Vulnerabilidades críticas de ejecución remota de código en PHP (php2shell) corregidas

El 21 de octubre de 2026, el proyecto PHP publicó actualizaciones de seguridad urgentes para dos vulnerabilidades críticas, conocidas como php2shell. En determinadas condiciones, permiten que un atacante no autenticado ejecute código en servidores que ejecutan PHP, y la información sobre las vulnerabilidades se filtró un día antes del anuncio oficial. La interfaz web de UVS Manager se ejecuta en PHP 8.4 (nginx con PHP-FPM), por lo que la versión 4.19.8 actualiza PHP a la versión corregida 8.4.27. Este es el propósito principal del lanzamiento.

Las dos CVE corregidas en esta versión

Las descripciones y las puntuaciones CVSS se han tomado del anuncio oficial de PHP. UniVirStor 4.19.7 y todas las versiones anteriores incluyen compilaciones de PHP sin esta corrección, por lo que recomendamos que todos los clientes actualicen lo antes posible.

Qué incluye la versión 4.19.8

Protección provisional antes de la actualización

Hasta que se complete la actualización, recomendamos permitir que solo las redes de administración de confianza accedan a la interfaz web de UVS Manager, por ejemplo, restringiendo las direcciones de origen con UFW Manager o con su firewall existente. Esto reduce el riesgo, pero no sustituye la actualización.

Sistema operativo y Ceph actualizados conjuntamente

En lugar de actualizar únicamente PHP, esta versión aprovecha la oportunidad para renovar todo el entorno de ejecución.

Ceph actualizado a la versión 19.2.7

El 12 de octubre de 2026, el proyecto Ceph lanzó Squid 19.2.7, la séptima versión de mantenimiento de la serie Squid. Soluciona los bloqueos y cierres inesperados de los clientes de CephFS, entre otros problemas, y el proyecto Ceph recomienda que todas las implementaciones se actualicen. Tanto los clústeres de UniVirStor 4.19.8 recién implementados como los actualizados ejecutan esta versión, y los sitios sin conexión pueden completar la actualización con las imágenes de contenedor incluidas en el paquete de actualización, sin acceso a Internet.

Paquetes del sistema operativo y servicios

El kernel del sistema operativo, nginx, Samba, la sincronización horaria y otros paquetes del sistema reciben las últimas actualizaciones de seguridad y mantenimiento.

Tiempo de actualización más corto

Cuando una actualización incluye un nuevo kernel del sistema operativo, cada nodo debe reiniciarse por turnos. A partir de la versión 4.19.8, el reinicio final de la actualización utiliza un reinicio en caliente mediante kexec: el nuevo kernel se carga directamente, omitiendo la prueba automática de encendido de la BIOS/UEFI y la inicialización de RAID/HBA, lo que reduce el tiempo de reinicio de cada nodo y el tiempo durante el cual sus OSD están fuera de línea. Las plataformas que no pueden utilizar un reinicio en caliente recurren automáticamente a un reinicio normal, y la actualización continúa como de costumbre.

Cómo actualizar

Las actualizaciones se realizan con la ayuda del soporte de Ambedded. Los nodos se actualizan uno a uno y los servicios de cada nodo se reinician brevemente por turnos. Recomendamos programar la actualización durante una ventana de mantenimiento.

Nuevo: gestión de instantáneas y programaciones de CephFS

La página de CephFS añade una pestaña de Instantáneas y programaciones, por lo que la gestión de instantáneas que antes requería comandos de Ceph ahora puede realizarse directamente en UVS Manager.

Instantáneas manuales

Seleccione un directorio o subvolumen en el árbol de directorios para crear, ver y eliminar instantáneas; se muestra la hora de creación de cada instantánea.

Programaciones de instantáneas y reglas de retención

Crea programaciones de instantáneas recurrentes para un directorio (por ejemplo, cada hora, día, semana o mes) y edítalas, elimínalas o ponlas en pausa. Con las reglas de retención, el sistema elimina automáticamente las instantáneas que quedan fuera de la política; por ejemplo, conserva las últimas 24 instantáneas horarias y las 7 diarias.

Cuánto espacio ocupan las instantáneas

Las instantáneas de CephFS utilizan el mecanismo de copia al escribir: crear una instantánea no copia los datos. El espacio adicional proviene de los datos antiguos que se han modificado o eliminado después de tomar la instantánea, pero que esta aún debe conservar; el uso de disco sin procesar equivale a esa cantidad multiplicada por el número de réplicas del grupo de datos o por la sobrecarga de la codificación de borrado. Planifica las reglas de retención teniendo en cuenta la tasa de cambio de tus datos.

NFS: UID/GID anónimo establecido por clúster NFS

Anteriormente, el UID/GID anónimo de NFS (ID anónimo) era una configuración global compartida por todos los clústeres NFS. En la versión 4.19.8, se configura por clúster NFS: puede especificarlo al crear un clúster NFS y consultarlo o cambiarlo posteriormente al editar el clúster; los valores mostrados son los que realmente están activos en Ceph. Un cambio se aplica únicamente a ese clúster y no afecta a los demás.

