Na kratko: Handler PHP v Pleskju določa, kako PHP teče za spletno stran: kot aplikacija FPM s skupnim poolom, kot Dedicated FPM z lastnim poolom za vsako spletno stran, kot aplikacija FastCGI ali kot modul Apache (mod_php). Z vidika varnosti je pod Linuxom Dedicated FPM praviloma najboljša izbira, modul Apache najslabša. Plesk ga sam označuje kot zastarelega oziroma nevarnega, pri PHP2Shell pa ekipa PHP vidi najvišje tveganje ravno pri mod_php.
Zakaj je handler več kot vprašanje zmogljivosti
V Pleskju za vsako spletno stran izberete različico PHP in handler. Mnogi handler obravnavajo kot podrobnost za zmogljivost in pomnilnik. Odloča pa tudi o tem, kako močno so spletne strani med seboj ločene, kje delujejo varnostne nastavitve in kateri procesi se morajo po posodobitvi znova zagnati.
Po PHP2Shell postane ta izbira konkretna. Ranljivosti CVE-2026-109618 in CVE-2026-109619 zadevata vse običajne načine delovanja, ekipa PHP pa tveganje pri mod_php ocenjuje kot najvišje. Kdor na svojem strežniku Plesk še upravlja domene z modulom Apache, naj to zdaj spremeni. Kako preverite in popravite različice, opisuje stran Strežnik Plesk: preverjanje in popravljanje različic PHP; tukaj gre za izbiro načina delovanja.
Handlerji PHP v Pleskju na pregled
Spodnji pregled temelji na dokumentaciji Plesk za Plesk Obsidian, dopolnjen z varnostnim vidikom. Pod Linuxom se lahko handlerji FPM po Pleskju dostavljajo po izbiri prek Apacheja ali nginxa, FastCGI vedno prek Apacheja.
| Handler | Dostavlja se prek | Izolacija | Priporočilo po Pleskju | Varnostni vidik |
|---|---|---|---|---|
| Dedicated FPM application | Apache ali nginx | lasten pool za vsako spletno stran | Linux s skupnim gostovanjem | najboljša ločitev, lastne vrednosti za vsak pool |
| FPM application | Apache ali nginx | skupni pool za vsako različico PHP | namenski strežniki Linux | ena napačna spletna stran lahko moti druge z isto različico |
| FastCGI application | Apache (Linux) | trajni procesi, dobra ločitev | strežniki Windows | solidno, pod Linuxom ga večinoma nadomešča FPM |
| Apache module (mod_php) | Apache | PHP v procesu spletnega strežnika | ni priporočeno | najvišje tveganje PHP2Shell po ekipi PHP |
| CGI application | Apache | nov proces za vsako zahtevo | ni priporočeno | zastarelo |
Ozadje načinov delovanja pojasnjujeta strani PHP-FPM razložen in Zakaj mod_php nosi najvišje tveganje.
Skupni ali lasten pool?
Razlika med FPM in Dedicated FPM se pogosto podcenjuje. Pri običajnem handlerju FPM si po Pleskju vse spletne strani z isto različico PHP delijo en pool procesov. To prihrani pomnilnik, pomeni pa tudi: spletna stran, ki dela težave, lahko povleče s seboj vse druge z isto različico, skupni predpomnilnik pa je deljen.
Dedicated FPM da vsaki spletni strani lasten pool. Po Pleskju to izboljša izolacijo in zmogljivost, stane pa več pomnilnika. Z vidika varnosti je lasten pool osnova za to, da nastavitve, kot so open_basedir, omejitve pomnilnika ali omejitve nalaganja, nastavite ločeno za vsako spletno stran. Kako poole dosledno ločite, opisuje prispevek Izolacija poolov PHP-FPM za vsako spletno stran.
nginx ali Apache: past .htaccess
Če izberete handler, ki se dostavlja prek nginxa, se spremeni nekaj bistvenega: po Pleskju ti handlerji datoteko .htaccess prezrejo. Kar je tam zapisano, ne deluje več.
To je varnostna tema. Številne aplikacije in skrbniki zaščitna pravila shranijo v .htaccess, na primer prepoved izvajanja datotek PHP v imenikih za nalaganje ali zapore za konfiguracijske datoteke. Po preklopu na nginx so ta pravila tiho izključena. Zato pred preklopom preverite, katera zaščitna pravila so v .htaccess, in jih prenesite v konfiguracijo nginx za domeno.
Zamenjava handlerja je sprememba varnostne konfiguracije. Po njej ciljno preizkusite, ali so zaklenjene poti še vedno zaklenjene, ne samo, ali se začetna stran naloži.
