# RHEL, AlmaLinux un Rocky Linux: PHP ielāpa pārbaude

> PHP ielāpa pārbaude RHEL, AlmaLinux un Rocky: ko Red Hat ziņo par PHP2Shell, kā vaicāt errata, changelog un moduļus un kā pareizi pārstartēt.

Avots: https://phpsos.de/lv/blog/rhel-almalinux-rocky-php/  
Aktuāls uz: 25.10.2026  
Pakalpojuma sniedzējs: PHP SOS, PHP ārkārtas palīdzība un serveru drošība. Tūlītēja palīdzība pa WhatsApp: https://wa.me/491736494914?text=Sveiki%2C%20PHP%20SOS%2C%20mums%20nepiecie%C5%A1ama%20pal%C4%ABdz%C4%ABba%20ar%20m%C5%ABsu%20PHP%20serveri.%20Uz%C5%86%C4%93mums%3A%20%E2%80%A6%20Vietne%3A%20%E2%80%A6

**Īsi sakot:** RHEL, AlmaLinux un Rocky Linux PHP ielāpu pret PHP2Shell pārbaudāt trīs ceļos: distributīva drošības paziņojumi (`dnf updateinfo`), pakotnes changelog (`rpm -q --changelog`) un PHP procesu startēšanas laiks. Red Hat RHEL 7 līdz 10 min kā skartas un atvēršanas brīdī ziņoja, ka daži atjauninājumi ir pieejami un citi tiek izstrādāti. Pēc atjauninājuma ir spēkā: pilnībā pārstartēt, nevis tikai pārlādēt.

## Ko Red Hat ir publicējis par PHP2Shell

Red Hat par PHP2Shell izdeva drošības biļetenu RHSB-2026-013. Mēs to atvērām 2026. gada 25. oktobrī. Svarīgākie punkti administratoriem:

- **Skarti** ir RHEL 10, 9, 8 un 7, kā arī uz tiem balstīti produkti un konteineri uz RHEL vai UBI attēlu bāzes.
- **RHEL 7** saskaņā ar Red Hat ir skarts tikai ar CVE-2026-109619; kods CVE-2026-109618 tur neesot ietverts.
- **Nav skartas** sistēmas bez PHP vai bez PHP, kas apstrādā neuzticamus HTTP pieprasījumus.
- **Atjauninājumi:** Daži atvēršanas brīdī bija pieejami, citi tika izstrādāti. Konkrētus errata numurus biļetens nenosauca, bet atsaucās uz errata lapām.

Red Hat CVE-2026-109618 ar savu metodi vērtē kā “Important” un norāda, ka standarta instalācijas no RHEL 8 izmanto PHP-FPM, nevis mod_php. Tas ir klasificējums, nevis atvieglojums. PHP projekts abas ievainojamības vērtē ar CVSS v4.0 9.2, un BSI (Vācijas Federālais informācijas drošības birojs) iesaka nekavējoties atjaunināt.

## AlmaLinux un Rocky Linux: viens avots, savs takts

AlmaLinux un Rocky Linux savas pakotnes pārbūvē no Red Hat pirmkoda. Labojumi tāpēc parasti saturiski ierodas vienādi, bet ar savu laiku un zem saviem drošības paziņojumiem. Norāde uz Red Hat errata nenozīmē, ka pakotne jūsu atvasinājumā ir gatava tajā pašā dienā.

Izšķirošs tāpēc ir stāvoklis jūsu sistēmā. Pārbaudiet to ar pakotņu pārvaldības rīkiem, nevis pēc ziņām vai forumiem.

Turklāt ievērojiet, vai serverī tiek izmantoti spoguļserveri vai iekšējie pakotņu avoti. Daudzos uzņēmumos serveri atjauninājumus nesaņem tieši no ražotāja, bet caur iekšēju spoguli vai pārvaldības rīku. Ja šis spogulis nav aktuāls, `dnf` jaunas pakotnes neatrod, kaut gan tās sen ir publicētas.

