Opraveny kritické zranitelnosti umožňující vzdálené spuštění kódu v PHP (php2shell)

Dne 21. října 2026 vydal projekt PHP naléhavé bezpečnostní aktualizace pro dvě kritické zranitelnosti známé jako php2shell. Za určitých podmínek umožňují neověřenému útočníkovi spustit kód na serverech s PHP a informace o těchto zranitelnostech unikly den před oficiálním oznámením. Webové rozhraní UVS Manageru běží na PHP 8.4 (nginx s PHP-FPM), takže verze 4.19.8 aktualizuje PHP na opravenou verzi 8.4.27. Toto je hlavní účel této verze.

Dvě CVE opravené v této verzi

Popisy a skóre CVSS jsou převzaty z oficiálního oznámení PHP. UniVirStor 4.19.7 a všechny předchozí verze obsahují sestavení PHP bez této opravy, proto doporučujeme všem zákazníkům provést aktualizaci co nejdříve.

Co pokrývá verze 4.19.8

Dočasná ochrana před aktualizací

Dokud nebude aktualizace dokončena, doporučujeme povolit přístup k webovému rozhraní UVS Manageru pouze důvěryhodným sítím pro správu, například omezením zdrojových adres pomocí UFW Manageru nebo vašeho stávajícího firewallu. Tím se snižuje riziko, ale aktualizaci to nenahrazuje.

Operační systém a Ceph aktualizovány společně

Namísto samostatné aktualizace PHP tato verze využívá příležitosti k obnovení celého běhového prostředí.

Ceph aktualizován na verzi 19.2.7

Dne 12. října 2026 vydal projekt Ceph Squid 19.2.7, sedmé údržbové vydání řady Squid. Opravuje pády a zablokování klienta CephFS a další problémy; projekt Ceph doporučuje aktualizaci všech nasazení. Tuto verzi používají nově nasazené i aktualizované clustery UniVirStor 4.19.8 a offline lokality mohou aktualizaci dokončit pomocí obrazů kontejnerů přibalených v aktualizačním balíčku, bez přístupu k internetu.

Operační systém a servisní balíčky

Jádro operačního systému, nginx, Samba, synchronizace času a další systémové balíčky dostávají nejnovější bezpečnostní a údržbové aktualizace.

Kratší doba upgradu

Pokud aktualizace zahrnuje nové jádro operačního systému, každý uzel musí být postupně restartován. Od verze 4.19.8 používá poslední restart upgradu teplý restart pomocí kexec: nové jádro se načte přímo, čímž se přeskočí autotest při zapnutí systému BIOS/UEFI a inicializace RAID/HBA. Tím se zkrátí restart každého uzlu i doba, po kterou jsou jeho OSD offline. Platformy, které nemohou použít teplý restart, se automaticky vrátí k běžnému restartu a aktualizace pokračuje jako obvykle.

Jak provést upgrade

Upgrade se provádí s pomocí podpory Ambedded. Uzly se upgradují jeden po druhém a služby na každém uzlu se postupně krátce restartují. Doporučujeme naplánovat upgrade v rámci servisního okna.

Novinka: Správa snímků a plánů CephFS

Stránka CephFS nyní obsahuje kartu Snímky a plány, takže správu snímků, která dříve vyžadovala příkazy Ceph, lze nyní provádět přímo v UVS Manageru.

Ruční snímky

Výběrem adresáře nebo podsvazku ve stromu adresářů můžete vytvářet, zobrazovat a mazat snímky; u každého snímku se zobrazuje čas jeho vytvoření.

Plány snímků a pravidla uchovávání

Vytvářejte opakované plány snímků pro adresář (například hodinové, denní, týdenní nebo měsíční) a upravujte je, odstraňujte nebo pozastavujte. Pomocí pravidel uchovávání systém automaticky odstraňuje snímky, které již nesplňují zásady, například uchovává posledních 24 hodinových a 7 denních snímků.

Kolik místa zabírají snímky

Snímky CephFS využívají princip copy-on-write: vytvoření snímku nekopíruje data. Dodatečný prostor zabírají stará data, která byla po pořízení snímku změněna nebo odstraněna, ale snímek je stále musí uchovávat. Využití surového diskového prostoru odpovídá tomuto objemu vynásobenému počtem replik datového poolu nebo režií kódování pro opravu chyb. Pravidla uchovávání plánujte s ohledem na rychlost změn vašich dat.

NFS: Anonymní UID/GID nastavené pro každý NFS cluster

Dříve bylo anonymní UID/GID NFS (anonymní ID) globálním nastavením sdíleným všemi clustery NFS. Ve verzi 4.19.8 se nastavuje pro každý cluster NFS zvlášť: můžete ho zadat při vytváření clusteru NFS a později ho zobrazit nebo změnit při úpravě clusteru; zobrazené hodnoty jsou ty, které jsou v Ceph skutečně aktivní. Změna se týká pouze daného clusteru a neovlivní ostatní.

To vám umožní oddělit klienty s různou úrovní důvěryhodnosti, například namapovat cluster obsluhující interní pracovní stanice na uživatele domény a cluster určený pro externí nebo laboratorní hostitele na účet s omezenými oprávněními. Opravuje také problém v dřívějších verzích, kdy změna nebo vymazání anonymního ID clusteru, který ho již měl, hlásilo úspěch, ale skutečné nastavení zůstalo nezměněné. Po upgradu z dřívější verze si každý cluster zachová nastavení, která jsou v Ceph skutečně aktivní; na obrazovce úprav každého clusteru zkontrolujte anonymní UID/GID a ověřte, že odpovídají očekávání.

