# RHEL, AlmaLinux a Rocky Linux: kontrola záplaty PHP

> Kontrola záplaty PHP na RHEL, AlmaLinux a Rocky: čo Red Hat k PHP2Shell hlási, ako zistíte errata, changelog a moduly a ako správne reštartovať.

Zdroj: https://phpsos.de/sk/blog/rhel-almalinux-rocky-php/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručne:** Na RHEL, AlmaLinux a Rocky Linux skontrolujete záplatu PHP proti PHP2Shell tromi cestami: bezpečnostnými hláseniami distribúcie (`dnf updateinfo`), changelogom balíka (`rpm -q --changelog`) a časom spustenia procesov PHP. Red Hat uvádza RHEL 7 až 10 ako dotknuté a pri získaní údajov hlásil, že niektoré aktualizácie sú k dispozícii a ďalšie v príprave. Po aktualizácii platí: reštartovať úplne, nielen znova načítať.

## Čo Red Hat k PHP2Shell zverejnil

Red Hat vydal k PHP2Shell bezpečnostný bulletin RHSB-2026-013. Získali sme ho 25. októbra 2026. Najdôležitejšie body pre adminov:

- **Dotknuté** sú RHEL 10, 9, 8 a 7, ako aj produkty a kontajnery na nich postavené na základe obrazov RHEL alebo UBI.
- **RHEL 7** je podľa Red Hat dotknutý len CVE-2026-109619; kód pre CVE-2026-109618 tam nie je obsiahnutý.
- **Nedotknuté** sú systémy bez PHP alebo s PHP, ktoré nespracúva nedôveryhodné požiadavky HTTP.
- **Aktualizácie:** Niektoré boli pri získaní údajov k dispozícii, ďalšie v príprave. Konkrétne čísla errata bulletin neuviedol, ale odkázal na stránky errata.

Red Hat hodnotí CVE-2026-109618 vlastnou metódou ako „Important“ a poukazuje na to, že štandardné inštalácie od RHEL 8 používajú PHP-FPM namiesto mod_php. Je to zaradenie, nie uvoľnenie. Projekt PHP hodnotí obe zraniteľnosti CVSS v4.0 9,2 a BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) odporúča okamžitú aktualizáciu.

## AlmaLinux a Rocky Linux: rovnaký zdroj, vlastný takt

AlmaLinux a Rocky Linux zostavujú svoje balíky zo zdrojov Red Hat. Opravy preto spravidla prichádzajú obsahovo rovnaké, ale vo vlastnom čase a pod vlastnými bezpečnostnými hláseniami. Odkaz na erratum Red Hat neznamená, že balík je pri vašom klone k dispozícii v ten istý deň.

Rozhodujúci je preto stav na vašom systéme. Skontrolujte ho nástrojmi správy balíkov a nie podľa správ alebo fór.

Dbajte aj na to, či server používa zrkadlové servery alebo interné zdroje balíkov. V mnohých podnikoch servery nezískavajú aktualizácie priamo od výrobcu, ale cez interné zrkadlo alebo nástroj na správu. Ak toto zrkadlo nie je aktuálne, `dnf` nenájde nové balíky, hoci boli dávno zverejnené.

## Kontrola záplaty PHP na RHEL a klonoch

Nasledujúce príkazy sú čisto čítacie. Názvy balíkov platia pre balíky PHP distribúcie; balíky z externých zdrojov, ako Remi, sa niekedy volajú inak.

```bash
# Ktoré streamy PHP systém pozná, ktorý je aktívny? (RHEL 8 a 9)
dnf module list php

# Nainštalované balíky PHP s verziou a pôvodom
rpm -qa 'php*' --qf '%{NAME}-%{VERSION}-%{RELEASE}  %{VENDOR}\n' | sort

# Existujú pre tento systém bezpečnostné hlásenia k CVE?
dnf updateinfo list --cve CVE-2026-109618
dnf updateinfo list --cve CVE-2026-109619

# Je oprava v changelogu nainštalovaného balíka?
rpm -q --changelog php-fpm | grep -E "CVE-2026-10961[89]"
```

`dnf updateinfo` zobrazuje len hlásenia o aktualizáciách, ktoré ešte nie sú nainštalované; pomocou `--installed` uvidíte aj už nasadené. Prázdny výsledok môže teda znamenať dvoje: aktualizácia je už nasadená alebo ešte nebola zverejnená. Porovnanie s changelogom to objasní. Ako výsledok zaznamenať ako doklad, popisuje príspevok [Doložiť čísla CVE v changelogu balíka](https://phpsos.de/sk/blog/cve-im-changelog-nachweisen/).

Podobne ako pri iných podnikových distribúciách si balík spravidla ponecháva pôvodnú verziu PHP; mení sa len údaj o vydaní. Staršie číslo pri `php -v` preto nie je náznakom chýbajúcej opravy. Všeobecné pokyny ku kontrole verzie nájdete pod [Správna kontrola verzie PHP a stavu záplat](https://phpsos.de/sk/php2shell/php-version-pruefen/).

## Rozpoznať správny režim prevádzky

Red Hat uvádza štandardné režimy prevádzky: od RHEL 8 beží PHP cez PHP-FPM, na RHEL 7 ako mod_php v službe Apache `httpd`. Mnohé servery sa od toho odchyľujú, napríklad kvôli panelom, externým zdrojom alebo starým konfiguráciám.

| Systém | Štandard podľa Red Hat | Reštart po aktualizácii |
|---|---|---|
| RHEL 8, 9, 10 a klony | PHP-FPM | `systemctl restart php-fpm` |
| RHEL 7 | mod_php v httpd | `systemctl restart httpd` |
| Kontajnery na báze RHEL alebo UBI | podľa obrazu | Obraz zostaviť nanovo, kontajner nahradiť |

Pre kontajnery Red Hat odporúča po aktualizovaných základných obrazoch zostaviť vlastné obrazy nanovo a bežiace kontajnery alebo pody nahradiť. Aktualizácia v bežiacom kontajneri nie je spoľahlivá cesta.

