PHP

/
/
Устранение критических уязвимостей PHP

Устранение критических уязвимостей PHP

В рамках устранения недавних уязвимостей в PHP CVE-2026-109618 и CVE-2026-109619, в ispmanager были выпущены следующие версии PHP от 5.4 до 8.5:

  • 5.4.45-1794
  • 5.5.38-1794
  • 5.6.40-1786
  • 7.0.33-1786
  • 7.1.33-1786
  • 7.2.34-1786
  • 7.3.33-1786
  • 7.4.33-1782
  • 8.0.30-1782
  • 8.1.34-1782
  • 8.2.35-1781
  • 8.3.36-1781
  • 8.4.27-1781
  • 8.5.12-1781

Обновленные версии PHP доступны только для поддерживаемых операционных систем, срок официальной поддержки которых ещё не истек!

Установка обновлений

Через панель ispmanager

Для установки обновленных версий PHP через панель, выполните следующие шаги:

  1. Перейдите в раздел Конфигурация ПО
  2. Выберите пункт Обновить
  3. Выберите пункт Обновить список доступного ПО, а затем пункт Обновить ПО
  4. Нажмите Обновить
  5. Дождитесь окончания обновления и перейдите в раздел Службы
  6. Выберите следующие службы:
    • apache2
    • Все apache2-isp@
    • Все php-fpm
    • Все phpNN-fpm, где NN - это версия PHP
    • httpd
    • Все httpd-isp@
    • Все php-fpm
    • Все phpNN-fpm, где NN - это версия PHP
  7. Перезапустите службы, нажав на Перезапустить службу в меню над списком.

Фактические версии PHP и их значение в панели могут отличаться сразу после обновления - чтобы устранить несоответствие, перезагрузите сервер или перезапустите панель:

/usr/local/mgr5/sbin/mgrctl -m ispmgr -R

Вручную через пакетный менеджер

Обновить PHP можно вручную через системный пакетный менеджер:

Обновите все пакеты isp-php, выполнив команды:

apt update
apt install --only-upgrade $(dpkg-query -W -f='${Package}\n' 'isp-php*' php 2>/dev/null)

Перезапустите службы Apache и PHP-FPM, выполнив команды:

systemctl restart apache2 'apache2-isp@*' 
systemctl restart 'php*fpm*'

Обновите все пакеты isp-php, выполнив команды:

dnf clean metadata
dnf update 'isp-php*' php

Перезапустите службы Apache и PHP-FPM, выполнив команды:

systemctl restart httpd 'httpd-isp@*'
systemctl restart 'php*fpm*'

Фактические версии PHP и их значение в панели могут отличаться сразу после обновления - чтобы устранить несоответствие, перезагрузите сервер или перезапустите панель:

/usr/local/mgr5/sbin/mgrctl -m ispmgr -R

Если нет возможности обновить PHP

Если возможность обновить PHP отсутствует, рекомендуем прибегнуть к ограничению доступа к сайтам, переместив их с публичных адресов за VPN или WAF, на время устранения уязвимости.

Разработчики в качестве временного решения советуют следующие действия для глобальных настроек PHP:

  • Установить для параметра memory_limit значение -1 : 
    memory_limit=-1
  • Использовать маленькие значения для параметра post_max_size:
    • До 8 МБайт, если в проекте не требуется загрузка файлов;
    • До 32 МБайт, если загрузка файлов необходима;
  • Значение параметра upload_max_filesize должно быть обязательно ниже значения post_max_size;
  • Установить для параметра session.upload_progress.enabled значение 0: 
    session.upload_progress.enabled=0
  • Для PHP 8.5 установить значение параметра fatal_error_backtraces как 0: 
    fatal_error_backtraces=0
    После применения изменений, обязательно перезагрузите каждый worker или веб-сервер полностью;
  • Использовать контейнеры и cgroup для ограничения worker'ов веб-серверов, не исключая ограничения RLIMIT_AS и RLIMIT_DATA;
  • Избавиться от любых некорректных и/или устаревших настроек для запросов, которые могут вызывать диагностические сообщения до своей инициализации.

В этой статье