Server Plesk: verifika u patching tal-verżjonijiet ta' PHP

Fil-qosor: Aġġornament ta' PHP f'Plesk jitlesta biss meta kull verżjoni installata ta' PHP tkun fi stat korrett, is-servizzi kollha ta' PHP-FPM ikunu nbdew mill-ġdid u tkunu tistgħu tippruvaw dan bl-istat tal-pakkett u bil-ħin tal-bidu tal-proċessi. In-numru tal-verżjoni murija fil-panel waħdu mhux biżżejjed, għax il-backports spiss iħalluh bla bidla.

Dwar x'inhu PHP2Shell fuq servers Plesk

PHP2Shell jirreferi għal żewġ vulnerabbiltajiet kritiċi f'PHP innifsu (CVE-2026-109618 u CVE-2026-109619, kull waħda CVSS v4.0 9,2). Jippermettu lill-attakkanti jesegwixxu kodiċi fuq is-server mingħajr login. Huma affettwati, fost l-oħrajn, PHP-FPM u Apache b'mod_php, jiġifieri eżattament il-modalitajiet tat-tħaddim li Plesk jissettja għall-websajts.

Fil-21/10/2026 il-proġett PHP ippubblika l-verżjonijiet irranġati 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Għal PHP 8.1 u eqdem m'hemmx aktar aġġornamenti uffiċjali. Servers Plesk għandhom karatteristika partikolari: hawn spiss jaħdmu diversi verżjonijiet ta' PHP flimkien, xi wħud minn Plesk innifsu, oħrajn mis-sistema operattiva. Kull waħda minnhom teħtieġ verifika separata.

Aġġornament ta' PHP f'Plesk: l-ewwel niġbru l-inventarju

Qabel ma taġġornaw xi ħaġa, ħarsu lejn lista tal-handlers kollha ta' PHP u tad-dominji li jużawhom. Dan jista' jsir mill-panel (Tools & Settings, PHP Settings) jew mil-linja tal-kmand. Il-kmandi li ġejjin ma jibdlu xejn, jaqraw biss.

# Alle registrierten PHP-Handler mit Version und Pfad
plesk bin php_handler --list

# Version jeder von Plesk installierten PHP-Version (Pfad als Beispiel)
for p in /opt/plesk/php/*/bin/php; do echo "$p"; "$p" -v | head -1; done

Innotaw għal kull handler: il-verżjoni, il-modalità tat-tħaddim (FPM, FastCGI, modulu ta' Apache) u n-numru tad-dominji. Handlers mingħajr dominju mhumiex raġuni biex tistrieħu. Jistgħu jiġu assenjati aktar tard jew jaħdmu fuq sub-dominji tat-test.

Niċċekkjaw l-istat tal-pakkett, mhux il-wiri

Plesk juri n-numru tal-verżjoni li PHP innifsu jirrapporta. Jekk Plesk jew id-distribuzzjoni jwasslu l-korrezzjoni bħala backport, hemmhekk jista' jibqa' jidher pereżempju 8.2.34 għalkemm il-korrezzjoni hija inkluża. B'mod opost, numru li jidher aġġornat jista' jqarraq jekk pakkett għadu ma ġiex aġġornat. Id-deċiżiv huma l-istat tal-pakkett installat u l-konferma bil-miktub tal-fornitur.

# Debian/Ubuntu (Paketnamen als Beispiel)
dpkg -l | grep -E 'plesk-php|php[0-9.]+-(fpm|cli)'

# AlmaLinux/Rocky/RHEL (Paketnamen als Beispiel)
rpm -qa | grep -E 'plesk-php|^php' | sort

Qabblu l-verżjonijiet tal-pakketti mal-indikazzjonijiet fil-changelogs ta' Plesk u mal-avviżi tad-distribuzzjoni tagħkom. Jekk ma jkunx dokumentat b'mod ċar li CVE-2026-109618 u CVE-2026-109619 ġew irranġati, staqsu lill-fornitur. Mudell għal dan issibu f'Staqsu lill-hoster dwar l-istat tal-patch.

Installaw l-aġġornament u erġgħu ibdew il-workers kollha

L-aġġornament innifsu jsir permezz tal-Plesk Installer jew il-ġestjoni tal-pakketti tas-sistema. Imbagħad jiġi l-pass li l-aktar jonqos: ir-restart. F'Plesk kull verżjoni ta' PHP għandha servizz FPM proprju. Erġgħu ibdew kollha, mhux biss dak tad-dominju prinċipali.

