Īsi sakot: sury PHP repozitorijs ir plaši izplatīts trešās puses avots PHP pakotnēm Debian (packages.sury.org) un Ubuntu (PPA ondrej/php). Tas ļauj blakus uzstādīt vairākas PHP versijas un nodrošina jaunākus atzarus nekā distributīvs. Pēc PHP2Shell tur saskaņā ar ziņojumiem tika nodrošināti būvējumi visiem atzariem no 5.6 līdz 8.5. Apliecinājumu jūsu serverim tomēr dod tikai pakotnes stāvoklis un changelog, nevis Debian vai Ubuntu drošības paziņojumi.
Kas ir sury repozitorijs
Aiz sury.org stāv Ondřej Surý. Saskaņā ar viņa projekta lapu viņš kā Debian izstrādātājs kopš PHP 5 pakotņo Debian PHP pakotnes, un oficiālās Debian un Ubuntu PHP pakotnes balstās uz viņa darbu. Līdzās šim darbam viņš uztur savu repozitoriju ar PHP pakotnēm, kuras var instalēt paralēli.
Debian repozitorijs atrodas packages.sury.org, Ubuntu to piedāvā kā PPA ondrej/php. Kļūdas saskaņā ar projekta lapu tiek ziņotas caur issue tracker Codeberg, nevis pa e-pastu. Uzturēšana pēc paša teiktā notiek pārsvarā brīvajā laikā; vecākām distributīvu versijām ir komerciāls piedāvājums caur Freexian.
Daudzi administratori un hostinga sniedzēji repozitoriju izmanto, jo tas piedāvā jaunākus PHP atzarus, nekā nāk līdzi distributīvam, vai tāpēc, ka lietojumprogrammām vajadzīga noteikta versija.
Kas to atšķir no Debian pakotnēm
Svarīgākā atšķirība drošībai: pakotnes no sury.org neietilpst Debian vai Ubuntu drošības paziņojumos. Debian Security Tracker rāda tikai oficiālo pakotņu stāvokli. Ja tur ir rakstīts, ka php8.4 trixie ir labota, tas neko neizsaka par php8.4 no sury.org tajā pašā serverī.
| Pazīme | Oficiālās Debian un Ubuntu pakotnes | sury.org |
|---|---|---|
| Izdevējs | Debian, attiecīgi Canonical | Ondřej Surý kā fiziska persona |
| Drošības paziņojumi | DSA, DLA, USN | neviens no šiem paziņojumiem |
| Versijas | viens atzars katram laidienam | vairāki atzari paralēli |
| Versijas numurs pēc labojuma | Debian daļēji jauna upstream versija, Ubuntu parasti vecs numurs ar jaunu pakotnes stāvokli | parasti aktuālā upstream versija |
| Apliecinājums | Paziņojums un changelog | Changelog un pakotnes versija |
Uzņēmumiem tas nozīmē atkarību no fiziskas personas attiecībā uz centrālu komponenti. Tas nav iemesls repozitoriju izvairīties, bet ir iemesls šo atkarību nest apzināti: ar uzraudzību, apliecinājumu un plānu B.
sury PHP repozitorijs pēc PHP2Shell: pārbaudīt stāvokli
Vispirms noskaidrojiet, vai un kurām pakotnēm serveris izmanto sury. Komandas tikai lasa.
# Vai sury ir ierakstīts kā pakotņu avots?
grep -rEl "sury|ondrej" /etc/apt/sources.list /etc/apt/sources.list.d/ 2>/dev/null
# No kura avota nāk instalētā pakotne?
apt policy php8.3-fpm
# Instalētā versija un changelog ieraksts par CVE
dpkg-query -W -f='${Package}\t${Version}\n' 'php*-fpm' 'libapache2-mod-php*' 2>/dev/null
zgrep -E "CVE-2026-10961[89]" /usr/share/doc/php8.3-fpm/changelog.Debian.gz
Aktuālajiem atzariem labojumu parasti atpazīstat pēc upstream versijas 8.5.12, 8.4.27, 8.3.36 vai 8.2.35 pakotnes nosaukumā. Vecajiem atzariem, piemēram, 7.4 vai 8.1, oficiālas mērķa versijas nav, tur changelog ieraksts ir svarīgākais pierādījums. Ja tā nav, pajautājiet caur projekta issue tracker vai uzskatiet pakotni par neskaidru.
Vecie PHP atzari no sury: maldinošs komforts
Repozitorijs atvieglo PHP 7.4 vai pat 5.6 darbināšanu aktuālā Debian. Saskaņā ar ziņojumiem arī šiem atzariem bija būvējumi pret PHP2Shell. Akūtajā situācijā tas ir noderīgi, bet pamata problēmu tikai atliek: PHP projekts šos atzarus vairs neuztur, un nākamā ievainojamība tos atkal trāpīs.
