Fil-qosor: Ir-repository sury ta' PHP huwa sors terz mifrux ħafna għal pakketti ta' PHP taħt Debian (packages.sury.org) u Ubuntu (PPA ondrej/php). Jippermetti diversi verżjonijiet ta' PHP flimkien u fergħat aktar ġodda minn dawk tad-distribuzzjoni. Wara PHP2Shell hemmhekk, skont rapporti, ġew ipprovduti builds għall-fergħat kollha minn 5.6 sa 8.5. Il-prova għas-server tagħkom tagħtha biss l-istat tal-pakkett u l-changelog, mhux ir-rapporti tas-sigurtà ta' Debian jew Ubuntu.
X'inhu r-repository sury
Wara sury.org hemm Ondřej Surý. Skont il-paġna tal-proġett tiegħu, bħala żviluppatur ta' Debian minn PHP 5 jippakkettja l-pakketti ta' PHP għal Debian, u l-pakketti uffiċjali ta' PHP ta' Debian u Ubuntu huma bbażati fuq ix-xogħol tiegħu. Minbarra dan ix-xogħol iħaddem repository proprju b'pakketti ta' PHP li jistgħu jiġu installati b'mod parallel.
Għal Debian ir-repository jinsab f'packages.sury.org, għal Ubuntu jiġi offrut bħala PPA ondrej/php. Skont il-paġna tal-proġett l-iżbalji jiġu rrapportati permezz ta' issue tracker fuq Codeberg, mhux bl-email. Il-manutenzjoni ssir, skont dikjarazzjonijiet proprji, l-aktar fil-ħin liberu; għal verżjonijiet eqdem tad-distribuzzjoni hemm offerta kummerċjali permezz ta' Freexian.
Ħafna amministraturi u hosters jużaw ir-repository għax joffri fergħat ġodda ta' PHP aktar minn dawk li ġġib id-distribuzzjoni, jew għax applikazzjonijiet jeħtieġu verżjoni partikolari.
X'jifrdu mill-pakketti ta' Debian
L-aktar differenza importanti għas-sigurtà: Pakketti minn sury.org ma jaqgħux taħt ir-rapporti tas-sigurtà ta' Debian jew Ubuntu. Id-Debian Security Tracker juri biss l-istat tal-pakketti uffiċjali. Jekk hemmhekk jingħad li php8.4 f'trixie huwa rranġat, dan ma jgħid xejn dwar php8.4 minn sury.org fuq l-istess server.
| Karatteristika | Pakketti uffiċjali ta' Debian u Ubuntu | sury.org |
|---|---|---|
| Pubblikatur | Debian rispettivament Canonical | Ondřej Surý bħala individwu |
| Rapporti tas-sigurtà | DSA, DLA, USN | l-ebda minn dawn ir-rapporti |
| Verżjonijiet | fergħa waħda għal kull release | diversi fergħat b'mod parallel |
| Numru tal-verżjoni wara l-fix | Debian f'xi każijiet verżjoni upstream ġdida, Ubuntu l-aktar in-numru l-qadim b'stat ġdid tal-pakkett | ġeneralment il-verżjoni upstream attwali |
| Prova | Rapport u changelog | Changelog u verżjoni tal-pakkett |
Għan-negozji dan ifisser dipendenza minn individwu għal komponent ċentrali. Din mhix raġuni biex ir-repository jiġi evitat, imma raġuni biex tiġi ttrasportata b'mod konxju: b'sorveljanza, prova u pjan B.
Ir-repository sury ta' PHP wara PHP2Shell: iċċekkjaw l-istat
L-ewwel iċċaraw jekk u għal liema pakketti s-server juża sury. Il-kmandi jaqraw biss.
# Sury huwa rreġistrat bħala sors tal-pakketti?
grep -rEl "sury|ondrej" /etc/apt/sources.list /etc/apt/sources.list.d/ 2>/dev/null
# Minn liema sors ġej il-pakkett installat?
apt policy php8.3-fpm
# Verżjoni installata u entrata fil-changelog dwar is-CVE
dpkg-query -W -f='${Package}\t${Version}\n' 'php*-fpm' 'libapache2-mod-php*' 2>/dev/null
zgrep -E "CVE-2026-10961[89]" /usr/share/doc/php8.3-fpm/changelog.Debian.gz
Fil-fergħat attwali l-fix tagħrfuh ġeneralment mill-verżjoni upstream 8.5.12, 8.4.27, 8.3.36 jew 8.2.35 fl-isem tal-pakkett. Fil-fergħat qodma bħal 7.4 jew 8.1 ma hemm l-ebda verżjoni uffiċjali fil-mira, hemmhekk l-entrata fil-changelog hija l-aktar prova importanti. Jekk tkun nieqsa, staqsu permezz tal-issue tracker tal-proġett jew ittrattaw il-pakkett bħala mhux ikkjarifikat.
Fergħat qodma minn sury: kumdità qarrieqa
Ir-repository jagħmilha faċli li PHP 7.4 jew anke 5.6 jaħdem fuq Debian attwali. Skont rapporti, kien hemm builds kontra PHP2Shell anke għal dawn il-fergħat. Dan huwa utli għas-sitwazzjoni akuta, imma jiċċaqlaq biss il-problema bażika: Il-proġett PHP ma jżommx aktar dawn il-fergħat, u l-vulnerabbiltà li jmiss terġa' tolqothom.
