Trumpai: sury PHP saugykla yra plačiai paplitęs trečiasis PHP paketų šaltinis Debian (packages.sury.org) ir Ubuntu (PPA ondrej/php). Ji leidžia lygiagrečiai turėti kelias PHP versijas ir naujesnes šakas nei distribucija. Po PHP2Shell, pasak pranešimų, ten pateikti kūriniai visoms šakoms nuo 5.6 iki 8.5. Įrodymą jūsų serveriui tačiau teikia tik paketo būsena ir pakeitimų žurnalas, o ne Debian ar Ubuntu saugumo pranešimai.
Kas yra sury saugykla
Už sury.org stovi Ondřej Surý. Pasak jo projekto puslapio, kaip Debian kūrėjas jis nuo PHP 5 paketuoja PHP paketus Debian, o oficialūs Debian ir Ubuntu PHP paketai remiasi jo darbu. Šalia šio darbo jis eksploatuoja nuosavą saugyklą su PHP paketais, kuriuos galima diegti lygiagrečiai.
Debian saugykla yra packages.sury.org, Ubuntu ji siūloma kaip PPA ondrej/php. Klaidos, pasak projekto puslapio, pranešamos per Codeberg klaidų sekimo sistemą, o ne el. paštu. Priežiūra, pasak jo paties, vyksta daugiausia laisvalaikiu; senesnėms distribucijų versijoms yra komercinis pasiūlymas per Freexian.
Daugelis administratorių ir talpintojų saugyklą naudoja, nes ji siūlo naujesnes PHP šakas nei distribucija arba nes programoms reikia konkrečios versijos.
Kuo ji skiriasi nuo Debian paketų
Svarbiausias saugumo skirtumas: sury.org paketams netaikomi Debian ar Ubuntu saugumo pranešimai. Debian Security Tracker rodo tik oficialių paketų būseną. Jei ten parašyta, kad php8.4 trixie ištaisytas, tai nieko nesako apie php8.4 iš sury.org tame pačiame serveryje.
| Požymis | Oficialūs Debian ir Ubuntu paketai | sury.org |
|---|---|---|
| Leidėjas | Debian arba Canonical | Ondřej Surý kaip pavienis asmuo |
| Saugumo pranešimai | DSA, DLA, USN | nė vieno iš šių pranešimų |
| Versijos | viena šaka kiekvienam leidimui | kelios šakos lygiagrečiai |
| Versijos numeris po taisymo | Debian kartais nauja upstream versija, Ubuntu dažniausiai senas numeris su nauja paketo būsena | paprastai aktuali upstream versija |
| Įrodymas | Pranešimas ir pakeitimų žurnalas | Pakeitimų žurnalas ir paketo versija |
Įmonėms tai reiškia priklausomybę nuo pavienio asmens dėl pagrindinės dalies. Tai nėra priežastis vengti saugyklos, bet priežastis tą priklausomybę nešti sąmoningai: su stebėsena, įrodymu ir atsarginiu planu.
sury PHP saugykla po PHP2Shell: būsenos patikra
Pirmiausia išsiaiškinkite, ar ir kuriems paketams serveris naudoja sury. Komandos tik skaito.
# Ar sury įrašytas kaip paketų šaltinis?
grep -rEl "sury|ondrej" /etc/apt/sources.list /etc/apt/sources.list.d/ 2>/dev/null
# Iš kurio šaltinio kyla įdiegtas paketas?
apt policy php8.3-fpm
# Įdiegta versija ir pakeitimų žurnalo įrašas apie CVE
dpkg-query -W -f='${Package}\t${Version}\n' 'php*-fpm' 'libapache2-mod-php*' 2>/dev/null
zgrep -E "CVE-2026-10961[89]" /usr/share/doc/php8.3-fpm/changelog.Debian.gz
Aktualiose šakose taisymą paprastai atpažįstate pagal upstream versiją 8.5.12, 8.4.27, 8.3.36 ar 8.2.35 paketo pavadinime. Senose šakose, tokiose kaip 7.4 ar 8.1, oficialios tikslinės versijos nėra, ten pakeitimų žurnalo įrašas yra svarbiausias įrodymas. Jei jo nėra, paklauskite per projekto klaidų sekimo sistemą arba paketą laikykite neišaiškintu.
Senos PHP šakos iš sury: klaidinantis patogumas
Saugykla leidžia lengvai eksploatuoti PHP 7.4 ar net 5.6 aktualiame Debian. Pasak pranešimų, ir šioms šakoms buvo kūriniai nuo PHP2Shell. Ūmiai padėčiai tai naudinga, bet pagrindinę problemą tik atideda: PHP projektas šių šakų nebeprižiūri, ir kita spraga vėl jas pasieks.
