Vulnerabilità critiche di esecuzione di codice remoto in PHP (php2shell) risolte

Il 21 ottobre 2026, il progetto PHP ha rilasciato aggiornamenti di sicurezza urgenti per due vulnerabilità critiche, note come php2shell. In determinate condizioni, consentono a un attaccante non autenticato di eseguire codice sui server che eseguono PHP, e la notizia delle vulnerabilità è trapelata un giorno prima dell'annuncio ufficiale. L'interfaccia web di UVS Manager funziona su PHP 8.4 (nginx con PHP-FPM), quindi la versione 4.19.8 aggiorna PHP alla versione corretta 8.4.27. Questo è lo scopo principale del rilascio.

Le due CVE risolte in questa versione

Le descrizioni e i punteggi CVSS sono tratti dall'annuncio ufficiale di PHP. UniVirStor 4.19.7 e tutte le versioni precedenti includono build di PHP prive di questa correzione; pertanto, consigliamo a tutti i clienti di eseguire l'aggiornamento il prima possibile.

Cosa include la versione 4.19.8

Protezione temporanea prima dell'aggiornamento

Fino al completamento dell’aggiornamento, consigliamo di consentire l’accesso all’interfaccia web di UVS Manager solo alle reti di gestione attendibili, ad esempio limitando gli indirizzi di origine con UFW Manager o con il firewall esistente. Ciò riduce il rischio, ma non sostituisce l’aggiornamento.

Sistema operativo e Ceph aggiornati insieme

Invece di aggiornare solo PHP, questa versione coglie l’occasione per rinnovare l’intero ambiente di runtime.

Ceph aggiornato alla versione 19.2.7

Il 12 ottobre 2026, il progetto Ceph ha rilasciato Squid 19.2.7, il settimo aggiornamento di manutenzione della serie Squid. Risolva gli arresti anomali e i deadlock dei client CephFS, oltre ad altri problemi; il progetto Ceph raccomanda a tutte le implementazioni di effettuare l’aggiornamento. Sia i cluster UniVirStor 4.19.8 appena implementati sia quelli aggiornati eseguono questa versione; i siti offline possono completare l’aggiornamento con le immagini dei container incluse nel pacchetto di aggiornamento, senza accesso a Internet.

Sistema operativo e pacchetti di servizi

Il kernel del sistema operativo, nginx, Samba, la sincronizzazione dell'ora e altri pacchetti di sistema ricevono gli ultimi aggiornamenti di sicurezza e manutenzione.

Tempi di aggiornamento più brevi

Quando un aggiornamento include un nuovo kernel del sistema operativo, ogni nodo deve essere riavviato a turno. A partire dalla versione 4.19.8, il riavvio finale dell'aggiornamento utilizza un riavvio a caldo kexec: il nuovo kernel viene caricato direttamente, saltando il test automatico all'accensione del BIOS/UEFI e l'inizializzazione di RAID/HBA, riducendo così il tempo di riavvio di ciascun nodo e il periodo di inattività dei relativi OSD. Le piattaforme che non possono utilizzare un riavvio a caldo ricorrono automaticamente a un riavvio normale e l'aggiornamento prosegue come di consueto.

Come eseguire l'aggiornamento

Gli aggiornamenti vengono eseguiti con l'assistenza del supporto Ambedded. I nodi vengono aggiornati uno alla volta e i servizi su ciascun nodo vengono riavviati brevemente a turno. Si consiglia di programmare l'aggiornamento durante una finestra di manutenzione.

Novità: gestione degli snapshot e delle pianificazioni CephFS

La pagina CephFS include una scheda Snapshot e pianificazione, così la gestione degli snapshot, che in precedenza richiedeva l'uso dei comandi Ceph, può ora essere eseguita direttamente in UVS Manager.

Snapshot manuali

Seleziona una directory o un sottovolume nell'albero delle directory per creare, visualizzare ed eliminare snapshot, con l'ora di creazione di ogni snapshot indicata.

Pianificazioni degli snapshot e regole di conservazione

Crea pianificazioni ricorrenti per le istantanee di una directory (ad esempio ogni ora, ogni giorno, ogni settimana o ogni mese) e modificale, eliminale o mettile in pausa. Grazie alle regole di conservazione, il sistema rimuove automaticamente le istantanee che non rientrano nei criteri stabiliti, ad esempio conservando le ultime 24 istantanee orarie e le ultime 7 giornaliere.

Quanto spazio occupano gli snapshot

Gli snapshot di CephFS utilizzano la tecnica copy-on-write: la creazione di uno snapshot non copia i dati. Lo spazio aggiuntivo deriva dai dati precedenti che sono stati modificati o eliminati dopo la creazione dello snapshot, ma che devono ancora essere conservati dallo snapshot; l'utilizzo grezzo del disco corrisponde a tale quantità moltiplicata per il numero di repliche del pool di dati o per l'overhead della codifica di cancellazione. Pianifica le regole di conservazione tenendo conto della velocità di modifica dei dati.

NFS: UID/GID anonimi impostati per cluster NFS

In precedenza, l'UID/GID anonimo NFS (ID anonimo) era un'impostazione globale condivisa da tutti i cluster NFS. Nella versione 4.19.8 viene impostato per ogni cluster NFS: è possibile specificarlo durante la creazione di un cluster NFS e visualizzarlo o modificarlo in seguito durante la modifica del cluster; i valori mostrati sono quelli effettivamente in vigore in Ceph. Una modifica si applica solo a quel cluster e non influisce sugli altri.