Preverite in preklopite handler
Najprej si ustvarite pregled, katere domene uporabljajo kateri handler. Ukazi so zgolj za branje.
# Vsi registrirani handlerji z ID, različico in tipom
plesk bin php_handler --list
# Domene, ki uporabljajo določen handler (ID iz seznama)
plesk bin php_handler --get-usage -id <handler-id>
# Ali PHP teče v procesu Apache? (Debian/Ubuntu: apache2ctl, družina RHEL: httpd)
apache2ctl -M 2>/dev/null | grep -i php
Za preklop postopajte domeno za domeno:
- Zaščitna pravila iz
.htaccesszajemite, če se bo novi handler dostavljal prek nginxa. - Za novi handler nastavite prehodne vrednosti proti PHP2Shell, na primer
session.upload_progress.enabled=0. Pri FPM sodijo kotphp_admin_valuev dodatne direktive poola, pri FastCGI delujejo druge poti. - V nastavitvah PHP domene zamenjajte handler, po možnosti najprej na kopiji.
- Preizkusite funkcije in preverite, ali domeno streže procesi s trenutno kodo.
- Če modula Apache ne uporablja nobena domena več, handler deaktivirajte.
V katerem vrstnem redu preklapljati?
Na zraslem strežniku Plesk je redko mogoče vse preklopiti v enem dnevu. Vrstni red po tveganju pomaga smiselno porabiti omejen čas:
- Najprej domene z modulom Apache, ker je tam tveganje zaradi PHP2Shell po ekipi PHP najvišje in Plesk tako ali tako odsvetuje.
- Nato domene z občutljivimi podatki, na primer spletne trgovine, portale za stranke ali obrazce z zdravstvenimi podatki ali podatki o pogodbah. Tu se lasten pool še posebej splača.
- Potem domene na starih različicah PHP, ki jih je tako ali tako treba preklopiti. Handler in različico je mogoče zamenjati skupaj v vzdrževalnem oknu.
- Nazadnje prehod s skupnega na lasten pool za preostale domene, če pomnilnik strežnika to dopušča.
Pred zadnjo stopnjo preverite porabo pomnilnika. Plesk opozarja, da Dedicated FPM potrebuje več pomnilnika, in pri mnogih spletnih straneh svetuje nadzor. Strežnik, ki po preklopu začne odlagati pomnilnik na disk, postane počasen, in omejen pomnilnik ravno pri PHP2Shell ni dobro stanje.
Kako PHP SOS pomaga konkretno?
- Zajamemo, katere domene na vašem strežniku Plesk uporabljajo kateri handler, in označimo domene z modulom Apache.
- Preklopimo na Dedicated FPM in zaščitna pravila iz
.htaccesspo potrebi prenesemo v konfiguracijo nginx. - Nastavimo prehodne vrednosti in omejitve za vsak pool ter preverimo, da v spletnem kontekstu delujejo.
- V okviru utrjevanja strežnika deaktiviramo zastarele handlerje in dokumentiramo konfiguracijo.
Pogosta vprašanja
Katerega handlerja PHP priporoča Plesk?
Po dokumentaciji Plesk je FPM priporočeni handler na namenskih strežnikih Linux, Dedicated FPM na strežnikih Linux za skupno gostovanje in FastCGI na strežnikih Windows. Modul Apache, CGI in ISAPI Plesk označuje kot močno zastarele oziroma nevarne.
Zakaj je handler modul Apache po PHP2Shell posebej kritičen?
Handler ustreza mod_php. Ekipa PHP tveganje PHP2Shell pri mod_php ocenjuje kot najvišje, ker je bil tam prikazan exploit, še preden se izvede koda aplikacije. Poleg tega Plesk sam odsvetuje ta handler.
Kaj se spremeni, če se PHP dostavlja prek nginxa namesto Apacheja?
Po Pleskju handlerji, ki se dostavljajo prek nginxa, datoteko .htaccess prezrejo. Varnostna pravila, ki so tam, na primer zapore za PHP v imenikih za nalaganje, potem ne veljajo več in jih je treba prenesti v pravila nginx.
Ali moram po zamenjavi handlerja PHP znova zagnati?
Po zamenjavi preverite, kateri procesi PHP tečejo za domeno in od kdaj. Pri Dedicated FPM domena dobi lasten pool. Star proces z zastarelo kodo po tem ne bi smel več delati za domeno.
Ali je Dedicated FPM vedno najboljša izbira?
Za izolacijo da, saj vsaka spletna stran dobi lasten pool. Cena je višja poraba pomnilnika. Plesk svetuje, da strežnike z mnogimi spletnimi stranmi pri tem nadzorujete.