Esto te permite separar clientes con distintos niveles de confianza; por ejemplo, asignar un clúster que presta servicio a estaciones de trabajo internas a usuarios del dominio, mientras asignas un clúster para hosts externos o de laboratorio a una cuenta sin privilegios. También corrige un problema en versiones anteriores por el que cambiar o borrar el ID anónimo de un clúster que ya tenía uno indicaba que la operación se había realizado correctamente, pero dejaba la configuración real sin cambios. Después de actualizar desde una versión anterior, cada clúster conserva la configuración que está realmente activa en Ceph; comprueba el UID/GID anónimo en la pantalla de edición de cada clúster para confirmar que sean los esperados.

Correcciones de NFSv3

Cuando varios clústeres NFS habilitan NFSv3, ahora cada uno utiliza su propia configuración sin afectar a los demás, y añadir un host a un servicio NFS con NFSv3 habilitado ya no altera su configuración de NFSv3.

Hora del sistema: varias fuentes NTP

UVS Manager anteriormente admitía un único servidor NTP. La versión 4.19.8 admite varios servidores NTP externos y permite elegir si los nodos MON de Ceph proporcionan sincronización horaria interna para el clúster; las fuentes internas y externas pueden utilizarse conjuntamente. Varias fuentes de tiempo independientes permiten al sistema contrastarlas y excluir un reloj defectuoso, lo cual es especialmente importante para un sistema distribuido como Ceph, que depende de una hora coherente entre los nodos. La configuración de la zona horaria ahora también es una lista en la que se puede buscar.

Monitoreo, informes y notificaciones

Estado de los servicios SMB y NFS en el panel

El estado de los servicios de almacenamiento en el panel ahora incluye SMB y NFS, mostrando de un vistazo el número y el estado de estos servicios.

Uso de memoria más preciso

El uso de memoria del panel ahora se calcula a partir de la memoria disponible informada por el kernel de Linux, por lo que la caché de archivos recuperable ya no se cuenta como usada. Esto evita lecturas persistentemente altas que podrían confundirse con una falta de memoria.

Intervalo de tiempo y zona horaria de los informes

Cluster Report calcula los días completos en la zona horaria del clúster (de las 00:00 de la fecha de inicio a las 24:00 de la fecha de finalización) y muestra claramente la hora de inicio, la hora de finalización y la zona horaria. Además, las fechas de los informes manuales ahora coinciden con las de los correos electrónicos de informes programados. Los correos electrónicos de informes programados también incluyen una versión en PDF del informe, y las tablas anchas del PDF ahora se muestran completas en lugar de aparecer cortadas.

Servidores SMTP sin autenticación

El nombre de usuario y la contraseña SMTP en la configuración de notificaciones ahora son opcionales, por lo que se puede utilizar un relé de correo interno que no requiera autenticación. Ahora se requiere al menos un destinatario.

Correcciones

Montaje de CephFS desde kernels de Linux antiguos

En la versión 4.19.7, los usuarios de CephX creados desde la interfaz siempre recibían claves aes256k, por lo que los clientes del kernel anteriores a Linux 7.0 no podían montar con el comando generado por CÓMO MONTAR. En la versión 4.19.8, CÓMO MONTAR permite elegir AES-128 o AES-256 al crear el usuario predeterminado: AES-128 funciona con kernels de Linux anteriores a la versión 7.0, y AES-256 está destinado a clientes compatibles con el nuevo tipo de clave, por lo que ya no es necesario crear un usuario compatible mediante comandos. Además, la página de autenticación de CephX ahora muestra el error devuelto por Ceph cuando falla la creación, edición o eliminación de un usuario, en lugar de informar que la operación se realizó correctamente.

PYMES

Cerrar sesiones y archivos abiertos en la página de ESTADO de SMB ahora tiene efecto, funciona para conexiones mantenidas por otros nodos y muestra un error si la operación falla. Agregar un recurso compartido SMB ya no sobrescribe los permisos del directorio raíz del grupo de subvolúmenes; ahora la gestión de permisos es la misma al agregar y editar recursos compartidos, y se puede seleccionar un usuario y grupo de dominio como propietario al editar un recurso compartido. Después de configurar una VIP de LVS, el servicio del clúster SMB ya no se reinicia repetidamente ni interrumpe las conexiones, y al eliminar la VIP de LVS ahora se quita la dirección de todos los nodos.

Firewall del administrador UFW

La importación de reglas ahora acepta reglas cuyo origen o destino es una red (CIDR), por lo que los archivos exportados por UVS se pueden volver a importar sin cambios, y una importación fallida ahora muestra un error en lugar de indicar que se realizó correctamente. Además, una regla cuyo destino es una red ya no pierde esa red al editarse o exportarse, lo que anteriormente la ampliaba a cualquier dirección.

Almacenamiento de objetos S3 (RGW)

Al añadir una ubicación de zona y cambiar la opción «Grupo de índices del bucket» de «Usar grupo existente» de nuevo a «Crear», ahora se crea correctamente un nuevo grupo de índices con la regla CRUSH seleccionada. Una nueva acción «Restablecer endpoint» vuelve a sincronizar los endpoints de la zona y del grupo de zonas desde UVS Manager después de que los servicios RGW se hayan modificado en otro lugar, como en el panel de Ceph.

Registros del sistema

Los registros de la interfaz de administración ahora se comprimen diariamente, lo que evita que el directorio de registros crezca sin límite y llene el disco del sistema.

Preguntas Frecuentes

▾What are the main updates in UniVirStor 4.19.8?

▾Is my system affected by php2shell?

▾Will services be interrupted during the upgrade?

▾Can Linux kernels older than 7.0 now mount CephFS?

▾How much space do CephFS snapshots use?