Questo consente di separare i client con diversi livelli di affidabilità, ad esempio associando un cluster che serve le workstation interne agli utenti del dominio, mentre si associa un cluster per gli host esterni o di laboratorio a un account senza privilegi. Inoltre, risolve un problema presente nelle versioni precedenti per cui la modifica o la cancellazione dell'ID anonimo di un cluster che ne aveva già uno veniva segnalata come riuscita, ma lasciava invariata l'impostazione effettiva. Dopo l'aggiornamento da una versione precedente, ogni cluster mantiene le impostazioni effettivamente in vigore in Ceph; controlla l'UID/GID anonimo nella schermata di modifica di ciascun cluster per verificare che siano quelli previsti.

Correzioni di NFSv3

Quando più cluster NFS abilitano NFSv3, ora ciascuno utilizza la propria configurazione senza influire sugli altri e l'aggiunta di un host a un servizio NFS con NFSv3 abilitato non compromette più le relative impostazioni NFSv3.

Ora di sistema: più origini NTP

UVS Manager in precedenza supportava un singolo server NTP. La versione 4.19.8 supporta più server NTP esterni e consente di scegliere se i nodi Ceph MON forniscono la sincronizzazione temporale interna per il cluster; le sorgenti interne ed esterne possono essere utilizzate insieme. Più fonti temporali indipendenti consentono al sistema di verificarle reciprocamente ed escludere un orologio difettoso, un aspetto particolarmente importante per un sistema distribuito come Ceph, che dipende dalla coerenza temporale tra i nodi. Anche l'impostazione del fuso orario è ora un elenco ricercabile.

Monitoraggio, report e notifiche

Stato dei servizi SMB e NFS nel dashboard

Lo stato dei servizi di archiviazione nel dashboard ora include SMB e NFS, mostrando a colpo d’occhio il numero e lo stato di questi servizi.

Utilizzo della memoria più accurato

L’utilizzo della memoria nel dashboard viene ora calcolato in base alla memoria disponibile riportata dal kernel Linux, pertanto la cache dei file recuperabile non viene più conteggiata come utilizzata. In questo modo si evitano valori costantemente elevati che potrebbero essere scambiati per una carenza di memoria.

Intervallo di tempo e fuso orario dei report

Il Report del cluster calcola i giorni interi nel fuso orario del cluster (dalle 00:00 della data di inizio alle 24:00 della data di fine) e mostra chiaramente l'ora di inizio, l'ora di fine e il fuso orario; inoltre, le date dei report manuali ora corrispondono a quelle delle email dei report pianificati. Le email dei report pianificati includono anche una versione PDF del report e le tabelle larghe nel PDF ora vengono visualizzate per intero invece di essere tagliate.

Server SMTP senza autenticazione

Il nome utente e la password SMTP nelle impostazioni delle notifiche sono ora facoltativi, quindi è possibile utilizzare un relay di posta interno che non richiede autenticazione. Ora è richiesto almeno un destinatario.

Correzioni

Montaggio di CephFS da kernel Linux meno recenti

Nella versione 4.19.7, gli utenti CephX creati dall'interfaccia ricevevano sempre chiavi aes256k, quindi i client kernel precedenti a Linux 7.0 non potevano eseguire il montaggio con il comando generato da COME ESEGUIRE IL MONTAGGIO. Nella versione 4.19.8, COME MONTARE consente di scegliere AES-128 o AES-256 durante la creazione dell'utente predefinito: AES-128 funziona con i kernel Linux precedenti alla versione 7.0, mentre AES-256 è destinato ai client che supportano il nuovo tipo di chiave, quindi non è più necessario creare un utente compatibile tramite comandi. Inoltre, la pagina di autenticazione CephX ora mostra l'errore restituito da Ceph quando la creazione, la modifica o l'eliminazione di un utente non riesce, invece di segnalare il successo.

PMI

La chiusura delle sessioni e dei file aperti nella pagina SMB STATUS ora ha effetto, funziona per le connessioni mantenute da altri nodi e mostra un errore se l'operazione non riesce. L'aggiunta di una condivisione SMB non sovrascrive più i permessi della directory radice del gruppo di sottovolumi; la gestione dei permessi ora è la stessa per l'aggiunta e la modifica delle condivisioni, ed è possibile selezionare un utente e un gruppo di dominio come proprietari durante la modifica di una condivisione. Dopo aver impostato un VIP LVS, il servizio del cluster SMB non si riavvia più ripetutamente interrompendo le connessioni e, ora, l’eliminazione del VIP LVS rimuove l’indirizzo da ogni nodo.

Firewall di UFW Manager

L'importazione delle regole ora accetta regole la cui origine o destinazione è una rete (CIDR), quindi i file esportati da UVS possono essere reimportati senza modifiche; inoltre, un'importazione non riuscita ora mostra un errore invece di segnalare il successo. Una regola la cui destinazione è una rete non perde più tale rete quando viene modificata o esportata, cosa che in precedenza la estendeva a qualsiasi indirizzo.

Archiviazione di oggetti S3 (RGW)

Quando si aggiunge un posizionamento di zona e si modifica l’opzione Bucket Index Pool da “Usa pool esistente” a “Crea”, ora viene creato correttamente un nuovo pool di indici con la regola CRUSH selezionata. Una nuova azione Reimposta endpoint risincronizza gli endpoint della zona e del gruppo di zone da UVS Manager dopo che i servizi RGW sono stati modificati altrove, ad esempio nella dashboard di Ceph.

Registri di sistema

I registri dell'interfaccia di gestione vengono ora compressi quotidianamente, impedendo alla directory dei registri di crescere senza limiti e di riempire il disco di sistema.

Domande Frequenti

▾What are the main updates in UniVirStor 4.19.8?

▾Is my system affected by php2shell?

▾Will services be interrupted during the upgrade?

▾Can Linux kernels older than 7.0 now mount CephFS?

▾How much space do CephFS snapshots use?