# CloudLinux ir alt-php: ką turėtų žinoti hostingo klientai

> CloudLinux alt-php ir PHP2Shell: kokią PHP versiją naudoja jūsų paskyra, kas taiso alt-php paketus ir ką dabar paklausti hostingo teikėjo.

Šaltinis: https://phpsos.de/lt/blog/cloudlinux-alt-php/  
Būsena: 2026-10-25  
Teikėjas: PHP SOS, PHP avarinė pagalba ir serverio sauga. Skubi pagalba per „WhatsApp“: https://wa.me/491736494914?text=Sveiki%2C%20PHP%20SOS%2C%20mums%20reikia%20pagalbos%20su%20m%C5%ABs%C5%B3%20PHP%20serveriu.%20%C4%AEmon%C4%97%3A%20%E2%80%A6%20Svetain%C4%97%3A%20%E2%80%A6

**Trumpai:** serveriuose su CloudLinux svetainės dažnai veikia ne su standartiniu PHP, o su alt-php, savais kiekvienos PHP versijos paketais, kuriuos klientai renkasi per PHP Selector. Nuo PHP2Shell serverio operatorius kiekvieną įdiegtą alt-php versiją turi atnaujinti atskirai ir paleisti iš naujo visus PHP procesus. Kaip hostingo klientas išsiaiškinkite, kurią versiją naudoja jūsų paskyra, ir paprašykite raštu patvirtinti jos pataisų būseną.

## Kodėl CloudLinux PHP2Shell atveju yra atskiras klausimas

Daugelis bendrinamo hostingo teikėjų naudoja CloudLinux, Linux operacinę sistemą, kuri tūkstančius klientų paskyrų viename serveryje atskiria vieną nuo kitos. Svetainių operatoriams tai dažniausiai nematoma. Tampa matoma tik tada, kai atsiranda pažeidžiamumas pačiame PHP interpretatoriuje, kaip PHP2Shell atveju su CVE-2026-109618 ir CVE-2026-109619.

Priežastis: tokiuose serveriuose dažnai greta yra kelių PHP šaltinių. Be operacinės sistemos PHP ir, cPanel atveju, ea-php paketų, yra CloudLinux alt-php paketai. Kiekvienas šaltinis turi savo paketo būseną. Tai, kad vienas jų pataisytas, nieko nesako apie kitus.

Agentūroms ir įmonėms su keliomis paskyromis pas tą patį hostingo teikėją pridedamas antras dalykas: kiekviena svetainė gali naudoti kitą versiją, nes kažkas prieš metus ją perjungė kliento zonoje. Todėl vienas klausimas apie teikėjo „PHP“ yra per siauras. Prasminga sudaryti visų domenų sąrašą su kiekvieno pasirinkta versija.

## Kas yra alt-php ir PHP Selector

Pagal CloudLinux dokumentaciją, PHP Selector pateikia alternatyvias PHP versijas, alt-php paketus. Jie yra kataloge `/opt/alt/phpXX/`, pavyzdžiui, `/opt/alt/php83/` PHP 8.3, kiekvienas su savo `php.ini`. Dokumentacijoje išvardytos versijos nuo 5.1 iki 8.5, priklausomai nuo serverio CloudLinux versijos.

Klientai versiją renkasi patys, cPanel dažniausiai per „Select PHP Version“. Techniškai tam reikia CageFS, tam tikros atskirtos failų sistemos kiekvienai paskyrai. Pagal dokumentaciją, Selector veikia su suPHP, mod_fcgid, CGI ir LiteSpeed; Apache su mod_php CageFS nepalaiko.

| Sąvoka | Ką ji reiškia jums |
|---|---|
| CloudLinux | hostingo teikėjo operacinė sistema, atskiria klientų paskyras |
| CageFS | atskira, uždara failų sistema kiekvienai paskyrai |
| alt-php | CloudLinux PHP paketai, po vieną kiekvienai versijai |
| PHP Selector | alt-php versijos ir atskirų parinkčių pasirinkimas kliento zonoje |

## CloudLinux alt-php ir PHP2Shell: kas įrodyta, o kas lieka atvira

Įrodyta: ištaisytos PHP versijos yra 8.5.12, 8.4.27, 8.3.36 ir 8.2.35. PHP 8.1 ir senesnėms PHP projektas oficialių atnaujinimų nebeteikia, yra tik minimalūs šaltinio kodo atgaliniai perkėlimai 7.4, 8.0 ir 8.1. Pasak specializuotos spaudos, paveiktos beveik visos versijos iki pat PHP 5.4.

