Ukratko: Na poslužiteljima s CloudLinuxom web-stranice često ne rade sa standardnim PHP-om, nego s alt-php-om, vlastitim paketima po PHP verziji koje korisnici biraju putem PHP Selectora. Protiv PHP2Shella operater poslužitelja mora zasebno ažurirati svaku instaliranu alt-php verziju i ponovno pokrenuti sve PHP procese. Kao korisnik hostinga razjasnite koju verziju koristi Vaš račun i zatražite pisanu potvrdu njezina stanja zakrpe.
Zašto je CloudLinux kod PHP2Shella zasebno pitanje
Mnogi pružatelji zajedničkog hostinga koriste CloudLinux, Linux operacijski sustav koji tisuće korisničkih računa na jednom poslužitelju odvaja jedne od drugih. Operaterima web-stranica to je uglavnom nevidljivo. Vidljivim postaje tek kad se pojavi ranjivost u samom PHP interpreteru, kao kod PHP2Shella s CVE-2026-109618 i CVE-2026-109619.
Razlog: na takvim poslužiteljima često paralelno postoji više izvora PHP-a. Uz PHP operacijskog sustava i, kod cPanela, ea-php pakete tu su i alt-php paketi CloudLinuxa. Svaki izvor ima vlastito stanje paketa. To što je jedan zakrpan, ne govori ništa o ostalima.
Za agencije i tvrtke s više računa kod istog hostera dolazi i druga točka: svaka web-stranica može koristiti drugu verziju, jer ju je netko prije godina prebacio u korisničkom području. Jedno pitanje o „PHP-u“ hostera stoga je prekratko. Smisleno je imati popis svih domena s odabranom verzijom.
Što su alt-php i PHP Selector
Prema CloudLinux dokumentaciji PHP Selector stavlja na raspolaganje alternativne PHP verzije, alt-php pakete. Nalaze se pod /opt/alt/phpXX/, primjerice /opt/alt/php83/ za PHP 8.3, svaki s vlastitim php.ini. Dokumentacija navodi verzije od 5.1 do 8.5, ovisno o CloudLinux verziji poslužitelja.
Korisnici sami biraju verziju, u cPanelu najčešće putem „Select PHP Version“. Tehnički to pretpostavlja CageFS, svojevrstan odvojeni datotečni sustav po računu. Prema dokumentaciji Selector radi sa suPHP-om, mod_fcgid-om, CGI-jem i LiteSpeedom; Apache s mod_php-om CageFS ne podržava.
| Pojam | Što znači za Vas |
|---|---|
| CloudLinux | operacijski sustav hostera, razdvaja korisničke račune |
| CageFS | vlastiti, odvojeni datotečni sustav po računu |
| alt-php | PHP paketi CloudLinuxa, jedan po verziji |
| PHP Selector | odabir alt-php verzije i pojedinih opcija u korisničkom području |
CloudLinux alt-php i PHP2Shell: što je dokazano, a što ostaje otvoreno
Dokazano je: ispravljene PHP verzije su 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Za PHP 8.1 i starije PHP projekt više ne daje službena ažuriranja, samo minimalne backportove izvornog koda za 7.4, 8.0 i 8.1. Prema stručnom tisku pogođene su gotovo sve verzije do PHP-a 5.4.
Otvoreno je u izvorima koji su nam dostupni za koje alt-php verzije CloudLinux već isporučuje zakrpane pakete. Upravo kod starih grana poput 5.6 ili 7.4, koje Selector i dalje nudi, zato presuđuje samo izjava pružatelja. Backportovi mogu biti instalirani, a da se prikazani broj verzije ne promijeni.
Posebnost se odnosi na cPanel poslužitelje s komercijalnom dugoročnom podrškom: prema cPanel dokumentaciji TuxCare, marka CloudLinuxa, kao alt-php isporučuje zakrpane pakete za istekle PHP verzije. Tko je tamo prebačen s ea-php74 na alt-php74, upućen je na taj put. Više o tome u članku Dugoročna podrška za stare PHP verzije.
Ova pitanja sada trebate postaviti svom hosteru
Kao korisnik alt-php ne možete sami zakrpati. Možete ipak postaviti prava pitanja i dokumentirati odgovore. Gotov predložak za to nudi vodič Pitati hostera za stanje zakrpe.
- Radi li moj račun s alt-php-om, ea-php-om ili PHP-om operacijskog sustava, i s kojom točno verzijom?
- Je li upravo taj paket zakrpan protiv CVE-2026-109618 i CVE-2026-109619, i otkad?
- Jesu li nakon toga ponovno pokrenuti svi PHP procesi, uključujući lsphp i php-cgi procese?
- Jesu li privremene vrijednosti s php.net-a postavljene centralno, osobito
session.upload_progress.enabled=0? - Koje se alt-php verzije više ne zakrpavaju i do kada moram prijeći na drugu?
