Röviden: A sury PHP-tároló a PHP-csomagok széles körben elterjedt, harmadik féltől származó forrása Debian (packages.sury.org) és Ubuntu (ondrej/php PPA) alatt. Lehetővé teszi több PHP-verzió egymás melletti telepítését és újabb ágak használatát, mint a disztribúció. A PHP2Shell után beszámolók szerint az 5.6-tól 8.5-ig terjedő összes ághoz rendelkezésre bocsátottak ott buildeket. Az Ön szerverére vonatkozó igazolást azonban csak a csomagállapot és a changelog adja, nem a Debian vagy az Ubuntu biztonsági közleményei.
Mi a sury-tároló
A sury.org mögött Ondřej Surý áll. Projektoldala szerint Debian-fejlesztőként a PHP 5 óta ő csomagolja a PHP-csomagokat a Debianhoz, és a Debian és az Ubuntu hivatalos PHP-csomagjai az ő munkáján alapulnak. Emellett saját tárolót is üzemeltet, párhuzamosan telepíthető PHP-csomagokkal.
A Debianhoz a tároló a packages.sury.org alatt található, az Ubuntuhoz ondrej/php PPA-ként kínálják. A hibákat a projektoldal szerint a Codeberg egyik issue trackerén jelentik, nem e-mailben. A gondozás saját közlése szerint főként szabadidőben történik; régebbi disztribúciós verziókhoz a Freexianon keresztül van kereskedelmi ajánlat.
Sok admin és tárhelyszolgáltató használja a tárolót, mert újabb PHP-ágakat kínál, mint a disztribúció, vagy mert az alkalmazások egy bizonyos verziót igényelnek.
Miben tér el a Debian-csomagoktól
A legfontosabb különbség a biztonság szempontjából: a sury.org csomagjaira nem vonatkoznak a Debian vagy az Ubuntu biztonsági közleményei. A Debian Security Tracker csak a hivatalos csomagok állapotát mutatja. Ha ott az áll, hogy a trixie php8.4 csomagja javított, az nem mond semmit ugyanazon a szerveren egy sury.org-ról származó php8.4-ről.
| Jellemző | Hivatalos Debian- és Ubuntu-csomagok | sury.org |
|---|---|---|
| Kiadó | Debian illetve Canonical | Ondřej Surý magánszemélyként |
| Biztonsági közlemények | DSA, DLA, USN | e közlemények egyike sem |
| Verziók | kiadásonként egy ág | több ág párhuzamosan |
| Verziószám a javítás után | a Debian részben új upstream verzió, az Ubuntu többnyire a régi szám új csomagállapottal | általában az aktuális upstream verzió |
| Igazolás | közlemény és changelog | changelog és csomagverzió |
A vállalatok számára ez egy központi komponens esetében egyetlen magánszemélytől való függést jelent. Ez nem ok a tároló kerülésére, de ok arra, hogy tudatosan viseljék: felügyelettel, igazolással és egy B tervvel.
A sury PHP-tároló a PHP2Shell után: az állapot ellenőrzése
Először tisztázza, hogy a szerver használja-e a surytt, és mely csomagokhoz. A parancsok kizárólag olvasnak.
# Be van jegyezve a sury csomagforrásként?
grep -rEl "sury|ondrej" /etc/apt/sources.list /etc/apt/sources.list.d/ 2>/dev/null
# Melyik forrásból származik a telepített csomag?
apt policy php8.3-fpm
# Telepített verzió és changelog-bejegyzés a CVE-kről
dpkg-query -W -f='${Package}\t${Version}\n' 'php*-fpm' 'libapache2-mod-php*' 2>/dev/null
zgrep -E "CVE-2026-10961[89]" /usr/share/doc/php8.3-fpm/changelog.Debian.gz
Az aktuális ágaknál a javítást általában a csomagnévben szereplő 8.5.12, 8.4.27, 8.3.36 vagy 8.2.35 upstream verzióról ismeri fel. A régi ágaknál, például a 7.4-nél vagy a 8.1-nél nincs hivatalos célverzió, ott a changelog-bejegyzés a legfontosabb bizonyíték. Ha hiányzik, kérdezzen rá a projekt issue trackerén, vagy kezelje a csomagot tisztázatlanként.
Régi PHP-ágak a suryból: megtévesztő kényelem
A tároló megkönnyíti a PHP 7.4 vagy akár az 5.6 üzemeltetését egy aktuális Debianon. Beszámolók szerint ezekhez az ágakhoz is voltak buildek a PHP2Shell ellen. Ez a heves helyzetben hasznos, de csak eltolja az alapproblémát: a PHP-projekt ezeket az ágakat már nem gondozza, és a következő rés ismét eltalálja őket.
