Lühidalt: Kui php -v näitab pärast uuendust sama versiooni, on põhjuseks tavaliselt backport: distributsioon võtab oma olemasolevasse PHP versiooni üle ainult turvaparanduse, number jääb samaks. Ubuntu 24.04 teatab nii edasi 8.3.6, kuigi pakett on PHP2Shelli vastu parandatud. Selgitage küsimus paketi seisu ja muudatuslogi kaudu ning kontrollige lisaks, kas veebisait tõesti uue koodiga töötab.
Tüüpiline hetk pärast PHP2Shelli
Administraator on uuenduse paigaldanud, kõik ilma vigadeta. Kontrolliks sisestab ta php -v ja näeb sama versiooni nagu enne. Kas uuendus ei töötanud? Kas server on edasi lahti? See küsimus kuulub alates 21. oktoobrist 2026 sagedasemate hulka.
Hea uudis: enamasti on kõik korras. Halb uudis: on ka juhtumeid, kus sama number tegelikult probleemile viitab. See artikkel aitab mõlemat eristada.
Miks distributsioonid numbrit ei muuda
Ettevõtte ja LTS-distributsioonid lubavad stabiilsust. Ühe väljalaske sees ei tohiks käitumine ja liidesed võimalikult muutuda. Hüpe PHP 8.3.6-lt 8.3.36-le tooks aga kaasa arvukalt veaparandusi ja väikseid käitumismuutusi, mis võiksid rakendusi häirida.
Seetõttu võtavad paljud paketihooldajad üle ainult konkreetse turvaparanduse oma olemasolevasse versiooni. Seda toimingut nimetatakse backportiks. Upstream-versioon, mida PHP ise käsuga php -v teatab, jääb samaks. Muutub paketi seis, mille distributsioon annab.
Ubuntu 24.04 näitel näeb see välja nii: PHP teatab 8.3.6. Parandatud paketiseis on USN-8948-1 kohaselt aga 8.3.6-0ubuntu0.24.04.13. Loeb tagumine osa. Debian otsustas PHP2Shelli puhul teisiti ja tarnis bookwormile ja trixiele uued upstream-versioonid 8.2.35 ja 8.4.27. Ülevaade väljalaskete kaupa seisab artiklis Debian ja Ubuntu: kas minu PHP pakett on paigatud?.
Tasub sellise paketiversiooni korra osadeks lahti võtta. Näitel 8.3.6-0ubuntu0.24.04.13: kriipsuni olev osa on upstream-versioon, see tähendab see, mida PHP ise teatab. Selle järel tuleb distributsiooni revisjon. ubuntu0.24.04 viitab väljalaskele, viimane arv loendab ülevaatusi. Iga turvaparandus suurendab seda arvu. Ubuntu Pro puhul lisandub täiendus nagu +esm5, Debiani turvauuenduste puhul nagu ~deb12u1. Kes oskab neid osi lugeda, näeb ühe pilguga, kas paketti on pärast turvateadet muudetud.
Kus vana number kõikjal ilmub
Muutumatu number ei ilmu mitte ainult käsus php -v. See seisab ka kohtades, mis on väljastpoolt nähtavad või mida tööriistad analüüsivad:
| Koht | Mis seal seisab | Tagajärg |
|---|---|---|
php -v ja php -i |
upstream-versioon, ehituskuupäev | administraatorid kahtlevad uuenduses |
| phpinfo-leht | upstream-versioon | sama mõju brauseris |
Päis X-Powered-By |
upstream-versioon, kui expose_php on sees |
välised skannerid teatavad turvaaugust |
| Veebimajutuse paneelid nagu Plesk | upstream-versioon | näit näiteks 8.2.34 paigast hoolimata |
| Haavatavuse skannerid | võrdlus numbri järgi | valehäire backportide korral |
Välised skannerid on omaette juhtum. Kes neid kasutab, saab pärast PHP2Shelli võib-olla leide serverite kohta, mis on ammu parandatud. Ärge eirake neid leide üldiselt, vaid tõendage iga serveri kohta paketi seis ja märkige leid kontrollituks. Veel üks põhjus versiooniandmeid väljapoole peita seisab artiklis expose_php ja serveripäised.
