# CloudLinux és alt-php: amit a tárhelyügyfeleknek tudniuk kell

> CloudLinux alt-php és PHP2Shell: melyik PHP-verziót használja a fiókja, ki javítja az alt-php csomagokat, és mit kérdezzen most a tárhelyszolgáltatótól.

Forrás: https://phpsos.de/hu/blog/cloudlinux-alt-php/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** A CloudLinuxos szervereken a weboldalak gyakran nem a szabványos PHP-vel futnak, hanem az alt-php-vel, vagyis PHP-verziónként saját csomagokkal, amelyeket az ügyfelek a PHP Selectorral választanak ki. A PHP2Shell ellen a szerver üzemeltetőjének minden telepített alt-php verziót külön kell frissítenie, és az összes PHP-folyamatot újra kell indítania. Tárhelyügyfélként tisztázza, melyik verziót használja a fiókja, és írásban erősíttesse meg annak javítási állapotát.

## Miért külön kérdés a CloudLinux a PHP2Shellnél

Sok megosztott tárhelyet kínáló szolgáltató használ CloudLinuxot, vagyis olyan Linux operációs rendszert, amely több ezer ügyfélfiókot választ el egymástól egy szerveren. A weboldal-üzemeltetők számára ez többnyire láthatatlan. Csak akkor válik láthatóvá, amikor maga a PHP-értelmezőben jelenik meg egy rés, mint a PHP2Shellnél a CVE-2026-109618 és a CVE-2026-109619.

Az ok: az ilyen szervereken gyakran több PHP-forrás is van egymás mellett. Az operációs rendszer PHP-je és cPanel esetén az ea-php csomagok mellett ott vannak a CloudLinux alt-php csomagjai. Minden forrásnak saját csomagállapota van. Hogy az egyik javított, semmit sem mond a többiről.

Az ügynökségeknél és a több fiókkal rendelkező vállalatoknál ugyanannál a tárhelyszolgáltatónál egy második szempont is felmerül: minden weboldal más verziót használhat, mert valaki évekkel ezelőtt átállította az ügyfélterületen. Ezért a tárhelyszolgáltató „PHP-jére” vonatkozó egyetlen visszakérdezés kevés. Értelmes egy lista az összes domainről a hozzájuk kiválasztott verzióval.

## Mi az az alt-php és a PHP Selector

A CloudLinux-dokumentáció szerint a PHP Selector alternatív PHP-verziókat, az alt-php csomagokat biztosítja. Ezek az `/opt/alt/phpXX/` alatt találhatók, például a PHP 8.3-hoz az `/opt/alt/php83/`, mindegyik saját `php.ini` fájllal. A dokumentáció az 5.1-től a 8.5-ig sorol fel verziókat, a szerver CloudLinux-verziójától függően.

Az ügyfelek maguk választják ki a verziójukat, cPanelben többnyire a „Select PHP Version” menüpontban. Technikailag ez a CageFS-t feltételezi, vagyis fiókonként egy elzárt fájlrendszert. A dokumentáció szerint a Selector a suPHP-vel, a mod_fcgid-del, a CGI-vel és a LiteSpeeddel működik; az Apache a mod_php-val nem támogatja a CageFS-t.

| Fogalom | Mit jelent az Ön számára |
|---|---|
| CloudLinux | a tárhelyszolgáltató operációs rendszere, elválasztja az ügyfélfiókokat |
| CageFS | fiókonként saját, elzárt fájlrendszer |
| alt-php | a CloudLinux PHP-csomagjai, verziónként egy |
| PHP Selector | az alt-php verzió és egyes opciók kiválasztása az ügyfélterületen |

## CloudLinux alt-php és PHP2Shell: mi igazolt és mi marad nyitva

Igazolt: a kijavított PHP-verziók a 8.5.12, 8.4.27, 8.3.36 és 8.2.35. A PHP 8.1-hez és a régebbiekhez a PHP-projekt nem ad ki hivatalos frissítéseket, csak minimális forráskód-backportok vannak a 7.4-hez, a 8.0-hoz és a 8.1-hez. A szakmai sajtó szerint a PHP 5.4-ig szinte minden verzió érintett.

