Kort sagt: sury PHP-förrådet är en utbredd tredjepartskälla för PHP-paket under Debian (packages.sury.org) och Ubuntu (PPA ondrej/php). Det tillåter flera PHP-versioner sida vid sida och nyare grenar än distributionen. Efter PHP2Shell tillhandahölls där enligt rapporter builds för alla grenar från 5.6 till 8.5. Beviset för er server levererar dock bara paketnivå och changelog, inte säkerhetsmeddelandena från Debian eller Ubuntu.
Vad sury-förrådet är
Bakom sury.org står Ondřej Surý. Enligt hans projektsida paketerar han som Debian-utvecklare sedan PHP 5 PHP-paketen för Debian, och de officiella PHP-paketen från Debian och Ubuntu bygger på hans arbete. Vid sidan av det driver han ett eget förråd med PHP-paket som går att installera parallellt.
För Debian ligger förrådet under packages.sury.org, för Ubuntu erbjuds det som PPA ondrej/php. Fel rapporteras enligt projektsidan via en issue-tracker på Codeberg, inte via e-post. Underhållet sker enligt egna uppgifter huvudsakligen på fritiden; för äldre distributionsversioner finns ett kommersiellt erbjudande via Freexian.
Många admins och webbhotell använder förrådet eftersom det erbjuder nyare PHP-grenar än distributionen medför, eller eftersom applikationer behöver en viss version.
Vad som skiljer det från Debian-paketen
Den viktigaste skillnaden för säkerheten: paket från sury.org omfattas inte av säkerhetsmeddelandena från Debian eller Ubuntu. Debian Security Tracker visar bara läget för de officiella paketen. Står där att php8.4 i trixie är rättat säger det ingenting om ett php8.4 från sury.org på samma server.
| Kännetecken | Officiella Debian- och Ubuntu-paket | sury.org |
|---|---|---|
| Utgivare | Debian resp. Canonical | Ondřej Surý som enskild person |
| Säkerhetsmeddelanden | DSA, DLA, USN | inga av dessa meddelanden |
| Versioner | en gren per release | flera grenar parallellt |
| Versionsnummer efter rättning | Debian delvis ny upstream-version, Ubuntu oftast gammalt nummer med ny paketnivå | i regel aktuell upstream-version |
| Bevis | meddelande och changelog | changelog och paketversion |
För företag betyder det ett beroende av en enskild person för en central komponent. Det är inget skäl att undvika förrådet, men ett skäl att bära det medvetet: med övervakning, bevis och en plan B.
sury PHP-förråd efter PHP2Shell: kontrollera läget
Först klargör ni om och för vilka paket servern använder sury. Kommandona är rent läsande.
# Är sury inskrivet som paketkälla?
grep -rEl "sury|ondrej" /etc/apt/sources.list /etc/apt/sources.list.d/ 2>/dev/null
# Från vilken källa kommer det installerade paketet?
apt policy php8.3-fpm
# Installerad version och changelog-post om CVE:erna
dpkg-query -W -f='${Package}\t${Version}\n' 'php*-fpm' 'libapache2-mod-php*' 2>/dev/null
zgrep -E "CVE-2026-10961[89]" /usr/share/doc/php8.3-fpm/changelog.Debian.gz
Vid aktuella grenar känner ni i regel igen rättningen på upstream-versionen 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 i paketnamnet. Vid gamla grenar som 7.4 eller 8.1 finns ingen officiell målversion, där är changelog-posten det viktigaste beviset. Saknas den, fråga via projektets issue-tracker eller behandla paketet som oklart.
Gamla PHP-grenar från sury: en bedräglig bekvämlighet
Förrådet gör det lätt att driva PHP 7.4 eller till och med 5.6 på ett aktuellt Debian. Enligt rapporter fanns builds mot PHP2Shell även för de grenarna. Det är hjälpsamt för det akuta läget men skjuter bara upp grundproblemet: PHP-projektet underhåller inte de grenarna längre, och nästa sårbarhet drabbar dem igen.