Mūsų turimuose šaltiniuose lieka atviras klausimas, kurioms alt-php versijoms CloudLinux jau teikia pataisytus paketus. Būtent senų šakų, tokių kaip 5.6 ar 7.4, kurias Selector tebesiūlo, atveju lemia tik teikėjo pareiškimas. Atgaliniai perkėlimai gali būti įdiegti nesikeičiant rodomam versijos numeriui.

Ypatumas liečia cPanel serverius su komerciniu ilgalaikiu palaikymu: pagal cPanel dokumentaciją, TuxCare, CloudLinux prekės ženklas, pataisytus paketus pasibaigusioms PHP versijoms tiekia kaip alt-php. Kas ten perjungtas nuo ea-php74 į alt-php74, priklauso nuo šio kelio. Daugiau straipsnyje [Ilgalaikis senų PHP versijų palaikymas](https://phpsos.de/lt/blog/langzeitsupport-alte-php-versionen/).

## Kokius klausimus dabar užduoti savo hostingo teikėjui

Kaip klientas alt-php patys pataisyti negalite. Bet galite užduoti tinkamus klausimus ir dokumentuoti atsakymus. Parengtą šabloną pateikia vadovas [Paklausti hostingo teikėjo apie pataisų būseną](https://phpsos.de/lt/ratgeber/hoster-patch-status-erfragen/).

1. Ar mano paskyra veikia su alt-php, ea-php ar operacinės sistemos PHP ir su kuria tiksliai versija?
2. Ar būtent šis paketas pataisytas nuo CVE-2026-109618 ir CVE-2026-109619 ir nuo kada?
3. Ar po to buvo paleisti iš naujo visi PHP procesai, taip pat lsphp ir php-cgi procesai?
4. Ar centralizuotai nustatytos php.net pereinamosios reikšmės, ypač `session.upload_progress.enabled=0`?
5. Kurios alt-php versijos nebebus taisomos ir iki kada turiu pereiti?

Lygiagrečiai patikrinkite, kurią versiją jūsų paskyra iš tikrųjų naudoja. Jei turite SSH prieigą, `php -v` rodo komandinės eilutės versiją, kuri gali skirtis nuo svetainės versijos. Patikimesnis yra PHP Selector rodinys atitinkamam domenui.

Jei hostingo teikėjas atsako, kad jūsų pasirinkta versija nebetaisoma, švarus kelias yra perėjimas prie palaikomos šakos. Prieš tai sistemos reikalavimuose savo CMS ar parduotuvės patikrinkite, kurias PHP versijas gamintojas leidžia, ir perjungimą, jei įmanoma, išbandykite svetainės kopijoje. Perjungimas Selector atliekamas greitai, o klaida parduotuvėje pirmadienio rytą ne.

## PHP parinktys Selector: atsargiai su pereinamosiomis reikšmėmis

PHP Selector leidžia klientams patiems keisti atskiras php.ini reikšmes, tarp jų dažnai `memory_limit`. Kurios reikšmės atrakintos, pagal dokumentaciją nustato operatorius faile `/etc/cl.selector/php.conf`. Globalios reikšmės visoms alt-php versijoms yra `/etc/cl.selector/global_php.ini`.

PHP2Shell atveju tai svarbu. php.net kaip perėjimą rekomenduoja `memory_limit=-1` nustatyti taip, kad programos negalėtų perrašyti reikšmės, o `session.upload_progress.enabled=0` nenustatyti per `ini_set()` ar `.user.ini`. Reikšmė, kurią gali laisvai keisti kiekviena paskyra, šios sąlygos netenkina. Pagrindai pateikti puslapyje [Skubios priemonės be pataisos](https://phpsos.de/lt/php2shell/sofortmassnahmen-ohne-patch/).