Kas šādā veidā uztur dzīvu veco lietojumprogrammu, tam jāvaicā sev godīgi, cik ilgi vēl. Kas ir spēkā PHP 8.1 un vecākām, apkopo lapa PHP 8.1 un vecākas: kas tagad ir spēkā. Komerciālas alternatīvas ar to ierobežojumiem apraksta raksts Ilgtermiņa atbalsts vecām PHP versijām.
Nemaisiet vienā serverī nekontrolēti PHP pakotnes no distributīva un no sury.org. Atkarības starp paplašinājumiem un bibliotēkām nākamā atjauninājuma laikā var novest pie negaidītām pakotņu maiņām.
Ieteikumi darbībai ar sury
- Dokumentēt, kuri serveri izmanto sury un kuriem atzariem.
- Noteikt izcelsmi, piemēram, ar APT pinning, lai PHP pakotnes nāktu tikai no viena avota.
- Uzraudzīt atjauninājumus, jo bez DSA vai USN trūkst parastās norādes. Palīdz regulārs
apt list --upgradablesalīdzinājums. - Pārstartēt pēc katra atjauninājuma, katrai instalētajai versijai atsevišķi. Cik daudzas darbojas paralēli, rāda raksts Vairākas PHP versijas vienā serverī.
- Atbalstīt, ja jūsu uzņēmums ir atkarīgs no repozitorija. Projekta lapa kā ceļus min ziedojumus un komerciālu atbalstu.
Atpakaļ pie distributīva pakotnēm?
Ne katram serverim, kas šodien izmanto sury, tas vēl ir vajadzīgs. Bieži repozitorijs tika pieslēgts pirms gadiem, jo toreizējais distributīvs nesa līdzi tikai vecāku PHP versiju. Tagad, piemēram, Debian 13 trixie piegādā PHP 8.4, kas saskaņā ar Debian Security Tracker ir labota pret PHP2Shell. Ja jūsu lietojumprogramma ar šo versiju darbojas, atgriešanās ceļš var beigt atkarību no trešā avota.
Atgriešanās ceļš ir neliels migrācijas projekts. Vispirms pārbaudiet, kādus paplašinājumus lietojumprogramma prasa un vai distributīvs tos piedāvā. Pārbaudiet lietojumprogrammu ar distributīva pakotni kopijā, pirms noņemat sury avotu. Pēc tam drošības paziņojumi atkal nāk ierastajos ceļos, un apliecinājums balstās uz DSA vai USN, nevis tikai uz changelog.
Kur nepieciešama jaunāka vai vecāka versija nekā distributīvam, sury joprojām ir saprātīga izvēle. Tad lēmumam gan jābūt apzinātam un dokumentētam.
Kā PHP SOS palīdz konkrēti?
- Mēs noskaidrojam, kuras PHP pakotnes jūsu serveros nāk no sury.org, no distributīva vai no citiem avotiem.
- Mēs pārbaudām PHP2Shell stāvokli katram atzaram ar pakotnes versiju un changelog un pārstartējam visus pakalpojumus.
- Mēs ierīkojam pinning un atjauninājumu uzraudzību un noņemam vairs nevajadzīgos atzarus serveru nostiprināšanas ietvaros.
- Veciem atzariem mēs plānojam pāreju uz atbalstītu versiju.
Biežāk uzdotie jautājumi
Vai sury repozitorijs ir oficiāls Debian repozitorijs?
Nē. To uztur Ondřej Surý, kurš saskaņā ar savu lapu kā Debian izstrādātājs jau ilgi pakotņo PHP Debian. Taču tas nav Debian drošības arhīvs, un tā pakotnēm Debian drošības paziņojumu nav.
Vai sury.org ir nodrošinājis pakotnes pret PHP2Shell?
Saskaņā ar ziņojumiem tika nodrošināti būvējumi visiem atzariem no 5.6 līdz 8.5. Stāvokli savā serverī tomēr pārbaudiet pats ar pakotnes versiju un changelog, jo ziņojumi neaizstāj apliecinājumu jūsu sistēmai.
Vai sury.org padara vecās PHP versijas atkal drošas?
Būvējums vecam atzaram var aizvērt konkrētu ievainojamību. Tas nemaina to, ka PHP projekts šos atzarus vairs neuztur. Pastāvīgi drošai darbībai joprojām nepieciešama pāreja uz atbalstītu versiju.
Kā noskaidrot, vai mans serveris izmanto sury?
Meklējiet pakotņu avotos zem /etc/apt vārdu sury vai ondrej un ar apt policy pārbaudiet, no kura avota nāk instalētās PHP pakotnes.