Īsi sakot: Plesk PHP handler nosaka, kā PHP vietnei darbojas: kā FPM lietojumprogramma ar kopīgu pūlu, kā Dedicated FPM ar atsevišķu pūlu katrai vietnei, kā FastCGI lietojumprogramma vai kā Apache modulis (mod_php). Drošības ziņā Linux sistēmās parasti labākā izvēle ir Dedicated FPM, sliktākā ir Apache modulis. Plesk pats to raksturo kā novecojušu, attiecīgi nedrošu, un PHP2Shell gadījumā PHP komanda tieši mod_php saskata augstāko risku.
Kāpēc handler ir vairāk nekā veiktspējas jautājums
Plesk katrai vietnei izvēlaties PHP versiju un handler. Daudzi handler uztver kā detaļu veiktspējai un atmiņai. Taču tas nosaka arī to, cik stipri vietnes ir nošķirtas viena no otras, kur darbojas drošības iestatījumi un kuri procesi pēc atjauninājuma jāpārstartē.
Pēc PHP2Shell šī izvēle kļūst konkrēta. Ievainojamības CVE-2026-109618 un CVE-2026-109619 skar visus ierastos darbības režīmus, taču PHP komanda risku mod_php gadījumā vērtē visaugstāk. Kas savā Plesk serverī vēl darbina domēnus ar Apache moduli, to tagad vajadzētu mainīt. Kā pārbaudīt versijas un ielāpot, apraksta lapa Plesk serveris: PHP versiju pārbaude un ielāpošana; šeit runa ir par darbības režīma izvēli.
Plesk PHP handler pārskats
Šis pārskats balstās uz Plesk dokumentāciju Plesk Obsidian, papildināts ar drošības skatījumu. Linux sistēmās FPM handler saskaņā ar Plesk var piegādāt pēc izvēles caur Apache vai nginx, FastCGI vienmēr caur Apache.
| Handler | Piegādāts caur | Izolācija | Ieteikums saskaņā ar Plesk | Drošības skatījums |
|---|---|---|---|---|
| Dedicated FPM application | Apache vai nginx | savs pūls katrai vietnei | Linux ar koplietošanas hostingu | labākā nošķiršana, savas vērtības katram pūlam |
| FPM application | Apache vai nginx | kopīgs pūls katrai PHP versijai | dedicēti Linux serveri | kļūdaina vietne var traucēt citas ar to pašu versiju |
| FastCGI application | Apache (Linux) | pastāvīgi procesi, laba nošķiršana | Windows serveri | stabils, Linux sistēmās parasti nomainīts ar FPM |
| Apache module (mod_php) | Apache | PHP tīmekļa servera procesā | nav ieteicams | augstākais PHP2Shell risks saskaņā ar PHP komandu |
| CGI application | Apache | jauns process katram pieprasījumam | nav ieteicams | novecojis |
Fonu par pašiem darbības režīmiem izskaidro lapas PHP-FPM paskaidrojums un Kāpēc mod_php nes augstāko risku.
Kopīgs vai savs pūls?
Atšķirība starp FPM un Dedicated FPM bieži tiek nenovērtēta. Parastā FPM handler gadījumā saskaņā ar Plesk visas vietnes ar vienu un to pašu PHP versiju dala vienu procesu pūlu. Tas ietaupa atmiņu, taču nozīmē arī: vietne, kas rada problēmas, var ievilkt līdzi visas pārējās ar to pašu versiju, un kopīgā kešatmiņa tiek dalīta.
Dedicated FPM katrai vietnei piešķir savu pūlu. Saskaņā ar Plesk tas uzlabo izolāciju un veiktspēju, bet patērē vairāk atmiņas. Drošības ziņā savs pūls ir pamats, lai iestatījumus, piemēram, open_basedir, atmiņas ierobežojumus vai augšupielādes limitus, varētu iestatīt katrai vietnei atsevišķi. Kā pūlus konsekventi nodalīt, apraksta raksts PHP-FPM pūlu izolēšana katrai vietnei.
nginx vai Apache: .htaccess lamatas
Izvēloties handler, kas tiek piegādāts caur nginx, mainās kaut kas būtisks: saskaņā ar Plesk šie handler ignorē .htaccess failu. Kas tur rakstīts, vairs nedarbojas.
Tas ir drošības jautājums. Daudzas lietojumprogrammas un administratori aizsardzības noteikumus glabā .htaccess, piemēram, aizliegumu izpildīt PHP failus augšupielāžu mapēs vai bloķēšanu konfigurācijas failiem. Pēc pārejas uz nginx šie noteikumi klusi zaudē spēku. Tāpēc pirms maiņas pārbaudiet, kādi aizsardzības noteikumi ir .htaccess, un pārnesiet tos domēna nginx konfigurācijā.
Handler maiņa ir izmaiņa drošības konfigurācijā. Pēc tās mērķtiecīgi pārbaudiet, vai bloķētie ceļi joprojām ir bloķēti, nevis tikai to, vai ielādējas sākumlapa.
