重大なPHPリモートコード実行脆弱性（php2shell）を修正

2026年10月21日、PHPプロジェクトは「php2shell」として知られる2件の重大な脆弱性に対する緊急セキュリティアップデートをリリースしました。 特定の条件下では、認証されていない攻撃者がPHPを実行しているサーバー上でコードを実行できるようになり、脆弱性に関する情報は公式発表の1日前に漏洩しました。 UVS ManagerのWebインターフェースはPHP 8.4（PHP-FPMを使用するnginx）で動作するため、4.19.8では修正版の8.4.27にPHPをアップグレードします。 これがリリースの主な目的です。

このリリースで修正された2件のCVE

説明およびCVSSスコアは、PHP公式発表から引用しています。UniVirStor 4.19.7以前のすべてのバージョンには、この修正が適用されていないPHPビルドが含まれているため、すべてのお客様にできるだけ早くアップグレードすることを推奨します。

4.19.8の対象範囲

アップグレード前の暫定的な保護

アップグレードが完了するまで、信頼できる管理ネットワークからのみUVS Managerのウェブインターフェースにアクセスできるようにすることを推奨します。たとえば、UFW Managerまたは既存のファイアウォールで送信元アドレスを制限してください。これによりリスクは軽減されますが、アップグレードの代わりにはなりません。

オペレーティングシステムとCephを同時に更新

PHPだけを更新するのではなく、このリリースではランタイム環境全体を刷新します。

Cephを19.2.7にアップグレード

2026年10月12日、CephプロジェクトはSquidシリーズの7回目のメンテナンスリリースであるSquid 19.2.7をリリースしました。 CephFSクライアントのクラッシュやデッドロックなどの問題を修正しており、Cephプロジェクトはすべてのデプロイメントに更新を推奨しています。 新規に導入されたUniVirStor 4.19.8クラスタとアップグレードされたUniVirStor 4.19.8クラスタの両方でこのバージョンが実行されます。また、オフラインサイトでは、インターネット接続なしで、アップグレードパッケージに含まれるコンテナイメージを使用して

オペレーティングシステムとサービスパッケージ

オペレーティングシステムのカーネル、nginx、Samba、時刻同期、その他のシステムパッケージに、最新のセキュリティおよびメンテナンスアップデートが適用されます。

アップグレード時間の短縮

アップグレードに新しいオペレーティングシステムカーネルが含まれる場合、各ノードを順番に再起動する必要があります。 4.19.8以降、アップグレード時の最後の再起動ではkexecによるウォームリブートを使用します。新しいカーネルが直接ロードされるため、BIOS/UEFIの電源投入時セルフテストとRAID/HBAの初期化が省略され、各ノードの再起動時間とOSDがオフラインになる時間が短縮されます。 ウォームリブートを使用できないプラットフォームでは、自動的に通常のリブートにフォールバックし、アップグレードは通常どおり続行されます。

アップグレード方法

アップグレードはAmbeddedのサポートを利用して実施します。ノードは1台ずつアップグレードされ、各ノード上のサービスが順番に短時間再起動します。メンテナンス時間帯にアップグレードを実施することをお勧めします。

新機能：CephFSスナップショットとスケジュール管理

CephFSページに「スナップショットとスケジュール」タブが追加されました。これまでCephコマンドが必要だったスナップショット管理を、UVS Managerから直接行えるようになりました。

手動スナップショット

ディレクトリツリーでディレクトリまたはサブボリュームを選択すると、スナップショットの作成、表示、削除を行えます。各スナップショットの作成時刻も表示されます。

スナップショットのスケジュールと保持ルール

ディレクトリの定期スナップショットスケジュール（毎時、毎日、毎週、毎月など）を作成し、編集、削除、または一時停止できます。保持ルールを設定すると、システムがポリシーの対象外となったスナップショットを自動的に削除します。たとえば、直近24件の毎時スナップショットと7件の毎日スナップショットを保持できます。

スナップショットが使用する容量

CephFSのスナップショットはコピーオンライト方式です。スナップショットを作成しても、データがコピーされることはありません。追加の容量は、スナップショット取得後に変更または削除されたものの、スナップショットによって保持し続ける必要がある古いデータによって消費されます。rawディスク使用量は、その容量にデータプールのレプリカ数またはイレージャーコーディングのオーバーヘッドを乗じたものです。データの変更率を考慮して、保持ルールを計画してください。

NFS：NFSクラスターごとに匿名UID/GIDを設定

以前は、NFS の匿名 UID/GID（匿名 ID）は、すべての NFS クラスターで共有されるグローバル設定でした。4.19.8 では、NFS クラスターごとに設定されます。NFS クラスターの作成時に指定でき、後からクラスターの編集時に確認または変更できます。表示される値は、Ceph で実際に適用されている値です。変更はそのクラスターにのみ適用され、他のクラスターには影響しません。

これにより、信頼レベルの異なるクライアントを分離できます。たとえば、内部ワークステーションにサービスを提供するクラスターをドメインユーザーにマッピングし、外部ホストやラボホスト用のクラスターを権限のないアカウントにマッピングできます。 また、匿名IDがすでに設定されているクラスターで匿名IDを変更またはクリアした際に、成功と報告されるものの実際の設定は変更されない、以前のバージョンにおける問題も修正します。 以前のバージョンからアップグレードした後、各クラスターではCephで実際に適用されている設定が保持されます。各クラスターの編集画面で匿名UID/GIDを確認し、想定どおりであることを確認してください。