## Po aktualizácii: reštart a kontrola

Red Hat zdôrazňuje, že reload nestačí. Existujúci workeri si môžu ponechať dotknutý stav. Reštartujte preto každú službu, ktorá načítava PHP, a skontrolujte výsledok:

```bash
# Zobraziť služby so zastaranými knižnicami (dnf-utils resp. dnf-plugins-core)
needs-restarting -s

# Porovnať čas spustenia procesov PHP s časom aktualizácie
ps -eo pid,lstart,cmd | grep -E "[p]hp-fpm|[h]ttpd"
```

K konfigurácii má Red Hat praktické upozornenie: `php -i` ukazuje nastavenia príkazového riadku, nie webového servera. Kto chce overiť, či prechodné hodnoty ako `session.upload_progress.enabled=0` zaberajú vo webovom kontexte, použije krátkodobo chránenú stránku phpinfo a potom ju zmaže. Na čo ďalej dbať pri reštarte, nájdete pod [Reštart PHP-FPM a všetkých workerov](https://phpsos.de/sk/php2shell/php-fpm-neustart/).

## Prechodné opatrenia: upozornenia Red Hat

Kde aktualizácia ešte chýba, Red Hat odkazuje na rovnaké prechodné opatrenia ako php.net a dopĺňa niekoľko praktických upozornení pre systémy RHEL. Aktualizáciu nenahrádzajú.

- **Riadok skutočne doplniť:** Podľa Red Hat je riadok pre `session.upload_progress.enabled` v dodávanej konfigurácii zakomentovaný, funkcia je teda štandardne aktívna. Hodnota `0` sa musí nastaviť výslovne.
- **Nastaviť tak, aby sa nedala prepísať:** cez `php_admin_value` v poole PHP-FPM, pri mod_php v konfigurácii Apache. Nie cez `ini_set()` ani `.user.ini`.
- **Hľadať protihráčov:** Red Hat odporúča skontrolovať súbory `.htaccess`, VirtualHosty a súbory `.user.ini`, či dotknuté nastavenia opäť nezapínajú.
- **Limity nastaviť aj vopred:** Okrem `post_max_size` v PHP radí Red Hat zvážiť limity veľkosti požiadavky aj vo webovom serveri alebo proxy.

Na systémoch s PHP-FPM ležia pooly spravidla pod `/etc/php-fpm.d/`. Po každej zmene platí to isté ako po aktualizácii: všetkých workerov úplne reštartovať.

> **Tip:**
> Ak na tom istom serveri beží navyše PHP z repozitára Remi, platia preň vlastné balíky a služby. Prečítajte si k tomu príspevok [Repozitár Remi](https://phpsos.de/sk/blog/remi-repository-php/).

## Ako konkrétne pomáha PHP SOS?

- Na RHEL, AlmaLinux a Rocky Linux kontrolujeme všetky balíky PHP, streamy a externé zdroje a porovnávame ich s bezpečnostnými hláseniami.
- Nasadzujeme aktualizácie, úplne reštartujeme všetkých workerov a kontrolujeme časy spustenia procesov.
- Pre prostredia s kontajnermi zostavujeme obrazy nanovo a bežiace inštancie kontrolovane nahrádzame.
- Stav každého servera zaznamenávame do dokladu [služby záplatovania PHP](https://phpsos.de/sk/leistungen/php-patch-service/).


## Časté otázky

**Je RHEL 7 dotknutý PHP2Shell?**  
Podľa Red Hat je RHEL 7 dotknutý len CVE-2026-109619, zraniteľný kód pre CVE-2026-109618 tam nie je. Na RHEL 7 je štandardným režimom prevádzky mod_php, ktorý tím PHP hodnotí ako obzvlášť rizikový.

**Prečo Red Hat hodnotí zraniteľnosť nižšie než php.net?**  
Red Hat používa vlastné hodnotenie podľa CVSS v3.1 a zaraďuje CVE-2026-109618 ako Important, pretože zneužitie vyžaduje presné načasovanie. php.net hodnotí podľa CVSS v4.0 hodnotou 9,2. Obe považujú vykonanie kódu bez prihlásenia za možné, aktualizácia je potrebná v každom prípade.

**Dostanú AlmaLinux a Rocky Linux opravy automaticky?**  
Obe zostavujú svoje balíky zo zdrojov Red Hat a zverejňujú vlastné bezpečnostné hlásenia. Čas sa môže od Red Hat líšiť. Skontrolujte preto stav na vlastnom systéme a v hláseniach vašej distribúcie.

**Stačí systemctl reload php-fpm po aktualizácii?**  
Nie. Red Hat výslovne upozorňuje, že reload nestačí, pretože existujúci workeri si môžu ponechať dotknutý stav. Reštartujte všetkých workerov, pri mod_php službu Apache httpd.

## Zdroje

- [Red Hat Security Bulletin RHSB-2026-013](https://access.redhat.com/security/vulnerabilities/RHSB-2026-013)
- [Red Hat: CVE-2026-109618](https://access.redhat.com/security/cve/CVE-2026-109618)
- [php.net: bezpečnostné hlásenia](https://www.php.net/)