Na kratko: Na strežnikih s CloudLinuxom spletne strani pogosto ne tečejo s standardnim PHP, ampak z alt-php, lastnimi paketi za vsako različico PHP, ki jih stranke izberejo prek PHP Selectorja. Proti PHP2Shell mora upravljavec strežnika vsako nameščeno različico alt-php posodobiti posebej in znova zagnati vse procese PHP. Kot stranka gostovanja razjasnite, katero različico uporablja vaš račun, in si dajte pisno potrditi njeno stanje popravkov.
Zakaj je CloudLinux pri PHP2Shell posebno vprašanje
Mnogi ponudniki skupnega gostovanja uporabljajo CloudLinux, operacijski sistem Linux, ki na enem strežniku med seboj loči na tisoče računov strank. Za upravljavce spletnih strani je to večinoma nevidno. Vidno postane šele, ko se pojavi ranljivost v samem interpreterju PHP, kot pri PHP2Shell s CVE-2026-109618 in CVE-2026-109619.
Razlog: na takih strežnikih je pogosto vzporedno več virov PHP. Poleg PHP operacijskega sistema in pri cPanelu paketov ea-php so tu še paketi alt-php družbe CloudLinux. Vsak vir ima svoje stanje paketov. Da je eden popravljen, o drugih ne pove ničesar.
Za agencije in podjetja z več računi pri istem ponudniku gostovanja je tu še druga točka: vsaka spletna stran lahko uporablja drugo različico, ker jo je nekdo pred leti preklopil v območju za stranke. Posamezno povpraševanje po „PHP“ ponudnika zato ne zadošča. Smiseln je seznam vseh domen z vsakokrat izbrano različico.
Kaj sta alt-php in PHP Selector
Po dokumentaciji CloudLinux PHP Selector zagotavlja alternativne različice PHP, pakete alt-php. Ležijo pod /opt/alt/phpXX/, na primer /opt/alt/php83/ za PHP 8.3, vsaka z lastnim php.ini. Dokumentacija navaja različice od 5.1 do 8.5, odvisno od različice CloudLinux na strežniku.
Stranke svojo različico izberejo same, v cPanelu večinoma prek „Select PHP Version“. Tehnično to predpostavlja CageFS, nekakšen zaprt datotečni sistem za vsak račun. Po dokumentaciji Selector deluje s suPHP, mod_fcgid, CGI in LiteSpeed; Apache z mod_php CageFS ne podpira.
| Pojem | Pomen za vas |
|---|---|
| CloudLinux | Operacijski sistem ponudnika gostovanja, ločuje račune strank |
| CageFS | Lasten, zaprt datotečni sistem za vsak račun |
| alt-php | Paketi PHP družbe CloudLinux, eden za vsako različico |
| PHP Selector | Izbira različice alt-php in posameznih možnosti v območju za stranke |
CloudLinux alt-php in PHP2Shell: kaj je dokazano in kaj ostaja odprto
Dokazano je: odpravljene različice PHP so 8.5.12, 8.4.27, 8.3.36 in 8.2.35. Za PHP 8.1 in starejše projekt PHP ne izdaja več uradnih posodobitev, samo minimalne povratne popravke v izvorni kodi za 7.4, 8.0 in 8.1. Po navedbah strokovnega tiska so prizadete skoraj vse različice do PHP 5.4.
Odprto je v virih, ki so nam na voljo, za katere različice alt-php CloudLinux že dobavlja popravljene pakete. Prav pri starih vejah, kot sta 5.6 ali 7.4, ki jih Selector še naprej ponuja, zato šteje samo izjava ponudnika. Backporti so lahko nameščeni, ne da bi se prikazana številka različice spremenila.
Posebnost zadeva strežnike cPanel s komercialno dolgoročno podporo: po dokumentaciji cPanel TuxCare, blagovna znamka družbe CloudLinux, popravljene pakete za izpadle različice PHP dobavlja kot alt-php. Kdor je bil tam preklopljen z ea-php74 na alt-php74, je odvisen od te poti. Več v prispevku Dolgoročna podpora za stare različice PHP.
Ta vprašanja zdaj zastavite ponudniku gostovanja
Kot stranka alt-php ne morete popraviti sami. Lahko pa zastavite prava vprašanja in odgovore dokumentirate. Končano predlogo za to ponuja vodnik Vprašajte ponudnika gostovanja po stanju popravkov.
- Ali moj račun teče z alt-php, ea-php ali PHP operacijskega sistema in s katero različico natanko?
- Ali je prav ta paket popravljen proti CVE-2026-109618 in CVE-2026-109619 in od kdaj?
- Ali so bili po tem znova zagnani vsi procesi PHP, tudi procesi lsphp in php-cgi?
- Ali so prehodne vrednosti s php.net nastavljene centralno, zlasti
session.upload_progress.enabled=0? - Katere različice alt-php se ne popravljajo več in do kdaj moram preklopiti?
