Форум Сайтостроение Безопасность

Upcoming Critical PHP Security Release

1... 456789101112 13
C
На сайте с 13.01.2017
Offline
96
Coby
#101
dokker555 #:

По поводу панели Fastpanel, остается там еще одна уязвимость.

Дело в том, встроенный PHP панели /opt/fphp работает на версии 7.4.33 (сборка от 10.01.2024). На нём через службу fastpanel2-apps (сокет /var/run/fastpanel2-apps.sock ) работают phpMyAdmin и Roundcube на порту 8888.

21.10.2026 опубликованы уязвимости PHP CVE-2026-109618 и CVE-2026-109619 (удалённое выполнение кода, эксплойт публичный). Исправления вышли в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для ветки 7.4 исправлений не будет.

Пока что временно костылем сделали с ИИ следующее:

  • в /opt/fphp/conf.d/  положили временные настройки ( session.upload_progress.enabled=0 , ограничили post_max_size  и upload_max_filesize );
  • в /usr/local/fastpanel2-nginx/apps/secure/pma.conf  и roundcube.conf  закрыли доступ к phpMyAdmin и Roundcube всем, кроме нашего IP.

Вопросы конкретно от ИИ:

  1. Когда выйдет обновление панели, которое переведёт /opt/fphp  на поддерживаемую версию PHP?
  2. Можно ли до этого безопасно перевести службу fastpanel2-apps  на /opt/php84  самостоятельно, и не сломает ли это обновления панели?
  3. Сохранятся ли наши правки в /opt/fphp/conf.d/  и apps/secure/*.conf  после обновления панели, или их нужно будет вносить заново?

Думаю надо искать альтернативу фастпанели, если не начнут обновлять

seobud
На сайте с 19.05.2008
Offline
165
seobud
#102

Для 7.4 есть патч уже:

Given the severity of these vulnerabilities, the PHP security team provided minimal source-backports for PHP 7.4, PHP 8.0, and PHP 8.1 to help people building from source or without access to an LTS vendor.

Проблема скорее в том, что у фастов дела не очень хорошо идут в последнее время и некому патч накатить.

GitHub - php/php-src at PHP-7.4-CVE-2026-109618-109619
GitHub - php/php-src at PHP-7.4-CVE-2026-109618-109619
  • github.com
PHP is a popular general-purpose scripting language that is especially suited to web development. Fast, flexible and pragmatic, PHP powers everything from your blog to the most popular websites in the world. PHP is distributed under the PHP License v3.01. Prebuilt packages and binaries can be used to get up and running fast with PHP. For...
Задавайте вопросы про Drupal Security FreeBSD 7-8 Помогите решить проблему с
serval
На сайте с 29.06.2011
Offline
220
serval
#103
Coby #:

Думаю надо искать альтернативу фастпанели, если не начнут обновлять

Обновления для PHP Fastpanel выпускает пока потихоньку одну за одной. В случае чего есть aaPanel, но пока панику считаю преждевременной.

N
На сайте с 14.08.2009
Offline
177
nikdiv
#104
Закрыл 8888 для всех кроме себя. 

Спасибо, что пишете. Так бы хрен узнал. 

С помощью ИИ сделал обновления сейчас панели. Конкретно для этой ситуации нет обновления.
E
На сайте с 01.10.2017
Offline
154
estic
#105
Дадуда #:
Или вообще остановить панель. Вы не всега в ней)))
Панель может работать, но не "смотреть наружу".
Домены на продажу: https://p20.ru/collection/domains-for-sale
Amro
На сайте с 09.12.2006
Offline
150
Amro
#106
Вроде как ispmanager выпустил патчи для всех версий php начиная с 5.4 http://download.ispmanager.com/repo/debian_trivial/base/bullseye/
и у них php также хранятся как и в fastpanel в /opt/php**
может просто раздербанить deb пакет да подменить бинарники в  php , php-cgi  и php-fpm ? никто не делал случаем?



Ошибка 500 и fcgid Есть ли необходимость в nginx+php-fpm ERROR: An another
S
На сайте с 12.10.2012
Offline
264
sagamorr
#107
Amro #:
Вроде как ispmanager выпустил патчи для всех версий php начиная с 5.4 http://download.ispmanager.com/repo/debian_trivial/base/bullseye/
и у них php также хранятся как и в fastpanel в /opt/php**
может просто раздербанить deb пакет да подменить бинарники в  php , php-cgi  и php-fpm ? никто не делал случаем?



Мне поддержка Beget сейчас ответила, что патчи поставили для всей версий на хостинге, включая 5.6.
Genius Ideaing
На сайте с 12.02.2024
Offline
137
Genius Ideaing
#108
Amro #:
может просто раздербанить deb пакет да подменить бинарники в  php , php-cgi  и php-fpm ? никто не делал случаем?

я бы тоже так хотел обновиться.

потому что другие способы не работают

Заработок в $$$ на трафике сайта здесь: https://clck.ru/3REcmY / Не РСЯ/adSense! / Есть Идеи! Ищу хороших людей для реализации этих идей! Мой Telegram: https://clck.ru/396JFF
Amro
На сайте с 09.12.2006
Offline
150
Amro
#109

В общем попробовал из Ispmanager подменить бинарники, но всё это полная дич. У них немного другие пути расположения модулей. Нужно делать кучу симлинков, игра не стоит свеч.

Я решил просто самостоятельно собрать PHP нужных мне версий, пропатчить их, заплатки для всех старых выложены на гитхабе и заменить бинарники.

Полное руководство для php 5.6, 7.1, 8.1 выложил тут https://github.com/avego/php2shell/

Проверил на Debian 11, патчинг 5.6, 7.1, 8.1 и подмена бинарников прошли штатно, php как в cgi так и в fpm режиме заработал.

Патчи для PHP 5.2.17,  5.3.29,  5.4.45,  5.6.40,  7.0.33, 7.1.33,  7.2.34, 7.3.33,  7.4.33, 8.0.30, 8.1.29, 8.1.34 собрал тут https://github.com/avego/php2shell/tree/main/patch

GitHub - avego/php3shell
GitHub - avego/php3shell
  • github.com
Репозиторий содержит патчи безопасности и пошаговые руководства по компиляции и устранению критических уязвимостей CVE-2026-109618 и CVE-2026-109619 в устаревших (EOL) и актуальных версиях PHP, работающих под управлением панели управления FastPanel (Debian 11 x86_64, Apache , PHP-FPM).
Есть кто-нибудь с хорошей 149 англоязычных каталогов статей ISPManager 4 и PHP
E
На сайте с 01.10.2017
Offline
154
estic
#110
Amro #:
В общем попробовал из Ispmanager подменить бинарники, но всё это полная дич.

Хотел я написать, что не нужно этого делать. Но подумал, что без ответа на соответствующий вопрос смельчаков не найдется.

Для начала хотя бы сравнили бинарники под разные ОС...

1... 456789101112 13

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий