Fil-qosor: B'unattended-upgrades taħt Debian u Ubuntu kif ukoll dnf-automatic fuq il-familja RHEL, servers Linux jinstallaw waħedhom aġġornamenti tas-sigurtà. Biex aġġornament jaħdem ukoll, is-servizzi affettwati bħal PHP-FPM iridu jerġgħu jibdew wara; ivverifika dan b'needrestart jew bil-ħinijiet tal-bidu tal-proċessi. Sorsi ta' partijiet terzi bħal sury.org iridu jiġu permessi espliċitament, containers u bidliet tal-verżjoni ewlenija l-awtomatizzazzjoni ma tkoprix.
Mill-patch għas-server: l-awtomatizzazzjoni tiffranka ħin
Meta php.net ippubblika fil-21 ta' Ottubru 2026 fis-16:00 ħin Ġermaniż il-patches kontra PHP2Shell, bdiet tiġrija għall-amministraturi. Skont rapporti, id-distribuzzjonijiet iddistribwew il-backports tagħhom xi drabi fl-istess jum. Servers b'aġġornamenti tas-sigurtà awtomatiċi setgħu jinstallaw il-pakketti l-ġodda fit-tħaddim ippjanat li jmiss, mingħajr ma xi ħadd kellu jintervjeni.
Din hija l-aħbar tajba. Il-mhux tant tajba: installat ma jfissirx effettiv. Servizz PHP-FPM li ilu jaħdem ġimgħat ikompli jaħdem bil-kodiċi l-qadim fil-memorja sakemm jerġa' jinbeda. U pakketti minn sorsi ta' partijiet terzi, containers jew panels tal-hosting b'ġestjoni proprja ta' PHP spiss jibqgħu mhux mifquda mill-awtomatizzazzjoni.
Dan l-artikolu juri kif tistabbilixxi aġġornamenti tas-sigurtà awtomatiċi u tikkomplementahom b'mod li fl-emerġenza jipproteġu verament.
unattended-upgrades taħt Debian u Ubuntu
Taħt Ubuntu l-pakkett unattended-upgrades huwa installat b'mod standard u jinstalla aġġornamenti tas-sigurtà. Taħt Debian ininstallah meta jkun meħtieġ. Jiġi kkontrollat permezz ta' żewġ fajls taħt /etc/apt/apt.conf.d/.
sudo apt install unattended-upgrades apt-listchanges
sudo dpkg-reconfigure -plow unattended-upgrades
Il-fajl 20auto-upgrades jiddetermina jekk u kemm-il darba jiġu aġġornati l-listi tal-pakketti u jiġu installati aġġornamenti. Il-valur huwa l-għadd ta' ijiem, "1" ifisser kuljum:
// /etc/apt/apt.conf.d/20auto-upgrades
APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";
Fi 50unattended-upgrades hemm minn liema sorsi jistgħu jiġu l-aġġornamenti, jekk wara jsirx restart u min jirċievi messaġġ. B'mod standard huma permessi biss is-sorsi uffiċjali tas-sigurtà tad-distribuzzjoni. Skont id-dokumentazzjoni ta' Ubuntu, ma jkunx biżżejjed li tinkludi repository ieħor: irid jinsab ukoll f'din il-lista, inkella l-awtomatizzazzjoni tinjorah. Dan jolqot pereżempju r-repository ta' parti terza sury.org, li skont rapporti pprovda builds ta' PHP għall-fergħat kollha minn 5.6 sa 8.5. Sfond jinsab fl-artikolu Ir-repository sury.org.
Jekk kollox huwiex sewwa juri test li ma jibdel xejn:
sudo unattended-upgrade -v --dry-run
# Protokolli tat-tħaddim veru
ls -l /var/log/unattended-upgrades/
dnf-automatic fuq RHEL, AlmaLinux u Rocky Linux
Fuq il-familja RHEL dnf-automatic jieħu l-istess kompitu. Il-konfigurazzjoni tinsab f'/etc/dnf/automatic.conf. Skont id-dokumentazzjoni, upgrade_type = security jivverifika biss aġġornamenti b'avviż tas-sigurtà, u apply_updates huwa mitfi b'mod standard.
# /etc/dnf/automatic.conf (silta)
[commands]
upgrade_type = security
download_updates = yes
apply_updates = yes
reboot = never
sudo dnf install dnf-automatic
sudo systemctl enable --now dnf-automatic.timer
systemctl list-timers 'dnf-automatic*'
Minbarra dnf-automatic.timer, li jsegwi l-fajl tal-konfigurazzjoni, hemm timers li jirrapportaw biss, jniżżlu biss jew dejjem jinstallaw. Fil-bidu t-timer bil-fajl tal-konfigurazzjoni huwa l-aktar traċċabbli.
Il-parti mmaluta taħt il-valur: erġa' ibda s-servizzi
L-amministratur tal-pakketti jissostitwixxi fajls fuq id-disk. Proċessi li jaħdmu jżommu l-kodiċi l-qadim fil-memorja. Ma' PHP dan ifisser: sakemm PHP-FPM jew Apache b'mod_php ma jerġgħux jinbdew, il-vulnerabbiltà tibqa' miftuħa.
| Għodda | Sistema | X'tagħmel |
|---|---|---|
| needrestart | Debian, Ubuntu | tagħraf servizzi b'fajls skaduti; taħt Ubuntu minn 24.04 terġa' tibdihom awtomatikament b'mod standard |
dnf needs-restarting -s |
familja RHEL | telenka servizzi li għandhom jerġgħu jinbdew |
Automatic-Reboot |
unattended-upgrades | terġa' tibda s-server meta aġġornament jitlob dan; mitfi b'mod standard |
reboot |
dnf-automatic | never, when-changed jew when-needed |
Skont id-dokumentazzjoni ta' Ubuntu, servizzi eskluži minn needrestart ikomplu jaħdmu bil-fajls qodma sar-restart manwali. Ivverifika għalhekk wara kull aġġornament ta' PHP il-ħin tal-bidu tal-proċessi, kif deskritt f'Erġa' ibda PHP-FPM u l-workers kollha.
Ma' backports in-numru tal-verżjoni ta' PHP murija spiss jibqa' l-istess. Il-patch tipprovah permezz tal-changelog tal-pakkett bin-numri CVE, pereżempju b'apt-get changelog jew rpm -q --changelog. Kif dan jaħdem fid-dettall juri Debian u Ubuntu: il-pakkett PHP tiegħi huwa ppatchjat?.
X'ma tkoprix l-awtomatizzazzjoni
Aġġornamenti awtomatiċi huma blokk wieħed, mhux ġestjoni sħiħa tal-patches. Xi oqsma jeħtieġu proċessi proprji:
- Containers: PHP f'images Docker ma jiġix aġġornat b'aġġornamenti tal-host. Ibni mill-ġdid l-images, oħloq mill-ġdid il-containers.
- Panels tal-hosting: Plesk, cPanel u panels simili jamministraw PHP parzjalment permezz ta' pakketti u mekkaniżmi proprji.
- Verżjonijiet ewlenin: il-bidla, pereżempju minn PHP 8.2, li jilħaq it-tmiem tal-appoġġ fil-31/12/2026, għal verżjoni aktar ġdida ma sseħħx awtomatikament.
- Applikazzjonijiet: CMS, plugins u dipendenzi ta' Composer għandhom toroq ta' aġġornament proprji.
- Kontroll: xi ħadd irid jaqra l-protokolli u l-messaġġi ta' żball tal-awtomatizzazzjoni. Tħaddim li jfalli bil-kwiet huwa agħar minn xejn, għax jagħti sigurtà foloz.
Kif dawn il-partijiet jikbru f'proċess jiddeskrivih Ġestjoni tal-patches bħala proċess minflok tifi n-nar.
Konklużjoni: awtomatizzazzjoni iva, fiduċja għomja le
Aġġornamenti tas-sigurtà awtomatiċi jappartjenu fuq kull server Linux li jintlaħaq mill-internet. PHP2Shell wera kemm iż-żmien jista' jkun skars: skont rapporti tal-midja, l-ewwel tentattiv ta' attakk ġie osservat diġà fis-17 ta' Ottubru, erba' jiem qabel il-patches. Min wara jkompli jistenna tieqa ta' manutenzjoni manwali jitlef ħin prezzjuż.
L-awtomatizzazzjoni, madankollu, tneħħi minn fuqek biss l-installazzjoni. Ir-restart tas-servizzi, il-prova tal-istat tal-patch, containers, panels u l-bidla f'waqtha għal verżjonijiet appoġġati jibqgħu kompiti li għalihom xi ħadd irid ikun responsabbli. Iddetermina din ir-responsabbiltà bil-miktub, u ivverifika b'kampjuni jekk il-protokolli tal-awtomatizzazzjoni jinqrawx verament. Biss il-kombinazzjoni ta' awtomatizzazzjoni u kontroll tagħmel l-aġġornamenti affidabbli.
Kif tgħin PHP SOS b'mod konkret?
- Nistabbilixxu: nikkonfiguraw unattended-upgrades jew dnf-automatic skont is-servers tiegħek, inklużi sorsi ta' partijiet terzi permessi.
- Nassiguraw ir-restarts: nistabbilixxu needrestart jew verifiki korrispondenti u wara aġġornamenti ta' PHP nikkontrollaw il-ħinijiet tal-bidu tal-proċessi.
- Nagħlqu l-lakuni: containers, panels u bidliet tal-verżjoni ewlenija nieħduhom f'proċess fiss ta' manutenzjoni.
- Nikkontrollaw: fil-Kuntratt ta' manutenzjoni tas-sigurtà nivverifikaw il-protokolli tal-awtomatizzazzjoni u nirrapportaw anomaliji.
Mistoqsijiet frekwenti
Aġġornamenti awtomatiċi fuq servers tal-produzzjoni mhumiex riskjużi wisq?
Illimitati għal aġġornamenti tas-sigurtà tad-distribuzzjoni, ir-riskju ġeneralment huwa iżgħar minn dak ta' vulnerabbiltà miftuħa. Dawn l-aġġornamenti m'għandhomx iġibu funzjonijiet ġodda, imma jirranġaw żbalji. Għal sistemi kritiċi jappartjenu backups, monitoraġġ u sistema tat-test.
unattended-upgrades jerġa' jibda PHP-FPM wara aġġornament?
Mhux bilfors hu stess. Taħt Ubuntu minn verżjoni 24.04 l-għodda needrestart terġa' tibda awtomatikament b'mod standard is-servizzi affettwati, imma servizzi eskluži jkomplu jaħdmu bil-fajls qodma. Ivverifika wara kull aġġornament ta' PHP il-ħin tal-bidu tal-proċessi kollha ta' PHP.
Pakketti minn sury.org jew sorsi oħra ta' partijiet terzi jiġu aġġornati awtomatikament?
Biss jekk tippermetti s-sors espliċitament. Skont id-dokumentazzjoni ta' Ubuntu, ma jkunx biżżejjed li żżid repository; irid jinsab ukoll fil-lista tal-oriġini permessi ta' unattended-upgrades.
L-awtomatizzazzjoni tgħolli wkoll PHP 8.2 għal 8.3?
Le. Aġġornamenti tas-sigurtà awtomatiċi jibqgħu fi ħdan il-verżjonijiet tal-pakketti installati. Bidla tal-verżjoni ewlenija ta' PHP, pereżempju qabel it-tmiem tal-appoġġ għal PHP 8.2 fil-31/12/2026, tibqa' proġett ippjanat b'testijiet.
U l-containers Docker?
Aġġornamenti fuq l-host ma jaġġornawx il-verżjoni ta' PHP fil-containers. Images tal-containers iridu jinbnew mill-ġdid jew jinġibu mill-ġdid u l-containers jinħolqu mill-ġdid.