Kas tokiu keliu išlaiko seną programą, turėtų sąžiningai savęs paklausti, kiek dar. Kas galioja PHP 8.1 ir senesnėms, apibendrina puslapis PHP 8.1 ir senesnės: kas galioja dabar. Komercines alternatyvas su jų ribomis aprašo straipsnis Ilgalaikė priežiūra senoms PHP versijoms.
Viename serveryje nemaišykite nekontroliuojamai PHP paketų iš distribucijos ir iš sury.org. Plėtinių ir bibliotekų priklausomybės per kitą atnaujinimą gali sukelti netikėtus paketų pakeitimus.
Rekomendacijos veikimui su sury
- Dokumentuoti, kurie serveriai naudoja sury ir kurioms šakoms.
- Nustatyti kilmę, pavyzdžiui, per APT pinning, kad PHP paketai ateitų tik iš vieno šaltinio.
- Stebėti atnaujinimus, nes be DSA ar USN trūksta įprasto pranešimo. Padeda reguliarus
apt list --upgradablepalyginimas. - Paleisti iš naujo po kiekvieno atnaujinimo, kiekvienai įdiegtai versijai atskirai. Kiek jų veikia lygiagrečiai, parodo straipsnis Kelios PHP versijos viename serveryje.
- Paremti, jei jūsų įmonė priklauso nuo saugyklos. Projekto puslapis kaip būdus nurodo aukas ir komercinę pagalbą.
Ar grįžti prie distribucijos paketų?
Ne kiekvienam serveriui, kuris šiandien naudoja sury, jos dar reikia. Dažnai saugykla buvo prijungta prieš kelerius metus, nes tuometė distribucija teikė tik senesnę PHP versiją. Dabar, pavyzdžiui, Debian 13 trixie teikia PHP 8.4, kuris, pasak Debian Security Tracker, nuo PHP2Shell ištaisytas. Jei jūsų programa su šia versija veikia, kelias atgal gali nutraukti priklausomybę nuo trečiojo šaltinio.
Kelias atgal yra nedidelis migracijos projektas. Pirmiausia patikrinkite, kokių plėtinių programai reikia ir ar distribucija jų siūlo. Prieš pašalindami sury šaltinį, išbandykite programą su distribucijos paketu kopijoje. Po to saugumo pranešimai vėl ateina įprastais keliais, o įrodymas remiasi DSA ar USN, o ne vien pakeitimų žurnalu.
Kur reikia naujesnės ar senesnės versijos nei distribucijos, sury ir toliau yra prasmingas pasirinkimas. Tada sprendimas turėtų būti priimtas sąmoningai ir dokumentuotas.
Kaip PHP SOS padeda konkrečiai?
- Nustatome, kurie PHP paketai jūsų serveriuose kyla iš sury.org, iš distribucijos ar iš kitų šaltinių.
- PHP2Shell būseną kiekvienai šakai tikriname per paketo versiją ir pakeitimų žurnalą ir iš naujo paleidžiame visas paslaugas.
- Nustatome pinning ir atnaujinimų stebėseną bei šaliname nebereikalingas šakas pagal serverio sutvirtinimą.
- Senoms šakoms planuojame perėjimą į palaikomą versiją.
Dažni klausimai
Ar sury saugykla yra oficiali Debian saugykla?
Ne. Ją eksploatuoja Ondřej Surý, kuris, pasak jo paties puslapio, kaip Debian kūrėjas jau seniai paketuoja PHP Debian. Tačiau tai nėra Debian saugumo archyvas, ir jos paketams Debian saugumo pranešimų nėra.
Ar sury.org pateikė paketus nuo PHP2Shell?
Pasak pranešimų, pateikti kūriniai visoms šakoms nuo 5.6 iki 8.5. Vis tiek būseną savo serveryje patikrinkite patys per paketo versiją ir pakeitimų žurnalą, nes pranešimai jūsų sistemai įrodymo nepakeičia.
Ar sury.org senas PHP versijas vėl padaro saugias?
Kūrinys senai šakai gali uždaryti konkrečią spragą. Tai nekeičia fakto, kad PHP projektas šių šakų nebeprižiūri. Norint ilgalaikio saugaus veikimo, perėjimas į palaikomą versiją išlieka būtinas.
Kaip sužinoti, ar mano serveris naudoja sury?
Paketų šaltiniuose /etc/apt ieškokite sury arba ondrej ir su apt policy patikrinkite, iš kurio šaltinio kyla įdiegti PHP paketai.