Vzporedno preverite, katero različico vaš račun dejansko uporablja. Če imate dostop SSH, php -v pokaže različico ukazne vrstice, ki se lahko razlikuje od spletne strani. Zanesljivejši je prikaz v PHP Selectorju za zadevno domeno.
Če ponudnik gostovanja odgovori, da vaša izbrana različica ni več popravljena, je čista pot preklop na podprto vejo. Prej v sistemskih zahtevah svojega CMS ali trgovine preverite, katere različice PHP proizvajalec odobrava, in preklop po možnosti preizkusite na kopiji spletne strani. Preklop v Selectorju je hitro opravljen, napaka v spletni trgovini v ponedeljek zjutraj pa ne.
Možnosti PHP v Selectorju: previdnost pri prehodnih vrednostih
PHP Selector strankam omogoča, da posamezne vrednosti php.ini spremenijo same, med njimi pogosto memory_limit. Katere vrednosti so sproščene, po dokumentaciji določi upravljavec v datoteki /etc/cl.selector/php.conf. Globalne vrednosti za vse različice alt-php so v /etc/cl.selector/global_php.ini.
To je za PHP2Shell pomembno. php.net kot prehod priporoča, da memory_limit=-1 nastavite tako, da aplikacije vrednosti ne morejo prepisati, in da session.upload_progress.enabled=0 ne nastavljate prek ini_set() ali .user.ini. Vrednost, ki jo lahko vsak račun poljubno spremeni, tega pogoja ne izpolnjuje. Ozadje je na strani Takojšnji ukrepi brez popravka.
Za upravljavce strežnikov iz tega sledi kratek kontrolni seznam. Ukazi samo berejo:
# Katere različice PHP ponuja Selector, katera je privzeta?
selectorctl --summary
# Nameščeni paketi alt-php in njihovo stanje
rpm -qa 'alt-php*' | sort
# Ali so številke CVE v changelogu paketa? (ime paketa kot primer)
rpm -q --changelog alt-php83 | grep -E "CVE-2026-10961[89]"
# Tekoči procesi PHP s časom zagona, da dokažete ponovni zagon
ps -eo pid,lstart,cmd | grep -E '[l]sphp|[p]hp-cgi|[p]hp-fpm'
Posodablja se po dokumentaciji CloudLinux z yum groupupdate alt-php. Nato se morajo vsi procesi PHP znova zagnati, sicer v pomnilniku teče stara koda. Prehodne vrednosti, ki jih ni dovoljeno prepisati, sodijo v globalno konfiguracijo in ne na seznam možnosti za stranke. Kako se ea-php in alt-php na strežnikih cPanel razmerata med seboj, opisuje stran cPanel in WHM: zavarovanje PHP.
Popravek ne odstrani škodljive programske opreme, ki je bila vnesena prej. Če je vaš račun med 17. in 21. oktobrom tekel z ranljivo različico, se splača pogledati nove datoteke PHP in dnevnike dostopov od 20. oktobra.
Kako PHP SOS pomaga konkretno?
- Razjasnitev stanja: Ugotovimo, s katerim virom in različico PHP teče vsaka vaša spletna stran, in oblikujemo povpraševanje za ponudnika gostovanja.
- Ocena odgovora: Potrditev ponudnika preverimo glede vrzeli, na primer manjkajočih podatkov o ponovnem zagonu ali starih vejah alt-php.
- Spremljanje preklopa: Če spletna stran teče na različici brez popravka, načrtujemo prehod in ga vnaprej preizkusimo.
- Za upravljavce: Prek storitve popravljanja PHP posodobimo pakete alt-php, ea-php in sistemske pakete, znova zaženemo vse procese in dokumentiramo stanje.
Pogosta vprašanja
Po čem prepoznam, ali moj ponudnik gostovanja uporablja CloudLinux in alt-php?
Tipičen znak je funkcija „Select PHP Version“ v območju za stranke cPanel, prek katere lahko sami preklapljate med številnimi različicami PHP. Zagotovo to veste šele, ko ponudnik gostovanja potrdi.
Ali lahko alt-php v svojem računu posodobim sam?
Ne. Paketi alt-php so centralno na strežniku in jih vzdržuje upravljavec. Izbirate lahko samo med nameščenimi različicami in naj vam potrdijo stanje popravkov izbrane različice.
Ali je stara različica alt-php, kot je 7.4, zaščitena pred PHP2Shell?
Brez izjave ponudnika tega ni mogoče reči. Po navedbah strokovnega tiska so prizadete skoraj vse različice do PHP 5.4, projekt PHP pa za 8.1 in starejše ne izdaja uradnih posodobitev. Ali je backport nameščen, mora ponudnik gostovanja pisno potrditi za natanko vašo različico.
Ali smem memory_limit v PHP Selectorju spremeniti sam?
Tehnično pogosto da, če je upravljavec to nastavitev sprostil. php.net pa kot prehodni ukrep priporoča, da memory_limit nastavite tako, da aplikacije vrednosti ne morejo prepisati. Takšnih vrednosti zato ne spreminjajte brez dogovora s ponudnikom gostovanja.