Handler pārbaude un pārslēgšana
Vispirms gūstiet pārskatu, kuri domēni kādu handler izmanto. Komandas tikai lasa.
# Visi reģistrētie handler ar ID, versiju un tipu
plesk bin php_handler --list
# Domēni, kas izmanto noteiktu handler (ID no saraksta)
plesk bin php_handler --get-usage -id <handler-id>
# Vai PHP darbojas Apache procesā? (Debian/Ubuntu: apache2ctl, RHEL saime: httpd)
apache2ctl -M 2>/dev/null | grep -i php
Pārslēgšanai rīkojieties domēns pa domēnam:
- Aizsardzības noteikumus no
.htaccessapkopot, ja jaunais handler tiek piegādāts caur nginx. - Pagaidu vērtības pret PHP2Shell, piemēram,
session.upload_progress.enabled=0, iestatīt jaunajam handler. FPM gadījumā tās kāphp_admin_valuejāieraksta pūla papildu direktīvās, FastCGI gadījumā darbojas citi ceļi. - Handler mainīt domēna PHP iestatījumos, pēc iespējas vispirms uz kopijas.
- Pārbaudīt funkcijas un pārliecināties, ka domēnu apkalpo procesi ar aktuālu kodu.
- Ja Apache moduli vairs neizmanto neviens domēns, handler deaktivizēt.
Kādā secībā pārslēgt?
Izaugušā Plesk serverī reti izdodas visu pārslēgt vienā dienā. Secība pēc riska palīdz saprātīgi izmantot ierobežoto laiku:
- Vispirms domēni ar Apache moduli, jo tur PHP2Shell risks saskaņā ar PHP komandu ir visaugstākais un Plesk jau tā neiesaka.
- Pēc tam domēni ar sensitīviem datiem, piemēram, veikali, klientu portāli vai veidlapas ar veselības vai līgumu datiem. Šeit savs pūls ir īpaši vērtīgs.
- Pēc tam domēni ar vecām PHP versijām, kas tāpat jāpārslēdz. Handler un versiju var mainīt kopā vienā uzturēšanas logā.
- Pēdējā kārtā pāreja no kopīga uz savu pūlu pārējiem domēniem, ja servera atmiņa to atļauj.
Pirms pēdējā posma pārbaudiet atmiņas noslodzi. Plesk norāda, ka Dedicated FPM vajag vairāk atmiņas, un daudzu vietņu gadījumā iesaka uzraudzību. Serveris, kas pēc pārslēgšanas sāk izmantot swap, kļūst lēns, un trūcīga atmiņa tieši PHP2Shell gadījumā nav labs stāvoklis.
Kā PHP SOS palīdz konkrēti?
- Mēs apzinām, kuri domēni jūsu Plesk serverī kādu handler izmanto, un atzīmējam domēnus ar Apache moduli.
- Mēs pārejam uz Dedicated FPM un, kur nepieciešams, pārnesam aizsardzības noteikumus no
.htaccessuz nginx konfigurāciju. - Mēs iestatām pagaidu vērtības un ierobežojumus katram pūlam un pārbaudām, ka tie darbojas tīmekļa kontekstā.
- Servera nostiprināšanas ietvaros mēs deaktivizējam novecojušus handler un dokumentējam konfigurāciju.
Biežāk uzdotie jautājumi
Kuru PHP handler iesaka Plesk?
Saskaņā ar Plesk dokumentāciju FPM ir ieteicamais handler dedicētos Linux serveros, Dedicated FPM Linux serveros koplietošanas hostingam un FastCGI Windows serveros. Apache moduli, CGI un ISAPI Plesk raksturo kā ļoti novecojušus, attiecīgi nedrošus.
Kāpēc handler Apache modulis pēc PHP2Shell ir īpaši kritisks?
Handler atbilst mod_php. PHP komanda PHP2Shell risku mod_php gadījumā vērtē visaugstāk, jo tur tika demonstrēts exploit, vēl pirms tiek izpildīts lietojumprogrammas kods. Turklāt pats Plesk šo handler neiesaka.
Kas mainās, ja PHP tiek piegādāts caur nginx, nevis Apache?
Saskaņā ar Plesk handler, kas tiek piegādāti caur nginx, ignorē .htaccess failu. Tur ierakstītie drošības noteikumi, piemēram, PHP bloķēšana augšupielāžu mapēs, tad vairs nedarbojas, un tie jāpārnes uz nginx noteikumiem.
Vai pēc handler maiņas PHP jāpārstartē?
Pēc maiņas pārbaudiet, kādi PHP procesi domēnam darbojas un kopš kura laika. Dedicated FPM gadījumā domēns saņem savu pūlu. Vecam procesam ar novecojušu kodu pēc tam vairs nevajadzētu strādāt domēna labā.
Vai Dedicated FPM vienmēr ir labākā izvēle?
Izolācijai jā, jo katra vietne saņem savu pūlu. Cena ir lielāks atmiņas patēriņš. Plesk iesaka serverus ar daudzām vietnēm šajā ziņā uzraudzīt.