## PHP ielāpa pārbaude RHEL un atvasinājumos

Šīs komandas tikai lasa. Pakotņu nosaukumi attiecas uz distributīva PHP pakotnēm; pakotnes no trešo pušu avotiem, piemēram, Remi, dažkārt sauc citādi.

```bash
# Kurus PHP stream sistēma pazīst, kurš ir aktīvs? (RHEL 8 un 9)
dnf module list php

# Instalētās PHP pakotnes ar versiju un izcelsmi
rpm -qa 'php*' --qf '%{NAME}-%{VERSION}-%{RELEASE}  %{VENDOR}\n' | sort

# Vai šai sistēmai ir drošības paziņojumi par CVE?
dnf updateinfo list --cve CVE-2026-109618
dnf updateinfo list --cve CVE-2026-109619

# Vai labojums ir instalētās pakotnes changelog?
rpm -q --changelog php-fpm | grep -E "CVE-2026-10961[89]"
```

`dnf updateinfo` rāda paziņojumus tikai atjauninājumiem, kas vēl nav instalēti; ar `--installed` redzat arī jau ieviestos. Tukšs rezultāts tātad var nozīmēt divas lietas: atjauninājums jau ir iekšā vai vēl nav publicēts. To noskaidro changelog salīdzinājums. Kā rezultātu fiksēt kā apliecinājumu, apraksta raksts [CVE numuru apliecināšana pakotnes changelog](https://phpsos.de/lv/blog/cve-im-changelog-nachweisen/).

Tāpat kā citos uzņēmumu distributīvos, pakotne parasti saglabā savu sākotnējo PHP versiju; mainās tikai laidiena norāde. Vecāks numurs pie `php -v` tāpēc nav norāde uz trūkstošu labojumu. Vispārīgus norādījumus par versijas pārbaudi atradīsiet sadaļā [PHP versijas un ielāpa stāvokļa pareiza pārbaude](https://phpsos.de/lv/php2shell/php-version-pruefen/).

## Atpazīt pareizo darbības režīmu

Red Hat nosauc standarta darbības režīmus: no RHEL 8 PHP darbojas caur PHP-FPM, RHEL 7 kā mod_php Apache pakalpojumā `httpd`. Daudzi serveri no tā atšķiras, piemēram, paneļu, ārēju avotu vai vecu konfigurāciju dēļ.

| Sistēma | Standarts saskaņā ar Red Hat | Pārstartēšana pēc atjauninājuma |
|---|---|---|
| RHEL 8, 9, 10 un atvasinājumi | PHP-FPM | `systemctl restart php-fpm` |
| RHEL 7 | mod_php httpd | `systemctl restart httpd` |
| Konteineri uz RHEL vai UBI bāzes | atkarībā no attēla | pārbūvēt attēlu, nomainīt konteineru |

Konteineriem Red Hat iesaka pēc atjauninātiem bāzes attēliem pārbūvēt savus attēlus un nomainīt darbojošos konteinerus vai pods. Atjauninājums darbojošā konteinerā nav uzticams ceļš.

## Pēc atjauninājuma: pārstartēšana un kontrole

Red Hat uzsver, ka pārlādes nepietiek. Esošie worker var saglabāt skarto stāvokli. Tāpēc pārstartējiet katru pakalpojumu, kas ielādē PHP, un pārbaudiet rezultātu:

```bash
# Parādīt pakalpojumus ar novecojušām bibliotēkām (dnf-utils vai dnf-plugins-core)
needs-restarting -s

# Salīdzināt PHP procesu startēšanas laiku ar atjauninājuma laiku
ps -eo pid,lstart,cmd | grep -E "[p]hp-fpm|[h]ttpd"
```

Konfigurācijai Red Hat sniedz praktisku norādi: `php -i` rāda komandrindas iestatījumus, nevis tīmekļa servera iestatījumus. Kas vēlas pārbaudīt, vai pagaidu vērtības, piemēram, `session.upload_progress.enabled=0`, tīmekļa kontekstā darbojas, īslaicīgi izmanto aizsargātu phpinfo lapu un pēc tam to izdzēš. Kas vēl jāņem vērā pārstartējot, lasāms sadaļā [PHP-FPM un visu worker pārstartēšana](https://phpsos.de/lv/php2shell/php-fpm-neustart/).

