Fil-qosor: Fuq RHEL, AlmaLinux u Rocky Linux tivverifikaw il-patch ta' PHP kontra PHP2Shell b'tliet modi: ir-rapporti tas-sigurtà tad-distribuzzjoni (dnf updateinfo), il-changelog tal-pakkett (rpm -q --changelog) u l-ħin tat-tluq tal-proċessi ta' PHP. Red Hat jelenka RHEL 7 sa 10 bħala affettwati u rrapporta fil-mument tal-konsultazzjoni li xi aġġornamenti huma disponibbli u oħrajn għaddejjin. Wara l-aġġornament jgħodd: restart sħiħ, mhux biss reload.
X'ippubblika Red Hat dwar PHP2Shell
Red Hat ħareġ dwar PHP2Shell il-bulletin tas-sigurtà RHSB-2026-013. Konsultajnih fil-25 ta' Ottubru 2026. L-aktar punti importanti għall-amministraturi:
- Affettwati huma RHEL 10, 9, 8 u 7 kif ukoll prodotti mibnija fuqhom u containers abbażi ta' images RHEL jew UBI.
- RHEL 7, skont Red Hat, huwa affettwat biss minn CVE-2026-109619; il-kodiċi għal CVE-2026-109618 ma jinsabx hemmhekk.
- Mhux affettwati huma sistemi mingħajr PHP jew mingħajr PHP li jipproċessa talbiet HTTP mhux fdati.
- Aġġornamenti: Xi wħud kienu disponibbli fil-mument tal-konsultazzjoni, oħrajn għaddejjin. Numri konkreti tal-errata l-bulletin ma semmiex, imma rrefera għall-paġni tal-errata.
Red Hat jivvaluta CVE-2026-109618 b'metodu proprju bħala “Important” u jirreferi li l-installazzjonijiet standard minn RHEL 8 'il quddiem jużaw PHP-FPM minflok mod_php. Din hija klassifikazzjoni, mhux ħlas mill-periklu. Il-proġett PHP jivvaluta ż-żewġ vulnerabbiltajiet b'CVSS v4.0 9,2, u l-BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni) jirrakkomanda aġġornament immedjat.
AlmaLinux u Rocky Linux: l-istess sors, ritmu proprju
AlmaLinux u Rocky Linux jibnu l-pakketti tagħhom mill-isorsi ta' Red Hat. Il-korrezzjonijiet għalhekk ġeneralment jaslu bl-istess kontenut, imma f'mument proprju u taħt rapporti tas-sigurtà proprji. Referenza għal errata ta' Red Hat ma tfissirx li l-pakkett huwa disponibbli l-istess jum fuq il-klon tagħkom.
Id-deċiżiv għalhekk huwa l-istat fuq is-sistema tagħkom. Ivverifikawh bl-għodod tal-ġestjoni tal-pakketti u mhux abbażi ta' aħbarijiet jew forums.
Oqogħdu attenti wkoll jekk fuq is-server jintużawx mirja jew sorsi interni tal-pakketti. F'ħafna negozji s-servers ma jieħdux l-aġġornamenti direttament mill-manifattur, imma permezz ta' mirja interna jew għodda ta' amministrazzjoni. Jekk din il-mirja ma tkunx attwali, dnf ma jsibx pakketti ġodda, għalkemm ilhom ippubblikati.
Verifika tal-patch ta' PHP fuq RHEL u l-klonijiet
Il-kmandi li ġejjin jaqraw biss. L-ismijiet tal-pakketti japplikaw għall-pakketti ta' PHP tad-distribuzzjoni; pakketti minn sorsi terzi bħal Remi spiss jissejħu differenti.
