Plesk: porozumění handlerům PHP (FPM, FastCGI, modul Apache)

Stručně: Handler PHP v Plesku určuje, jak PHP pro web běží: jako aplikace FPM se sdíleným poolem, jako Dedicated FPM s vlastním poolem pro každý web, jako aplikace FastCGI nebo jako modul Apache (mod_php). Z hlediska bezpečnosti je na Linuxu zpravidla nejlepší volbou Dedicated FPM, nejhorší modul Apache. Plesk jej sám označuje jako zastaralý, resp. nezabezpečený, a u PHP2Shell vidí tým PHP nejvyšší riziko právě u mod_php.

Proč je handler víc než otázka výkonu

V Plesku vybíráte pro každý web verzi PHP a handler. Mnozí s handlerem zacházejí jako s detailem pro výkon a paměť. Rozhoduje ale také o tom, jak silně jsou weby od sebe odděleny, kde působí bezpečnostní nastavení a které procesy je po aktualizaci nutné restartovat.

Po PHP2Shell se tato volba stává konkrétní. Zranitelnosti CVE-2026-109618 a CVE-2026-109619 se týkají všech běžných provozních režimů, tým PHP ale hodnotí riziko u mod_php nejvýše. Kdo na svém serveru Plesk ještě provozuje domény s modulem Apache, měl by to nyní změnit. Jak verze zkontrolovat a zaplatovat, popisuje stránka Servery Plesk: kontrola a záplatování verzí PHP; zde jde o volbu provozního režimu.

Handlery PHP v Plesku v přehledu

Následující přehled vychází z dokumentace Plesku pro Plesk Obsidian, doplněné o bezpečnostní pohled. Na Linuxu lze handlery FPM podle Plesku volitelně poskytovat přes Apache nebo nginx, FastCGI vždy přes Apache.

Souvislosti k samotným provozním režimům vysvětlují stránky PHP-FPM vysvětleno a Proč nese mod_php nejvyšší riziko.

Společný, nebo vlastní pool?

Rozdíl mezi FPM a Dedicated FPM se často podceňuje. U běžného handleru FPM sdílejí podle Plesku všechny weby se stejnou verzí PHP jeden pool procesů. To šetří paměť, ale znamená to také: web, který dělá potíže, může stáhnout všechny ostatní se stejnou verzí, a sdílí se společná cache.

Dedicated FPM dává každému webu vlastní pool. Podle Plesku to zlepšuje izolaci a výkon, stojí to ale víc paměti. Z hlediska bezpečnosti je vlastní pool základem pro to, aby se nastavení jako open_basedir, limity paměti nebo limity uploadu mohla nastavit pro každý web zvlášť. Jak pooly důsledně oddělit, popisuje článek Izolace poolů PHP-FPM pro každý web.

nginx, nebo Apache: past .htaccess

Zvolíte-li handler poskytovaný přes nginx, mění se něco zásadního: podle Plesku tyto handlery soubor .htaccess ignorují. Co tam stojí, přestane působit.

To je bezpečnostní téma. Mnoho aplikací a administrátorů ukládá ochranná pravidla do .htaccess, například zákaz spouštění souborů PHP ve složkách uploadu nebo zákazy přístupu ke konfiguračním souborům. Po přechodu na nginx jsou tato pravidla tiše mimo provoz. Zkontrolujte proto před změnou, jaká ochranná pravidla v .htaccess stojí, a převeďte je do konfigurace nginx dané domény.

Zkontrolovat a přepnout handler

Nejprve si udělejte přehled, které domény používají který handler. Příkazy jsou čistě čtecí.

# Všechny registrované handlery s ID, verzí a typem
plesk bin php_handler --list

# Domény, které používají určitý handler (ID ze seznamu)
plesk bin php_handler --get-usage -id <handler-id>

# Běží PHP v procesu Apache? (Debian/Ubuntu: apache2ctl, rodina RHEL: httpd)
apache2ctl -M 2>/dev/null | grep -i php

Při přepínání postupujte doménu po doméně:

1. Zachytit ochranná pravidla z .htaccess, pokud se nový handler poskytuje přes nginx.
2. Nastavit pro nový handler přechodné hodnoty proti PHP2Shell, například session.upload_progress.enabled=0. U FPM patří jako php_admin_value do dodatečných direktiv poolu, u FastCGI působí jiné cesty.
3. Přepnout handler v nastavení PHP domény, pokud možno nejprve na kopii.
4. Otestovat funkce a zkontrolovat, zda doménu obsluhují procesy s aktuálním kódem.
5. Pokud modul Apache nepoužívá žádná doména, handler deaktivovat.

V jakém pořadí přepínat?

Na vyrostlém serveru Plesk se zřídkakdy podaří přepnout vše za jeden den. Pořadí podle rizika pomáhá využít omezený čas rozumně:

• Nejprve domény s modulem Apache, protože tam je riziko od PHP2Shell podle týmu PHP nejvyšší a Plesk tak jako tak odrazuje.
• Pak domény s citlivými daty, například e-shopy, zákaznické portály nebo formuláře se zdravotními či smluvními údaji. Zde se vlastní pool vyplatí obzvlášť.
• Poté domény na starých verzích PHP, které je tak jako tak nutné přepnout. Handler a verzi lze změnit společně v jednom servisním okně.
• Nakonec přechod od společného k vlastnímu poolu u ostatních domén, pokud to paměť serveru dovolí.

Před posledním stupněm zkontrolujte využití paměti. Plesk upozorňuje, že Dedicated FPM potřebuje víc paměti, a u mnoha webů radí sledování. Server, který po přepnutí odkládá paměť na disk, je pomalý, a nedostatek paměti není právě u PHP2Shell dobrý stav.

Jak konkrétně pomáhá PHP SOS?

• Zjišťujeme, které domény na vašem serveru Plesk používají který handler, a domény s modulem Apache označujeme.
• Přepínáme na Dedicated FPM a ochranná pravidla z .htaccess převádíme, kde je třeba, do konfigurace nginx.
• Nastavujeme přechodné hodnoty a limity pro každý pool a ověřujeme, že působí ve webovém kontextu.
• V rámci hardeningu serveru deaktivujeme zastaralé handlery a konfiguraci dokumentujeme.

Časté dotazy

Zdroje

• Dokumentace Plesk: Choosing the PHP Handler
• Dokumentace Plesk: php_handler
• php.net: bezpečnostní oznámení