Serverio operatoriams iš to išplaukia trumpas kontrolinis sąrašas. Komandos tik skaito:

```bash
# Kokias PHP versijas siūlo Selector, kuri yra numatytoji?
selectorctl --summary

# Įdiegti alt-php paketai ir jų būsena
rpm -qa 'alt-php*' | sort

# Ar CVE numeriai yra paketo pakeitimų žurnale? (paketo pavadinimas kaip pavyzdys)
rpm -q --changelog alt-php83 | grep -E "CVE-2026-10961[89]"

# Veikiantys PHP procesai su paleidimo laiku, kad būtų įrodytas paleidimas iš naujo
ps -eo pid,lstart,cmd | grep -E '[l]sphp|[p]hp-cgi|[p]hp-fpm'
```

Pagal CloudLinux dokumentaciją, atnaujinama komanda `yum groupupdate alt-php`. Po to visi PHP procesai turi persijungti, kitaip atmintyje toliau veikia senas kodas. Pereinamosios reikšmės, kurių negalima perrašyti, priklauso globaliai konfigūracijai, o ne klientų parinkčių sąrašui. Kaip ea-php ir alt-php elgiasi vienas kito atžvilgiu cPanel serveriuose, aprašo [cPanel ir WHM: PHP apsauga](https://phpsos.de/lt/server/cpanel/).

> **Svarbu:**
> Pataisa nepašalina kenkėjiškos programinės įrangos, kuri buvo įterpta anksčiau. Jei jūsų paskyra tarp spalio 17 ir 21 d. veikė su pažeidžiama versija, verta peržiūrėti naujus PHP failus ir prieigos žurnalus nuo spalio 20 d.

## Kaip PHP SOS padeda konkrečiai?

- **Išsiaiškinti būseną:** nustatome, su kokiu PHP šaltiniu ir versija veikia kiekviena jūsų svetainė, ir suformuluojame užklausą hostingo teikėjui.
- **Įvertinti atsakymą:** tikriname hostingo teikėjo patvirtinimą dėl spragų, pavyzdžiui, trūkstamų duomenų apie paleidimą iš naujo ar senas alt-php šakas.
- **Lydėti perėjimą:** jei svetainė veikia su versija be pataisos, planuojame perėjimą ir iš anksto jį išbandome.
- **Operatoriams:** per [PHP pataisų paslaugą](https://phpsos.de/lt/leistungen/php-patch-service/) atnaujiname alt-php, ea-php ir sistemos paketus, paleidžiame visus procesus iš naujo ir dokumentuojame būseną.


## Dažni klausimai

**Kaip atpažinti, ar mano hostingo teikėjas naudoja CloudLinux ir alt-php?**  
Tipinis ženklas yra funkcija „Select PHP Version“ cPanel kliento zonoje, kuria patys galite keisti daugelį PHP versijų. Tikrai sužinosite tik tada, kai teikėjas tai patvirtins.

**Ar alt-php galiu atnaujinti savo paskyroje pats?**  
Ne. alt-php paketai laikomi centralizuotai serveryje ir juos prižiūri operatorius. Galite rinktis tik tarp įdiegtų versijų ir turėtumėte paprašyti patvirtinti pasirinktos versijos pataisų būseną.

**Ar sena alt-php versija, pavyzdžiui, 7.4, apsaugota nuo PHP2Shell?**  
Be teikėjo pareiškimo to pasakyti negalima. Pasak specializuotos spaudos, paveiktos beveik visos versijos iki pat PHP 5.4, o PHP projektas 8.1 ir senesnėms oficialių atnaujinimų neteikia. Ar atgalinis perkėlimas įdiegtas, hostingo teikėjas turi raštu patvirtinti būtent jūsų versijai.

**Ar memory_limit PHP Selector galiu keisti pats?**  
Techniškai dažnai taip, jei operatorius nustatymą atrakino. Tačiau php.net kaip pereinamąją priemonę rekomenduoja memory_limit nustatyti taip, kad programos negalėtų šios reikšmės perrašyti. Todėl tokias reikšmes keiskite tik susitarę su hostingo teikėju.

## Šaltiniai

- [php.net: saugumo pranešimai](https://www.php.net/)
- [CloudLinux dokumentacija: komponentai (CageFS, PHP Selector)](https://docs.cloudlinux.com/cloudlinuxos/cloudlinux_os_components/)
- [cPanel dokumentacija: TuxCare Extended Lifecycle Support for PHP](https://docs.cpanel.net/knowledge-base/third-party/tuxcare-extended-lifecycle-support-els-php/)
- [PHP: palaikomos versijos](https://www.php.net/supported-versions.php)