Εν ολίγοις: Το αποθετήριο sury PHP είναι μια ευρέως διαδεδομένη πηγή τρίτου για πακέτα PHP στο Debian (packages.sury.org) και στην Ubuntu (PPA ondrej/php). Επιτρέπει πολλές εκδόσεις PHP παράλληλα και νεότερους κλάδους από τη διανομή. Μετά το PHP2Shell παρασχέθηκαν εκεί, σύμφωνα με αναφορές, builds για όλους τους κλάδους από 5.6 έως 8.5. Την απόδειξη για τον διακομιστή σας τη δίνουν όμως μόνο το επίπεδο του πακέτου και το changelog, όχι οι ανακοινώσεις ασφαλείας του Debian ή της Ubuntu.
Τι είναι το αποθετήριο sury
Πίσω από το sury.org βρίσκεται ο Ondřej Surý. Σύμφωνα με τη σελίδα του έργου του, πακετάρει ως προγραμματιστής του Debian από την PHP 5 και μετά τα πακέτα PHP για το Debian, και τα επίσημα πακέτα PHP του Debian και της Ubuntu στηρίζονται στη δουλειά του. Παράλληλα με αυτή τη δουλειά λειτουργεί ένα δικό του αποθετήριο με πακέτα PHP που μπορούν να εγκατασταθούν παράλληλα.
Για το Debian το αποθετήριο βρίσκεται στο packages.sury.org, για την Ubuntu προσφέρεται ως PPA ondrej/php. Τα σφάλματα αναφέρονται, σύμφωνα με τη σελίδα του έργου, μέσω issue tracker στο Codeberg και όχι με email. Η συντήρηση γίνεται, κατά δική του δήλωση, κυρίως στον ελεύθερο χρόνο· για παλαιότερες εκδόσεις διανομών υπάρχει εμπορική προσφορά μέσω Freexian.
Πολλοί διαχειριστές και πάροχοι φιλοξενίας χρησιμοποιούν το αποθετήριο, επειδή προσφέρει νεότερους κλάδους PHP από όσους έχει η διανομή ή επειδή εφαρμογές χρειάζονται συγκεκριμένη έκδοση.
Τι το ξεχωρίζει από τα πακέτα του Debian
Η σημαντικότερη διαφορά για την ασφάλεια: τα πακέτα από το sury.org δεν υπάγονται στις ανακοινώσεις ασφαλείας του Debian ή της Ubuntu. Το Debian Security Tracker δείχνει μόνο την κατάσταση των επίσημων πακέτων. Αν εκεί αναγράφεται ότι το php8.4 στο trixie είναι διορθωμένο, αυτό δεν λέει τίποτα για ένα php8.4 από το sury.org στον ίδιο διακομιστή.
| Χαρακτηριστικό | Επίσημα πακέτα Debian και Ubuntu | sury.org |
|---|---|---|
| Εκδότης | Debian ή Canonical | ο Ondřej Surý ως φυσικό πρόσωπο |
| Ανακοινώσεις ασφαλείας | DSA, DLA, USN | καμία από αυτές τις ανακοινώσεις |
| Εκδόσεις | ένας κλάδος ανά έκδοση | πολλοί κλάδοι παράλληλα |
| Αριθμός έκδοσης μετά τη διόρθωση | Debian ορισμένες φορές νέα έκδοση upstream, Ubuntu συνήθως παλιός αριθμός με νέο επίπεδο πακέτου | κατά κανόνα η τρέχουσα έκδοση upstream |
| Απόδειξη | Ανακοίνωση και changelog | Changelog και έκδοση πακέτου |
Για τις επιχειρήσεις αυτό σημαίνει εξάρτηση από ένα μεμονωμένο πρόσωπο για ένα κεντρικό στοιχείο. Αυτό δεν είναι λόγος να αποφύγετε το αποθετήριο, είναι όμως λόγος να το φέρετε συνειδητά: με παρακολούθηση, απόδειξη και σχέδιο Β.
