Pe scurt: Pe serverele cu CloudLinux, site-urile rulează adesea nu cu PHP-ul standard, ci cu alt-php, pachete proprii pentru fiecare versiune PHP, pe care clienții le aleg prin PHP Selector. Împotriva PHP2Shell, operatorul serverului trebuie să actualizeze separat fiecare versiune alt-php instalată și să repornească toate procesele PHP. Ca client de hosting, clarificați ce versiune folosește contul dumneavoastră și faceți-vă confirmat în scris nivelul ei de patch.
De ce CloudLinux ridică la PHP2Shell o întrebare proprie
Mulți furnizori de shared hosting folosesc CloudLinux, un sistem de operare Linux care separă între ele mii de conturi de clienți pe un server. Pentru operatorii de site-uri, acest lucru este de obicei invizibil. Devine vizibil abia când apare o vulnerabilitate în însuși interpretorul PHP, ca la PHP2Shell, cu CVE-2026-109618 și CVE-2026-109619.
Motivul: pe astfel de servere există adesea mai multe surse PHP una lângă alta. Pe lângă PHP-ul sistemului de operare și, la cPanel, pachetele ea-php, se află pachetele alt-php de la CloudLinux. Fiecare sursă are propriul nivel de pachet. Faptul că una este actualizată nu spune nimic despre celelalte.
Pentru agenții și companii cu mai multe conturi la același furnizor se adaugă un al doilea punct: fiecare site poate folosi o altă versiune, pentru că cineva l-a mutat cu ani în urmă în zona de clienți. O singură întrebare despre „PHP-ul” furnizorului este de aceea prea puțin. Util este un tabel al tuturor domeniilor cu versiunea aleasă pentru fiecare.
Ce sunt alt-php și PHP Selector
Conform documentației CloudLinux, PHP Selector pune la dispoziție versiuni PHP alternative, pachetele alt-php. Ele se află în /opt/alt/phpXX/, de exemplu /opt/alt/php83/ pentru PHP 8.3, fiecare cu propriul php.ini. Documentația listează versiuni de la 5.1 la 8.5, în funcție de versiunea CloudLinux a serverului.
Clienții își aleg singuri versiunea, în cPanel de obicei prin „Select PHP Version”. Tehnic, aceasta presupune CageFS, un fel de sistem de fișiere izolat pentru fiecare cont. Conform documentației, Selector lucrează cu suPHP, mod_fcgid, CGI și LiteSpeed; Apache cu mod_php nu acceptă CageFS.
| Termen | Semnificație pentru dumneavoastră |
|---|---|
| CloudLinux | Sistemul de operare al furnizorului, separă conturile clienților |
| CageFS | sistem de fișiere propriu, izolat, pentru fiecare cont |
| alt-php | pachetele PHP de la CloudLinux, câte unul pentru fiecare versiune |
| PHP Selector | alegerea versiunii alt-php și a unor opțiuni în zona de clienți |
CloudLinux alt-php și PHP2Shell: ce este dovedit și ce rămâne deschis
Este dovedit: versiunile PHP corectate sunt 8.5.12, 8.4.27, 8.3.36 și 8.2.35. Pentru PHP 8.1 și mai vechi, proiectul PHP nu mai oferă actualizări oficiale, doar backporturi minime la nivel de sursă pentru 7.4, 8.0 și 8.1. Conform presei de specialitate, sunt afectate aproape toate versiunile până la PHP 5.4.
Rămâne deschis în sursele de care dispunem pentru ce versiuni alt-php livrează CloudLinux deja pachete actualizate. Mai ales la ramurile vechi precum 5.6 sau 7.4, pe care Selector le oferă în continuare, contează de aceea doar declarația furnizorului. Backporturile pot fi aplicate fără ca numărul de versiune afișat să se schimbe.
O particularitate privește serverele cPanel cu suport comercial pe termen lung: conform documentației cPanel, TuxCare, o marcă a CloudLinux, livrează pachete actualizate pentru versiunile PHP expirate sub forma alt-php. Cine a fost mutat acolo de la ea-php74 la alt-php74 depinde de această cale. Mai multe în articolul Suport pe termen lung pentru versiunile PHP vechi.
Ce întrebări să puneți acum furnizorului dumneavoastră
Ca client, nu puteți face singur patch la alt-php. Puteți însă pune întrebările potrivite și documenta răspunsurile. Un model gata făcut pentru aceasta oferă ghidul Întrebați furnizorul de hosting despre starea patchului.
- Contul meu rulează cu alt-php, ea-php sau cu PHP-ul sistemului de operare și cu ce versiune exact?
- Este exact acest pachet actualizat împotriva CVE-2026-109618 și CVE-2026-109619 și de când?
- Au fost reporniți după aceea toate procesele PHP, inclusiv procesele lsphp și php-cgi?
- Sunt setate central valorile provizorii de pe php.net, în special
session.upload_progress.enabled=0? - Ce versiuni alt-php nu mai primesc patch și până când trebuie să trec la alta?