Paralelno provjerite koju verziju Vaš račun doista koristi. Ako imate SSH pristup, php -v prikazuje verziju naredbenog retka, koja se može razlikovati od one za web-stranicu. Pouzdaniji je prikaz u PHP Selectoru za pogođenu domenu.
Odgovori li hoster da se Vaša odabrana verzija više ne zakrpava, čist je put prijelaz na podržanu granu. Prethodno u zahtjevima sustava svog CMS-a ili shopa provjerite koje PHP verzije proizvođač odobrava i prebacivanje po mogućnosti testirajte na kopiji web-stranice. Prebacivanje u Selectoru brzo je gotovo, a pogreška u shopu u ponedjeljak ujutro nije.
PHP opcije u Selectoru: oprez s privremenim vrijednostima
PHP Selector korisnicima dopušta da pojedine php.ini vrijednosti sami mijenjaju, među njima često memory_limit. Koje su vrijednosti dopuštene, prema dokumentaciji određuje operater, u datoteci /etc/cl.selector/php.conf. Globalne vrijednosti za sve alt-php verzije nalaze se u /etc/cl.selector/global_php.ini.
To je za PHP2Shell važno. php.net kao prijelaz preporučuje postaviti memory_limit=-1 tako da ga aplikacije ne mogu nadjačati te session.upload_progress.enabled=0 ne postavljati putem ini_set() ili .user.ini. Vrijednost koju svaki račun može slobodno mijenjati taj uvjet ne ispunjava. Pozadinu donosi članak Hitne mjere bez zakrpe.
Za operatere poslužitelja iz toga proizlazi kratak kontrolni popis. Naredbe samo čitaju:
# Koje PHP verzije Selector nudi, koja je zadana?
selectorctl --summary
# Instalirani alt-php paketi i njihovo stanje
rpm -qa 'alt-php*' | sort
# Nalaze li se CVE brojevi u changelogu paketa? (naziv paketa kao primjer)
rpm -q --changelog alt-php83 | grep -E "CVE-2026-10961[89]"
# Aktivni PHP procesi s vremenom pokretanja, kao dokaz ponovnog pokretanja
ps -eo pid,lstart,cmd | grep -E '[l]sphp|[p]hp-cgi|[p]hp-fpm'
Prema CloudLinux dokumentaciji ažurira se naredbom yum groupupdate alt-php. Nakon toga svi PHP procesi moraju se ponovno pokrenuti, inače stari kod u memoriji nastavlja raditi. Privremene vrijednosti koje se ne smiju nadjačati pripadaju u globalnu konfiguraciju, a ne u popis korisničkih opcija. Kako se ea-php i alt-php međusobno odnose na cPanel poslužiteljima, opisuje članak cPanel i WHM: zaštititi PHP.
Zakrpa ne uklanja zlonamjerni softver ubačen prije toga. Ako je Vaš račun između 17. i 21. listopada radio s ranjivom verzijom, isplati se pogledati nove PHP datoteke i pristupne zapisnike od 20. listopada.
Kako PHP SOS konkretno pomaže?
- Razjasniti stanje: Utvrđujemo s kojim izvorom PHP-a i kojom verzijom radi svaka Vaša web-stranica te formuliramo upit hosteru.
- Procijeniti odgovor: Potvrdu hostera provjeravamo na praznine, primjerice nedostajuće podatke o ponovnom pokretanju ili o starim alt-php granama.
- Pratiti prelazak: Ako web-stranica radi na verziji bez zakrpe, planiramo prelazak i unaprijed ga testiramo.
- Za operatere: Putem PHP usluge zakrpa ažuriramo alt-php, ea-php i sistemske pakete, ponovno pokrećemo sve procese i dokumentiramo stanje.
Česta pitanja
Po čemu prepoznajem koristi li moj hoster CloudLinux i alt-php?
Tipičan znak je funkcija „Select PHP Version“ u cPanel korisničkom području, putem koje sami možete mijenjati između mnogo PHP verzija. Sigurno to znate tek kad hoster potvrdi.
Mogu li alt-php u svom računu sam ažurirati?
Ne. Paketi alt-php nalaze se centralno na poslužitelju i održava ih operater. Možete birati samo između instaliranih verzija i trebali biste zatražiti potvrdu stanja zakrpe odabrane verzije.
Je li stara alt-php verzija poput 7.4 zaštićena od PHP2Shella?
Bez izjave pružatelja to se ne može reći. Prema stručnom tisku pogođene su gotovo sve verzije do PHP-a 5.4, a PHP projekt za 8.1 i starije ne isporučuje službena ažuriranja. Je li backport instaliran, hoster mora pisano potvrditi za točno Vašu verziju.
Smijem li memory_limit u PHP Selectoru sam mijenjati?
Tehnički često da, ako je operater tu postavku dopustio. No php.net kao privremenu mjeru preporučuje da se memory_limit postavi tako da ga aplikacije ne mogu nadjačati. Takve vrijednosti zato mijenjajte samo uz dogovor s hosterom.