Stručně: Na serverech s CloudLinux často běží weby ne se standardním PHP, ale s alt-php, vlastními balíčky pro jednotlivé verze PHP, které zákazníci vybírají přes PHP Selector. Proti PHP2Shell musí provozovatel serveru aktualizovat každou nainstalovanou verzi alt-php zvlášť a restartovat všechny procesy PHP. Jako zákazník hostingu zjistěte, kterou verzi váš účet používá, a nechte si písemně potvrdit její stav záplat.
Proč je CloudLinux u PHP2Shell samostatná otázka
Mnoho poskytovatelů sdíleného hostingu nasazuje CloudLinux, operační systém Linux, který na jednom serveru od sebe odděluje tisíce zákaznických účtů. Provozovatelé webů to většinou nevidí. Projeví se to, až když se objeví zranitelnost v samotném interpretu PHP, jako u PHP2Shell s CVE-2026-109618 a CVE-2026-109619.
Důvod: Na takových serverech často existuje několik zdrojů PHP vedle sebe. Vedle PHP operačního systému a, u cPanelu, balíčků ea-php stojí balíčky alt-php od CloudLinuxu. Každý zdroj má vlastní stav balíčků. To, že je jeden zaplatovaný, neříká nic o ostatních.
Pro agentury a firmy s více účty u téhož hostera přistupuje druhý bod: každý web může používat jinou verzi, protože ji před lety někdo v zákaznické zóně přepnul. Jediný dotaz na „PHP“ hostera proto nestačí. Smysl má seznam všech domén s vždy zvolenou verzí.
Co jsou alt-php a PHP Selector
Podle dokumentace CloudLinuxu poskytuje PHP Selector alternativní verze PHP, balíčky alt-php. Leží pod /opt/alt/phpXX/, například /opt/alt/php83/ pro PHP 8.3, vždy s vlastním php.ini. Dokumentace uvádí verze od 5.1 do 8.5, podle verze CloudLinuxu na serveru.
Zákazníci si verzi volí sami, v cPanelu většinou přes „Select PHP Version“. Technicky to předpokládá CageFS, jakýsi uzavřený souborový systém pro každý účet. Podle dokumentace Selector pracuje se suPHP, mod_fcgid, CGI a LiteSpeed; Apache s mod_php CageFS nepodporuje.
| Pojem | Co to pro vás znamená |
|---|---|
| CloudLinux | operační systém hostera, odděluje zákaznické účty |
| CageFS | vlastní uzavřený souborový systém pro každý účet |
| alt-php | balíčky PHP od CloudLinuxu, jeden pro každou verzi |
| PHP Selector | výběr verze alt-php a jednotlivých voleb v zákaznické zóně |
CloudLinux alt-php a PHP2Shell: co je doloženo a co zůstává otevřené
Doloženo je: Opravené verze PHP jsou 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pro PHP 8.1 a starší už od projektu PHP nejsou oficiální aktualizace, jen minimální backporty zdrojového kódu pro 7.4, 8.0 a 8.1. Podle odborného tisku se zranitelnost týká téměř všech verzí až po PHP 5.4.
Otevřené je v nám dostupných zdrojích, pro které verze alt-php už CloudLinux dodává zaplatované balíčky. Právě u starých větví jako 5.6 nebo 7.4, které Selector nadále nabízí, proto rozhoduje pouze vyjádření poskytovatele. Backporty mohou být nasazeny, aniž by se zobrazené číslo verze změnilo.
Zvláštnost se týká serverů cPanel s komerční dlouhodobou podporou: Podle dokumentace cPanelu dodává TuxCare, značka CloudLinuxu, zaplatované balíčky pro skončené verze PHP jako alt-php. Kdo byl tam přepnut z ea-php74 na alt-php74, je na tuto cestu odkázán. Více v článku Dlouhodobá podpora starých verzí PHP.
Tyto otázky byste měli hosterovi nyní položit
Jako zákazník alt-php sami zaplatovat nemůžete. Můžete ale klást správné otázky a odpovědi dokumentovat. Hotový vzor nabízí průvodce Zeptejte se hostera na stav záplat.
- Běží můj účet s alt-php, ea-php, nebo s PHP operačního systému, a s jakou přesně verzí?
- Je právě tento balíček zaplatován proti CVE-2026-109618 a CVE-2026-109619 a od kdy?
- Byly poté restartovány všechny procesy PHP, i procesy lsphp a php-cgi?
- Jsou přechodné hodnoty od php.net nastaveny centrálně, zejména
session.upload_progress.enabled=0? - Které verze alt-php se už nezaplatují a do kdy musím přejít jinam?
