cPanel ja WHM: PHP turvamine

Lühidalt: cPanel PHP uuendus pärast PHP2Shelli koosneb kolmest sammust: tuua kõik ea-php ja vajaduse korral alt-php paketid parandatud seisu, käivitada PHP-FPM ja Apache täielikult uuesti ning dokumenteerida paketi seis. Serveris olevad kliendid ei saa olulisemaid ajutisi väärtusi ise seada, seda peab tegema WHM-i administraator.

Lähteolukord cPanel-serverites

PHP2Shell hõlmab PHP-s endas olevaid turvauke CVE-2026-109618 ja CVE-2026-109619. Mõlemad võimaldavad kahjuliku koodi käivitamist ilma sisselogimata ning on hinnatud CVSS v4.0 skaalal 9,2. Mõjutatud on PHP-FPM, Apache koos mod_php-ga, php-cgi, FrankenPHP ja LiteSpeed. PHP projekt avaldas 21.10.2026 versioonid 8.5.12, 8.4.27, 8.3.36 ja 8.2.35.

cPanel ei tarni PHP-d ühe paketina, vaid EasyApache 4 kaudu, iga versiooni jaoks oma paketikomplekt, näiteks ea-php83 või ea-php84. Mõnes serveris lisanduvad operatsioonisüsteemi paketid ja CloudLinuxis alt-php versioonid. Igal allikal on oma seis. Täieliku pildi saate alles siis, kui kontrollite kõiki kolme.

cPanel PHP uuendus: kontrollige olemasolevat ja seoseid

Alustage inventuurist. Järgmised käsud ainult loevad ega muuda midagi. Teekonnad ja paketinimed on näited ning võivad paigalduse põhjal erineda.

# Paigaldatud PHP versioonid WHM-i API järgi
whmapi1 php_get_installed_versions

# Versioon iga ea-php paigalduse kohta
for p in /opt/cpanel/ea-php*/root/usr/bin/php; do echo "$p"; "$p" -v | head -1; done

# Paketi seis (RPM-põhised süsteemid, näide)
rpm -qa | grep -E '^ea-php[0-9]+-php-(cli|fpm|common)' | sort

MultiPHP Managerist näete, milline domeen kasutab millist versiooni ja kas PHP-FPM on aktiveeritud. Märkige üles versioonid, mis on paigaldatud, aga ühegi domeeniga seostamata. Needki tuleb uuendada või eemaldada.

Hinnake backporte õigesti

Nagu teiste pakkujate puhul: kuvatav versiooninumber ei ole ainus mõõdupuu. Kui parandus tarnitakse backportina, võib number jääda samaks. Kontrollige seetõttu lisaks paketi muudatuslogi ja pakkuja märkusi.

# Paketi muudatuslogist CVE-numbreid otsida (näide)
rpm -q --changelog ea-php84-php-cli | grep -iE 'CVE-2026-1096(18|19)'

Kui kirjet ei leidu, ei tähenda see automaatselt, et parandus puudub. Küll aga tähendab see, et vajate kirjalikku kinnitust, enne kui peate serveri paigatuks. Kuidas versioone õigesti lugeda, kirjeldab leht PHP versiooni ja paigatud seisu kontroll.

Uuendus, taaskäivitus ja kontroll

Uuenduse paigaldate WHM-is süsteemiuuenduse kaudu või paketihalduse abil. Seejärel käivitage kõik PHP protsessid uuesti. Uutest failidest üksi ei piisa, kuni mälus töötavad vanad protsessid.

# Kõigi versioonide PHP-FPM-teenused uuesti käivitada (cPaneli skript)
/scripts/restartsrv_apache_php_fpm

# Apache täielikult uuesti käivitada
/scripts/restartsrv_httpd

# PHP protsesside käivitusaega kontrollida
ps -eo pid,lstart,cmd | grep -E 'php-fpm|lsphp|php-cgi' | grep -v grep

Igal PHP protsessil peaks olema käivitusaeg pärast uuendust. Kui see nii ei ole, lõpetage protsess sihipäraselt vastava teenuse kaudu. Mitme serveri korral tasub iga masina kohta teha lühike protokoll, mida saate hiljem tõendina kasutada.

Seadke ajutised väärtused keskselt

Kui mõni versioon ei ole veel parandatud, soovitab php.net ajutisi meetmeid, mis ei paku täielikku kaitset. cPanelis seadke need MultiPHP INI Editoris administraatorirežiimis või otse vastava ea-php versiooni php.ini-s. Klientide kontode .user.ini väärtustest sätte session.upload_progress.enabled jaoks ei piisa.

; mõjutatud versiooni serveripõhine php.ini (näide)
session.upload_progress.enabled = 0
post_max_size = 32M
upload_max_filesize = 24M

Ilma üleslaadimisfunktsioonita nimetab php.net väärtuse post_max_size = 8M. PHP 8.5 puhul lisandub fatal_error_backtraces=0. Seejärel käivitage kõik tööprotsessid uuesti. Mälupiirangu seadke cgroupide kaudu, näiteks CloudLinuxi limiitidega, mitte RLIMIT_AS või RLIMIT_DATA abil. Lisateavet leiate lehelt Kohesed meetmed ilma paigata.

Vastutus serveri haldaja ja kontode omanike vahel

Paljude kontodega cPanel-serveris vastutab PHP, teenuste ja serveri tasemel seadistuse eest WHM-i administraator. Üksikute kontode omanikud vastutavad oma rakenduste, pistikprogrammide ja ligipääsuandmete eest. Teavitage kontode omanikke, millal ja kuidas paikamine toimus, ning soovitage neil oma rakendusi kahtlaste märkide osas kontrollida. Kuidas olukord kliendi vaatevinklist välja näeb, kirjeldab leht Jagatud veebimajutus.

Säilitage logid alates 20.10.2026. Paik ei eemalda kahjulikku tarkvara, mis on varem sisse toodud.

Tõendiks piisab lihtsast protokollist iga serveri kohta: uuenduse kuupäev ja kellaaeg, ea-php ja alt-php pakettide loend koos versiooniga enne ja pärast, protsesside loend käivitusaegadega pärast taaskäivitust ja vajaduse korral paketitarnija kinnitus backportide kohta. Hoidke protokolli väljaspool serverit. See on hiljem tõend klientide, kindlustajate või kontrollijate ees ning lihtsustab järgmist kiiret uuendust, sest sammud on juba kirjeldatud. Kui haldate mitut cPanel-serverit, tasub selle lehe lugemiskäsud koondada väikeseks skriptiks, mis töötab kõigil masinatel ühtemoodi ja kogub tulemused. Nii märkate erinevusi serverite vahel, näiteks unustatud PHP versiooni, ühe pilguga.

Kuidas PHP SOS konkreetselt aitab?

• Inventeerime ea-php, alt-php ja süsteemipaketid ning seostame kõik kontod nende PHP versiooniga.
• Oma PHP paikamisteenuse kaudu uuendame, käivitame kõik teenused uuesti ja tõendame seisu paketiloendite ja protsesside ajatemplitega.
• Vajaduse korral seame ajutised väärtused serveri tasemel ja üle kirjutamatult.
• Kontrollime kontosid kompromiteerimise tüüpiliste jälgede suhtes ning leiu korral algatame pahavara eemaldamise.
• Seejärel vähendame PHP versioonide arvu ja karastame seadistuse.

Korduma kippuvad küsimused

Allikad

• php.net: turvateated
• PHP 8 ChangeLog
• php.net: toetatud versioonid
• BSI