Krótko: Na serwerach z CloudLinux strony często nie działają na standardowym PHP, lecz na alt-php, czyli własnych pakietach dla każdej wersji PHP, które klienci wybierają przez PHP Selector. Przeciw PHP2Shell operator serwera musi zaktualizować osobno każdą zainstalowaną wersję alt-php i zrestartować wszystkie procesy PHP. Jako klient hostingu wyjaśniają Państwo, jakiej wersji używa Państwa konto, i każą sobie pisemnie potwierdzić jej stan poprawek.
Dlaczego CloudLinux przy PHP2Shell to osobne pytanie
Wielu dostawców hostingu współdzielonego stosuje CloudLinux, system operacyjny z Linuxem, który rozdziela od siebie tysiące kont klientów na jednym serwerze. Dla operatorów stron jest to zwykle niewidoczne. Staje się widoczne dopiero wtedy, gdy pojawia się luka w samym interpreterze PHP, jak przy PHP2Shell z CVE-2026-109618 i CVE-2026-109619.
Powód: na takich serwerach często obok siebie istnieje kilka źródeł PHP. Obok PHP systemu operacyjnego i, w cPanel, pakietów ea-php, są pakiety alt-php od CloudLinux. Każde źródło ma własny stan pakietów. To, że jedno z nich jest załatane, nic nie mówi o pozostałych.
Dla agencji i firm z kilkoma kontami u tego samego dostawcy hostingu dochodzi drugi punkt: każda strona może używać innej wersji, ponieważ ktoś lata temu przestawił ją w panelu klienta. Pojedyncze zapytanie o „PHP” dostawcy jest więc niewystarczające. Sensowna jest lista wszystkich domen z wybraną w każdej wersją.
Czym są alt-php i PHP Selector
Według dokumentacji CloudLinux PHP Selector udostępnia alternatywne wersje PHP, czyli pakiety alt-php. Leżą w /opt/alt/phpXX/, na przykład /opt/alt/php83/ dla PHP 8.3, każda z własnym php.ini. Dokumentacja wymienia wersje od 5.1 do 8.5, zależnie od wersji CloudLinux na serwerze.
Klienci wybierają wersję sami, w cPanel zwykle przez „Select PHP Version”. Technicznie wymaga to CageFS, rodzaju odizolowanego systemu plików dla każdego konta. Według dokumentacji Selector współpracuje z suPHP, mod_fcgid, CGI i LiteSpeed; Apache z mod_php nie obsługuje CageFS.
| Pojęcie | Znaczenie dla Państwa |
|---|---|
| CloudLinux | system operacyjny dostawcy hostingu, rozdziela konta klientów |
| CageFS | własny, odizolowany system plików dla każdego konta |
| alt-php | pakiety PHP od CloudLinux, po jednym dla każdej wersji |
| PHP Selector | wybór wersji alt-php i poszczególnych opcji w panelu klienta |
CloudLinux alt-php i PHP2Shell: co jest udowodnione, a co pozostaje otwarte
Udowodnione jest: poprawione wersje PHP to 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Dla PHP 8.1 i starszych projekt PHP nie wydaje już oficjalnych aktualizacji, tylko minimalne backporty w kodzie źródłowym dla 7.4, 8.0 i 8.1. Według prasy fachowej dotknięte są niemal wszystkie wersje aż do PHP 5.4.
Otwarte pozostaje w znanych nam źródłach, dla których wersji alt-php CloudLinux dostarcza już załatane pakiety. Zwłaszcza przy starych gałęziach, jak 5.6 czy 7.4, które Selector nadal oferuje, liczy się więc wyłącznie oświadczenie dostawcy. Backporty mogą być zainstalowane bez zmiany wyświetlanego numeru wersji.
Szczególny przypadek dotyczy serwerów cPanel z komercyjnym wsparciem długoterminowym: według dokumentacji cPanel TuxCare, marka CloudLinux, dostarcza załatane pakiety dla wygasłych wersji PHP jako alt-php. Kto tam został przestawiony z ea-php74 na alt-php74, zdany jest na tę drogę. Więcej w artykule Wsparcie długoterminowe dla starych wersji PHP.
Te pytania warto teraz zadać dostawcy hostingu
Jako klient nie mogą Państwo samodzielnie łatać alt-php. Mogą jednak zadać właściwe pytania i udokumentować odpowiedzi. Gotowy wzór oferuje poradnik Zapytanie dostawcy hostingu o status poprawek.
- Czy moje konto działa na alt-php, ea-php, czy na PHP systemu operacyjnego, i na jakiej dokładnie wersji?
- Czy dokładnie ten pakiet jest załatany przeciw CVE-2026-109618 i CVE-2026-109619 i od kiedy?
- Czy po tym zrestartowano wszystkie procesy PHP, także procesy lsphp i php-cgi?
- Czy wartości przejściowe z php.net są ustawione centralnie, w szczególności
session.upload_progress.enabled=0? - Które wersje alt-php nie będą już łatane i do kiedy muszę się przestawić?
