Remi repozitorijs: PHP uzturēšana aktuālā stāvoklī RHEL sistēmās

Īsi sakot: Remi PHP repozitorijs piegādā aktuālas PHP versijas Fedora un RHEL saimei, vai nu kā moduļa stream, kas aizstāj sistēmas PHP, vai kā Software Collection, kas paralēli instalē vairākas versijas. PHP2Shell labojumi 8.2.35, 8.3.36, 8.4.27 un 8.5.12 tur tika paziņoti 2026. gada 22. oktobrī. Pārbaudiet katru instalēto versiju atsevišķi un pārstartējiet katru attiecīgo pakalpojumu.

Kāpēc tik daudzi RHEL serveri PHP saņem no Remi

Uzņēmumu distributīvi, piemēram, RHEL, AlmaLinux un Rocky Linux, balstās uz ilgstošu stabilitāti. Tie piegādā dažus PHP atzarus un saglabā tos gadiem. Taču daudzas lietojumprogrammas prasa jaunākas versijas, nekā distributīvs piedāvā. Šeit iesaistās Remi Collet repozitorijs, ilggadīga PHP pakotņu uzturētāja Fedora un RHEL vidē.

Remi PHP versijas būvē īsā secībā pēc oficiālajiem laidieniem. Par PHP2Shell repozitorija emuārā 2026. gada 22. oktobrī parādījās raksts par versijām 8.2.35, 8.3.36, 8.4.27 un 8.5.12. Tajā min abas kritiskās ievainojamības CVE-2026-109618 un CVE-2026-109619 un steidzami iesaka atjaunināt. Red Hat drošības paziņojumi šīm pakotnēm nav spēkā; ko Red Hat ziņo par savām pakotnēm, lasāms rakstā RHEL, AlmaLinux un Rocky Linux: PHP ielāpa pārbaude.

Divi ceļi: moduļa stream vai Software Collection

Saskaņā ar Remi emuāru būvējumi Enterprise Linux no versijas 8 ir pieejami divos ceļos. Kurš tiek izmantots jūsu serverī, nosaka, kā pārbaudāt un pārstartējat.

Software Collections parasti atrodas zem /opt/remi/phpXY, to konfigurācija zem /etc/opt/remi/phpXY. Tas ir praktiski, lai vienā serverī darbinātu vecas un jaunas lietojumprogrammas. Taču tas ir arī biežākais iemesls, kāpēc versija atjauninājuma laikā tiek palaista garām.

Norāde par komandrindu: Software Collections nav automātiski pieejamas ar komandu php. Atkarībā no iestatījuma cronjobs un skripti tās izsauc ar savu komandu vai pilnu ceļu. Tāpēc pārbaudiet arī crontab un izvietošanas skriptus, ja vēlaties zināt, kura collection kam tiek izmantota.

Remi PHP repozitorija pārbaude pēc PHP2Shell

Šīs komandas tikai lasa un rāda, kuras Remi pakotnes ir instalētas un kāds ir to stāvoklis.

# Aktīvie pakotņu avoti: vai remi-modular vai remi-safe ir pieslēgts?
dnf repolist

# Aktīvais moduļa stream PHP
dnf module list --enabled php

# Bāzes pakotnes un paralēli instalētās Software Collections
rpm -qa 'php-*' 'php[0-9][0-9]-php-*' --qf '%{NAME}-%{VERSION}-%{RELEASE}\n' | sort

# Katras instalētās collection versija
for b in /opt/remi/php*/root/usr/bin/php; do echo "$b"; "$b" -v | head -1; done

Atbalstītajiem atzariem situācija ir viennozīmīga: ja tur ir 8.5.12, 8.4.27, 8.3.36 vai 8.2.35 vai jaunāka, labojums ir ietverts. Pie Remi versijas numurs parasti atbilst upstream versijai, atšķirībā no distributīva pakotnēm, kas bieži saglabā savu veco numuru.

