Stručne: Repozitár sury pre PHP je široko rozšírený externý zdroj balíkov PHP pre Debian (packages.sury.org) a Ubuntu (PPA ondrej/php). Umožňuje prevádzkovať viac verzií PHP vedľa seba a novšie vetvy než distribúcia. Po PHP2Shell tam boli podľa správ sprístupnené zostavenia pre všetky vetvy od 5.6 do 8.5. Doklad pre váš server však poskytuje iba stav balíka a changelog, nie bezpečnostné hlásenia Debianu alebo Ubuntu.
Čo je repozitár sury
Za sury.org stojí Ondřej Surý. Podľa jeho stránky projektu balíčkuje ako vývojár Debianu od PHP 5 balíky PHP pre Debian a oficiálne balíky PHP Debianu a Ubuntu sa opierajú o jeho prácu. Popri tejto práci prevádzkuje vlastný repozitár s balíkmi PHP, ktoré sa dajú inštalovať paralelne.
Pre Debian leží repozitár na packages.sury.org, pre Ubuntu sa ponúka ako PPA ondrej/php. Chyby sa podľa stránky projektu hlásia cez issue tracker na Codeberg, nie e-mailom. Údržba prebieha podľa vlastných údajov prevažne vo voľnom čase; pre staršie verzie distribúcií existuje komerčná ponuka cez Freexian.
Mnohí admini a poskytovatelia hostingu repozitár používajú, pretože ponúka novšie vetvy PHP, než prináša distribúcia, alebo pretože aplikácie potrebujú konkrétnu verziu.
Čím sa líši od balíkov Debianu
Najdôležitejší rozdiel pre bezpečnosť: balíky zo sury.org nepodliehajú bezpečnostným hláseniam Debianu ani Ubuntu. Debian Security Tracker ukazuje len stav oficiálnych balíkov. Ak tam stojí, že php8.4 v trixie je opravené, nehovorí to nič o php8.4 zo sury.org na tom istom serveri.
| Znak | Oficiálne balíky Debianu a Ubuntu | sury.org |
|---|---|---|
| Vydavateľ | Debian resp. Canonical | Ondřej Surý ako jednotlivec |
| Bezpečnostné hlásenia | DSA, DLA, USN | žiadne z týchto hlásení |
| Verzie | jedna vetva na vydanie | viac vetiev paralelne |
| Číslo verzie po oprave | Debian čiastočne nová verzia upstream, Ubuntu zvyčajne staré číslo s novým stavom balíka | spravidla aktuálna verzia upstream |
| Doklad | hlásenie a changelog | changelog a verzia balíka |
Pre podniky to znamená závislosť od jednotlivca pri centrálnom komponente. Nie je to dôvod repozitár obchádzať, ale dôvod niesť ho vedome: s monitorovaním, dokladom a plánom B.
Repozitár sury po PHP2Shell: skontrolovať stav
Najprv objasnite, či a pre ktoré balíky server sury používa. Príkazy sú čisto čítacie.
# Je sury zapísané ako zdroj balíkov?
grep -rEl "sury|ondrej" /etc/apt/sources.list /etc/apt/sources.list.d/ 2>/dev/null
# Z akého zdroja pochádza nainštalovaný balík?
apt policy php8.3-fpm
# Nainštalovaná verzia a záznam v changelogu k CVE
dpkg-query -W -f='${Package}\t${Version}\n' 'php*-fpm' 'libapache2-mod-php*' 2>/dev/null
zgrep -E "CVE-2026-10961[89]" /usr/share/doc/php8.3-fpm/changelog.Debian.gz
Pri aktuálnych vetvách poznáte opravu spravidla podľa verzie upstream 8.5.12, 8.4.27, 8.3.36 alebo 8.2.35 v názve balíka. Pri starých vetvách ako 7.4 alebo 8.1 neexistuje oficiálna cieľová verzia, tam je najdôležitejším dôkazom záznam v changelogu. Ak chýba, opýtajte sa cez issue tracker projektu alebo považujte balík za nevyjasnený.
Staré vetvy PHP zo sury: klamlivé pohodlie
Repozitár uľahčuje prevádzku PHP 7.4 alebo dokonca 5.6 na aktuálnom Debiane. Podľa správ existovali zostavenia proti PHP2Shell aj pre tieto vetvy. Pre akútnu situáciu je to užitočné, no iba to odsúva základný problém: projekt PHP tieto vetvy už nespravuje a ďalšia zraniteľnosť ich zasiahne opäť.
