Repozitorij Remi: održavati PHP na RHEL sustavima aktualnim

Ukratko: Remi PHP repozitorij isporučuje aktualne PHP verzije za Fedoru i RHEL obitelj, ili kao stream modula koji zamjenjuje sistemski PHP ili kao Software Collection koja instalira više verzija uporedo. PHP2Shell ispravci 8.2.35, 8.3.36, 8.4.27 i 8.5.12 tamo su najavljeni 22. listopada 2026. Provjerite svaku instaliranu verziju zasebno i ponovno pokrenite svaku pripadajuću uslugu.

Zašto mnogi RHEL poslužitelji PHP dobivaju od Remija

Poslovne distribucije poput RHEL-a, AlmaLinuxa i Rocky Linuxa oslanjaju se na dugu stabilnost. Isporučuju malo PHP grana i drže ih godinama. Mnoge aplikacije ipak traže novije verzije nego što ih distribucija nudi. Tu uskače repozitorij Remija Colleta, dugogodišnjeg održavatelja paketa za PHP u okruženju Fedore i RHEL-a.

Remi gradi PHP verzije u kratkom slijedu nakon službenih izdanja. O PHP2Shellu na blogu repozitorija 22. listopada 2026. izašao je članak o verzijama 8.2.35, 8.3.36, 8.4.27 i 8.5.12. U njemu se navode obje kritične ranjivosti CVE-2026-109618 i CVE-2026-109619 te se ažuriranje hitno preporučuje. Red Hatove sigurnosne objave ne vrijede za te pakete; što Red Hat javlja za vlastite pakete, navodi članak RHEL, AlmaLinux i Rocky Linux: provjera PHP zakrpe.

Dva puta: stream modula ili Software Collection

Prema Remi blogu buildovi za Enterprise Linux od verzije 8 stoje na raspolaganju na dva načina. Koji se koristi na Vašem poslužitelju, određuje kako provjeravate i ponovno pokrećete.

Software Collections tipično leže pod /opt/remi/phpXY, a njihova konfiguracija pod /etc/opt/remi/phpXY. To je praktično za rad starih i novih aplikacija na jednom poslužitelju. Ali je i najčešći razlog zašto se neka verzija pri ažuriranju previdi.

Napomena o naredbenom retku: Software Collections nisu automatski dostupne pod naredbom php. Ovisno o postavljanju, cron poslovi i skripte pozivaju ih vlastitom naredbom ili punom putanjom. Zato provjerite i crontabove te skripte za isporuku ako želite znati koja se kolekcija za što koristi.

Provjera Remi PHP repozitorija nakon PHP2Shella

Sljedeće naredbe samo čitaju i pokazuju koji su Remi paketi instalirani i u kakvom su stanju.

# Aktivni izvori paketa: je li remi-modular ili remi-safe uključen?
dnf repolist

# Aktivni stream modula za PHP
dnf module list --enabled php

# Osnovni paketi i uporedo instalirane Software Collections
rpm -qa 'php-*' 'php[0-9][0-9]-php-*' --qf '%{NAME}-%{VERSION}-%{RELEASE}\n' | sort

# Verzija svake instalirane kolekcije
for b in /opt/remi/php*/root/usr/bin/php; do echo "$b"; "$b" -v | head -1; done

Kod podržanih grana stanje je jednoznačno: ako tamo stoji 8.5.12, 8.4.27, 8.3.36 ili 8.2.35 ili novije, ispravak je sadržan. Kod Remija broj verzije u pravilu odgovara upstream verziji, za razliku od paketa distribucije koji često zadržavaju staru oznaku.

Za starije kolekcije poput php81, php80 ili php74 nema službene ciljne verzije. Remi PHP 8.1 vodi kao End-of-Life. Sadrži li instalirani paket ispravak protiv PHP2Shella, razjašnjavate u changelogu, primjerice s rpm -q --changelog php81-php-fpm | grep -E "CVE-2026-10961[89]". Bez pogotka paket tretirajte kao nerazjašnjen. Kako takve pogotke uredno dokazati, opisuje članak Dokazati CVE brojeve u changelogu paketa.

Ažuriranje i ponovno pokretanje svake verzije

Samo ažuriranje kod Remija je najčešće nespektakularno: dnf upgrade dohvaća nove pakete za stream i kolekcije. Kritični dio slijedi poslije. Svaka kolekcija ima vlastitu FPM uslugu i svaka se mora ponovno pokrenuti.

# Ispiši sve PHP-FPM usluge, i one kolekcija
systemctl list-units --type=service --all | grep -E "php.*fpm"

# Provjeri vremena pokretanja svih PHP procesa
ps -eo pid,lstart,cmd | grep -E "[p]hp-fpm|[h]ttpd"

Vremena pokretanja prije ažuriranja znače: ta usluga još radi sa starim kodom. Zašto ponovno učitavanje nije dovoljno, objašnjava stranica Ponovno pokretanje PHP-FPM-a i svih workera.

Remi i distribucija: tko je odgovoran?

Tko putem streama modula prijeđe na Remi, za PHP mijenja dobavljača. Sigurnosne objave Red Hata, AlmaLinuxa ili Rocky Linuxa tada se više ne odnose na instalirane PHP pakete. Obrnuto, Remi ne javlja probleme u drugim paketima sustava. Obje izvore morate dakle imati na oku.

Odakle instalirani paket potječe, pokazuje baza paketa, primjerice s rpm -qi php-fpm u poljima za proizvođača i pakirača. Budući da za Remi pakete ne postoje errate u smislu Red Hata, blog repozitorija prikladan je kao put obavještavanja; može se pretplatiti putem RSS feeda. Kod PHP2Shella napomena je tamo izašla dan nakon službenih izdanja.

Za tvrtke ta podjela nije prepreka, ali mora biti dokumentirana. Zabilježite koji poslužitelji PHP dobivaju od Remija, tko čita objave i tko nakon ažuriranja ponovno pokreće usluge. Inače se svatko oslanja na drugoga.

Držati red: manje verzija, manje rizika

Software Collections pozivaju da se stare verzije jednostavno ostave. Nakon PHP2Shella dobar je trenutak za čišćenje:

1. Za svaku kolekciju razjasniti koja je web-stranica ili cron posao koristi.
2. Nekorištene kolekcije deaktivirati i nakon razdoblja promatranja ukloniti.
3. Aplikacije na starim kolekcijama podići na podržanu granu.
4. Preostale verzije dokumentirati s namjenom i odgovornom osobom.

Kako zadržati pregled nad mnogo uporednih verzija, opisuje članak Više PHP verzija na jednom poslužitelju.

Kako PHP SOS konkretno pomaže?

• Bilježimo sve Remi streamove i kolekcije na Vašim poslužiteljima i pridružujemo ih web-stranicama i cron poslovima.
• Provjeravamo PHP2Shell stanje po verziji preko verzije paketa i changelogova.
• Instaliramo ažuriranja, ponovno pokrećemo svaku uslugu i to dokazujemo vremenima pokretanja procesa u okviru PHP usluge zakrpa.
• Kolekcije koje više nisu potrebne nakon dogovora kontrolirano uklanjamo.

Česta pitanja

Izvori

• Remi's RPM repository: blog
• Red Hat Security Bulletin RHSB-2026-013
• php.net: podržane verzije