Το αποθετήριο sury PHP μετά το PHP2Shell: έλεγχος κατάστασης
Πρώτα διευκρινίζετε αν και για ποια πακέτα ο διακομιστής χρησιμοποιεί sury. Οι εντολές είναι αμιγώς ανάγνωσης.
# Είναι το sury καταχωρισμένο ως πηγή πακέτων;
grep -rEl "sury|ondrej" /etc/apt/sources.list /etc/apt/sources.list.d/ 2>/dev/null
# Από ποια πηγή προέρχεται το εγκατεστημένο πακέτο;
apt policy php8.3-fpm
# Εγκατεστημένη έκδοση και εγγραφή changelog για τις CVE
dpkg-query -W -f='${Package}\t${Version}\n' 'php*-fpm' 'libapache2-mod-php*' 2>/dev/null
zgrep -E "CVE-2026-10961[89]" /usr/share/doc/php8.3-fpm/changelog.Debian.gz
Σε τρέχοντες κλάδους αναγνωρίζετε τη διόρθωση κατά κανόνα από την έκδοση upstream 8.5.12, 8.4.27, 8.3.36 ή 8.2.35 στο όνομα του πακέτου. Σε παλιούς κλάδους όπως 7.4 ή 8.1 δεν υπάρχει επίσημη έκδοση-στόχος, εκεί η εγγραφή στο changelog είναι η σημαντικότερη απόδειξη. Αν λείπει, ρωτήστε μέσω του issue tracker του έργου ή αντιμετωπίστε το πακέτο ως ανεπίλυτο.
Παλιοί κλάδοι PHP από το sury: μια απατηλή ευκολία
Το αποθετήριο κάνει εύκολο να λειτουργεί η PHP 7.4 ή ακόμη και η 5.6 σε ένα τρέχον Debian. Σύμφωνα με αναφορές, υπήρξαν και για αυτούς τους κλάδους builds ενάντια στο PHP2Shell. Αυτό βοηθά στην οξεία κατάσταση, μεταθέτει όμως απλώς το βασικό πρόβλημα: το έργο PHP δεν συντηρεί πλέον αυτούς τους κλάδους και η επόμενη ευπάθεια θα τους χτυπήσει ξανά.
Όποιος κρατά με αυτόν τον τρόπο ζωντανή μια παλιά εφαρμογή, πρέπει να αναρωτηθεί ειλικρινά για πόσο ακόμη. Τι ισχύει για την PHP 8.1 και παλαιότερες, συνοψίζει η σελίδα PHP 8.1 και παλαιότερες: τι ισχύει τώρα. Εμπορικές εναλλακτικές με τα όριά τους περιγράφει το άρθρο Μακροπρόθεσμη υποστήριξη για παλιές εκδόσεις PHP.
Μην αναμιγνύετε ανεξέλεγκτα σε έναν διακομιστή πακέτα PHP από τη διανομή και από το sury.org. Οι εξαρτήσεις ανάμεσα σε επεκτάσεις και βιβλιοθήκες μπορεί να οδηγήσουν στην επόμενη ενημέρωση σε απρόσμενες αλλαγές πακέτων.
Συστάσεις για τη λειτουργία με sury
- Τεκμηριώστε ποιοι διακομιστές χρησιμοποιούν sury και για ποιους κλάδους.
- Ορίστε την προέλευση, για παράδειγμα με APT pinning, ώστε τα πακέτα PHP να προέρχονται μόνο από μία πηγή.
- Παρακολουθείτε τις ενημερώσεις, γιατί χωρίς DSA ή USN λείπει η συνηθισμένη υπόδειξη. Μια τακτική σύγκριση του
apt list --upgradableβοηθά. - Επανεκκινείτε μετά από κάθε ενημέρωση, για κάθε εγκατεστημένη έκδοση χωριστά. Πόσες τρέχουν παράλληλα, δείχνει το άρθρο Πολλές εκδόσεις PHP σε έναν διακομιστή.
- Υποστηρίξτε, αν η επιχείρησή σας εξαρτάται από το αποθετήριο. Η σελίδα του έργου αναφέρει δωρεές και εμπορική υποστήριξη ως δρόμους.
