Kort sagt: På servrar med CloudLinux körs webbplatser ofta inte med standard-PHP, utan med alt-php, egna paket för varje PHP-version som kunderna väljer via PHP Selector. Mot PHP2Shell måste serverns operatör uppdatera varje installerad alt-php-version för sig och starta om alla PHP-processer. Som hostingkund klargör ni vilken version ert konto använder och låter skriftligen bekräfta dess patchnivå.
Varför CloudLinux är en egen fråga vid PHP2Shell
Många leverantörer av delad hosting använder CloudLinux, ett Linux-operativsystem som håller tusentals kundkonton på en server åtskilda. För webbplatsägare är det oftast osynligt. Det blir synligt först när en sårbarhet dyker upp i själva PHP-tolken, som vid PHP2Shell med CVE-2026-109618 och CVE-2026-109619.
Skälet: på sådana servrar finns ofta flera PHP-källor sida vid sida. Vid sidan av operativsystemets PHP och, med cPanel, ea-php-paketen finns CloudLinux alt-php-paket. Varje källa har sin egen paketnivå. Att en av dem är patchad säger ingenting om de andra.
För byråer och företag med flera konton hos samma hoster tillkommer en andra punkt: varje webbplats kan använda en annan version, eftersom någon för flera år sedan ställde om den i kundområdet. En enstaka förfrågan om hosterns ”PHP” blir därför för snäv. Meningsfullt är en lista över alla domäner med respektive vald version.
Vad alt-php och PHP Selector är
Enligt CloudLinux-dokumentationen tillhandahåller PHP Selector alternativa PHP-versioner, alt-php-paketen. De ligger under /opt/alt/phpXX/, till exempel /opt/alt/php83/ för PHP 8.3, var och en med egen php.ini. Dokumentationen listar versioner från 5.1 till 8.5, beroende på serverns CloudLinux-version.
Kunderna väljer sin version själva, i cPanel oftast via ”Select PHP Version”. Tekniskt förutsätter det CageFS, ett slags avskärmat filsystem per konto. Enligt dokumentationen arbetar Selector med suPHP, mod_fcgid, CGI och LiteSpeed; Apache med mod_php stöder inte CageFS.
| Begrepp | Betydelse för er |
|---|---|
| CloudLinux | hosterns operativsystem, håller kundkonton åtskilda |
| CageFS | eget, avskärmat filsystem per konto |
| alt-php | CloudLinux PHP-paket, ett per version |
| PHP Selector | val av alt-php-version och enskilda alternativ i kundområdet |
CloudLinux alt-php och PHP2Shell: vad som är belagt och vad som är öppet
Belagt är: rättade PHP-versioner är 8.5.12, 8.4.27, 8.3.36 och 8.2.35. För PHP 8.1 och äldre finns inga officiella uppdateringar från PHP-projektet längre, bara minimala backports i källkoden för 7.4, 8.0 och 8.1. Enligt fackpressen berörs nästan alla versioner ända ned till PHP 5.4.
Öppet är i de källor vi har tillgång till för vilka alt-php-versioner CloudLinux redan levererar patchade paket. Särskilt för gamla grenar som 5.6 eller 7.4, som Selector fortsätter att erbjuda, räknas därför enbart leverantörens besked. Backports kan vara installerade utan att det visade versionsnumret ändras.
Ett särfall gäller cPanel-servrar med kommersiell långtidssupport: enligt cPanel-dokumentationen levererar TuxCare, ett varumärke som tillhör CloudLinux, patchade paket för utgångna PHP-versioner som alt-php. Den som där har ställts om från ea-php74 till alt-php74 är hänvisad till den vägen. Mer om det i inlägget Långtidssupport för gamla PHP-versioner.
Dessa frågor bör ni ställa till hostern nu
Som kund kan ni inte patcha alt-php själva. Men ni kan ställa rätt frågor och dokumentera svaren. En färdig mall för det finns i guiden Fråga hostern om patchstatus.
- Körs mitt konto med alt-php, ea-php eller operativsystemets PHP, och med exakt vilken version?
- Är just det här paketet patchat mot CVE-2026-109618 och CVE-2026-109619, och sedan när?
- Har alla PHP-processer startats om därefter, även lsphp- och php-cgi-processer?
- Är övergångsvärdena från php.net satta centralt, framför allt
session.upload_progress.enabled=0? - Vilka alt-php-versioner patchas inte längre, och till när måste jag byta?