Równolegle proszę sprawdzić, jakiej wersji faktycznie używa Państwa konto. Jeśli mają Państwo dostęp SSH, php -v pokazuje wersję wiersza poleceń, która może różnić się od wersji strony. Wiarygodniejszy jest widok w PHP Selector dla danej domeny.
Jeśli dostawca hostingu odpowie, że wybrana wersja nie jest już łatana, czystą drogą jest przejście na wspieraną gałąź. Wcześniej proszę sprawdzić w wymaganiach systemowych swojego CMS lub sklepu, które wersje PHP zwalnia producent, i przetestować zmianę możliwie na kopii strony. Przełączenie w Selectorze robi się szybko, błąd w sklepie w poniedziałek rano już nie.
Opcje PHP w Selectorze: ostrożnie z wartościami przejściowymi
PHP Selector pozwala klientom samodzielnie zmieniać poszczególne wartości php.ini, wśród nich często memory_limit. Które wartości są zwolnione, określa według dokumentacji operator w pliku /etc/cl.selector/php.conf. Wartości globalne dla wszystkich wersji alt-php stoją w /etc/cl.selector/global_php.ini.
Jest to ważne dla PHP2Shell. php.net zaleca jako rozwiązanie przejściowe ustawić memory_limit=-1 tak, aby aplikacje nie mogły nadpisać tej wartości, a session.upload_progress.enabled=0 nie ustawiać przez ini_set() ani .user.ini. Wartość, którą każde konto może swobodnie przestawić, tego warunku nie spełnia. Tło znajdą Państwo w Środkach doraźnych bez poprawki.
Dla operatorów serwerów wynika z tego krótka lista kontrolna. Polecenia tylko odczytują dane:
# Które wersje PHP oferuje Selector, która jest domyślna?
selectorctl --summary
# Zainstalowane pakiety alt-php i ich stan
rpm -qa 'alt-php*' | sort
# Czy numery CVE stoją w changelogu pakietu? (nazwa pakietu jako przykład)
rpm -q --changelog alt-php83 | grep -E "CVE-2026-10961[89]"
# Działające procesy PHP z czasem startu, aby udokumentować restart
ps -eo pid,lstart,cmd | grep -E '[l]sphp|[p]hp-cgi|[p]hp-fpm'
Aktualizuje się według dokumentacji CloudLinux poleceniem yum groupupdate alt-php. Potem wszystkie procesy PHP muszą się zrestartować, w przeciwnym razie w pamięci nadal działa stary kod. Wartości przejściowe, których nie wolno nadpisywać, należą do konfiguracji globalnej, a nie do listy opcji klienta. Jak ea-php i alt-php mają się do siebie na serwerach cPanel, opisuje cPanel i WHM: zabezpieczanie PHP.
Poprawka nie usuwa szkodliwego oprogramowania, które zostało wprowadzone wcześniej. Jeśli Państwa konto działało między 17 a 21 października na podatnej wersji, warto sprawdzić nowe pliki PHP i logi dostępu od 20 października.
Jak konkretnie pomaga PHP SOS?
- Wyjaśnić stan: Ustalamy, z jakiego źródła PHP i jakiej wersji korzysta każda z Państwa stron, i formułujemy zapytanie do dostawcy hostingu.
- Ocenić odpowiedź: Sprawdzamy potwierdzenie dostawcy hostingu pod kątem luk, na przykład braku informacji o restarcie lub o starych gałęziach alt-php.
- Towarzyszyć w zmianie: Jeśli strona działa na wersji bez poprawki, planujemy przejście i testujemy je z wyprzedzeniem.
- Dla operatorów: W ramach usługi PHP-Patch-Service aktualizujemy pakiety alt-php, ea-php i systemowe, restartujemy wszystkie procesy i dokumentujemy stan.
Częste pytania
Po czym poznać, że mój dostawca hostingu używa CloudLinux i alt-php?
Typowym znakiem jest funkcja „Select PHP Version” w panelu klienta cPanel, przez którą można samodzielnie przełączać się między wieloma wersjami PHP. Pewność mają Państwo dopiero wtedy, gdy potwierdzi to dostawca hostingu.
Czy mogę sam zaktualizować alt-php na swoim koncie?
Nie. Pakiety alt-php leżą centralnie na serwerze i są utrzymywane przez operatora. Mogą Państwo tylko wybierać między zainstalowanymi wersjami i powinni kazać sobie potwierdzić stan poprawek wybranej wersji.
Czy stara wersja alt-php, taka jak 7.4, jest chroniona przed PHP2Shell?
Bez oświadczenia dostawcy nie da się tego stwierdzić. Według prasy fachowej dotknięte są niemal wszystkie wersje aż do PHP 5.4, a projekt PHP nie wydaje oficjalnych aktualizacji dla 8.1 i starszych. To, czy zainstalowano backport, musi dostawca hostingu potwierdzić na piśmie dla dokładnie Państwa wersji.
Czy mogę samodzielnie zmieniać memory_limit w PHP Selector?
Technicznie często tak, jeśli operator zwolnił to ustawienie. Jako środek przejściowy php.net zaleca jednak ustawić memory_limit tak, by aplikacje nie mogły nadpisać tej wartości. Takie wartości należy więc zmieniać tylko po uzgodnieniu z dostawcą hostingu.