Nyitott a rendelkezésünkre álló forrásokban, hogy a CloudLinux mely alt-php verziókhoz szállít már javított csomagokat. Éppen a régi ágaknál, mint az 5.6 vagy a 7.4, amelyeket a Selector továbbra is kínál, ezért egyedül a szolgáltató nyilatkozata számít. A backportok úgy is telepítve lehetnek, hogy a megjelenített verziószám nem változik.

Egy különlegesség a kereskedelmi hosszú távú támogatású cPanel-szervereket érinti: a cPanel-dokumentáció szerint a TuxCare, a CloudLinux egyik márkája, javított csomagokat szállít a lejárt PHP-verziókhoz alt-php formájában. Aki ott az ea-php74-ről az alt-php74-re lett átállítva, erre az útra van utalva. Erről többet a [Hosszú távú támogatás régi PHP-verziókhoz](https://phpsos.de/hu/blog/langzeitsupport-alte-php-versionen/) cikkben olvashat.

## Ezeket a kérdéseket tegye fel most a tárhelyszolgáltatójának

Ügyfélként nem tudja maga javítani az alt-php-t. De megfelelő kérdéseket tehet fel, és dokumentálhatja a válaszokat. Kész mintát kínál rá a [Kérdezze meg a tárhelyszolgáltatót a javítási állapotról](https://phpsos.de/hu/ratgeber/hoster-patch-status-erfragen/) útmutató.

1. A fiókom alt-php-vel, ea-php-vel vagy az operációs rendszer PHP-jével fut, és pontosan melyik verzióval?
2. Pontosan ez a csomag javított a CVE-2026-109618 és a CVE-2026-109619 ellen, és mióta?
3. Újraindították ezután az összes PHP-folyamatot, az lsphp- és php-cgi-folyamatokat is?
4. Be vannak állítva központilag a php.net átmeneti értékei, különösen a `session.upload_progress.enabled=0`?
5. Mely alt-php verziókat nem javítják többé, és meddig kell váltanom?

Ellenőrizze párhuzamosan, hogy a fiókja ténylegesen melyik verziót használja. Ha van SSH-hozzáférése, a `php -v` a parancssor verzióját mutatja, amely eltérhet a weboldalétól. Megbízhatóbb az érintett domainhez a PHP Selector kijelzője.

Ha a tárhelyszolgáltató azt válaszolja, hogy az Ön által választott verziót már nem javítják, a tiszta út a támogatott ágra váltás. Előtte nézze meg a CMS-e vagy webshopja rendszerkövetelményeiben, mely PHP-verziókat engedélyezi a gyártó, és a váltást lehetőleg a weboldal egy másolatán tesztelje. A Selectorban a váltás gyorsan megvan, egy hiba a webshopban hétfő reggel viszont nem.

## PHP-opciók a Selectorban: óvatosan az átmeneti értékekkel

A PHP Selector lehetővé teszi, hogy az ügyfelek egyes php.ini értékeket maguk módosítsanak, köztük gyakran a `memory_limit` értéket. Hogy mely értékek engedélyezettek, azt a dokumentáció szerint az üzemeltető határozza meg az `/etc/cl.selector/php.conf` fájlban. Az összes alt-php verzióra vonatkozó globális értékek az `/etc/cl.selector/global_php.ini` fájlban vannak.

Ez a PHP2Shell szempontjából fontos. A php.net átmenetként azt javasolja, hogy a `memory_limit=-1` értéket úgy állítsák be, hogy az alkalmazások ne írhassák felül, és a `session.upload_progress.enabled=0` értéket ne `ini_set()`-tel vagy `.user.ini`-vel állítsák be. Az az érték, amelyet minden fiók szabadon átállíthat, nem teljesíti ezt a feltételt. A hátteret a [Azonnali intézkedések javítás nélkül](https://phpsos.de/hu/php2shell/sofortmassnahmen-ohne-patch/) oldal ismerteti.