Den som på det sättet håller en gammal applikation vid liv bör ärligt fråga sig hur länge till. Vad som gäller för PHP 8.1 och äldre sammanfattar sidan PHP 8.1 och äldre: vad som gäller nu. Kommersiella alternativ med sina gränser beskriver inlägget Långtidssupport för gamla PHP-versioner.
Blanda inte okontrollerat PHP-paket från distributionen och från sury.org på en server. Beroenden mellan tillägg och bibliotek kan vid nästa uppdatering leda till oväntade paketbyten.
Rekommendationer för drift med sury
- Dokumentera vilka servrar som använder sury och för vilka grenar.
- Fastställ ursprung, till exempel med APT-pinning, så att PHP-paket bara kommer från en källa.
- Bevaka uppdateringar, eftersom den vanliga fingervisningen utan DSA eller USN saknas. En regelbunden avstämning med
apt list --upgradablehjälper. - Starta om efter varje uppdatering, för varje installerad version för sig. Hur många som körs parallellt visar inlägget Flera PHP-versioner på en server.
- Stöd förrådet om ert företag är beroende av det. Projektsidan nämner donationer och kommersiell support som vägar.
Tillbaka till distributionspaketen?
Inte varje server som i dag använder sury behöver det längre. Ofta infördes förrådet för flera år sedan, eftersom dåvarande distribution bara hade en äldre PHP-version. I dag levererar till exempel Debian 13 trixie PHP 8.4, som enligt Debian Security Tracker är rättat mot PHP2Shell. Om er applikation fungerar med den versionen kan vägen tillbaka avsluta beroendet av en tredjepartskälla.
Vägen tillbaka är ett litet migreringsprojekt. Kontrollera först vilka tillägg applikationen behöver och om distributionen erbjuder dem. Testa applikationen med distributionspaketet på en kopia innan ni tar bort sury-källan. Därefter kommer säkerhetsmeddelanden åter via de vanliga vägarna, och beviset stödjer sig på DSA eller USN i stället för enbart en changelog.
Där en nyare eller äldre version än distributionens fortfarande behövs är sury fortsatt ett rimligt val. Då bör beslutet dock fattas medvetet och dokumenteras.
Hur hjälper PHP SOS konkret?
- Vi fastställer vilka PHP-paket på era servrar som kommer från sury.org, från distributionen eller från andra källor.
- Vi kontrollerar PHP2Shell-läget per gren via paketversion och changelog och startar om alla tjänster.
- Vi inrättar pinning och uppdateringsövervakning och tar bort grenar som inte längre behövs inom ramen för serverhärdning.
- För gamla grenar planerar vi övergången till en version med support.
Vanliga frågor
Är sury-förrådet ett officiellt Debian-förråd?
Nej. Det drivs av Ondřej Surý, som enligt egen sida sedan länge paketerar PHP för Debian som Debian-utvecklare. Det är dock inte Debians säkerhetsarkiv, och för dess paket finns inga Debian-säkerhetsmeddelanden.
Har sury.org tillhandahållit paket mot PHP2Shell?
Enligt rapporter tillhandahölls builds för alla grenar från 5.6 till 8.5. Kontrollera ändå läget på er server själva via paketversion och changelog, eftersom rapporterna inte ersätter ett bevis för ert system.
Gör sury.org gamla PHP-versioner säkra igen?
En build för en gammal gren kan stänga en konkret sårbarhet. Den ändrar inget i att PHP-projektet inte längre underhåller de grenarna. För varaktigt säker drift krävs fortfarande övergången till en version med support.
Hur tar jag reda på om min server använder sury?
Sök i paketkällorna under /etc/apt efter sury eller ondrej och kontrollera med apt policy från vilken källa de installerade PHP-paketen kommer.