Več različic PHP na enem strežniku: vsako popravite posebej

Na kratko: Če na strežniku teče več različic PHP, je treba po PHP2Shell vsako posebej preveriti, posodobiti in znova zagnati. Tipični viri so operacijski sistem, nadzorne plošče za gostovanje, kot sta Plesk ali cPanel, tretji viri, kot sta sury.org ali Remi, CloudLinux, LiteSpeed in sami prevedene različice. Šele popoln seznam iz paketov, datotek in tekočih procesov pokaže, ali ni bila res spregledana nobena različica.

Pozabljena različica

Strežnik, ki teče že nekaj let, zbira različice PHP kot podstrešje staro pohištvo. Nadzorna plošča je prinesla tri veje, za eno stranko je iz tretjega vira prišla starejša različica, operacijski sistem ima svojo. Vsaka je bila nekoč nameščena iz dobrega razloga. Danes pa nihče več ne ve, katera se še potrebuje.

Po PHP2Shell je prav to težava. Popravki so izšli 21. oktobra 2026 za PHP 8.5.12, 8.4.27, 8.3.36 in 8.2.35. Vsaka namestitev na strežniku pa jih dobi po svoji poti, od svojega vzdrževalca paketa in ob svojem času. Za PHP 8.1 in starejše obstajajo samo minimalni povratni popravki v izvorni kodi. Kdor posodobi samo glavno različico, druge pusti odprte.

Od kod toliko različic

Spodnji pregled navaja tipične vire in primere poti. Natančne poti se razlikujejo glede na različico in distribucijo.

Posebej zahrbtni so paketi sury.org, ker uporabljajo enake poti kot distribucija. Ali php8.3 izvira iz Debiana ali iz sury.org, pokaže šele vir paketa. Posebnosti opisujeta prispevka Repozitorij sury.org in Repozitorij Remi. Kako Plesk upravlja svoje različice, opisuje stran Strežnik Plesk: preverjanje in popravljanje različic PHP.

Poiščite vse namestitve PHP

Zanesljiv seznam nastane iz treh pogledov. Ukazi so zgolj za branje in lahko na nekaterih strežnikih tečejo nekaj časa.

# 1. Paketi: kar pozna upravljanje paketov
dpkg-query -W -f='${Package}\t${Version}\n' '*php*' 2>/dev/null | grep -E "fpm|cli|cgi|mod-php|lsphp"
rpm -qa 2>/dev/null | grep -iE "php.*(fpm|cli|cgi|litespeed)|^php-[0-9]|^ea-php|^alt-php" | sort

# 2. Datoteke: izvršljive binarne datoteke PHP, tudi zunaj upravljanja paketov
find / -xdev -type f \( -name 'php' -o -name 'php[0-9]*' -o -name 'php-fpm*' -o -name 'php-cgi*' -o -name 'lsphp*' \) -perm -u+x 2>/dev/null

# 3. Procesi: kar dejansko teče, s časom zagona
ps -eo pid,user,lstart,cmd | grep -E "[p]hp-fpm|[p]hp-cgi|[l]sphp|[a]pache2|[h]ttpd|[f]rankenphp"

Tri sezname primerjajte. Datoteka brez paketa kaže na sami prevedeno ali ročno kopirano različico. Proces brez ustrezne datoteke lahko kaže na izbrisano, a še tekočo namestitev. Pri Apacheu dodatno preverite, ali je naložen modul PHP, na primer z apache2ctl -M ali httpd -M. Vsebniki in podi Kubernetes se na teh seznamih pojavijo le delno in potrebujejo lasten pregled slik.

Vsako različico popravite posebej

Ko ima vsaka namestitev vrstico na vašem seznamu, za vsako sledi isti postopek:

1. Razjasnite odgovornost: Ali popravek prihaja od distribucije, nadzorne plošče, tretjega vira ali od vas samih?
2. Ocenite stanje: uradna popravljena različica, potrjen backport, nerazjasnjeno ali odprto.
3. Posodobite: po poti zadevnega vira, ne po drugi.
4. Znova zaženite: storitev te različice, ne samo glavne storitve. Pri mod_php spletni strežnik. Podrobnosti so na strani Ponovni zagon PHP-FPM in vseh workerjev.
5. Preverite: čas zagona procesov primerjajte s časom posodobitve.
6. Dokumentirajte: različica, stanje paketa, dokaz, čas ponovnega zagona.

Za različice, za katere popravka ni, do migracije veljajo prehodni ukrepi s php.net. Nastavite jih za vsako različico posebej, saj ima vsaka namestitev svoj php.ini in svoje poole.

Katero različico uporablja ukazna vrstica, katero vsebnik?

Dve področji pri iskanju zelo pogosto zdrsneta skozi sito. Prvo je ukazna vrstica. Pri Debianu in Ubuntuju sistem alternativ določa, katera binarna datoteka stoji za ukazom php. update-alternatives --display php pokaže, katere različice so registrirane in katera trenutno velja. Cronjobi, ki kličejo fiksno pot, kot je /usr/bin/php7.4, to nastavitev vendarle zaobidejo. Zato se splača pogledati v crontabe vseh uporabnikov in v konfiguracijo nadzornih plošč, ki ustvarjajo lastne cronjobe.

Drugo področje so vsebniki. Vsebnik Docker na strežniku prinaša lastno različico PHP, ki se ne pojavi v nobenem seznamu paketov gostitelja. docker ps prikaže tekoče vsebnike; ali je v njem PHP in v kateri različici, pokaže pogled v sliko ali php -v v vsebniku. Popravek tam ne poteka na gostitelju, temveč z ponovno gradnjo slike in zamenjavo vsebnika.

Manj je varneje

Najboljše preverjanje je tisto, ki ga ni treba narediti. Vsaka nameščena različica PHP podvoji trud ob naslednji ranljivosti. Po PHP2Shell se zato splača jasno pravilo: vsaka različica na strežniku potrebuje namen in odgovorno osebo. Kar ju nima, se najprej deaktivira in po obdobju opazovanja odstrani. Več v prispevku Izklop starih različic PHP v nadzorni plošči.

Kako PHP SOS pomaga konkretno?

• Za vaše strežnike pripravimo popoln seznam vseh namestitev PHP iz paketov, datotek, procesov in vsebnikov.
• Za vsako različico razjasnimo izvor, odgovornost in stanje popravkov.
• V okviru storitve popravljanja PHP posodobimo vsako različico, znova zaženemo vsako storitev in dokažemo stanje.
• Skupaj z vami določimo, katere različice ostanejo, preostale pa nadzorovano odstranimo.

Pogosta vprašanja

Viri

• php.net: varnostna obvestila
• php.net: podprte različice
• Red Hat Security Bulletin RHSB-2026-013