Lyhyesti: CloudLinuxia käyttävillä palvelimilla verkkosivustot toimivat usein ei vakio-PHP:llä vaan alt-php:llä, eli CloudLinuxin omilla paketeilla jokaista PHP-versiota kohti, joita asiakkaat valitsevat PHP Selectorilla. PHP2Shelliä vastaan palvelimen ylläpitäjän on päivitettävä jokainen asennettu alt-php-versio erikseen ja käynnistettävä kaikki PHP-prosessit uudelleen. Hosting-asiakkaana selvitätte, mitä versiota tilinne käyttää, ja pyydätte sen korjaustilan kirjallisesti vahvistettuna.
Miksi CloudLinux on PHP2Shellissä oma kysymyksensä
Monet jaetun hostingin toimittajat käyttävät CloudLinuxia, Linux-käyttöjärjestelmää, joka erottaa tuhansia asiakastilejä toisistaan yhdellä palvelimella. Verkkosivuston ylläpitäjälle se on yleensä näkymätöntä. Näkyväksi se tulee vasta, kun aukko löytyy itse PHP-tulkista, kuten PHP2Shellissä, jossa on CVE-2026-109618 ja CVE-2026-109619.
Syy: tällaisilla palvelimilla on usein useita PHP-lähteitä rinnakkain. Käyttöjärjestelmän PHP:n ja cPanelissa ea-php-pakettien lisäksi mukana ovat CloudLinuxin alt-php-paketit. Jokaisella lähteellä on oma pakettitilansa. Se, että yksi niistä on korjattu, ei kerro mitään muista.
Toimistoille ja yrityksille, joilla on useita tilejä samalla hosting-yrityksellä, tulee toinen seikka: jokainen verkkosivusto voi käyttää eri versiota, koska joku on vaihtanut sen asiakaspaneelissa vuosia sitten. Yksittäinen kysely hosting-yrityksen ”PHP:stä” jää siksi liian suppeaksi. Järkevää on luettelo kaikista domaineista ja kulloinkin valitusta versiosta.
Mitä alt-php ja PHP Selector ovat
CloudLinuxin dokumentaation mukaan PHP Selector tarjoaa vaihtoehtoisia PHP-versioita, alt-php-paketteja. Ne sijaitsevat hakemistossa /opt/alt/phpXX/, esimerkiksi /opt/alt/php83/ PHP 8.3:lle, kullakin oma php.ini. Dokumentaatio luettelee versiot 5.1:stä 8.5:een palvelimen CloudLinux-version mukaan.
Asiakkaat valitsevat versionsa itse, cPanelissa yleensä kohdasta ”Select PHP Version”. Teknisesti tämä edellyttää CageFS:ää, eräänlaista eristettyä tiedostojärjestelmää tiliä kohti. Dokumentaation mukaan Selector toimii suPHP:n, mod_fcgid:n, CGI:n ja LiteSpeedin kanssa; Apache mod_php:n kanssa ei tue CageFS:ää.
| Käsite | Merkitys teille |
|---|---|
| CloudLinux | hosting-yrityksen käyttöjärjestelmä, erottaa asiakastilit |
| CageFS | oma, eristetty tiedostojärjestelmä tiliä kohti |
| alt-php | CloudLinuxin PHP-paketit, yksi versiota kohti |
| PHP Selector | alt-php-version ja yksittäisten asetusten valinta asiakaspaneelissa |
CloudLinux alt-php ja PHP2Shell: mikä on todistettua ja mikä avoinna
Todistettua on: korjatut PHP-versiot ovat 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Versioille PHP 8.1 ja vanhemmat PHP-projekti ei enää julkaise virallisia päivityksiä, vain vähäisiä lähdekoodin backporteja versioille 7.4, 8.0 ja 8.1. Ammattilehdistön mukaan lähes kaikki versiot aina PHP 5.4:ään asti ovat haavoittuvia.
