Stručne: Handler PHP v Plesku určuje, ako PHP pre web beží: ako aplikácia FPM so spoločným poolom, ako Dedicated FPM s vlastným poolom pre každý web, ako aplikácia FastCGI alebo ako modul Apache (mod_php). Z hľadiska bezpečnosti je v Linuxe zvyčajne najlepšou voľbou Dedicated FPM, najhoršou modul Apache. Plesk ho sám označuje za zastaraný, resp. nebezpečný a pri PHP2Shell vidí tím PHP najvyššie riziko práve pri mod_php.
Prečo je handler viac než otázka výkonu
V Plesku vyberáte pre každý web verziu PHP a handler. Mnohí s handlerom zaobchádzajú ako s detailom pre výkon a pamäť. Rozhoduje však aj o tom, nakoľko sú weby navzájom oddelené, kde pôsobia bezpečnostné nastavenia a ktoré procesy treba po aktualizácii reštartovať.
Po PHP2Shell sa táto voľba konkretizuje. Zraniteľnosti CVE-2026-109618 a CVE-2026-109619 sa týkajú všetkých bežných spôsobov prevádzky, tím PHP však hodnotí riziko pri mod_php ako najvyššie. Kto na svojom serveri Plesk ešte prevádzkuje domény s modulom Apache, mal by to teraz zmeniť. Ako verzie skontrolovať a zaplátať, opisuje stránka Server Plesk: kontrola a záplatovanie verzií PHP; tu ide o výber spôsobu prevádzky.
Handlery PHP v Plesku v prehľade
Nasledujúci prehľad vychádza z dokumentácie Plesku pre Plesk Obsidian a dopĺňa ho pohľad na bezpečnosť. V Linuxe sa môžu handlery FPM podľa Plesku poskytovať podľa výberu cez Apache alebo nginx, FastCGI vždy cez Apache.
| Handler | Poskytovaný cez | Izolácia | Odporúčanie podľa Plesku | Pohľad na bezpečnosť |
|---|---|---|---|---|
| Dedicated FPM application | Apache alebo nginx | vlastný pool pre každý web | Linux so zdieľaným hostingom | najlepšie oddelenie, vlastné hodnoty pre každý pool |
| FPM application | Apache alebo nginx | spoločný pool pre každú verziu PHP | dedikované servery s Linuxom | chybný web môže rušiť ostatné s rovnakou verziou |
| FastCGI application | Apache (Linux) | trvalé procesy, dobré oddelenie | servery s Windowsom | solídny, v Linuxe zvyčajne nahradený FPM |
| Apache module (mod_php) | Apache | PHP v procese webového servera | neodporúča sa | najvyššie riziko PHP2Shell podľa tímu PHP |
| CGI application | Apache | nový proces pre každú požiadavku | neodporúča sa | zastaraný |
Súvislosti k samotným spôsobom prevádzky vysvetľujú stránky PHP-FPM vysvetlené a Prečo nesie mod_php najvyššie riziko.
Spoločný alebo vlastný pool?
Rozdiel medzi FPM a Dedicated FPM sa často podceňuje. Pri bežnom handleri FPM zdieľajú podľa Plesku všetky weby s rovnakou verziou PHP jeden pool procesov. Šetrí to pamäť, no znamená to aj: web, ktorý robí problémy, môže stiahnuť so sebou všetky ostatné s rovnakou verziou, a zdieľa sa aj spoločná cache.
Dedicated FPM dáva každému webu vlastný pool. Podľa Plesku to zlepšuje izoláciu a výkon, stojí však viac pamäte. Z hľadiska bezpečnosti je vlastný pool základom na to, aby ste nastavenia ako open_basedir, limity pamäte alebo limity nahrávania mohli nastaviť pre každý web zvlášť. Ako pooly dôsledne oddeliť, opisuje článok Izolácia poolov PHP-FPM pre každý web.
nginx alebo Apache: pasca .htaccess
Ak zvolíte handler poskytovaný cez nginx, zmení sa niečo zásadné: podľa Plesku tieto handlery ignorujú súbor .htaccess. Čo je v ňom napísané, prestane pôsobiť.
To je bezpečnostná téma. Mnohé aplikácie a admini ukladajú ochranné pravidlá do .htaccess, napríklad zákaz spúšťať súbory PHP v priečinkoch na nahrávanie alebo zámky konfiguračných súborov. Po prechode na nginx sú tieto pravidlá potichu vyradené z platnosti. Pred zmenou preto skontrolujte, aké ochranné pravidlá sú v .htaccess, a preneste ich do konfigurácie nginx danej domény.
Zmena handlera je zmenou bezpečnostnej konfigurácie. Potom cielene otestujte, či zablokované cesty ostávajú zablokované, a nielen to, či sa načíta úvodná stránka.
