# Depozitul sury.org: pachete PHP dintr-o sursă terță

> Depozitul PHP sury pentru Debian și Ubuntu: cine îl întreține, ce îl separă de Debian, cum verificați starea PHP2Shell și când devine un risc.

Sursa: https://phpsos.de/ro/blog/sury-repository-php/  
Stadiu: 25.10.2026  
Furnizor: PHP SOS, Asistență de urgență PHP și securitatea serverelor. Ajutor imediat pe WhatsApp: https://wa.me/491736494914?text=Bun%C4%83%20ziua%2C%20PHP%20SOS%2C%20avem%20nevoie%20de%20ajutor%20cu%20serverul%20nostru%20PHP.%20Firma%3A%20%E2%80%A6%20Site%3A%20%E2%80%A6

**Pe scurt:** Depozitul PHP sury este o sursă terță larg răspândită de pachete PHP pentru Debian (packages.sury.org) și Ubuntu (PPA ondrej/php). Permite mai multe versiuni PHP în paralel și ramuri mai noi decât cele ale distribuției. După PHP2Shell au fost puse acolo la dispoziție, potrivit relatărilor, build-uri pentru toate ramurile de la 5.6 până la 8.5. Dovada pentru serverul dumneavoastră o oferă însă doar nivelul pachetului și changelog-ul, nu anunțurile de securitate Debian sau Ubuntu.

## Ce este depozitul sury

În spatele sury.org se află Ondřej Surý. Potrivit paginii proiectului, el împachetează, ca dezvoltator Debian, începând cu PHP 5, pachetele PHP pentru Debian, iar pachetele PHP oficiale Debian și Ubuntu se bazează pe munca lui. Pe lângă această activitate, operează un depozit propriu cu pachete PHP care pot fi instalate în paralel.

Pentru Debian, depozitul se află la packages.sury.org, iar pentru Ubuntu este oferit ca PPA `ondrej/php`. Erorile se raportează, potrivit paginii proiectului, printr-un issue tracker pe Codeberg, nu prin e-mail. Întreținerea se face, după propriile declarații, în mare parte în timpul liber; pentru versiunile mai vechi de distribuții există o ofertă comercială prin Freexian.

Mulți administratori și furnizori de hosting folosesc depozitul pentru că oferă ramuri PHP mai noi decât cele ale distribuției sau pentru că aplicațiile au nevoie de o anumită versiune.

## Ce îl deosebește de pachetele Debian

Cea mai importantă diferență pentru securitate: pachetele din sury.org nu intră sub anunțurile de securitate ale Debian sau Ubuntu. Debian Security Tracker arată doar starea pachetelor oficiale. Dacă acolo scrie că php8.4 în trixie este corectat, aceasta nu spune nimic despre un php8.4 din sury.org pe același server.

| Trăsătură | Pachete oficiale Debian și Ubuntu | sury.org |
|---|---|---|
| Editor | Debian, respectiv Canonical | Ondřej Surý ca persoană individuală |
| Anunțuri de securitate | DSA, DLA, USN | niciunul dintre aceste anunțuri |
| Versiuni | o ramură pe versiune | mai multe ramuri în paralel |
| Număr de versiune după corecție | Debian uneori versiune upstream nouă, Ubuntu de obicei numărul vechi cu stare nouă a pachetului | de regulă versiunea upstream actuală |
| Dovadă | anunț și changelog | changelog și versiunea pachetului |

Pentru companii, aceasta înseamnă o dependență de o persoană individuală pentru o componentă centrală. Nu este un motiv pentru a evita depozitul, dar este un motiv să o purtați în mod conștient: cu monitorizare, dovadă și un plan B.

## Depozitul PHP sury după PHP2Shell: verificarea stării

Mai întâi clarificați dacă și pentru ce pachete folosește serverul sury. Comenzile sunt exclusiv de citire.

```bash
# Este sury înregistrat ca sursă de pachete?
grep -rEl "sury|ondrej" /etc/apt/sources.list /etc/apt/sources.list.d/ 2>/dev/null

# Din ce sursă provine pachetul instalat?
apt policy php8.3-fpm

# Versiunea instalată și intrarea din changelog pentru CVE-uri
dpkg-query -W -f='${Package}\t${Version}\n' 'php*-fpm' 'libapache2-mod-php*' 2>/dev/null
zgrep -E "CVE-2026-10961[89]" /usr/share/doc/php8.3-fpm/changelog.Debian.gz
```

La ramurile actuale recunoașteți, de regulă, corecția după versiunea upstream 8.5.12, 8.4.27, 8.3.36 sau 8.2.35 din numele pachetului. La ramurile vechi precum 7.4 sau 8.1 nu există o versiune țintă oficială, acolo intrarea din changelog este dovada cea mai importantă. Dacă lipsește, întrebați prin issue tracker-ul proiectului sau tratați pachetul ca neclarificat.