## Pagaidu pasākumi: Red Hat norādes

Kur atjauninājuma vēl nav, Red Hat atsaucas uz tiem pašiem pagaidu pasākumiem kā php.net un papildina ar dažām praktiskām norādēm RHEL sistēmām. Tie atjauninājumu neaizstāj.

- **Rindu patiešām papildināt:** Saskaņā ar Red Hat rinda `session.upload_progress.enabled` piegādātajā konfigurācijā ir aizkomentēta, funkcija tātad pēc noklusējuma ir aktīva. Vērtība `0` jāiestata tieši.
- **Iestatīt nepārrakstāmi:** ar `php_admin_value` PHP-FPM pūlā, mod_php gadījumā Apache konfigurācijā. Ne ar `ini_set()` vai `.user.ini`.
- **Meklēt pretdarbību:** Red Hat iesaka pārbaudīt `.htaccess` failus, VirtualHosts un `.user.ini` failus, vai tie skartos iestatījumus neieslēdz atkal.
- **Ierobežojumus iestatīt arī priekšā:** Līdzās `post_max_size` PHP Red Hat iesaka apsvērt pieprasījuma izmēra ierobežojumus arī tīmekļa serverī vai starpniekserverī.

PHP-FPM sistēmās pūli parasti atrodas zem `/etc/php-fpm.d/`. Pēc katras izmaiņas ir spēkā tas pats, kas pēc atjauninājuma: pilnībā pārstartēt visus worker.

> **Padoms:**
> Ja tajā pašā serverī papildus darbojas PHP no Remi repozitorija, tam ir savas pakotnes un pakalpojumi. Izlasiet par to rakstu [Remi repozitorijs](https://phpsos.de/lv/blog/remi-repository-php/).

## Kā PHP SOS palīdz konkrēti?

- Mēs RHEL, AlmaLinux un Rocky Linux pārbaudām visas PHP pakotnes, stream un ārējos avotus un salīdzinām tos ar drošības paziņojumiem.
- Mēs ieviešam atjauninājumus, pilnībā pārstartējam visus worker un kontrolējam procesu startēšanas laikus.
- Konteineru vidēm mēs pārbūvējam attēlus un kontrolēti nomainām darbojošās instances.
- Stāvokli katram serverim mēs fiksējam [PHP ielāpu pakalpojuma](https://phpsos.de/lv/leistungen/php-patch-service/) apliecinājumā.


## Biežāk uzdotie jautājumi

**Vai RHEL 7 ir skarts ar PHP2Shell?**  
Saskaņā ar Red Hat RHEL 7 ir skarts tikai ar CVE-2026-109619, ievainojamais kods CVE-2026-109618 tur neesot. RHEL 7 mod_php ir standarta darbības režīms, ko PHP komanda vērtē kā īpaši riskantu.

**Kāpēc Red Hat ievainojamību vērtē zemāk nekā php.net?**  
Red Hat izmanto savu vērtējumu pēc CVSS v3.1 un CVE-2026-109618 klasificē kā Important, jo izmantošanai nepieciešama precīza laika sakritība. php.net vērtē ar CVSS v4.0 9.2. Abi uzskata, ka koda izpilde bez pieteikšanās ir iespējama, atjauninājums jebkurā gadījumā ir nepieciešams.

**Vai AlmaLinux un Rocky Linux labojumus saņem automātiski?**  
Abi savas pakotnes pārbūvē no Red Hat pirmkoda un publicē savus drošības paziņojumus. Laiks var atšķirties no Red Hat. Tāpēc pārbaudiet stāvokli savā sistēmā un sava distributīva paziņojumos.

**Vai pēc atjauninājuma pietiek ar systemctl reload php-fpm?**  
Nē. Red Hat tieši norāda, ka pārlādes nepietiek, jo esošie worker var saglabāt skarto stāvokli. Pārstartējiet visus worker, mod_php gadījumā Apache pakalpojumu httpd.

## Avoti

- [Red Hat Security Bulletin RHSB-2026-013](https://access.redhat.com/security/vulnerabilities/RHSB-2026-013)
- [Red Hat: CVE-2026-109618](https://access.redhat.com/security/cve/CVE-2026-109618)
- [php.net: drošības paziņojumi](https://www.php.net/)