Aki ezen az úton tart életben egy régi alkalmazást, tegye fel magának őszintén a kérdést, meddig még. Hogy mi érvényes a PHP 8.1-re és a régebbiekre, azt a PHP 8.1 és régebbi: mi érvényes most oldal foglalja össze. A kereskedelmi alternatívákat és korlátaikat a Hosszú távú támogatás régi PHP-verziókhoz írás ismerteti.
Ne keverje ellenőrizetlenül egy szerveren a disztribúcióból és a sury.org-ról származó PHP-csomagokat. A bővítmények és a könyvtárak közötti függőségek a következő frissítésnél váratlan csomagcserékhez vezethetnek.
Javaslatok a surys üzemeltetéshez
- Dokumentálja, mely szerverek használják a surytt, és mely ágakhoz.
- Rögzítse az eredetet, például APT-pinninggel, hogy a PHP-csomagok csak egy forrásból érkezzenek.
- Figyelje a frissítéseket, mert DSA vagy USN nélkül hiányzik a szokásos jelzés. Segít az
apt list --upgradablerendszeres összevetése. - Indítsa újra minden frissítés után, minden telepített verzióra külön. Hogy hány fut párhuzamosan, azt a Több PHP-verzió egy szerveren írás mutatja.
- Támogassa, ha a vállalata a tárolóra van utalva. A projektoldal az adományokat és a kereskedelmi támogatást nevezi meg útként.
Vissza a disztribúciós csomagokhoz?
Nem minden szerver, amely ma a surytt használja, szorul még rá. Gyakran évekkel ezelőtt kötötték be a tárolót, mert az akkori disztribúció csak régebbi PHP-verziót hozott magával. Mostanra például a Debian 13 trixie PHP 8.4-et szállít, amely a Debian Security Tracker szerint javított a PHP2Shell ellen. Ha az alkalmazása fut ezzel a verzióval, a visszaút megszüntetheti a harmadik féltől való függést.
A visszaút egy kis migrációs projekt. Először ellenőrizze, mely bővítményeket igényli az alkalmazás, és kínálja-e azokat a disztribúció. Tesztelje az alkalmazást a disztribúciós csomaggal egy másolaton, mielőtt eltávolítja a sury-forrást. Utána a biztonsági közlemények ismét a megszokott utakon érkeznek, az igazolás pedig DSA-ra vagy USN-re támaszkodik, nem kizárólag egy changelogra.
Ahol a disztribúcióénál újabb vagy régebbi verzió marad szükséges, a sury továbbra is értelmes választás. Akkor azonban a döntést tudatosan kell meghozni és dokumentálni.
Hogyan segít konkrétan a PHP SOS?
- Megállapítjuk, hogy a szervereinek mely PHP-csomagjai származnak a sury.org-ról, a disztribúcióból vagy más forrásokból.
- Ágonként ellenőrizzük a PHP2Shell-állapotot a csomagverzión és a changelogon keresztül, és újraindítunk minden szolgáltatást.
- Pinninget és frissítésfelügyeletet állítunk be, és a nem már szükséges ágakat eltávolítjuk a Szerverkeményítés keretében.
- A régi ágakhoz megtervezzük az átállást egy támogatott verzióra.
Gyakori kérdések
Hivatalos Debian-tároló a sury-tároló?
Nem. Ondřej Surý üzemelteti, aki saját oldala szerint Debian-fejlesztőként régóta csomagolja a PHP-t a Debianhoz. Nem a Debian biztonsági archívuma, és a csomagjaihoz nincsenek Debian-biztonsági közlemények.
Bocsátott rendelkezésre a sury.org csomagokat a PHP2Shell ellen?
Beszámolók szerint az 5.6-tól 8.5-ig terjedő összes ághoz rendelkezésre bocsátottak buildeket. Az állapotot ettől függetlenül ellenőrizze maga a szerverén a csomagverzión és a changelogon keresztül, mert a beszámolók nem helyettesítik az Ön rendszerére vonatkozó igazolást.
Biztonságossá teszi a sury.org a régi PHP-verziókat?
Egy régi ághoz készült build bezárhat egy konkrét rést. Ezen nem változtat, hogy a PHP-projekt ezeket az ágakat már nem gondozza. A tartósan biztonságos üzemeltetéshez az átállás egy támogatott verzióra továbbra is szükséges.
Hogyan tudom meg, hogy a szerverem használja-e a surytt?
Keressen az /etc/apt alatti csomagforrásokban a sury vagy ondrej szóra, és az apt policy segítségével ellenőrizze, melyik forrásból származnak a telepített PHP-csomagok.