogyan tudom meg, hogy a szerverem használja-e a surytt?**  
Keressen az /etc/apt alatti csomagforrásokban a sury vagy ondrej szóra, és az apt policy segítségével ellenőrizze, melyik forrásból származnak a telepített PHP-csomagok.

## Források

- [DEB.SURY.ORG](https://deb.sury.org/)
- [Debian Security Tracker](https://security-tracker.debian.org/)
- [php.net: támogatott verziók](https://www.php.net/supported-versions.php)