Avoinna käytössämme olevissa lähteissä on, mille alt-php-versioille CloudLinux jo toimittaa korjattuja paketteja. Erityisesti vanhoilla haaroilla, kuten 5.6 tai 7.4, joita Selector yhä tarjoaa, ratkaisevaa on siksi pelkästään toimittajan lausunto. Backportit voivat olla asennettuina ilman, että näytetty versionumero muuttuu.
Yksi erityispiirre koskee cPanel-palvelimia, joilla on kaupallinen pitkäaikaistuki: cPanelin dokumentaation mukaan TuxCare, CloudLinuxin tuotemerkki, toimittaa korjattuja paketteja päättyneille PHP-versioille alt-php:nä. Jos siellä on siirrytty ea-php74:stä alt-php74:ään, olette riippuvaisia tästä reitistä. Lisää artikkelissa Pitkäaikaistuki vanhoille PHP-versioille.
Näitä kysymyksiä kannattaa nyt esittää hosting-yritykselle
Asiakkaana ette voi korjata alt-php:tä itse. Voitte kuitenkin esittää oikeat kysymykset ja dokumentoida vastaukset. Valmiin pohjan tähän tarjoaa opas Hosting-yrityksen PHP-korjaustilan kysyminen.
- Toimiiko tilini alt-php:llä, ea-php:llä vai käyttöjärjestelmän PHP:llä, ja mikä versio tarkalleen?
- Onko juuri tämä paketti korjattu CVE-2026-109618:aa ja CVE-2026-109619:ää vastaan, ja mistä lähtien?
- Käynnistettiinkö sen jälkeen kaikki PHP-prosessit uudelleen, myös lsphp- ja php-cgi-prosessit?
- Onko php.netin suosittelemat väliaikaisarvot asetettu keskitetysti, erityisesti
session.upload_progress.enabled=0? - Mitä alt-php-versioita ei enää korjata, ja mihin mennessä minun on vaihdettava?
Tarkistakaa rinnakkain, mitä versiota tilinne todella käyttää. Jos teillä on SSH-yhteys, php -v näyttää komentorivin version, joka voi poiketa verkkosivustosta. Luotettavampi on PHP Selectorin näyttö kyseiselle domainille.
Jos hosting-yritys vastaa, ettei valitsemaanne versiota enää korjata, siirtyminen tuettuun haaraan on oikea tie. Tarkistakaa ensin CMS:nne tai verkkokauppanne järjestelmävaatimuksista, mitä PHP-versioita valmistaja sallii, ja testatkaa vaihto mahdollisuuksien mukaan verkkosivuston kopiolla. Selectorissa vaihtaminen käy nopeasti, virhe verkkokaupassa maanantaiaamuna ei.
PHP-asetukset Selectorissa: varovaisuutta väliaikaisarvojen kanssa
PHP Selector sallii asiakkaiden muuttaa yksittäisiä php.ini-arvoja itse, usein myös memory_limit-arvoa. Mitkä arvot on vapautettu, määrää dokumentaation mukaan ylläpitäjä tiedostossa /etc/cl.selector/php.conf. Kaikkien alt-php-versioiden yleiset arvot ovat tiedostossa /etc/cl.selector/global_php.ini.
Tämä on PHP2Shellin kannalta tärkeää. php.net suosittelee siirtymäkaudeksi arvon memory_limit=-1 asettamista niin, etteivät sovellukset voi ohittaa sitä, sekä sitä, ettei session.upload_progress.enabled=0 -asetusta aseteta ini_set()-funktiolla tai .user.ini-tiedostolla. Arvo, jonka jokainen tili voi vapaasti muuttaa, ei täytä tätä ehtoa. Taustat löytyvät sivulta Välittömät toimet ilman korjausta.