# Liema streams ta' PHP tafu s-sistema, liema huwa attiv? (RHEL 8 u 9)
dnf module list php
# Pakketti installati ta' PHP bil-verżjoni u l-oriġini
rpm -qa 'php*' --qf '%{NAME}-%{VERSION}-%{RELEASE} %{VENDOR}\n' | sort
# Hemm rapporti tas-sigurtà dwar is-CVE għal din is-sistema?
dnf updateinfo list --cve CVE-2026-109618
dnf updateinfo list --cve CVE-2026-109619
# Il-korrezzjoni tinsab fil-changelog tal-pakkett installat?
rpm -q --changelog php-fpm | grep -E "CVE-2026-10961[89]"
dnf updateinfo juri biss rapporti għal aġġornamenti li għadhom ma ġewx installati; b'--installed tarau wkoll dawk diġà installati. Riżultat vojt għalhekk jista' jfisser tnejn: L-aġġornament huwa diġà hemm jew għadu ma ġiex ippubblikat. Il-paragun tal-changelog iċċara dan. Kif tirreġistraw ir-riżultat bħala prova jiddeskrivih l-artikolu Prova tan-numri CVE fil-changelog tal-pakkett.
Bħal ma' distribuzzjonijiet oħra tan-negozji, il-pakkett ġeneralment iżomm il-verżjoni oriġinali ta' PHP; jinbidel biss l-indikazzjoni tar-release. Numru eqdem f'php -v għalhekk mhuwiex indikazzjoni ta' korrezzjoni nieqsa. Indikazzjonijiet ġenerali dwar il-verifika tal-verżjoni jinsabu taħt Iċċekkjar tal-verżjoni ta' PHP u tal-istat tal-patch sew.
Għarfu l-modalità t-tajba tat-tħaddim
Red Hat jisma l-modalitajiet standard tat-tħaddim: Minn RHEL 8 PHP jaħdem permezz ta' PHP-FPM, fuq RHEL 7 bħala mod_php fis-servizz Apache httpd. Ħafna servers jiddevjaw minn dan, pereżempju minħabba panels, sorsi barranin jew konfigurazzjonijiet qodma.
| Sistema | Standard skont Red Hat | Restart wara l-aġġornament |
|---|---|---|
| RHEL 8, 9, 10 u klonijiet | PHP-FPM | systemctl restart php-fpm |
| RHEL 7 | mod_php f'httpd | systemctl restart httpd |
| Containers fuq bażi RHEL jew UBI | skont l-image | Ibnu l-image mill-ġdid, ibdlu l-container |
Għal containers Red Hat jirrakkomanda, wara images bażiċi aġġornati, li l-images proprji jinbnew mill-ġdid u containers jew pods li jaħdmu jiġu sostitwiti. Aġġornament fil-container li jaħdem mhuwiex triq affidabbli.
Wara l-aġġornament: restart u kontroll
Red Hat jenfasizza li reload mhuwiex biżżejjed. Workers eżistenti jistgħu jżommu l-istat affettwat. Erġgħu ibdew għalhekk kull servizz li jgħabbi PHP u kkontrollaw ir-riżultat:
# Uri servizzi b'librerija skaduta (dnf-utils jew dnf-plugins-core)
needs-restarting -s
# Qabblu l-ħin tat-tluq tal-proċessi ta' PHP mal-mument tal-aġġornament
ps -eo pid,lstart,cmd | grep -E "[p]hp-fpm|[h]ttpd"
Għall-konfigurazzjoni Red Hat għandu indikazzjoni prattika: php -i juri l-issettjar tal-linja tal-kmand, mhux dak tas-server tal-web. Min irid jivverifika jekk valuri temporanji bħal session.upload_progress.enabled=0 japplikawx fil-kuntest tal-web juża għal ftit żmien paġna phpinfo protetta u jħassarha wara. X'aktar għandu jiġi kkunsidrat fir-restart jinsab taħt Restart ta' PHP-FPM u tal-workers kollha.
Miżuri temporanji: l-indikazzjonijiet ta' Red Hat
Fejn l-aġġornament għadu nieqes, Red Hat jirreferi għall-istess miżuri temporanji bħal php.net u jżid xi indikazzjonijiet prattiċi għas-sistemi RHEL. Ma jissostitwux l-aġġornament.
