PHP2Shell: opravené balíčky PHP pro grommunio jsou nyní k dispozici
Aktualizované balíčky PHP, které eliminují kritické chyby zabezpečení PHP2Shell, jsou nyní k dispozici jak v komunitních, tak v podporovaných repozitářích grommunio. Důrazně doporučujeme, abyste své systémy co nejdříve zabezpečili.
Co je PHP2Shell?
PHP2Shell je název pro dvě kritické zranitelnosti v samotném běhovém prostředí PHP, CVE-2026-109618(opens in a new tab) a CVE-2026-109619, z nichž každá má hodnocení CVSS 9,2. Mohou umožnit neautentizovanému útočníkovi vzdáleně spustit kód pomocí jediného požadavku, ještě před spuštěním jakéhokoli kódu aplikace. To znamená, že server může být ohrožen, i když jsou PHP aplikace na něm naprosto bezpečné.
- CVE-2026-109618: alokace přerušená stavem nedostatku paměti může způsobit, že data požadavku zůstanou částečně inicializována, a při úklidu požadavku mohou být tato neplatná data považována za platná.
- CVE-2026-109619: interní stav patřící požadavku může přetrvat déle než paměť, na kterou odkazuje, takže pozdější požadavek na stejném pracovníkovi (worker) jej může použít ještě předtím, než dojde k jeho vynulování.
Týká se to všech instalací PHP, které zpracovávají webové požadavky, včetně PHP-FPM, které používá grommunio. Podrobnosti o těchto chybách unikly ještě před datem koordinovaného zveřejnění a bezpečnostní výzkumníci již hlásí pokusy o zneužití v reálném prostředí. Vývojáři PHP vydali opravené verze (8.5.12, 8.4.27, 8.3.36 a 8.2.35) a uvádějí, že aktualizace je jedinou bezpečnou možností, protože dostupná provizorní řešení uzavírají pouze některé cesty k útoku.
Další informace: Help Net Security, The Hacker News, SecurityWeek a často kladené otázky na watchTower.
Jak provést aktualizaci
Aktualizace vyžaduje pouze několik příkazů:
zypper ref
zypper up
zypper in php8-opcache
systemctl restart php-fpmMísto příkazů zypper ref a zypper up můžete také použít webový aktualizační nástroj v grommunio Admin nebo spustit grommunio-update v příkazovém řádku. V každém případě poté restartujte php-fpm: tím zajistíte, že každý pracovní proces bude používat opravený binární soubor PHP.
Naše automatizované testy a velké množství ručních ověření neodhalily žádné vedlejší účinky. V této rané fázi však nikdo nikde nemůže zaručit, že žádné neexistují. Všechny naše testy dopadly dobře a nápravná opatření se ve všech našich laboratorních prostředích osvědčila.
Bonus: rychlejší webové rozhraní díky OPcache
Již nějakou dobu můžete s grommunio nainstalovat také php8-opcache. OPcache uchovává předkompilovaný kód PHP v paměti, díky čemuž je grommunio Web znatelně rychlejší. Proto je výše uveden příkaz zypper in php8-opcache. Pokud jej již máte nainstalovaný, zypper jej jednoduše přeskočí.
Balíčky mimo oficiální aktualizace SUSE
Tyto balíčky jsou mimořádné aktualizace, které jsme sestavili a poskytujeme sami, odděleně od oficiálních balíčků dodávaných společností SUSE. Díky naší infrastruktuře pro sestavování a testovacímu procesu jsme je mohli vydat ještě předtím, než byly k dispozici oficiální aktualizace údržby od SUSE. Jsme na to hrdí a vděční našemu týmu za rychlé zpracování.
Jakmile společnost SUSE zveřejní své vlastní opravené balíčky PHP, odstraníme naše prozatímní balíčky z repozitářů grommunio, aby opět měly přednost balíčky poskytované společností SUSE. Vzhledem k tomu, že balíčky ve vašem systému budou poté pocházet od jiného dodavatele (a mohou mít nižší číslo verze), zypper se automaticky nepřepne zpět. Až k tomu dojde, budete muset změnu dodavatele výslovně povolit, například:
zypper ref
zypper up --allow-vendor-change --allow-downgrade
systemctl restart php-fpmAž bude tento krok na řadě, oznámíme to spolu s přesnými pokyny.
Nepoužíváte grommunio na SUSE?
V systémech Debian, Ubuntu a dalších distribucích pochází PHP z vaší distribuce. Nainstalujte bezpečnostní aktualizace PHP poskytované vaší distribucí a poté restartujte php-fpm.
Máte dotazy?
Další informace budou následovat. Diskuse a nejnovější aktualizace najdete v naší komunitě. Zákazníci s předplatným se mohou obrátit přímo na podporu grommunio.
