Kort gezegd: De sury PHP-repository is een wijdverbreide externe bron voor PHP-pakketten onder Debian (packages.sury.org) en Ubuntu (PPA ondrej/php). Hij maakt meerdere PHP-versies naast elkaar mogelijk en nieuwere takken dan de distributie. Na PHP2Shell zijn daar volgens berichten builds beschikbaar gesteld voor alle takken van 5.6 tot 8.5. Het bewijs voor uw server leveren echter alleen pakketstand en changelog, niet de beveiligingsmeldingen van Debian of Ubuntu.
Wat de sury-repository is
Achter sury.org staat Ondřej Surý. Volgens zijn projectpagina verpakt hij als Debian-ontwikkelaar sinds PHP 5 de PHP-pakketten voor Debian, en de officiële PHP-pakketten van Debian en Ubuntu berusten op zijn werk. Naast dat werk beheert hij een eigen repository met PHP-pakketten die naast elkaar kunnen worden geïnstalleerd.
Voor Debian staat de repository onder packages.sury.org, voor Ubuntu wordt hij aangeboden als PPA ondrej/php. Fouten worden volgens de projectpagina gemeld via een issue-tracker op Codeberg, niet per e-mail. Het onderhoud gebeurt naar eigen zeggen vooral in de vrije tijd; voor oudere distributieversies bestaat een commercieel aanbod via Freexian.
Veel beheerders en hostingproviders gebruiken de repository omdat hij nieuwere PHP-takken biedt dan de distributie meebrengt, of omdat toepassingen een bepaalde versie nodig hebben.
Wat hem van de Debian-pakketten onderscheidt
Het belangrijkste verschil voor de beveiliging: pakketten van sury.org vallen niet onder de beveiligingsmeldingen van Debian of Ubuntu. De Debian Security Tracker toont alleen de stand van de officiële pakketten. Staat daar dat php8.4 in trixie is gecorrigeerd, dan zegt dat niets over een php8.4 van sury.org op dezelfde server.
| Kenmerk | Officiële Debian- en Ubuntu-pakketten | sury.org |
|---|---|---|
| Uitgever | Debian resp. Canonical | Ondřej Surý als particulier |
| Beveiligingsmeldingen | DSA, DLA, USN | geen van deze meldingen |
| Versies | één tak per release | meerdere takken naast elkaar |
| Versienummer na fix | Debian deels nieuwe upstreamversie, Ubuntu meestal oud nummer met nieuwe pakketstand | in de regel actuele upstreamversie |
| Bewijs | Melding en changelog | Changelog en pakketversie |
Voor bedrijven betekent dit een afhankelijkheid van een particulier voor een centrale component. Dat is geen reden de repository te mijden, wel een reden hem bewust te dragen: met bewaking, bewijs en een plan B.
sury PHP-repository na PHP2Shell: stand controleren
Eerst stelt u vast of en voor welke pakketten de server sury gebruikt. De opdrachten zijn uitsluitend lezend.
# Is sury als pakketbron geregistreerd?
grep -rEl "sury|ondrej" /etc/apt/sources.list /etc/apt/sources.list.d/ 2>/dev/null
# Uit welke bron komt het geïnstalleerde pakket?
apt policy php8.3-fpm
# Geïnstalleerde versie en changelog-vermelding bij de CVE's
dpkg-query -W -f='${Package}\t${Version}\n' 'php*-fpm' 'libapache2-mod-php*' 2>/dev/null
zgrep -E "CVE-2026-10961[89]" /usr/share/doc/php8.3-fpm/changelog.Debian.gz
Bij actuele takken herkent u de fix in de regel aan de upstreamversie 8.5.12, 8.4.27, 8.3.36 of 8.2.35 in de pakketnaam. Bij oude takken zoals 7.4 of 8.1 bestaat geen officiële doelversie; daar is de changelog-vermelding het belangrijkste bewijs. Ontbreekt die, vraag dan via de issue-tracker van het project na of behandel het pakket als onopgehelderd.
Oude PHP-takken van sury: een bedrieglijk gemak
De repository maakt het eenvoudig PHP 7.4 of zelfs 5.6 op een actueel Debian te draaien. Volgens berichten waren er ook voor deze takken builds tegen PHP2Shell. Dat is voor de acute situatie nuttig, maar verschuift het kernprobleem alleen: het PHP-project onderhoudt deze takken niet meer, en het volgende lek treft ze weer.