Kto týmto spôsobom udržiava pri živote starú aplikáciu, mal by si úprimne položiť otázku, ako dlho ešte. Čo platí pre PHP 8.1 a staršie, zhŕňa stránka PHP 8.1 a staršie: čo teraz platí. Komerčné alternatívy s ich hranicami popisuje príspevok Dlhodobá podpora starých verzií PHP.
Nemiešajte na serveri nekontrolovane balíky PHP z distribúcie a zo sury.org. Závislosti medzi rozšíreniami a knižnicami môžu pri nasledujúcej aktualizácii viesť k neočakávaným zmenám balíkov.
Odporúčania pre prevádzku so sury
- Zdokumentovať, ktoré servery používajú sury a pre ktoré vetvy.
- Určiť pôvod, napríklad pomocou APT pinningu, aby balíky PHP pochádzali len z jedného zdroja.
- Monitorovať aktualizácie, pretože bez DSA alebo USN chýba obvyklé upozornenie. Pomáha pravidelné porovnanie
apt list --upgradable. - Reštartovať po každej aktualizácii, pre každú nainštalovanú verziu zvlášť. Koľko ich beží paralelne, ukazuje príspevok Viac verzií PHP na jednom serveri.
- Podporiť, ak je váš podnik na repozitári závislý. Stránka projektu uvádza ako cesty dary a komerčnú podporu.
Späť k balíkom distribúcie?
Nie každý server, ktorý dnes sury používa, ho ešte potrebuje. Často bol repozitár zapojený pred rokmi, pretože vtedajšia distribúcia prinášala len staršiu verziu PHP. Medzičasom dodáva napríklad Debian 13 trixie PHP 8.4, ktoré je podľa Debian Security Tracker proti PHP2Shell opravené. Ak vaša aplikácia s touto verziou beží, môže cesta späť ukončiť závislosť od externého zdroja.
Cesta späť je malý migračný projekt. Najprv skontrolujte, ktoré rozšírenia aplikácia potrebuje a či ich distribúcia ponúka. Aplikáciu otestujte s balíkom distribúcie na kópii, než zdroj sury odstránite. Potom bezpečnostné hlásenia opäť prichádzajú obvyklými cestami a doklad sa opiera o DSA alebo USN namiesto samotného changelogu.
Kde zostáva potrebná novšia alebo staršia verzia než tá z distribúcie, je sury naďalej zmysluplnou voľbou. Rozhodnutie by však malo byť prijaté vedome a zdokumentované.
Ako konkrétne pomáha PHP SOS?
- Zisťujeme, ktoré balíky PHP na vašich serveroch pochádzajú zo sury.org, z distribúcie alebo z iných zdrojov.
- Kontrolujeme stav PHP2Shell pre každú vetvu cez verziu balíka a changelog a reštartujeme všetky služby.
- Zriaďujeme pinning a monitorovanie aktualizácií a odstraňujeme už nepotrebné vetvy v rámci zabezpečenia servera.
- Pre staré vetvy plánujeme prechod na podporovanú verziu.
Časté otázky
Je repozitár sury oficiálnym repozitárom Debianu?
Nie. Prevádzkuje ho Ondřej Surý, ktorý podľa vlastnej stránky balíčkuje PHP pre Debian ako vývojár Debianu už dlho. Nie je to však bezpečnostný archív Debianu a pre jeho balíky neexistujú bezpečnostné hlásenia Debianu.
Poskytol sury.org balíky proti PHP2Shell?
Podľa správ boli sprístupnené zostavenia pre všetky vetvy od 5.6 do 8.5. Stav na vašom serveri si napriek tomu skontrolujte sami cez verziu balíka a changelog, pretože správy nenahrádzajú doklad pre váš systém.
Urobí sury.org staré verzie PHP opäť bezpečnými?
Zostavenie pre starú vetvu môže uzavrieť konkrétnu zraniteľnosť. Nič to nemení na tom, že projekt PHP tieto vetvy už nespravuje. Pre trvalo bezpečnú prevádzku zostáva potrebný prechod na podporovanú verziu.
Ako zistím, či môj server používa sury?
Hľadajte v zdrojoch balíkov pod /etc/apt reťazce sury alebo ondrej a pomocou apt policy skontrolujte, z akého zdroja pochádzajú nainštalované balíky PHP.