Kontrola a prepnutie handlera
Najprv získajte prehľad, ktoré domény používajú ktorý handler. Príkazy sú výlučne čítacie.
# Všetky zaregistrované handlery s ID, verziou a typom
plesk bin php_handler --list
# Domény, ktoré používajú konkrétny handler (ID zo zoznamu)
plesk bin php_handler --get-usage -id <handler-id>
# Beží PHP v procese Apache? (Debian/Ubuntu: apache2ctl, rodina RHEL: httpd)
apache2ctl -M 2>/dev/null | grep -i php
Pri prepínaní postupujte doménu po doméne:
- Zaznamenajte ochranné pravidlá z
.htaccess, ak sa nový handler poskytuje cez nginx. - Nastavte pre nový handler prechodné hodnoty proti PHP2Shell, napríklad
session.upload_progress.enabled=0. Pri FPM patria akophp_admin_valuedo doplnkových direktív poolu, pri FastCGI platia iné cesty. - Zmeňte handler v nastaveniach PHP domény, podľa možnosti najprv na kópii.
- Otestujte funkcie a skontrolujte, či doménu obsluhujú procesy s aktuálnym kódom.
- Ak modul Apache nepoužíva žiadna doména, handler deaktivujte.
V akom poradí prepínať?
Na vyrastenom serveri Plesk sa málokedy dá všetko prepnúť za jeden deň. Poradie podľa rizika pomáha využiť obmedzený čas zmysluplne:
- Najprv domény s modulom Apache, pretože tam je riziko PHP2Shell podľa tímu PHP najvyššie a Plesk ho aj tak neodporúča.
- Potom domény s citlivými údajmi, napríklad obchody, zákaznícke portály alebo formuláre so zdravotnými či zmluvnými údajmi. Tu sa vlastný pool oplatí obzvlášť.
- Potom domény na starých verziách PHP, ktoré treba tak či tak prepnúť. Handler a verziu možno zmeniť spolu v jednom servisnom okne.
- Nakoniec prechod zo spoločného na vlastný pool pre ostatné domény, ak to pamäť servera dovoľuje.
Pred posledným stupňom skontrolujte využitie pamäte. Plesk upozorňuje, že Dedicated FPM potrebuje viac pamäte, a pri mnohých weboch odporúča sledovanie. Server, ktorý po prepnutí odkladá pamäť na disk, spomalí a nedostatok pamäte práve pri PHP2Shell nie je dobrý stav.
Ako konkrétne pomáha PHP SOS?
- Zistíme, ktoré domény na vašom serveri Plesk používajú ktorý handler, a označíme domény s modulom Apache.
- Prepneme na Dedicated FPM a podľa potreby preneseme ochranné pravidlá z
.htaccessdo konfigurácie nginx. - Nastavíme prechodné hodnoty a limity pre každý pool a preveríme, že pôsobia vo webovom kontexte.
- V rámci zabezpečenia servera deaktivujeme zastarané handlery a zdokumentujeme konfiguráciu.
Časté otázky
Aký handler PHP odporúča Plesk?
Podľa dokumentácie Plesku je FPM odporúčaným handlerom na dedikovaných serveroch s Linuxom, Dedicated FPM na serveroch s Linuxom pre zdieľaný hosting a FastCGI na serveroch s Windowsom. Modul Apache, CGI a ISAPI označuje Plesk za silne zastarané, resp. nebezpečné.
Prečo je handler modul Apache po PHP2Shell obzvlášť kritický?
Handler zodpovedá mod_php. Tím PHP hodnotí riziko PHP2Shell pri mod_php ako najvyššie, pretože tam bol predvedený exploit ešte predtým, než sa spustí kód aplikácie. Navyše samotný Plesk tento handler neodporúča.
Čo sa zmení, ak sa PHP poskytuje cez nginx namiesto Apache?
Podľa Plesku handlery poskytované cez nginx ignorujú súbor .htaccess. Bezpečnostné pravidlá, ktoré sú v ňom, napríklad zákazy PHP v priečinkoch na nahrávanie, potom prestanú platiť a treba ich preniesť do pravidiel nginx.
Musím po zmene handlera reštartovať PHP?
Po zmene skontrolujte, ktoré procesy PHP bežia pre doménu a od kedy. Pri Dedicated FPM dostane doména vlastný pool. Starý proces so zastaraným kódom by už potom nemal pre doménu pracovať.
Je Dedicated FPM vždy najlepšou voľbou?
Pre izoláciu áno, pretože každý web dostane vlastný pool. Cenou je vyššia spotreba pamäte. Plesk odporúča pri serveroch s mnohými webmi pamäť sledovať.