Stručne: Na serveroch s CloudLinuxom nebežia weby často na štandardnom PHP, ale na alt-php, teda vlastných balíkoch pre každú verziu PHP, ktoré si zákazníci vyberajú cez PHP Selector. Proti PHP2Shell musí prevádzkovateľ servera aktualizovať každú nainštalovanú verziu alt-php zvlášť a reštartovať všetky procesy PHP. Ako zákazník hostingu vyjasnite, ktorú verziu používa váš účet, a nechajte si písomne potvrdiť jej stav záplat.
Prečo je CloudLinux pri PHP2Shell samostatná otázka
Mnohí poskytovatelia zdieľaného hostingu používajú CloudLinux, operačný systém Linux, ktorý na jednom serveri navzájom oddeľuje tisíce zákazníckych účtov. Pre prevádzkovateľov webov je to zvyčajne neviditeľné. Viditeľným sa to stane, až keď sa objaví zraniteľnosť v samotnom interpreteri PHP, ako pri PHP2Shell s CVE-2026-109618 a CVE-2026-109619.
Dôvod: na takýchto serveroch býva popri sebe viacero zdrojov PHP. Okrem PHP operačného systému a pri cPanel balíkov ea-php existujú balíky alt-php od CloudLinuxu. Každý zdroj má vlastný stav balíkov. To, že je jeden zaplátaný, nehovorí nič o ostatných.
Pre agentúry a firmy s viacerými účtami u toho istého poskytovateľa pribúda druhý bod: každý web môže používať inú verziu, pretože ju niekto pred rokmi prepol v zákazníckej zóne. Jedna otázka na „PHP“ poskytovateľa preto nestačí. Zmysluplný je zoznam všetkých domén s vybranou verziou.
Čo sú alt-php a PHP Selector
Podľa dokumentácie CloudLinuxu poskytuje PHP Selector alternatívne verzie PHP, teda balíky alt-php. Sú v /opt/alt/phpXX/, napríklad /opt/alt/php83/ pre PHP 8.3, každá s vlastným súborom php.ini. Dokumentácia uvádza verzie od 5.1 po 8.5, podľa verzie CloudLinuxu na serveri.
Zákazníci si verziu volia sami, v cPanel zvyčajne cez „Select PHP Version“. Technicky to predpokladá CageFS, akési uzavreté súborové prostredie pre každý účet. Podľa dokumentácie pracuje Selector so suPHP, mod_fcgid, CGI a LiteSpeed; Apache s mod_php CageFS nepodporuje.
| Pojem | Význam pre vás |
|---|---|
| CloudLinux | operačný systém poskytovateľa, oddeľuje zákaznícke účty |
| CageFS | vlastné uzavreté súborové prostredie pre každý účet |
| alt-php | balíky PHP od CloudLinuxu, jeden pre každú verziu |
| PHP Selector | výber verzie alt-php a jednotlivých volieb v zákazníckej zóne |
CloudLinux alt-php a PHP2Shell: čo je doložené a čo ostáva otvorené
Doložené je: opravené verzie PHP sú 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pre PHP 8.1 a staršie projekt PHP už neposkytuje oficiálne aktualizácie, len minimálne backporty zdrojového kódu pre 7.4, 8.0 a 8.1. Podľa odbornej tlače sú zasiahnuté takmer všetky verzie až po PHP 5.4.
Otvorené je v zdrojoch, ktoré máme k dispozícii, pre ktoré verzie alt-php už CloudLinux dodáva zaplátané balíky. Najmä pri starých vetvách, ako 5.6 alebo 7.4, ktoré Selector naďalej ponúka, preto rozhoduje jedine vyjadrenie poskytovateľa. Backporty môžu byť nasadené bez toho, aby sa zmenilo zobrazené číslo verzie.
Osobitosť sa týka serverov cPanel s komerčnou dlhodobou podporou: podľa dokumentácie cPanel dodáva TuxCare, značka CloudLinuxu, zaplátané balíky pre ukončené verzie PHP ako alt-php. Kto tam bol prepnutý z ea-php74 na alt-php74, je na túto cestu odkázaný. Viac v článku Dlhodobá podpora starých verzií PHP.
Tieto otázky by ste mali teraz položiť poskytovateľovi hostingu
Ako zákazník nemôžete alt-php zaplátať sami. Môžete však klásť správne otázky a odpovede dokumentovať. Hotový vzor ponúka sprievodca Ako sa opýtať poskytovateľa hostingu na stav záplat.
- Beží môj účet na alt-php, ea-php alebo na PHP operačného systému a v ktorej presnej verzii?
- Je presne tento balík zaplátaný proti CVE-2026-109618 a CVE-2026-109619 a odkedy?
- Boli potom reštartované všetky procesy PHP, aj procesy lsphp a php-cgi?
- Sú prechodné hodnoty z php.net nastavené centrálne, najmä
session.upload_progress.enabled=0? - Ktoré verzie alt-php sa už nezáplatujú a dokedy musím prejsť na inú?