Vecākām collection, piemēram, php81, php80 vai php74, oficiālas mērķa versijas nav. Remi PHP 8.1 min kā End-of-Life. Vai instalētā pakotne satur labojumu pret PHP2Shell, noskaidrojiet changelog, piemēram, ar rpm -q --changelog php81-php-fpm | grep -E "CVE-2026-10961[89]". Bez atbilsmes pakotni uzskatiet par neskaidru. Kā šādas atbilsmes tīri apliecināt, apraksta raksts CVE numuru apliecināšana pakotnes changelog.

Katras versijas atjauninājums un pārstartēšana

Pats atjauninājums pie Remi parasti ir nesenzacionāls: dnf upgrade ielādē jaunas pakotnes stream un collection. Kritiskā daļa seko pēc tam. Katrai collection ir savs FPM pakalpojums, un katrs jāpārstartē.

# Uzskaitīt visus PHP-FPM pakalpojumus, arī collection pakalpojumus
systemctl list-units --type=service --all | grep -E "php.*fpm"

# Pārbaudīt visu PHP procesu startēšanas laikus
ps -eo pid,lstart,cmd | grep -E "[p]hp-fpm|[h]ttpd"

Startēšanas laiki pirms atjauninājuma nozīmē: šis pakalpojums vēl strādā ar veco kodu. Kāpēc ar pārlādi nepietiek, izskaidro lapa PHP-FPM un visu worker pārstartēšana.

Remi un distributīvs: kurš atbild?

Kas ar moduļa stream pārslēdzas uz Remi, tas PHP gadījumā maina piegādātāju. Red Hat, AlmaLinux vai Rocky Linux drošības paziņojumi tad vairs neattiecas uz instalētajām PHP pakotnēm. Un otrādi, Remi neziņo par problēmām citās sistēmas pakotnēs. Abus avotus tātad jātur redzeslokā.

No kurienes instalēta pakotne nāk, rāda pakotņu datubāze, piemēram, ar rpm -qi php-fpm laukos par ražotāju un pakotņotāju. Tā kā Remi pakotnēm nav errata Red Hat izpratnē, repozitorija emuārs ir piemērots paziņošanas ceļš; tam var abonēt RSS plūsmu. PHP2Shell gadījumā norāde tur parādījās vienu dienu pēc oficiālajiem laidieniem.

Uzņēmumiem šis sadalījums nav šķērslis, taču tam jābūt dokumentētam. Fiksējiet, kuri serveri PHP saņem no Remi, kurš lasa paziņojumus un kurš pēc atjauninājuma pārstartē pakalpojumus. Citādi katrs paļaujas uz otru.

Uzturēt kārtību: mazāk versiju, mazāks risks

Software Collections aicina vecās versijas vienkārši atstāt. Pēc PHP2Shell ir labs brīdis sakārtot:

1. Katrai collection noskaidrot, kuru vietni vai cronjob tā apkalpo.
2. Neizmantotās collection deaktivizēt un pēc novērošanas laika noņemt.
3. Lietojumprogrammas uz vecām collection pacelt uz atbalstītu atzaru.
4. Atlikušās versijas dokumentēt ar mērķi un atbildīgo.

Kā saglabāt pārskatu par daudzām paralēlām versijām, apraksta raksts Vairākas PHP versijas vienā serverī.

Kā PHP SOS palīdz konkrēti?

• Mēs apzinām visus Remi stream un collection jūsu serveros un piesaistām tos vietnēm un cronjobs.
• Mēs pārbaudām PHP2Shell stāvokli katrai versijai ar pakotnes versiju un changelog.
• Mēs ieviešam atjauninājumus, pārstartējam katru pakalpojumu un to apliecinām ar procesu startēšanas laikiem PHP ielāpu pakalpojuma ietvaros.
• Vairs nevajadzīgās collection pēc saskaņošanas kontrolēti noņemam.

Biežāk uzdotie jautājumi

Avoti

• Remi's RPM repository: emuārs
• Red Hat Security Bulletin RHSB-2026-013
• php.net: atbalstītās versijas