Na kratko: Repozitorij sury PHP je razširjen vir tretjega ponudnika za pakete PHP v Debianu (packages.sury.org) in Ubuntuju (PPA ondrej/php). Omogoča več različic PHP vzporedno in novejše veje, kot jih ima distribucija. Po PHP2Shell so tam po poročilih zagotovili gradnje za vse veje od 5.6 do 8.5. Dokazilo za vaš strežnik pa dajeta samo stanje paketa in changelog, ne varnostna obvestila Debiana ali Ubuntuja.
Kaj je repozitorij sury
Za sury.org stoji Ondřej Surý. Po njegovi projektni strani kot razvijalec Debiana od PHP 5 pakira pakete PHP za Debian, uradni paketi PHP Debiana in Ubuntuja pa temeljijo na njegovem delu. Poleg tega dela upravlja lasten repozitorij s paketi PHP, ki jih je mogoče nameščati vzporedno.
Za Debian je repozitorij na packages.sury.org, za Ubuntu se ponuja kot PPA ondrej/php. Napake se po projektni strani prijavljajo prek sledilnika težav na Codebergu, ne po e-pošti. Vzdrževanje po lastnih navedbah poteka večinoma v prostem času; za starejše različice distribucij obstaja komercialna ponudba prek Freexian.
Mnogi skrbniki in ponudniki gostovanja repozitorij uporabljajo, ker ponuja novejše veje PHP, kot jih prinaša distribucija, ali ker aplikacije potrebujejo določeno različico.
Kaj ga loči od paketov Debiana
Najpomembnejša razlika za varnost: paketi iz sury.org ne spadajo pod varnostna obvestila Debiana ali Ubuntuja. Debian Security Tracker prikazuje samo stanje uradnih paketov. Če tam piše, da je php8.4 v trixie popravljen, to ne pove nič o php8.4 iz sury.org na istem strežniku.
| Lastnost | Uradni paketi Debiana in Ubuntuja | sury.org |
|---|---|---|
| Izdajatelj | Debian oziroma Canonical | Ondřej Surý kot posameznik |
| Varnostna obvestila | DSA, DLA, USN | nobeno od teh obvestil |
| Različice | ena veja na izdajo | več vej vzporedno |
| Številka različice po popravku | Debian deloma nova različica upstream, Ubuntu praviloma stara številka z novim stanjem paketa | praviloma aktualna različica upstream |
| Dokazilo | obvestilo in changelog | changelog in različica paketa |
Za podjetja to pomeni odvisnost od posameznika pri ključni komponenti. To ni razlog, da bi se repozitoriju izogibali, je pa razlog, da to odvisnost nosite zavestno: z nadzorom, dokazilom in načrtom B.
Repozitorij sury PHP po PHP2Shell: preverite stanje
Najprej razjasnite, ali in za katere pakete strežnik uporablja sury. Ukazi so zgolj za branje.
# Ali je sury vpisan kot vir paketov?
grep -rEl "sury|ondrej" /etc/apt/sources.list /etc/apt/sources.list.d/ 2>/dev/null
# Iz katerega vira prihaja nameščeni paket?
apt policy php8.3-fpm
# Nameščena različica in vnos v changelogu za CVE
dpkg-query -W -f='${Package}\t${Version}\n' 'php*-fpm' 'libapache2-mod-php*' 2>/dev/null
zgrep -E "CVE-2026-10961[89]" /usr/share/doc/php8.3-fpm/changelog.Debian.gz
Pri aktualnih vejah popravek praviloma prepoznate po različici upstream 8.5.12, 8.4.27, 8.3.36 ali 8.2.35 v imenu paketa. Pri starih vejah, kot sta 7.4 ali 8.1, uradne ciljne različice ni, tam je vnos v changelogu najpomembnejše dokazilo. Če ga ni, vprašajte prek sledilnika težav projekta ali paket obravnavajte kot nerazjasnjen.
Stare veje PHP iz sury: varljiva udobnost
Repozitorij olajša, da na aktualnem Debianu upravljate PHP 7.4 ali celo 5.6. Po poročilih so bile tudi za te veje gradnje proti PHP2Shell. Za akutno stanje je to koristno, a temeljno težavo le prestavi: projekt PHP teh vej ne vzdržuje več in naslednja ranljivost jih spet zadene.