Souběžně zkontrolujte, kterou verzi váš účet skutečně používá. Máte-li přístup přes SSH, ukáže php -v verzi příkazové řádky, která se však může od webu lišit. Spolehlivější je zobrazení v PHP Selectoru pro dotčenou doménu.
Odpoví-li hoster, že vaše zvolená verze se už nezaplatuje, je přechod na podporovanou větev čistou cestou. Předem ověřte v systémových požadavcích svého CMS nebo e-shopu, které verze PHP výrobce schvaluje, a přechod pokud možno otestujte na kopii webu. Přepnutí v Selectoru je rychlé, chyba v e-shopu v pondělí ráno nikoli.
Volby PHP v Selectoru: opatrně s přechodnými hodnotami
PHP Selector umožňuje zákazníkům měnit jednotlivé hodnoty php.ini samostatně, mezi nimi často memory_limit. Které hodnoty jsou povoleny, určuje podle dokumentace provozovatel v souboru /etc/cl.selector/php.conf. Globální hodnoty pro všechny verze alt-php jsou v /etc/cl.selector/global_php.ini.
Pro PHP2Shell je to důležité. php.net doporučuje jako přechod nastavit memory_limit=-1 tak, aby aplikace hodnotu nemohly přepsat, a session.upload_progress.enabled=0 nenastavovat přes ini_set() ani .user.ini. Hodnota, kterou může každý účet libovolně měnit, tuto podmínku nesplňuje. Souvislosti najdete v článku Okamžitá opatření bez záplaty.
Pro provozovatele serverů z toho plyne krátký kontrolní seznam. Příkazy jen čtou:
# Které verze PHP Selector nabízí, která je výchozí?
selectorctl --summary
# Nainstalované balíčky alt-php a jejich stav
rpm -qa 'alt-php*' | sort
# Jsou čísla CVE v changelogu balíčku? (název balíčku jako příklad)
rpm -q --changelog alt-php83 | grep -E "CVE-2026-10961[89]"
# Běžící procesy PHP s časem spuštění, k doložení restartu
ps -eo pid,lstart,cmd | grep -E '[l]sphp|[p]hp-cgi|[p]hp-fpm'
Aktualizuje se podle dokumentace CloudLinuxu příkazem yum groupupdate alt-php. Poté se musí všechny procesy PHP restartovat, jinak v paměti dál běží starý kód. Přechodné hodnoty, které se nesmějí přepisovat, patří do globální konfigurace a ne do seznamu zákaznických voleb. Jak se ea-php a alt-php na serverech cPanel k sobě mají, popisuje cPanel a WHM: zabezpečení PHP.
Záplata neodstraní škodlivý software, který byl vložen dříve. Pokud váš účet běžel mezi 17. a 21. říjnem se zranitelnou verzí, stojí za pohled na nové soubory PHP a přístupové logy od 20. října.
Jak konkrétně pomáhá PHP SOS?
- Objasnit stav: Zjišťujeme, s jakým zdrojem a verzí PHP běží každý z vašich webů, a formulujeme dotaz pro hostera.
- Posoudit odpověď: Potvrzení hostera kontrolujeme na mezery, například chybějící údaje o restartu nebo o starých větvích alt-php.
- Provázet přechod: Běží-li web na verzi bez záplaty, naplánujeme přechod a předem jej otestujeme.
- Pro provozovatele: Prostřednictvím PHP Patch Service aktualizujeme balíčky alt-php, ea-php i systémové, restartujeme všechny procesy a stav dokumentujeme.
Časté dotazy
Jak poznám, zda můj hoster používá CloudLinux a alt-php?
Typickým znakem je funkce „Select PHP Version“ v zákaznické zóně cPanel, jíž můžete sami přepínat mezi mnoha verzemi PHP. Jistotu máte, až když to hoster potvrdí.
Mohu alt-php ve svém účtu aktualizovat sám?
Ne. Balíčky alt-php leží centrálně na serveru a spravuje je provozovatel. Můžete jen vybírat mezi nainstalovanými verzemi a nechat si potvrdit stav záplat zvolené verze.
Je stará verze alt-php, například 7.4, chráněna proti PHP2Shell?
Bez vyjádření poskytovatele to nelze říci. Podle odborného tisku se zranitelnost týká téměř všech verzí až po PHP 5.4 a projekt PHP pro 8.1 a starší neposkytuje oficiální aktualizace. Zda je backport nasazen, musí hoster písemně potvrdit přesně pro vaši verzi.
Smím měnit memory_limit v PHP Selectoru sám?
Technicky často ano, pokud provozovatel nastavení povolil. php.net ale jako přechodné opatření doporučuje nastavit memory_limit tak, aby aplikace hodnotu nemohly přepsat. Takové hodnoty proto měňte jen po dohodě s hosterem.