Opravy NFSv3

Pokud několik clusterů NFS povolí NFSv3, každý nyní používá vlastní konfiguraci, aniž by ovlivňoval ostatní, a přidání hostitele ke službě NFS s povoleným NFSv3 již nenaruší její nastavení NFSv3.

Systémový čas: Více zdrojů NTP

UVS Manager dříve podporoval jeden server NTP. Verze 4.19.8 podporuje více externích serverů NTP a umožňuje zvolit, zda uzly Ceph MON zajišťují interní synchronizaci času pro cluster; interní a externí zdroje lze používat společně. Více nezávislých zdrojů času umožňuje systému vzájemně je kontrolovat a vyřadit vadné hodiny, což je obzvláště důležité pro distribuovaný systém, jako je Ceph, který závisí na konzistentním čase napříč uzly. Nastavení časového pásma je nyní také seznamem s možností vyhledávání.

Monitorování, reporty a oznámení

Stav služeb SMB a NFS na řídicím panelu

Stav úložných služeb na řídicím panelu nyní zahrnuje SMB a NFS a na první pohled zobrazuje počet a stav těchto služeb.

Přesnější využití paměti

Využití paměti na řídicím panelu se nyní vypočítává z dostupné paměti hlášené linuxovým jádrem, takže znovu využitelná mezipaměť souborů se již nezapočítává jako využitá paměť. Tím se předchází trvale vysokým hodnotám, které by mohly být mylně považovány za nedostatek paměti.

Časové období a časové pásmo reportu

Přehled clusteru počítá celé dny v časovém pásmu clusteru (od 00:00 v den zahájení do 24:00 v den ukončení) a přehledně zobrazuje čas zahájení, čas ukončení a časové pásmo. Data ručních přehledů nyní odpovídají datům naplánovaných e-mailů s přehledy. Naplánované e-maily s přehledy také obsahují verzi přehledu ve formátu PDF a široké tabulky se nyní v PDF zobrazují celé, místo aby byly oříznuté.

Servery SMTP bez ověřování

Uživatelské jméno a heslo SMTP v nastavení oznámení jsou nyní volitelné, takže lze použít interní poštovní relay, který nevyžaduje ověřování. Nyní je vyžadován alespoň jeden příjemce.

Opravy

Připojování CephFS ze starších jader Linuxu

Ve verzi 4.19.7 uživatelé CephX vytvoření prostřednictvím rozhraní vždy obdrželi klíče aes256k, takže klienti jádra starší než Linux 7.0 nemohli připojit svazek pomocí příkazu vygenerovaného v části JAK PŘIPOJIT. Ve verzi 4.19.8 vám funkce JAK PŘIPOJIT umožňuje při vytváření výchozího uživatele zvolit AES-128 nebo AES-256: AES-128 funguje s linuxovými jádry staršími než 7.0 a AES-256 je určeno pro klienty, kteří podporují nový typ klíče, takže již není nutné vytvářet kompatibilního uživatele pomocí příkazů. Kromě toho stránka ověřování CephX nyní zobrazuje chybu vrácenou systémem Ceph, pokud se vytvoření, úprava nebo odstranění uživatele nezdaří, místo aby hlásila úspěch.

SMB

Ukončení relací a otevřených souborů na stránce SMB STATUS se nyní projeví okamžitě, funguje pro připojení držená jinými uzly a v případě selhání operace zobrazí chybu. Přidání sdílené složky SMB již nepřepisuje oprávnění kořenového adresáře skupiny podsvazků, zpracování oprávnění je nyní stejné při přidávání i úpravě sdílených složek a při úpravě sdílené složky lze jako vlastníka vybrat uživatele a skupinu z domény. Po nastavení VIP adresy LVS se služba clusteru SMB již opakovaně nerestartuje a nepřerušuje připojení; po odstranění VIP adresy LVS se nyní adresa odebere z každého uzlu.

Firewall správce UFW

Import pravidel nyní přijímá pravidla, jejichž zdrojem nebo cílem je síť (CIDR), takže soubory exportované systémem UVS lze znovu importovat beze změn. Neúspěšný import nyní také zobrazí chybu namísto hlášení o úspěchu. Pravidlo, jehož cílem je síť, navíc při úpravě nebo exportu již tuto síť neztrácí, což ji dříve rozšířilo na libovolnou adresu.

Objektové úložiště S3 (RGW)

Při přidání umístění zóny a přepnutí možnosti fondu indexů Bucket z „Použít existující fond“ zpět na „Vytvořit“ se nyní nový fond indexů správně vytvoří s vybraným pravidlem CRUSH. Nová akce „Obnovit koncový bod“ znovu synchronizuje koncové body zóny a skupiny zón z UVS Manageru poté, co byly služby RGW změněny jinde, například v řídicím panelu Ceph.

Systémové protokoly

Protokoly rozhraní pro správu se nyní denně komprimují, což zabraňuje neomezenému růstu adresáře s protokoly a zaplnění systémového disku.

Často kladené otázky

▾What are the main updates in UniVirStor 4.19.8?

▾Is my system affected by php2shell?

▾Will services be interrupted during the upgrade?

▾Can Linux kernels older than 7.0 now mount CephFS?

▾How much space do CephFS snapshots use?