NFSv3の修正

複数のNFSクラスターでNFSv3を有効にした場合、それぞれが他に影響を与えず独自の設定を使用するようになりました。また、NFSv3を有効にしたNFSサービスにホストを追加しても、NFSv3の設定が壊れなくなりました。

システム時刻：複数のNTPソース

UVS Managerは以前、単一のNTPサーバーをサポートしていました。 4.19.8では複数の外部NTPサーバーをサポートし、Ceph MONノードがクラスターに内部時刻同期を提供するかどうかを選択できます。内部ソースと外部ソースは併用できます。 複数の独立した時刻ソースを使用すると、システムはそれらを相互検証して故障したクロックを除外できます。これは、ノード間で一貫した時刻に依存するCephのような分散システムでは特に重要です。 タイムゾーン設定も検索可能なリストになりました。

監視、レポート、通知

ダッシュボードのSMBおよびNFSサービスのステータス

ダッシュボードのストレージサービスのステータスにSMBとNFSが追加され、これらのサービスの数とステータスを一目で確認できるようになりました。

より正確なメモリ使用量

ダッシュボードのメモリ使用量は、Linuxカーネルが報告する利用可能なメモリを基に計算されるようになり、回収可能なファイルキャッシュは使用済みとしてカウントされなくなりました。これにより、メモリ不足と誤解される可能性のある、常に高い使用量の表示を防ぎます。

レポートの期間とタイムゾーン

クラスター レポートは、クラスターのタイムゾーンに基づいて丸1日（開始日の00:00から終了日の24:00まで）を計算し、開始時刻、終了時刻、タイムゾーンを明確に表示します。また、手動レポートの日付が、スケジュール設定されたレポートメールの日付と一致するようになりました。スケジュール設定されたレポートメールにはレポートのPDF版も含まれ、PDF内の幅広いテーブルも途中で切れず、全体が表示されるようになりました。

認証なしのSMTPサーバー

通知設定のSMTPユーザー名とパスワードがオプションになり、認証を必要としない内部メールリレーを使用できるようになりました。現在は、少なくとも1人の受信者が必要です。

修正

古いLinuxカーネルからのCephFSマウント

4.19.7では、インターフェースから作成されたCephXユーザーは常にaes256kキーを受け取っていたため、Linux 7.0より前のカーネルクライアントは「マウント方法」で生成されたコマンドを使用してマウントできませんでした。 4.19.8では、デフォルトユーザーの作成時に「マウント方法」でAES-128またはAES-256を選択できます。AES-128は7.0未満のLinuxカーネルで動作し、AES-256は新しいキータイプをサポートするクライアント向けです。そのため、コマンドで互換性のあるユーザーを作成する必要はなくなりました。 さらに、CephX Authページでは、ユーザーの作成、編集、削除に失敗した際に成功と報告するのではなく、Cephから返されたエラーが表示されるようになりました。

中小企業

SMB STATUSページでセッションと開いているファイルを閉じる操作が即時に反映されるようになり、他のノードが保持している接続にも適用され、操作に失敗した場合はエラーが表示されるようになりました。 SMB共有を追加してもサブボリュームグループのルートディレクトリの権限が上書きされなくなり、共有の追加時と編集時で権限の処理が統一されました。また、共有の編集時にドメインユーザーおよびドメイングループを所有者として選択できるようになりました。 LVS VIPを設定すると、SMBクラスタサービスが繰り返し再起動して接続を切断することがなくなり、LVS VIPを削除すると、すべてのノードからアドレスが削除されるようになりました。

UFWマネージャーファイアウォール

ルールのインポートで、送信元または送信先がネットワーク（CIDR）のルールを受け付けるようになりました。これにより、UVSでエクスポートしたファイルを変更せずに再インポートできます。また、インポートに失敗した場合は成功と報告されず、エラーが表示されるようになりました。送信先がネットワークであるルールを編集またはエクスポートしても、そのネットワークが失われなくなりました。以前は、これにより任意のアドレスに拡大されていました。

S3オブジェクトストレージ（RGW）

ゾーン配置を追加し、「インデックスプール」オプションを「既存のプールを使用」から「作成」に戻すと、選択したCRUSHルールで新しいインデックスプールが正しく作成されるようになりました。新しい「エンドポイントをリセット」アクションにより、Ceph Dashboardなど別の場所でRGWサービスを変更した後、UVS Managerからゾーンおよびゾーングループのエンドポイントを再同期できます。

システムログ

管理インターフェースのログが毎日圧縮されるようになり、ログディレクトリが無制限に増大してシステムディスクを圧迫するのを防ぎます。

よくある質問

▾What are the main updates in UniVirStor 4.19.8?

▾Is my system affected by php2shell?

▾Will services be interrupted during the upgrade?

▾Can Linux kernels older than 7.0 now mount CephFS?

▾How much space do CephFS snapshots use?