Jak sprawdzić, czy Twoje samodzielnie hostowane aplikacje korzystają z podatnej wersji PHP?

Eva Wong

IceWhale author

Eva Wong jest Technicznym pisarzem i stałym majsterkowiczem w ZimaSpace. Całe życie geek z pasją do homelabów i oprogramowania open-source, specjalizuje się w tłumaczeniu skomplikowanych koncepcji technicznych na przystępne, praktyczne przewodniki. Eva wierzy, że samodzielne hostowanie powinno być zabawą, a nie czymś onieśmielającym. Poprzez swoje samouczki umożliwia społeczności rozwiewanie tajemnic konfiguracji sprzętu, od budowy pierwszego NAS po opanowanie kontenerów Docker.

Conceptual guide: CHECK THE RUNNING PHP. Identify service; Inspect runtime; Verify vendor fix.

Na hoście może działać jednocześnie kilka wersji PHP. Wersja zwrócona przez powłokę SSH może należeć do narzędzia wiersza poleceń, podczas gdy publiczna witryna korzysta z innego środowiska uruchomieniowego. Aby ocenić podatności PHP z października 2026 r., powiąż każdy wynik wersji z konkretną aplikacją i usługą.

Sprawdź środowisko obsługujące aplikację, a nie tylko PHP dostępne z wiersza poleceń na hoście. Porównaj dokładną gałąź środowiska uruchomieniowego lub rewizję pakietu dystrybucji z odpowiednim zaleceniem, uwzględniając udokumentowane poprawki dostawcy przeniesione do starszych wersji, i po sprawdzeniu usuń tymczasową stronę diagnostyczną.

1. Zidentyfikuj aplikacje korzystające z PHP

Sporządź listę aplikacji, metod ich instalacji i zewnętrznych ścieżek dostępu. Sprawdź dokumentację aplikacji lub metadane pakietu, aby ustalić, czy korzysta z PHP. Uwzględnij usługi pomocnicze, takie jak zadania cron i kolejki, jeśli używają tego samego obrazu aplikacji.

Nie wnioskuj o użyciu PHP na podstawie marki serwera NAS. Urządzenie obsługujące różne aplikacje wymaga oceny każdej usługi z osobna.

2. Sprawdź wdrożenie Compose

docker compose ps
docker compose images
docker compose exec -T app php -v
docker compose exec -T app php --ini

Uruchom te polecenia z katalogu właściwego projektu Compose; zastąp app nazwą usługi zawierającej PHP. Polecenia identyfikują bieżące kontenery i sprawdzają plik binarny w tej usłudze. Jeśli PHP działa w oddzielnej usłudze php lub fpm, sprawdź właśnie tę usługę.

Brak pliku wykonywalnego php nie dowodzi, że aplikacja jest bezpieczna. Minimalne obrazy, alternatywne ścieżki do plików binarnych lub oddzielne usługi środowiska uruchomieniowego mogą wymagać użycia metody kontroli zalecanej przez opiekuna. Nie instaluj pakietów w kontenerze produkcyjnym tylko po to, aby sprawdzić wersję.

3. Sprawdź PHP zainstalowane na hoście

command -v php
php -v
php --ini

Opisują one PHP powłoki. Następnie sprawdź konfigurację serwera WWW i menedżera usług, aby ustalić, która pula PHP-FPM, moduł Apache lub inny mechanizm obsługuje witrynę. Sprawdź wersję pakietu tego komponentu i zalecenia dostawcy. Dokumentacja PHP informuje, że lokalizacje konfiguracji i działanie różnią się w zależności od interfejsu serwera.

Jeśli panel udostępnia prywatne informacje o środowisku uruchomieniowym faktycznie używanym przez usługę internetową, może to uzupełnić inwentaryzację. Nie pozostawiaj publicznie dostępnej strony phpinfo(); może ujawniać szczegóły niezwiązane z kontrolą.

4. Porównaj dowody z komunikatem bezpieczeństwa

W przypadku incydentu z 21 października wydania PHP zawierające poprawki bezpieczeństwa to 8.2.35, 8.3.36, 8.4.27 i 8.5.12. Późniejsze obsługiwane wydanie z tej samej gałęzi może zawierać te poprawki. Jeśli dystrybucja przenosi poprawki bezpieczeństwa do starszych wersji pakietów, kieruj się wersją pakietu i komunikatem bezpieczeństwa danej dystrybucji, zamiast odrzucać lub zatwierdzać pakiet wyłącznie na podstawie numeru przypominającego wersję upstream.

Zapisz wynik jako jeden z trzech stanów: potwierdzono naprawę, potwierdzono podatność albo nierozstrzygnięte z powodu braku dowodów od dostawcy. W przypadku oprogramowania, którego okres wsparcia dobiegł końca, ustal obsługiwaną ścieżkę aktualizacji lub wyraźnie potwierdzoną poprawkę od dostawcy utrzymującego to oprogramowanie. Nierozstrzygnięty wynik powinien pozostać widoczny na liście zadań konserwacyjnych.

5. Potwierdź, co dzieje się po aktualizacji

Powtórz te same kontrole po wdrożeniu, uwzględniając osobne procesy robocze i kontenery. Zapisz identyfikator obrazu lub wersję pakietu oraz informację o stanie ponownego uruchomienia. Przetestuj zwykłe uwierzytelnione żądanie oraz funkcje, z których faktycznie korzystają domownicy.

Na prywatnej chmurze ZimaCube 2 przechowuj ten zapis razem z konfiguracją aplikacji i instrukcjami tworzenia kopii zapasowych. Przydatny wynik to możliwy do zweryfikowania zapis w rodzaju „ta aplikacja korzysta z tego środowiska uruchomieniowego z poprawką”, a nie „zaktualizowano NAS”. Jeśli znajdziesz podatny kontener, przed zmianą jego woluminów danych skorzystaj z podanego przewodnika aktualizacji.

Poznaj ZimaCube 2 Personal Cloud Home NAS, który sprawdzi się przy prywatnym przechowywaniu danych i samodzielnie hostowanych aplikacjach. Bezpieczeństwo oprogramowania zależy od zainstalowanych usług, ich konfiguracji i potwierdzonych aktualizacji.

Kontynuuj serię o bezpieczeństwie PHP

Źródła i zakres

Sprawdzono 22 października 2026 r. Zalecenia dotyczące wdrażania należy dopasować do aplikacji i dokumentacji dostawcy; te artykuły nie potwierdzają narażenia konkretnych produktów.