Kdor na ta način ohranja pri življenju staro aplikacijo, naj se iskreno vpraša, kako dolgo še. Kaj velja za PHP 8.1 in starejše, povzema stran PHP 8.1 in starejši: kaj velja zdaj. Komercialne alternative z njihovimi mejami opisuje prispevek Dolgoročna podpora za stare različice PHP.
Na strežniku ne mešajte nenadzorovano paketov PHP iz distribucije in iz sury.org. Odvisnosti med razširitvami in knjižnicami lahko ob naslednji posodobitvi vodijo do nepričakovanih zamenjav paketov.
Priporočila za delovanje s sury
- Dokumentirajte, kateri strežniki uporabljajo sury in za katere veje.
- Določite izvor, na primer z APT pinning, da paketi PHP prihajajo samo iz enega vira.
- Nadzorujte posodobitve, saj brez DSA ali USN manjka običajno opozorilo. Pomaga redna primerjava
apt list --upgradable. - Znova zaženite po vsaki posodobitvi, za vsako nameščeno različico posebej. Koliko jih teče vzporedno, kaže prispevek Več različic PHP na enem strežniku.
- Podprite, če je vaše podjetje odvisno od repozitorija. Projektna stran navaja donacije in komercialno podporo kot poti.
Nazaj k paketom distribucije?
Vsak strežnik, ki danes uporablja sury, ga ne potrebuje več. Pogosto je bil repozitorij vključen pred leti, ker je takratna distribucija prinašala samo starejšo različico PHP. Medtem na primer Debian 13 trixie dobavlja PHP 8.4, ki je po Debian Security Tracker proti PHP2Shell popravljen. Če vaša aplikacija teče s to različico, lahko pot nazaj konča odvisnost od vira tretjega ponudnika.
Pot nazaj je majhen migracijski projekt. Najprej preverite, katere razširitve aplikacija potrebuje in ali jih distribucija ponuja. Aplikacijo s paketom distribucije preizkusite na kopiji, preden odstranite vir sury. Potem varnostna obvestila spet prihajajo po običajnih poteh, dokazilo pa se opira na DSA ali USN namesto samo na changelog.
Kjer je potrebna novejša ali starejša različica, kot jo ima distribucija, je sury še naprej smiselna izbira. Takrat naj bo odločitev sprejeta zavestno in dokumentirana.
Kako konkretno pomaga PHP SOS?
- Ugotovimo, kateri paketi PHP na vaših strežnikih izvirajo iz sury.org, iz distribucije ali iz drugih virov.
- Stanje PHP2Shell za vsako vejo preverimo prek različice paketa in changeloga ter znova zaženemo vse storitve.
- Vzpostavimo pinning in nadzor posodobitev ter odstranimo veje, ki jih ne potrebujete več, v okviru utrjevanja strežnika.
- Za stare veje načrtujemo prehod na podprto različico.
Pogosta vprašanja
Ali je repozitorij sury uradni repozitorij Debiana?
Ne. Upravlja ga Ondřej Surý, ki po navedbah na lastni strani kot razvijalec Debiana že dolgo pakira PHP za Debian. Ni pa varnostni arhiv Debiana, za njegove pakete ni varnostnih obvestil Debiana.
Ali je sury.org zagotovil pakete proti PHP2Shell?
Po poročilih so bile zagotovljene gradnje za vse veje od 5.6 do 8.5. Stanje na svojem strežniku vseeno preverite sami prek različice paketa in changeloga, saj poročila ne nadomestijo dokazila za vaš sistem.
Ali sury.org stare različice PHP spet naredi varne?
Gradnja za staro vejo lahko zapre konkretno ranljivost. Ne spremeni pa dejstva, da projekt PHP teh vej ne vzdržuje več. Za trajno varno delovanje ostane potreben prehod na podprto različico.
Kako ugotovim, ali moj strežnik uporablja sury?
V virih paketov pod /etc/apt poiščite sury ali ondrej in z apt policy preverite, iz katerega vira so nameščeni paketi PHP.