Upcoming Critical PHP Security Release

На этой версии работает только сама Fastpanel, а сами сайты могут работать на самых разных версиях. Можно сами сайты принудительно в настройках перевести на эту старую версию, но тогда придётся весь функционал после версии 8.2 выпилить.

Пока в настройках PHP установил session.upload_progress.enabled Off, file_uploads Off и fatal_error_backtraces Off. Обновил Debian, но пыхи от Fastpanel не обновились.

В конфигурационный файл Nginx добавил:

if ($http_content_type ~* "multipart") {
return 403;
}

В техподдержке Fastpanel ответили, что обновление для PHP 8.4 уже выкатили, а для остальных версий пилят.
А насколько сложно проводить эти атаки и насколько массовыми они могут быть?