Πίσω στα πακέτα της διανομής;
Δεν χρειάζεται κάθε διακομιστής που σήμερα χρησιμοποιεί sury να το έχει ακόμη. Συχνά το αποθετήριο προστέθηκε πριν από χρόνια, επειδή η τότε διανομή έφερνε μόνο παλαιότερη έκδοση PHP. Στο μεταξύ το Debian 13 trixie παραδίδει για παράδειγμα PHP 8.4, που σύμφωνα με το Debian Security Tracker είναι διορθωμένη για το PHP2Shell. Αν η εφαρμογή σας τρέχει με αυτή την έκδοση, η επιστροφή μπορεί να τερματίσει την εξάρτηση από πηγή τρίτου.
Η επιστροφή είναι ένα μικρό έργο μετάβασης. Ελέγξτε πρώτα ποιες επεκτάσεις χρειάζεται η εφαρμογή και αν τις προσφέρει η διανομή. Δοκιμάστε την εφαρμογή με το πακέτο της διανομής σε αντίγραφο προτού αφαιρέσετε την πηγή sury. Μετά οι ανακοινώσεις ασφαλείας έρχονται ξανά από τους γνωστούς δρόμους και η απόδειξη στηρίζεται σε DSA ή USN αντί μόνο σε ένα changelog.
Όπου παραμένει απαραίτητη νεότερη ή παλαιότερη έκδοση από αυτή της διανομής, το sury εξακολουθεί να είναι λογική επιλογή. Τότε όμως η απόφαση πρέπει να έχει ληφθεί συνειδητά και να έχει τεκμηριωθεί.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Διαπιστώνουμε ποια πακέτα PHP στους διακομιστές σας προέρχονται από το sury.org, από τη διανομή ή από άλλες πηγές.
- Ελέγχουμε την κατάσταση PHP2Shell ανά κλάδο μέσω έκδοσης πακέτου και changelog και επανεκκινούμε όλες τις υπηρεσίες.
- Ρυθμίζουμε pinning και παρακολούθηση ενημερώσεων και αφαιρούμε κλάδους που δεν χρειάζονται πλέον στο πλαίσιο της σκλήρυνσης διακομιστή.
- Για παλιούς κλάδους σχεδιάζουμε τη μετάβαση σε υποστηριζόμενη έκδοση.
Συχνές ερωτήσεις
Είναι το αποθετήριο sury επίσημο αποθετήριο του Debian;
Όχι. Το λειτουργεί ο Ondřej Surý, ο οποίος, σύμφωνα με τη δική του σελίδα, πακετάρει εδώ και καιρό την PHP για το Debian ως προγραμματιστής του Debian. Δεν είναι όμως το αρχείο ασφαλείας του Debian και για τα πακέτα του δεν υπάρχουν ανακοινώσεις ασφαλείας του Debian.
Παρείχε το sury.org πακέτα για το PHP2Shell;
Σύμφωνα με αναφορές, παρασχέθηκαν builds για όλους τους κλάδους από 5.6 έως 8.5. Ελέγξτε παρ' όλα αυτά μόνοι σας την κατάσταση στον διακομιστή σας μέσω της έκδοσης του πακέτου και του changelog, επειδή οι αναφορές δεν αντικαθιστούν απόδειξη για το σύστημά σας.
Κάνει το sury.org ξανά ασφαλείς τις παλιές εκδόσεις PHP;
Ένα build για έναν παλιό κλάδο μπορεί να κλείσει μια συγκεκριμένη ευπάθεια. Δεν αλλάζει το γεγονός ότι το έργο PHP δεν συντηρεί πλέον αυτούς τους κλάδους. Για μόνιμα ασφαλή λειτουργία παραμένει απαραίτητη η μετάβαση σε υποστηριζόμενη έκδοση.
Πώς διαπιστώνω αν ο διακομιστής μου χρησιμοποιεί sury;
Αναζητήστε στις πηγές πακέτων στο /etc/apt τις λέξεις sury ή ondrej και ελέγξτε με το apt policy από ποια πηγή προέρχονται τα εγκατεστημένα πακέτα PHP.