- Żidu tassew il-linja: Skont Red Hat, il-linja għal
session.upload_progress.enabledfil-konfigurazzjoni kkonsenjata hija kommentata, il-funzjoni għalhekk hija attiva b'mod standard. Il-valur0irid jiġi ssettjat espliċitament. - Issettjaw b'mod mhux sostitwibbli: permezz ta'
php_admin_valuefil-pool PHP-FPM, b'mod_php fil-konfigurazzjoni ta' Apache. Mhux permezz ta'ini_set()jew.user.ini. - Fittxu l-avversarji: Red Hat jirrakkomanda li fajls
.htaccess, VirtualHosts u fajls.user.inijiġu vverifikati jekk jerġgħux jixegħlu l-issettjar affettwat. - Poġġu limiti wkoll quddiem: Minbarra
post_max_sizef'PHP, Red Hat jagħti parir li jiġu kkunsidrati limiti għad-daqs tat-talba wkoll fis-server tal-web jew fil-proxy.
Fuq sistemi PHP-FPM il-pools ġeneralment jinsabu taħt /etc/php-fpm.d/. Wara kull bidla jgħodd l-istess bħal wara l-aġġornament: erġgħu ibdew il-workers kollha kompletament.
Jekk fuq l-istess server jaħdem addizzjonalment PHP mir-repository Remi, għalih japplikaw pakketti u servizzi proprji. Aqraw dwar dan l-artikolu Ir-repository Remi.
Kif tgħin PHP SOS b'mod konkret?
- Fuq RHEL, AlmaLinux u Rocky Linux nivverifikaw il-pakketti kollha ta' PHP, streams u sorsi barranin u nqabbluhom mar-rapporti tas-sigurtà.
- Ninstallaw aġġornamenti, nerġgħu nibdew il-workers kollha kompletament u nikkontrollaw il-ħinijiet tat-tluq tal-proċessi.
- Għal ambjenti ta' containers nibnu images mill-ġdid u nibdlu istanzi li jaħdmu b'mod ikkontrollat.
- L-istat għal kull server nirreġistrawh fil-prova tal-Patch Service ta' PHP.
Mistoqsijiet frekwenti
RHEL 7 huwa affettwat minn PHP2Shell?
Skont Red Hat, RHEL 7 huwa affettwat biss minn CVE-2026-109619, il-kodiċi vulnerabbli għal CVE-2026-109618 ma jeżistix hemmhekk. Fuq RHEL 7 mod_php huwa l-modalità standard tat-tħaddim, li t-tim ta' PHP jikklassifika bħala partikolarment riskjuża.
Għaliex Red Hat jivvaluta l-vulnerabbiltà iżgħar minn php.net?
Red Hat juża valutazzjoni proprja skont CVSS v3.1 u jikklassifika CVE-2026-109618 bħala Important, għax is-sfruttament jeħtieġ timing eżatt. php.net jivvaluta b'CVSS v4.0 9,2. It-tnejn iqisu possibbli eżekuzzjoni ta' kodiċi mingħajr login, l-aġġornament huwa meħtieġ fi kwalunkwe każ.
AlmaLinux u Rocky Linux jirċievu l-korrezzjonijiet awtomatikament?
It-tnejn jibnu l-pakketti tagħhom mill-isorsi ta' Red Hat u jippubblikaw rapporti tas-sigurtà proprji. Il-mument jista' jkun differenti minn dak ta' Red Hat. Għalhekk ivverifikaw l-istat fuq is-sistema proprja u fir-rapporti tad-distribuzzjoni tagħkom.
systemctl reload php-fpm huwa biżżejjed wara l-aġġornament?
Le. Red Hat jindika espliċitament li reload mhuwiex biżżejjed, għax workers eżistenti jistgħu jżommu l-istat affettwat. Erġgħu ibdew il-workers kollha, b'mod_php is-servizz Apache httpd.