Repozitár Remi: udržiavať PHP na systémoch RHEL aktuálne

Stručne: Repozitár Remi pre PHP dodáva aktuálne verzie PHP pre Fedoru a rodinu RHEL, buď ako stream modulu, ktorý nahrádza systémové PHP, alebo ako Software Collection, ktorá inštaluje viac verzií paralelne. Opravy PHP2Shell 8.2.35, 8.3.36, 8.4.27 a 8.5.12 tam boli oznámené 22. októbra 2026. Skontrolujte každú nainštalovanú verziu zvlášť a reštartujte každú príslušnú službu.

Prečo toľko serverov RHEL získava PHP od Remi

Podnikové distribúcie ako RHEL, AlmaLinux a Rocky Linux stavajú na dlhej stabilite. Dodávajú málo vetiev PHP a ponechávajú ich po celé roky. Mnohé aplikácie však vyžadujú novšie verzie, než distribúcia ponúka. Tu nastupuje repozitár Remi Colleta, dlhoročného správcu balíkov PHP v prostredí Fedora a RHEL.

Remi zostavuje verzie PHP v krátkom slede po oficiálnych vydaniach. K PHP2Shell vyšiel v blogu repozitára 22. októbra 2026 príspevok k verziám 8.2.35, 8.3.36, 8.4.27 a 8.5.12. Uvádzajú sa v ňom obe kritické zraniteľnosti CVE-2026-109618 a CVE-2026-109619 a aktualizácia sa naliehavo odporúča. Bezpečnostné hlásenia Red Hat pre tieto balíky neplatia; čo Red Hat hlási pre vlastné balíky, nájdete v príspevku RHEL, AlmaLinux a Rocky Linux: kontrola záplaty PHP.

Dve cesty: stream modulu alebo Software Collection

Podľa blogu Remi sú zostavenia pre Enterprise Linux od verzie 8 k dispozícii dvoma cestami. Ktorá sa na vašom serveri používa, určuje, ako kontrolujete a reštartujete.

Software Collections ležia typicky pod /opt/remi/phpXY, ich konfigurácia pod /etc/opt/remi/phpXY. Je to praktické na prevádzku starých a nových aplikácií na jednom serveri. Je to však aj najčastejší dôvod, prečo sa pri aktualizácii niektorá verzia prehliadne.

Upozornenie k príkazovému riadku: Software Collections nie sú automaticky dostupné pod príkazom php. Podľa nastavenia ich cronjoby a skripty volajú vlastným príkazom alebo úplnou cestou. Skontrolujte preto aj crontaby a nasadzovacie skripty, ak chcete vedieť, ktorá kolekcia sa na čo používa.

Kontrola repozitára Remi po PHP2Shell

Nasledujúce príkazy sú čisto čítacie a ukazujú, ktoré balíky Remi sú nainštalované a v akom sú stave.

# Aktívne zdroje balíkov: je zapojený remi-modular alebo remi-safe?
dnf repolist

# Aktívny stream modulu pre PHP
dnf module list --enabled php

# Základné balíky a paralelne nainštalované Software Collections
rpm -qa 'php-*' 'php[0-9][0-9]-php-*' --qf '%{NAME}-%{VERSION}-%{RELEASE}\n' | sort

# Verzia každej nainštalovanej kolekcie
for b in /opt/remi/php*/root/usr/bin/php; do echo "$b"; "$b" -v | head -1; done

Pri podporovaných vetvách je situácia jednoznačná: ak tam stojí 8.5.12, 8.4.27, 8.3.36 alebo 8.2.35 alebo novšia, oprava je obsiahnutá. U Remi zodpovedá číslo verzie spravidla verzii upstream, na rozdiel od balíkov distribúcií, ktoré si často ponechávajú staré číslo.

Pre staršie kolekcie ako php81, php80 alebo php74 neexistuje oficiálna cieľová verzia. Remi vedie PHP 8.1 ako End-of-Life. Či nainštalovaný balík obsahuje opravu proti PHP2Shell, objasníte v changelogu, napríklad pomocou rpm -q --changelog php81-php-fpm | grep -E "CVE-2026-10961[89]". Bez zhody považujte balík za nevyjasnený. Ako takéto zhody čisto doložiť, popisuje príspevok Doložiť čísla CVE v changelogu balíka.

Aktualizácia a reštart každej verzie

Samotná aktualizácia je u Remi väčšinou nenápadná: dnf upgrade stiahne nové balíky pre stream a kolekcie. Kritická časť nasleduje potom. Každá kolekcia má vlastnú službu FPM a každú treba reštartovať.

# Vypísať všetky služby PHP-FPM, aj tie z kolekcií
systemctl list-units --type=service --all | grep -E "php.*fpm"

# Skontrolovať časy spustenia všetkých procesov PHP
ps -eo pid,lstart,cmd | grep -E "[p]hp-fpm|[h]ttpd"

Časy spustenia pred aktualizáciou znamenajú: táto služba stále pracuje so starým kódom. Prečo opätovné načítanie nestačí, vysvetľuje stránka Reštart PHP-FPM a všetkých workerov.

Remi a distribúcia: kto zodpovedá?

Kto prechádza cez stream modulu na Remi, mení pre PHP dodávateľa. Bezpečnostné hlásenia Red Hat, AlmaLinux alebo Rocky Linux sa potom už nevzťahujú na nainštalované balíky PHP. Naopak, Remi nehlási problémy v iných balíkoch systému. Obe zdroje preto musíte mať na očiach.

Odkiaľ nainštalovaný balík pochádza, ukazuje databáza balíkov, napríklad pomocou rpm -qi php-fpm v poliach pre výrobcu a balíčkara. Keďže pre balíky Remi neexistujú errata v zmysle Red Hat, hodí sa ako cesta upozornení blog repozitára; dá sa odoberať cez RSS kanál. Pri PHP2Shell sa tam upozornenie objavilo deň po oficiálnych vydaniach.

Pre podniky nie je toto rozdelenie prekážkou, musí však byť zdokumentované. Zaznamenajte, ktoré servery získavajú PHP od Remi, kto číta hlásenia a kto po aktualizácii reštartuje služby. Inak sa každý spolieha na toho druhého.

Udržiavať poriadok: menej verzií, menej rizika

Software Collections lákajú nechať staré verzie jednoducho ležať. Po PHP2Shell je dobrý čas upratať:

1. Pre každú kolekciu objasniť, ktorý web alebo cronjob ju používa.
2. Nepoužívané kolekcie deaktivovať a po období pozorovania odstrániť.
3. Aplikácie na starých kolekciách presunúť na podporovanú vetvu.
4. Zostávajúce verzie zdokumentovať s účelom a zodpovednou osobou.

Ako udržať prehľad nad mnohými paralelnými verziami, popisuje príspevok Viac verzií PHP na jednom serveri.

Ako konkrétne pomáha PHP SOS?

• Zachytávame všetky streamy a kolekcie Remi na vašich serveroch a priraďujeme ich k webom a cronjobom.
• Kontrolujeme stav PHP2Shell pre každú verziu cez verziu balíka a changelog.
• Nasadzujeme aktualizácie, reštartujeme každú službu a dokladáme to časmi spustenia procesov v rámci služby záplatovania PHP.
• Už nepotrebné kolekcie po dohode kontrolovane odstraňujeme.

Časté otázky

Zdroje

• Remi's RPM repository: Blog
• Red Hat Security Bulletin RHSB-2026-013
• php.net: podporované verzie