Wie op deze manier een oude toepassing in leven houdt, moet zich eerlijk afvragen hoe lang nog. Wat voor PHP 8.1 en ouder geldt, vat de pagina PHP 8.1 en ouder: wat nu geldt samen. Commerciële alternatieven met hun grenzen beschrijft de bijdrage Langetermijnondersteuning voor oude PHP-versies.
Meng op één server niet ongecontroleerd PHP-pakketten uit de distributie en van sury.org. Afhankelijkheden tussen extensies en bibliotheken kunnen bij de volgende update tot onverwachte pakketwisselingen leiden.
Aanbevelingen voor het bedrijf met sury
- Documenteren welke servers sury gebruiken en voor welke takken.
- Herkomst vastleggen, bijvoorbeeld via APT-pinning, zodat PHP-pakketten uit één bron komen.
- Updates bewaken, want zonder DSA of USN ontbreekt de gebruikelijke aanwijzing. Een regelmatige vergelijking van
apt list --upgradablehelpt. - Herstarten na elke update, voor elke geïnstalleerde versie afzonderlijk. Hoeveel er parallel draaien, toont de bijdrage Meerdere PHP-versies op één server.
- Ondersteunen als uw bedrijf op de repository is aangewezen. De projectpagina noemt donaties en commerciële support als wegen.
Terug naar de distributiepakketten?
Niet elke server die vandaag sury gebruikt, heeft hem nog nodig. Vaak is de repository jaren geleden ingebonden, omdat de toenmalige distributie maar een oudere PHP-versie meebracht. Inmiddels levert bijvoorbeeld Debian 13 trixie PHP 8.4 uit, dat volgens de Debian Security Tracker tegen PHP2Shell is gecorrigeerd. Als uw toepassing met die versie draait, kan de weg terug de afhankelijkheid van een externe bron beëindigen.
De weg terug is een klein migratieproject. Controleer eerst welke extensies de toepassing nodig heeft en of de distributie ze aanbiedt. Test de toepassing met het distributiepakket op een kopie voordat u de sury-bron verwijdert. Daarna komen beveiligingsmeldingen weer via de gebruikelijke wegen, en het bewijs steunt op DSA of USN in plaats van alleen op een changelog.
Waar een nieuwere of oudere versie nodig blijft dan die van de distributie, is sury nog steeds een zinvolle keuze. Dan moet de beslissing echter bewust worden genomen en gedocumenteerd.
Hoe helpt PHP SOS concreet?
- Wij stellen vast welke PHP-pakketten op uw servers van sury.org, uit de distributie of uit andere bronnen komen.
- Wij controleren de PHP2Shell-stand per tak via pakketversie en changelog en herstarten alle services.
- Wij richten pinning en updatebewaking in en verwijderen niet meer benodigde takken in het kader van de serverhardening.
- Voor oude takken plannen wij de overstap naar een ondersteunde versie.
Veelgestelde vragen
Is de sury-repository een officiële Debian-repository?
Nee. Hij wordt beheerd door Ondřej Surý, die volgens zijn eigen site als Debian-ontwikkelaar al lang PHP voor Debian verpakt. Het is echter niet het beveiligingsarchief van Debian, en voor zijn pakketten bestaan geen Debian-beveiligingsmeldingen.
Heeft sury.org pakketten tegen PHP2Shell beschikbaar gesteld?
Volgens berichten zijn er builds beschikbaar gesteld voor alle takken van 5.6 tot 8.5. Controleer de stand op uw server toch zelf via pakketversie en changelog, want de berichten vervangen geen bewijs voor uw systeem.
Maakt sury.org oude PHP-versies weer veilig?
Een build voor een oude tak kan een concreet lek dichten. Hij verandert niets aan het feit dat het PHP-project deze takken niet meer onderhoudt. Voor duurzaam veilig bedrijf blijft de overstap naar een ondersteunde versie nodig.
Hoe ontdek ik of mijn server sury gebruikt?
Zoek in de pakketbronnen onder /etc/apt naar sury of ondrej en controleer met apt policy uit welke bron de geïnstalleerde PHP-pakketten komen.