Millal sama number on hoiatusmärk
On kolm olukorda, kus muutumatu number tõesti probleemile viitab:
- Paketiallikas tarnib upstream-versiooni. Kui PHP tuleb allikast, mis tavaliselt tarnib ajakohast upstream-versiooni, näiteks Debian PHP2Shelli puhul või kolmandad allikad nagu Remi ja sury.org, peaks pärast uuendust ilmuma 8.5.12, 8.4.27, 8.3.36 või 8.2.35. Kui seal seisab edasi vana number, ei ole paketti uuendatud.
- Te kontrollite valet paigaldust.
php -vnäitab käsurida. Kui veebisait töötab teise versiooniga, näiteks veebimajutuse paneelist või Software Collectionist, ei ütle väljund veebisaidi kohta midagi. - Paketi seis ei ole muutunud. Kui ka paketi seis on sama mis enne uuendust, ei ole uuendus selle paketini jõudnud, näiteks sellepärast, et seda hoiti kinni või allikas puudub.
Mittetehnikutele saab selle kokku võtta nii: versiooninumber kirjeldab mudelit, paketi seis hooldusseisu. Kaks sama PHP versiooniga serverit võivad turvalisuses oluliselt erineda. Küsige seetõttu oma IT-lt või teenusepakkujalt mitte versiooni, vaid paiga tõendit.
Nii selgitate küsimuse viie minutiga
Järgmised käsud on puhtalt lugevad. Näited lähtuvad Ubuntust või Debianist ja PHP 8.3-st; RHEL-süsteemides kasutage dpkg-query asemel rpm -q.
# 1. Mida PHP ise teatab, kaasa arvatud ehituskuupäev?
php -v
# 2. Milline paketi seis on paigaldatud, millisest allikast?
apt policy php8.3-fpm
# 3. Kas muudatuslogi sisaldab CVE-numbreid?
apt changelog php8.3-fpm 2>/dev/null | grep -E "CVE-2026-10961[89]"
# 4. Mis ajast veebisaidi PHP protsessid töötavad?
ps -eo pid,lstart,cmd | grep "[p]hp-fpm"
Ehituskuupäev php -v väljundis on vihje, kuid mitte tõend. Töökindla tõendi annab muudatuslogi kirje. Kuidas seda leida ja fikseerida, kui see on teisiti sõnastatud või puudub, kirjeldab artikkel CVE-numbrite tõendamine paketi muudatuslogis.
Pange pärast iga kontrolli kirja mõlemad numbrid: upstream-versioon käsust php -v ja paketi seis. Kes hiljem küsib, miks server on „ikka 8.3.6“, saab nii selge vastuse.
Üldise kontrolli versiooni, paketi ja protsesside kaudu võtab kokku leht PHP versiooni ja paigatud seisu õige kontroll.
Kuidas PHP SOS konkreetselt aitab?
- Selgitame iga serveri kohta, kas muutumatu versiooninumber on backport või puuduv uuendus.
- Hindame haavatavuse skannerite leide ja tõendame valehäired paketi seisu ning muudatuslogiga.
- Kontrollime, millist PHP paigaldust veebisait tegelikult kasutab ja kas selle protsessid on uuesti käivitatud.
- PHP paigateenuses dokumenteerime upstream-versiooni ja paketi seisu kõrvuti.
Korduma kippuvad küsimused
Kas minu server on paigamata, kui php -v näitab vana numbrit?
Mitte tingimata. Paljud distributsioonid võtavad parandusi üle backportina olemasolevasse versiooni. Ubuntu 24.04 näitab näiteks edasi 8.3.6, kuigi pakett on USN-8948-1 kohaselt parandatud. Otsustavad on paketi seis ja muudatuslogi.
Miks teatab minu turvaskanner uuendusest hoolimata turvaaugust?
Paljud skannerid loevad ainult versiooninumbrit, näiteks päisest X-Powered-By. Backportide korral viib see valehäireteni. Kontrollige paketi seisu ja dokumenteerige tulemus, selle asemel et leidu lihtsalt eirata.
Kas võib olla, et php -v näitab uut numbrit, kuid veebisait mitte?
Jah. php -v näitab käsurida. Veebisait võib töötada teise paigalduse kaudu või protsessidega, mis käivitati enne uuendust. Kontrollige seetõttu ka FPM-teenust või Apache'i ja nende käivitusaega.
Kas php -v väljundis olev ehituskuupäev aitab?
See on vihje, kuid mitte tõend. Ehituskuupäev pärast 21. oktoobrit 2026 sobib parandatud paketiga, kuid ei tõenda, et parandus on sees. Parem tõend on muudatuslogi kirje.