Verificați în paralel ce versiune folosește efectiv contul dumneavoastră. Dacă aveți acces SSH, php -v arată versiunea liniei de comandă, care poate diferi de cea a site-ului. Mai de încredere este afișarea din PHP Selector pentru domeniul afectat.
Dacă furnizorul răspunde că versiunea aleasă de dumneavoastră nu mai primește patch, trecerea la o ramură acceptată este calea curată. Verificați în prealabil, în cerințele de sistem ale CMS-ului sau magazinului dumneavoastră, ce versiuni PHP aprobă producătorul, și testați schimbarea de preferință pe o copie a site-ului. O comutare în Selector se face repede, o eroare în magazin luni dimineața nu.
Opțiuni PHP în Selector: atenție la valorile provizorii
PHP Selector permite clienților să modifice singuri anumite valori php.ini, printre care frecvent memory_limit. Ce valori sunt permise stabilește, conform documentației, operatorul, în fișierul /etc/cl.selector/php.conf. Valorile globale pentru toate versiunile alt-php se află în /etc/cl.selector/global_php.ini.
Aceasta este important pentru PHP2Shell. php.net recomandă ca măsură de tranziție setarea memory_limit=-1 astfel încât aplicațiile să nu poată suprascrie valoarea, iar session.upload_progress.enabled=0 să nu fie setat prin ini_set() sau .user.ini. O valoare pe care orice cont o poate modifica liber nu îndeplinește această condiție. Contextul îl găsiți la Măsuri imediate fără patch.
Pentru operatorii de server rezultă de aici o listă scurtă de verificare. Comenzile doar citesc:
# Ce versiuni PHP oferă Selector, care este cea implicită?
selectorctl --summary
# Pachetele alt-php instalate și nivelul lor
rpm -qa 'alt-php*' | sort
# Se află numerele CVE în changelog-ul unui pachet? (numele pachetului ca exemplu)
rpm -q --changelog alt-php83 | grep -E "CVE-2026-10961[89]"
# Procesele PHP care rulează, cu ora de pornire, pentru a dovedi repornirea
ps -eo pid,lstart,cmd | grep -E '[l]sphp|[p]hp-cgi|[p]hp-fpm'
Conform documentației CloudLinux, actualizarea se face cu yum groupupdate alt-php. După aceea toate procesele PHP trebuie repornite, altfel codul vechi continuă să ruleze în memorie. Valorile provizorii care nu au voie să fie suprascrise aparțin configurației globale, nu listei opțiunilor pentru clienți. Cum se raportează ea-php și alt-php unul la altul pe serverele cPanel descrie cPanel și WHM: securizarea PHP.
Un patch nu elimină programele malițioase introduse înainte. Dacă contul dumneavoastră a rulat între 17 și 21 octombrie cu o versiune vulnerabilă, merită să priviți fișierele PHP noi și logurile de acces începând din 20 octombrie.
Cum ajută PHP SOS concret?
- Clarificarea nivelului: Stabilim cu ce sursă PHP și ce versiune rulează fiecare dintre site-urile dumneavoastră și formulăm solicitarea către furnizorul de hosting.
- Evaluarea răspunsului: Verificăm confirmarea furnizorului pentru lacune, de exemplu date lipsă despre repornire sau despre ramurile alt-php vechi.
- Însoțirea schimbării: Dacă un site rulează pe o versiune fără patch, planificăm trecerea și o testăm în prealabil.
- Pentru operatori: Prin serviciul de patch PHP actualizăm pachetele alt-php, ea-php și pe cele ale sistemului, repornim toate procesele și documentăm nivelul.
Întrebări frecvente
Cum recunosc dacă furnizorul meu de hosting folosește CloudLinux și alt-php?
Un semn tipic este funcția „Select PHP Version” din zona de clienți cPanel, prin care puteți comuta singur între multe versiuni PHP. Sigur știți abia după ce furnizorul confirmă.
Pot actualiza alt-php singur în contul meu?
Nu. Pachetele alt-php se află central pe server și sunt întreținute de operator. Puteți alege doar între versiunile instalate și ar trebui să vă faceți confirmat nivelul de patch al versiunii alese.
Este o versiune alt-php veche, precum 7.4, protejată împotriva PHP2Shell?
Fără o declarație a furnizorului nu se poate spune. Conform presei de specialitate, sunt afectate aproape toate versiunile până la PHP 5.4, iar proiectul PHP nu livrează actualizări oficiale pentru 8.1 și mai vechi. Dacă a fost aplicat un backport trebuie să confirme în scris furnizorul, pentru exact versiunea dumneavoastră.
Am voie să schimb singur memory_limit în PHP Selector?
Tehnic adesea da, dacă operatorul a permis setarea. php.net recomandă însă ca măsură provizorie să setați memory_limit astfel încât aplicațiile să nu poată depăși valoarea. Modificați de aceea astfel de valori doar după înțelegere cu furnizorul.