Kontrollera parallellt vilken version ert konto verkligen använder. Har ni SSH-åtkomst visar php -v kommandoradens version, som kan avvika från webbplatsens. Mer tillförlitlig är visningen i PHP Selector för den berörda domänen.
Svarar hostern att er valda version inte längre patchas är bytet till en gren som stöds den rena vägen. Kontrollera i förväg i systemkraven för ert CMS eller er butik vilka PHP-versioner tillverkaren godkänner, och testa bytet helst på en kopia av webbplatsen. Att växla i Selector går snabbt, ett fel i butiken på måndag morgon gör det inte.
PHP-alternativ i Selector: försiktighet med övergångsvärdena
PHP Selector låter kunder ändra enskilda php.ini-värden själva, bland dem ofta memory_limit. Vilka värden som är frigivna bestämmer enligt dokumentationen operatören, i filen /etc/cl.selector/php.conf. Globala värden för alla alt-php-versioner står i /etc/cl.selector/global_php.ini.
Det är viktigt för PHP2Shell. php.net rekommenderar som övergång att sätta memory_limit=-1 så att applikationer inte kan skriva över värdet, och att inte sätta session.upload_progress.enabled=0 via ini_set() eller .user.ini. Ett värde som varje konto fritt kan ändra uppfyller inte det villkoret. Bakgrunden finns under Omedelbara åtgärder utan patch.
För serveroperatörer ger det en kort checklista. Kommandona läser bara:
# Vilka PHP-versioner erbjuder Selector, vilken är standard?
selectorctl --summary
# Installerade alt-php-paket och deras nivå
rpm -qa 'alt-php*' | sort
# Står CVE-numren i ett pakets changelog? (paketnamnet som exempel)
rpm -q --changelog alt-php83 | grep -E "CVE-2026-10961[89]"
# Körande PHP-processer med starttid, för att styrka omstarten
ps -eo pid,lstart,cmd | grep -E '[l]sphp|[p]hp-cgi|[p]hp-fpm'
Enligt CloudLinux-dokumentationen uppdaterar man med yum groupupdate alt-php. Därefter måste alla PHP-processer startas om, annars fortsätter den gamla koden köra i minnet. Övergångsvärden som inte får skrivas över hör hemma i den globala konfigurationen och inte i listan över kundalternativ. Hur ea-php och alt-php förhåller sig till varandra på cPanel-servrar beskrivs i cPanel och WHM: säkra PHP.
En patch tar inte bort skadlig kod som smugglats in tidigare. Om ert konto mellan den 17 och den 21 oktober körde med en sårbar version lönar det sig att titta efter nya PHP-filer och åtkomstloggarna från och med den 20 oktober.
Hur hjälper PHP SOS konkret?
- Klarlägga nivån: Vi tar reda på med vilken PHP-källa och version var och en av era webbplatser körs och formulerar förfrågan till hostern.
- Bedöma svaret: Vi granskar hosterns bekräftelse med avseende på luckor, till exempel saknade uppgifter om omstart eller om gamla alt-php-grenar.
- Följa med vid bytet: Körs en webbplats på en version utan patch planerar vi övergången och testar den i förväg.
- För operatörer: Via PHP-patchtjänsten uppdaterar vi alt-php-, ea-php- och systempaket, startar om alla processer och dokumenterar nivån.
Vanliga frågor
Hur ser jag om min hoster använder CloudLinux och alt-php?
Ett typiskt tecken är funktionen ”Select PHP Version” i cPanels kundområde, där ni själva kan växla mellan många PHP-versioner. Säker kan ni först vara när hostern har bekräftat det.
Kan jag uppdatera alt-php i mitt konto själv?
Nej. alt-php-paketen ligger centralt på servern och sköts av operatören. Ni kan bara välja mellan de installerade versionerna och bör låta bekräfta patchnivån för den version ni har valt.
Är en gammal alt-php-version som 7.4 skyddad mot PHP2Shell?
Det går inte att säga utan besked från leverantören. Enligt fackpressen berörs nästan alla versioner ända ned till PHP 5.4, och PHP-projektet levererar inga officiella uppdateringar för 8.1 och äldre. Om en backport är installerad måste hostern skriftligen bekräfta för just er version.
Får jag ändra memory_limit själv i PHP Selector?
Tekniskt ofta ja, om operatören har släppt inställningen. php.net rekommenderar dock som övergångsåtgärd att memory_limit sätts så att applikationer inte kan skriva över värdet. Ändra därför sådana värden bara i samråd med hostern.