Palvelimen ylläpitäjälle tästä syntyy lyhyt tarkistuslista. Komennot vain lukevat:
# Mitä PHP-versioita Selector tarjoaa, mikä on oletus?
selectorctl --summary
# Asennetut alt-php-paketit ja niiden tila
rpm -qa 'alt-php*' | sort
# Ovatko CVE-numerot paketin muutoslokissa? (paketin nimi esimerkkinä)
rpm -q --changelog alt-php83 | grep -E "CVE-2026-10961[89]"
# Käynnissä olevat PHP-prosessit käynnistysajan kanssa uudelleenkäynnistyksen todistamiseksi
ps -eo pid,lstart,cmd | grep -E '[l]sphp|[p]hp-cgi|[p]hp-fpm'
CloudLinuxin dokumentaation mukaan päivitys tehdään komennolla yum groupupdate alt-php. Sen jälkeen kaikkien PHP-prosessien on käynnistyttävä uudelleen, muuten vanha koodi jatkaa muistissa. Väliaikaisarvot, joita ei saa ohittaa, kuuluvat yleiseen konfiguraatioon eivätkä asiakasasetusten luetteloon. Miten ea-php ja alt-php suhtautuvat toisiinsa cPanel-palvelimilla, kuvaa cPanel ja WHM: PHP:n suojaaminen.
Korjaus ei poista haittaohjelmaa, joka on ehditty lisätä aiemmin. Jos tilinne toimi 17. ja 21. lokakuuta välisenä aikana haavoittuvalla versiolla, kannattaa tarkistaa uudet PHP-tiedostot ja käyttölokit 20. lokakuuta alkaen.
Miten PHP SOS auttaa konkreettisesti?
- Tilan selvitys: Selvitämme, millä PHP-lähteellä ja versiolla jokainen verkkosivustonne toimii, ja muotoilemme kyselyn hosting-yritykselle.
- Vastauksen arviointi: Tarkistamme hosting-yrityksen vahvistuksesta aukkoja, esimerkiksi puuttuvia tietoja uudelleenkäynnistyksestä tai vanhoista alt-php-haaroista.
- Vaihdon tuki: Jos verkkosivusto toimii versiolla ilman korjausta, suunnittelemme siirtymän ja testaamme sen etukäteen.
- Ylläpitäjille: PHP-päivityspalvelun kautta päivitämme alt-php-, ea-php- ja järjestelmäpaketit, käynnistämme kaikki prosessit uudelleen ja dokumentoimme tilan.
Usein kysytyt kysymykset
Mistä tiedän, käyttääkö hosting-yritykseni CloudLinuxia ja alt-php:tä?
Tyypillinen merkki on toiminto ”Select PHP Version” cPanel-asiakaspaneelissa, jolla voitte itse vaihtaa monen PHP-version välillä. Varmasti tiedätte vasta, kun hosting-yritys vahvistaa asian.
Voinko päivittää alt-php:n itse omalla tililläni?
Ei. alt-php-paketit sijaitsevat keskitetysti palvelimella, ja ylläpitäjä huoltaa ne. Voitte vain valita asennettujen versioiden välillä ja pyytää vahvistuksen valitsemanne version korjaustilasta.
Onko vanha alt-php-versio, kuten 7.4, suojattu PHP2Shellia vastaan?
Sitä ei voi sanoa ilman toimittajan lausuntoa. Ammattilehdistön mukaan lähes kaikki versiot aina PHP 5.4:ään asti ovat haavoittuvia, eikä PHP-projekti julkaise versioille 8.1 ja vanhemmille virallisia päivityksiä. Onko backport asennettu, hosting-yrityksen on vahvistettava kirjallisesti juuri teidän versiollenne.
Saanko muuttaa memory_limit-asetusta PHP Selectorissa itse?
Teknisesti usein kyllä, jos ylläpitäjä on vapauttanut asetuksen. php.net suosittelee kuitenkin väliaikaistoimena memory_limit-arvon asettamista niin, etteivät sovellukset voi ylittää sitä. Muuttakaa tällaisia arvoja siksi vain sopien hosting-yrityksen kanssa.