Paralelne skontrolujte, ktorú verziu váš účet skutočne používa. Ak máte prístup cez SSH, php -v ukáže verziu príkazového riadka, ktorá sa však môže od webu líšiť. Spoľahlivejší je údaj v PHP Selectore pre dotknutú doménu.
Ak poskytovateľ odpovie, že vami zvolená verzia sa už nezáplatuje, čistou cestou je prechod na podporovanú vetvu. Predtým si v systémových požiadavkách svojho CMS alebo obchodu overte, ktoré verzie PHP výrobca schvaľuje, a prechod otestujte podľa možnosti na kópii webu. Prepnutie v Selectore je hotové rýchlo, chyba v obchode v pondelok ráno však nie.
Voľby PHP v Selectore: opatrnosť pri prechodných hodnotách
PHP Selector umožňuje zákazníkom meniť si jednotlivé hodnoty php.ini sami, medzi nimi často memory_limit. Ktoré hodnoty sú sprístupnené, určuje podľa dokumentácie prevádzkovateľ, v súbore /etc/cl.selector/php.conf. Globálne hodnoty pre všetky verzie alt-php sú v /etc/cl.selector/global_php.ini.
Pri PHP2Shell je to dôležité. php.net odporúča ako prechod nastaviť memory_limit=-1 tak, aby aplikácie túto hodnotu nemohli prepísať, a session.upload_progress.enabled=0 nenastavovať cez ini_set() ani .user.ini. Hodnota, ktorú môže každý účet voľne meniť, túto podmienku nespĺňa. Súvislosti sú v časti Okamžité opatrenia bez záplaty.
Pre prevádzkovateľov serverov z toho vyplýva krátky kontrolný zoznam. Príkazy len čítajú:
# Ktoré verzie PHP ponúka Selector, ktorá je predvolená?
selectorctl --summary
# Nainštalované balíky alt-php a ich stav
rpm -qa 'alt-php*' | sort
# Sú čísla CVE v changelogu balíka? (názov balíka ako príklad)
rpm -q --changelog alt-php83 | grep -E "CVE-2026-10961[89]"
# Bežiace procesy PHP s časom spustenia na doloženie reštartu
ps -eo pid,lstart,cmd | grep -E '[l]sphp|[p]hp-cgi|[p]hp-fpm'
Aktualizuje sa podľa dokumentácie CloudLinuxu pomocou yum groupupdate alt-php. Potom musia všetky procesy PHP naštartovať nanovo, inak v pamäti beží ďalej starý kód. Prechodné hodnoty, ktoré sa nesmú prepísať, patria do globálnej konfigurácie, nie do zoznamu volieb zákazníka. Ako sa na serveroch cPanel navzájom správajú ea-php a alt-php, opisuje článok cPanel a WHM: zabezpečenie PHP.
Záplata neodstráni škodlivý softvér, ktorý sa do systému dostal predtým. Ak váš účet bežal medzi 17. a 21. októbrom na zraniteľnej verzii, oplatí sa pozrieť na nové súbory PHP a prístupové logy od 20. októbra.
Ako konkrétne pomáha PHP SOS?
- Objasniť stav: Zistíme, na akom zdroji PHP a v ktorej verzii beží každý z vašich webov, a sformulujeme dopyt pre poskytovateľa hostingu.
- Zhodnotiť odpoveď: Potvrdenie poskytovateľa preveríme na medzery, napríklad chýbajúce údaje o reštarte alebo o starých vetvách alt-php.
- Sprevádzať prechod: Ak web beží na verzii bez záplaty, naplánujeme prechod a vopred ho otestujeme.
- Pre prevádzkovateľov: Prostredníctvom služby záplatovania PHP aktualizujeme balíky alt-php, ea-php a systémové balíky, reštartujeme všetky procesy a zdokumentujeme stav.
Časté otázky
Ako spoznám, či môj poskytovateľ hostingu používa CloudLinux a alt-php?
Typickým znakom je funkcia „Select PHP Version“ v zákazníckej zóne cPanel, cez ktorú si sami môžete prepínať medzi mnohými verziami PHP. Isto to budete vedieť až vtedy, keď to poskytovateľ potvrdí.
Môžem alt-php vo svojom účte aktualizovať sám?
Nie. Balíky alt-php sú centrálne na serveri a spravuje ich prevádzkovateľ. Môžete si len vybrať medzi nainštalovanými verziami a mali by ste si nechať potvrdiť stav záplat vybranej verzie.
Je stará verzia alt-php, napríklad 7.4, chránená proti PHP2Shell?
Bez vyjadrenia poskytovateľa sa to nedá povedať. Podľa odbornej tlače sú zasiahnuté takmer všetky verzie až po PHP 5.4 a projekt PHP pre 8.1 a staršie neposkytuje oficiálne aktualizácie. Či je backport nasadený, musí poskytovateľ hostingu písomne potvrdiť presne pre vašu verziu.
Smiem memory_limit v PHP Selectore zmeniť sám?
Technicky často áno, ak prevádzkovateľ nastavenie sprístupnil. php.net však ako prechodné opatrenie odporúča nastaviť memory_limit tak, aby aplikácie túto hodnotu nemohli prepísať. Takéto hodnoty preto meňte len po dohode s poskytovateľom hostingu.