A szerver üzemeltetőinek ebből egy rövid ellenőrzőlista adódik. A parancsok csak olvasnak:

```bash
# Mely PHP-verziókat kínálja a Selector, melyik az alapértelmezett?
selectorctl --summary

# Telepített alt-php csomagok és állapotuk
rpm -qa 'alt-php*' | sort

# Szerepelnek a CVE-számok egy csomag changelogjában? (a csomagnév példa)
rpm -q --changelog alt-php83 | grep -E "CVE-2026-10961[89]"

# Futó PHP-folyamatok indulási idővel, az újraindítás igazolásához
ps -eo pid,lstart,cmd | grep -E '[l]sphp|[p]hp-cgi|[p]hp-fpm'
```

A CloudLinux-dokumentáció szerint a frissítés a `yum groupupdate alt-php` paranccsal történik. Utána az összes PHP-folyamatot újra kell indítani, különben a régi kód fut tovább a memóriában. Azok az átmeneti értékek, amelyeket nem szabad felülírni, a globális konfigurációba tartoznak, nem az ügyfél-opciók listájába. Hogy az ea-php és az alt-php hogyan viszonyul egymáshoz cPanel-szervereken, azt a [cPanel és WHM: a PHP védelme](https://phpsos.de/hu/server/cpanel/) írja le.

> **Fontos:**
> A javítás nem távolítja el a korábban beszúrt kártevőket. Ha a fiókja október 17. és 21. között sebezhető verzióval futott, érdemes megnézni az új PHP-fájlokat és a 2026. október 20-tól készült hozzáférési naplókat.

## Hogyan segít konkrétan a PHP SOS?

- **Az állapot tisztázása:** Felmérjük, melyik PHP-forrással és verzióval fut az egyes weboldalai, és megfogalmazzuk a megkeresést a tárhelyszolgáltató felé.
- **A válasz értékelése:** Ellenőrizzük a tárhelyszolgáltató megerősítését hiányosságok szempontjából, például az újraindításra vagy a régi alt-php ágakra vonatkozó hiányzó adatok tekintetében.
- **A váltás kísérése:** Ha egy weboldal javítás nélküli verzión fut, megtervezzük az átállást, és előzetesen teszteljük.
- **Üzemeltetőknek:** A [PHP-javítási szolgáltatáson](https://phpsos.de/hu/leistungen/php-patch-service/) keresztül frissítjük az alt-php-, ea-php- és rendszercsomagokat, újraindítjuk az összes folyamatot, és dokumentáljuk az állapotot.


## Gyakori kérdések

**Honnan tudom, hogy a tárhelyszolgáltatóm CloudLinuxot és alt-php-t használ?**  
Tipikus jel a „Select PHP Version” funkció a cPanel ügyfélterületén, amellyel maga válthat a sok PHP-verzió között. Biztosan csak akkor tudja, ha a tárhelyszolgáltató megerősíti.

**Frissíthetem az alt-php-t a saját fiókomban?**  
Nem. Az alt-php csomagok központilag a szerveren vannak, és az üzemeltető gondozza őket. Csak a telepített verziók között választhat, és a kiválasztott verzió javítási állapotát meg kell erősíttetnie.

**Védett a PHP2Shell ellen egy régi alt-php verzió, például a 7.4?**  
A szolgáltató nyilatkozata nélkül ez nem állapítható meg. A szakmai sajtó szerint a PHP 5.4-ig szinte minden verzió érintett, és a PHP-projekt a 8.1-hez és régebbiekhez nem ad ki hivatalos frissítéseket. Hogy be van-e építve egy backport, azt a tárhelyszolgáltatónak írásban kell megerősítenie pontosan az Ön verziójára.

**Megváltoztathatom magam a memory_limit értékét a PHP Selectorban?**  
Technikailag gyakran igen, ha az üzemeltető engedélyezte a beállítást. A php.net azonban átmeneti intézkedésként azt javasolja, hogy a memory_limit értékét úgy állítsák be, hogy az alkalmazások ne írhassák felül. Ezért az ilyen értékeket csak a tárhelyszolgáltatóval egyeztetve módosítsa.

## Források

- [php.net: biztonsági közlemények](https://www.php.net/)
- [CloudLinux-dokumentáció: összetevők (CageFS, PHP Selector)](https://docs.cloudlinux.com/cloudlinuxos/cloudlinux_os_components/)
- [cPanel-dokumentáció: TuxCare Extended Lifecycle Support for PHP](https://docs.cpanel.net/knowledge-base/third-party/tuxcare-extended-lifecycle-support-els-php/)
- [PHP: támogatott verziók](https://www.php.net/supported-versions.php)