## Ramuri PHP vechi din sury: un confort înșelător

Depozitul face ușor să operați PHP 7.4 sau chiar 5.6 pe un Debian actual. Potrivit relatărilor, au existat build-uri împotriva PHP2Shell și pentru aceste ramuri. Aceasta ajută în situația acută, dar doar amână problema de fond: proiectul PHP nu mai întreține aceste ramuri, iar următoarea vulnerabilitate le lovește din nou.

Cine ține în viață o aplicație veche pe această cale ar trebui să se întrebe sincer cât timp încă. Ce se aplică pentru PHP 8.1 și mai vechi rezumă pagina [PHP 8.1 și mai vechi: ce se aplică acum](https://phpsos.de/ro/php2shell/php-8-1-und-aelter/). Alternativele comerciale, cu limitele lor, le descrie articolul [Suport pe termen lung pentru versiuni PHP vechi](https://phpsos.de/ro/blog/langzeitsupport-alte-php-versionen/).

> **Important:**
> Nu amestecați pe un server, necontrolat, pachete PHP din distribuție și din sury.org. Dependențele dintre extensii și biblioteci pot duce la următoarea actualizare la schimbări neașteptate de pachete.

## Recomandări pentru operarea cu sury

1. **Documentați** ce servere folosesc sury și pentru ce ramuri.
2. **Stabiliți proveniența**, de exemplu prin APT pinning, pentru ca pachetele PHP să provină dintr-o singură sursă.
3. **Monitorizați actualizările**, deoarece fără DSA sau USN lipsește indicația obișnuită. O comparare regulată a `apt list --upgradable` ajută.
4. **Reporniți** după fiecare actualizare, pentru fiecare versiune instalată în parte. Câte rulează în paralel arată articolul [Mai multe versiuni PHP pe un server](https://phpsos.de/ro/blog/mehrere-php-versionen-server/).
5. **Sprijiniți**, dacă compania dumneavoastră depinde de depozit. Pagina proiectului menționează donațiile și suportul comercial ca modalități.

## Înapoi la pachetele distribuției?

Nu orice server care folosește astăzi sury mai are nevoie de el. Adesea depozitul a fost integrat cu ani în urmă, deoarece distribuția de atunci oferea doar o versiune PHP mai veche. Între timp, de exemplu Debian 13 trixie livrează PHP 8.4, care este, potrivit Debian Security Tracker, corectat împotriva PHP2Shell. Dacă aplicația dumneavoastră rulează cu această versiune, drumul înapoi poate pune capăt dependenței de o sursă terță.

Drumul înapoi este un mic proiect de migrare. Verificați mai întâi ce extensii are nevoie aplicația și dacă distribuția le oferă. Testați aplicația cu pachetul distribuției pe o copie înainte de a elimina sursa sury. După aceea, anunțurile de securitate revin pe căile obișnuite, iar dovada se sprijină pe DSA sau USN în loc de doar un changelog.

Acolo unde rămâne necesară o versiune mai nouă sau mai veche decât cea a distribuției, sury rămâne o alegere sensibilă. Atunci decizia ar trebui însă luată în mod conștient și documentată.

## Cum ajută PHP SOS concret?

- Stabilim ce pachete PHP de pe serverele dumneavoastră provin din sury.org, din distribuție sau din alte surse.
- Verificăm starea PHP2Shell pe ramură prin versiunea pachetului și changelog și repornim toate serviciile.
- Configurăm pinning și monitorizarea actualizărilor și eliminăm ramurile care nu mai sunt necesare în cadrul [securizării serverului](https://phpsos.de/ro/leistungen/server-haertung/).
- Pentru ramurile vechi planificăm trecerea la o versiune suportată.


## Întrebări frecvente

**Este depozitul sury un depozit oficial Debian?**  
Nu. Este operat de Ondřej Surý, care, potrivit propriului site, ca dezvoltator Debian împachetează de multă vreme PHP pentru Debian. Nu este însă arhiva de securitate Debian, iar pentru pachetele sale nu există anunțuri de securitate Debian.

**A pus sury.org la dispoziție pachete împotriva PHP2Shell?**  
Potrivit relatărilor, au fost puse la dispoziție build-uri pentru toate ramurile de la 5.6 până la 8.5. Verificați totuși singur starea pe serverul dumneavoastră prin versiunea pachetului și changelog, deoarece relatările nu înlocuiesc o dovadă pentru sistemul dumneavoastră.

**Face sury.org versiunile PHP vechi din nou sigure?**  
Un build pentru o ramură veche poate închide o vulnerabilitate concretă. Nu schimbă însă faptul că proiectul PHP nu mai întreține aceste ramuri. Pentru o funcționare sigură pe termen lung rămâne necesară trecerea la o versiune suportată.

**Cum aflu dacă serverul meu folosește sury?**  
Căutați în sursele de pachete din /etc/apt după sury sau ondrej și verificați cu apt policy din ce sursă provin pachetele PHP instalate.

## Surse

- [DEB.SURY.ORG](https://deb.sury.org/)
- [Debian Security Tracker](https://security-tracker.debian.org/)
- [php.net: versiuni suportate](https://www.php.net/supported-versions.php)