Min b'dan il-mod iżomm ħajja applikazzjoni qadima għandu jistaqsi lilu nnifsu b'onestà kemm żmien oħra. X'jgħodd għal PHP 8.1 u eqdem tiġbor il-paġna PHP 8.1 u eqdem: x'jgħodd issa. Alternattivi kummerċjali bil-limiti tagħhom jiddeskrivihom l-artikolu Appoġġ fit-tul għal verżjonijiet qodma ta' PHP.
Tħalltux fuq server b'mod mhux ikkontrollat pakketti ta' PHP mid-distribuzzjoni u minn sury.org. Dipendenzi bejn estensjonijiet u libreriji jistgħu fl-aġġornament li jmiss iwasslu għal bidliet mhux mistennija tal-pakketti.
Rakkomandazzjonijiet għat-tħaddim b'sury
- Iddokumentaw liema servers juzaw sury u għal liema fergħat.
- Iddeterminaw l-oriġini, pereżempju b'APT pinning, biex il-pakketti ta' PHP jiġu minn sors wieħed biss.
- Issorveljaw l-aġġornamenti, għax mingħajr DSA jew USN l-avviż tas-soltu jonqos. Paragun regolari ta'
apt list --upgradablejgħin. - Erġgħu ibdew wara kull aġġornament, għal kull verżjoni installata individwalment. Kemm jaħdmu b'mod parallel juri l-artikolu Diversi verżjonijiet ta' PHP fuq server wieħed.
- Appoġġjaw jekk in-negozju tagħkom jiddependi mir-repository. Il-paġna tal-proġett isemmi donazzjonijiet u appoġġ kummerċjali bħala toroq.
Lura għall-pakketti tad-distribuzzjoni?
Mhux kull server li llum juża sury għadu jeħtieġu. Spiss ir-repository ġie inkluż snin ilu, għax id-distribuzzjoni ta' dak iż-żmien kellha biss verżjoni eqdem ta' PHP. Sadanittant, pereżempju Debian 13 trixie jikkonsenja PHP 8.4, li skont id-Debian Security Tracker huwa rranġat kontra PHP2Shell. Jekk l-applikazzjoni tagħkom taħdem b'din il-verżjoni, it-triq lura tista' ttemm id-dipendenza minn sors terz.
It-triq lura hija proġett żgħir ta' migrazzjoni. Ivverifikaw l-ewwel liema estensjonijiet teħtieġ l-applikazzjoni u jekk id-distribuzzjoni toffrihomx. Ittestjaw l-applikazzjoni bil-pakkett tad-distribuzzjoni fuq kopja qabel ma tneħħu s-sors sury. Wara r-rapporti tas-sigurtà jerġgħu jaslu mill-mogħdijiet tas-soltu, u l-prova tistrieħ fuq DSA jew USN minflok fuq changelog waħdu.
Fejn tibqa' meħtieġa verżjoni aktar ġdida jew eqdem minn dik tad-distribuzzjoni, sury jibqa' għażla sensata. Imma allura d-deċiżjoni għandha tittieħed b'mod konxju u tiġi ddokumentata.
Kif tgħin PHP SOS b'mod konkret?
- Niddeterminaw liema pakketti ta' PHP fuq is-servers tagħkom ġejjin minn sury.org, mid-distribuzzjoni jew minn sorsi oħra.
- Nivverifikaw l-istat ta' PHP2Shell għal kull fergħa permezz tal-verżjoni tal-pakkett u tal-changelog u nerġgħu nibdew is-servizzi kollha.
- Nistabbilixxu pinning u sorveljanza tal-aġġornamenti u nneħħu fergħat li m'għadhomx meħtieġa fil-qafas ta' tisħiħ tas-server.
- Għal fergħat qodma nippjanaw il-bidla għal verżjoni appoġġata.
Mistoqsijiet frekwenti
Ir-repository sury huwa repository uffiċjali ta' Debian?
Le. Jitmexxa minn Ondřej Surý li, skont il-paġna tiegħu stess, bħala żviluppatur ta' Debian ilu jippakkettja PHP għal Debian. Imma mhuwiex l-arkivju tas-sigurtà ta' Debian, u għall-pakketti tiegħu ma hemm l-ebda rapporti tas-sigurtà ta' Debian.
sury.org ipprovda pakketti kontra PHP2Shell?
Skont rapporti, ġew ipprovduti builds għall-fergħat kollha minn 5.6 sa 8.5. Ivverifikaw madankollu l-istat fuq is-server tagħkom stess permezz tal-verżjoni tal-pakkett u tal-changelog, għax ir-rapporti ma jissostitwux prova għas-sistema tagħkom.
sury.org jerġa' jagħmel sigure verżjonijiet qodma ta' PHP?
Build għal fergħa qadima jista' jagħlaq vulnerabbiltà konkreta. Ma jibdel xejn mill-fatt li l-proġett PHP ma jżommx aktar dawn il-fergħat. Għal tħaddim sigur fit-tul tibqa' meħtieġa l-bidla għal verżjoni appoġġata.
Kif insib jekk is-server tiegħi juża sury?
Fittxu fis-sorsi tal-pakketti taħt /etc/apt għal sury jew ondrej u ivverifikaw b'apt policy minn liema sors ġejjin il-pakketti installati ta' PHP.