# Alle PHP-FPM-Dienste auflisten (Dienstnamen als Beispiel)
systemctl list-units --type=service | grep -i 'php.*fpm'

# Je Dienst neu starten, z. B.:
systemctl restart plesk-php84-fpm

# Startzeit der laufenden PHP-Prozesse prüfen
ps -eo pid,lstart,cmd | grep -E 'php-fpm|php-cgi' | grep -v grep

Jekk dominju jaħdem b'Apache u mod_php, erġgħu ibdew lil Apache kompletament. Jekk il-ħin tal-bidu ta' proċess ta' PHP ikun qabel l-aġġornament, dan ma ġiex imġedded. Aktar dwar dan il-pass issibu f'Erġa' ibdew PHP-FPM u l-workers kollha.

Protezzjoni temporanja meta l-aġġornament għadu nieqes

Jekk għal verżjoni għad m'hemm l-ebda patch disponibbli, php.net jirrakkomanda miżuri temporanji. Mhumiex protezzjoni sħiħa. F'Plesk, valuri li l-applikazzjonijiet m'għandhomx jistgħu jissostitwixxu tissettjawhom bħala php_admin_value fid-direttivi addizzjonali ta' FPM tad-dominju jew fil-php.ini tal-verżjoni rispettiva fuq is-server kollu.

; Beispiel für zusätzliche PHP-FPM-Direktiven in Plesk
php_admin_value[session.upload_progress.enabled] = 0
php_admin_value[post_max_size] = 8M
php_admin_value[upload_max_filesize] = 6M

Meta jkun hemm uploads, skont php.net huwa previst post_max_size = 32M, bi upload_max_filesize taħtu. Fuq PHP 8.5 jiżdied fatal_error_backtraces=0. L-limitazzjoni tal-memorja b'memory_limit=-1 għandha tintuża biss flimkien ma' limitu fil-livell tal-kontenitur jew tas-cgroup. Wara jerġa' jsir restart tal-workers kollha. Id-dettalji jinsabu f'Miżuri immedjati mingħajr patch. Il-BSI jirrakkomanda li s-servers tal-web jitneħħew temporanjament min-netwerk jekk l-aġġornament ma jistax isir immedjatament.

Wara l-patch: nissalvaw il-logs u niċċekkjaw it-traċċi

Patch jagħlaq il-vulnerabbiltà għall-futur. Ma jneħħix malware li tkun ġiet introdotta qabel u ma jippruvax li ma ġara xejn. Għalhekk żommu l-logs tas-server tal-web mill-20/10/2026 'il quddiem. Plesk iżommhom għal kull dominju fid-direttorju logs; f'din is-sitwazzjoni tqassrux iż-żamma tagħhom.

Oqogħdu attenti għal fajls ġodda jew mibdula ta' PHP f'direttorji tal-upload, għal xogħlijiet skedati mhux magħrufa u għal kontijiet ġodda ta' amministratur. Indikaturi ta' kompromess (IoC) ippubblikati u kkonfermati s'issa m'hemmx; l-iskoperta tistrieħ fuq analiżi tal-mod ta' aġir. Jekk issibu xi ħaġa straordinarja, tkomplux taħdmu waħedkom, l-ewwel issalvaw l-istat.

Kif tgħin PHP SOS b'mod konkret?

• Niġbru l-handlers kollha ta' PHP tas-server Plesk tagħkom, nassenjaw id-dominji u niċċekkjaw l-istat reali tal-pakkett għal kull verżjoni.
• Fil-qafas tas-servizz ta' patch ta' PHP tagħna ninstallaw l-aġġornamenti, nerġgħu nibdew is-servizzi kollha u niddokumentaw il-ħinijiet tal-bidu tal-proċessi bħala prova.
• Fejn patch nieqes, nissettjaw il-miżuri temporanji skont php.net fuq is-server kollu u b'mod li ma jistax jiġi sostitwit.
• Nissalvaw il-logs u nfittxu traċċi ta' kompromess, f'każ ta' sejba b'Incident Response.
• Wara, insaħħu s-server b'mod permanenti u neħħu verżjonijiet ta' PHP li m'humiex meħtieġa.

Mistoqsijiet frekwenti

Sorsi

• php.net: Avviżi tas-sigurtà
• PHP 8 ChangeLog
• php.net: Verżjonijiet appoġġjati
• BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni)