Kritieke kwetsbaarheden voor externe code-uitvoering in PHP (php2shell) opgelost

Op 21 oktober 2026 bracht het PHP-project dringende beveiligingsupdates uit voor twee kritieke kwetsbaarheden, bekend als php2shell. Onder bepaalde omstandigheden stellen ze een niet-geauthenticeerde aanvaller in staat code uit te voeren op servers waarop PHP draait, en het nieuws over de kwetsbaarheden lekte een dag vóór de officiële aankondiging uit. De webinterface van UVS Manager draait op PHP 8.4 (nginx met PHP-FPM), dus versie 4.19.8 werkt PHP bij naar de gepatchte versie 8.4.27. Dit is het belangrijkste doel van de release.

De twee CVE's die in deze release zijn opgelost

De beschrijvingen en CVSS-scores zijn overgenomen uit de officiële PHP-aankondiging. UniVirStor 4.19.7 en alle eerdere versies bevatten PHP-builds zonder deze oplossing. Daarom raden we alle klanten aan zo snel mogelijk te upgraden.

Wat 4.19.8 omvat

Tussentijdse bescherming vóór het upgraden

Totdat de upgrade is voltooid, raden we aan alleen vertrouwde beheernetwerken toegang te geven tot de webinterface van UVS Manager, bijvoorbeeld door bronadressen te beperken met UFW Manager of uw bestaande firewall. Dit verkleint het risico, maar vervangt de upgrade niet.

Besturingssysteem en Ceph samen bijgewerkt

In plaats van alleen PHP bij te werken, maakt deze release van de gelegenheid gebruik om de volledige runtimeomgeving te vernieuwen.

Ceph bijgewerkt naar 19.2.7

Op 12 oktober 2026 bracht het Ceph-project Squid 19.2.7 uit, de zevende onderhoudsrelease in de Squid-serie. Het verhelpt crashes en deadlocks van CephFS-clients, naast andere problemen, en het Ceph-project raadt aan dat alle implementaties worden bijgewerkt. Zowel nieuw geïmplementeerde als geüpgradede UniVirStor 4.19.8-clusters draaien deze versie, en offline locaties kunnen de upgrade voltooien met de containerimages die in het upgradepakket zijn opgenomen, zonder internettoegang.

Besturingssysteem- en servicepakketten

De kernel van het besturingssysteem, nginx, Samba, tijdsynchronisatie en andere systeempakketten ontvangen de nieuwste beveiligings- en onderhoudsupdates.

Kortere upgradetijd

Wanneer een upgrade een nieuwe kernel van het besturingssysteem bevat, moet elk knooppunt om de beurt opnieuw worden opgestart. Vanaf 4.19.8 maakt de laatste herstart van de upgrade gebruik van een warme herstart met kexec: de nieuwe kernel wordt rechtstreeks geladen, waarbij de BIOS/UEFI-power-on-zelftest en de initialisatie van RAID/HBA worden overgeslagen. Hierdoor worden de herstart van elke node en de tijd dat de OSD's offline zijn verkort. Platforms die geen warme herstart kunnen gebruiken, vallen automatisch terug op een normale herstart en de upgrade gaat zoals gebruikelijk door.

Upgraden

Upgrades worden uitgevoerd met behulp van Ambedded-ondersteuning. Knooppunten worden één voor één geüpgraded en de services op elk knooppunt worden beurtelings kort opnieuw gestart. We raden aan de upgrade in een onderhoudsvenster te plannen.

Nieuw: beheer van CephFS-snapshots en -planningen

De CephFS-pagina bevat nu het tabblad Snapshots en planning, zodat snapshotbeheer waarvoor eerder Ceph-opdrachten nodig waren nu rechtstreeks in UVS Manager kan worden uitgevoerd.

Handmatige snapshots

Selecteer een map of subvolume in de mappenstructuur om snapshots te maken, te bekijken en te verwijderen. De aanmaaktijd van elke snapshot wordt weergegeven.

Snapshotplanningen en bewaarbeleid

Maak terugkerende snapshotschema's voor een directory (bijvoorbeeld elk uur, dagelijks, wekelijks of maandelijks) en bewerk, verwijder of pauzeer ze. Met bewaarbeleid verwijdert het systeem automatisch snapshots die buiten het beleid vallen, bijvoorbeeld door de laatste 24 snapshots per uur en 7 dagelijkse snapshots te bewaren.

Hoeveel ruimte snapshots gebruiken

CephFS-snapshots werken volgens copy-on-write: bij het maken van een snapshot worden de gegevens niet gekopieerd. De extra ruimte is afkomstig van oude gegevens die na het maken van de snapshot zijn gewijzigd of verwijderd, maar door de snapshot nog moeten worden bewaard. Het onbewerkte schijfgebruik is die hoeveelheid vermenigvuldigd met het aantal replica's van de gegevenspool of de overhead van erasure coding. Stel retentieregels op met uw gegevenswijzigingssnelheid in gedachten.

NFS: Anonieme UID/GID ingesteld per NFS-cluster

Voorheen was de anonieme UID/GID van NFS (anonieme ID) een globale instelling die door alle NFS-clusters werd gedeeld. In 4.19.8 wordt deze per NFS-cluster ingesteld: u kunt deze opgeven bij het aanmaken van een NFS-cluster en later bekijken of wijzigen bij het bewerken van het cluster. De weergegeven waarden zijn de waarden die daadwerkelijk in Ceph van kracht zijn. Een wijziging is alleen van toepassing op dat cluster en heeft geen invloed op de andere clusters.

Hiermee kunt u clients met verschillende vertrouwensniveaus van elkaar scheiden, bijvoorbeeld door een cluster dat interne werkstations bedient, toe te wijzen aan domeingebruikers en een cluster voor externe of labhosts toe te wijzen aan een account zonder beheerdersrechten. Het verhelpt ook een probleem in eerdere versies waarbij het wijzigen of wissen van de anonieme ID van een cluster die er al een had, als geslaagd werd gemeld, terwijl de daadwerkelijke instelling ongewijzigd bleef. Na een upgrade vanaf een eerdere versie behoudt elk cluster de instellingen die daadwerkelijk van kracht zijn in Ceph; controleer de anonieme UID/GID op het bewerkingsscherm van elk cluster om te bevestigen dat deze naar verwachting zijn.

NFSv3-oplossingen

Wanneer meerdere NFS-clusters NFSv3 inschakelen, gebruikt elk cluster nu zijn eigen configuratie zonder de andere te beïnvloeden. Bovendien worden de NFSv3-instellingen niet langer verbroken wanneer een host wordt toegevoegd aan een NFS-service waarin NFSv3 is ingeschakeld.

Systeemtijd: meerdere NTP-bronnen

UVS Manager ondersteunde voorheen één NTP-server. 4.19.8 ondersteunt meerdere externe NTP-servers en laat u kiezen of de Ceph MON-nodes interne tijdsynchronisatie voor het cluster bieden; interne en externe bronnen kunnen samen worden gebruikt. Meerdere onafhankelijke tijdbronnen stellen het systeem in staat deze onderling te controleren en een defecte klok uit te sluiten. Dit is vooral belangrijk voor een gedistribueerd systeem zoals Ceph, dat afhankelijk is van een consistente tijd op alle knooppunten. De tijdzone-instelling is nu ook een doorzoekbare lijst.

Monitoring, rapporten en meldingen

Status van SMB- en NFS-services op het dashboard

De status van opslagservices op het dashboard bevat nu SMB en NFS, zodat u in één oogopslag het aantal en de status van deze services kunt zien.

Nauwkeuriger geheugengebruik

Het geheugengebruik op het dashboard wordt nu berekend op basis van het beschikbare geheugen dat door de Linux-kernel wordt gerapporteerd. Hierdoor wordt vrij te maken bestandscache niet langer als gebruikt meegeteld. Dit voorkomt aanhoudend hoge waarden die ten onrechte kunnen worden aangezien voor een geheugentekort.

Tijdsbereik en tijdzone van rapporten

Cluster Report berekent volledige dagen in de tijdzone van het cluster (00:00 op de startdatum tot 24:00 op de einddatum) en toont duidelijk de starttijd, eindtijd en tijdzone. De datums van handmatige rapporten komen nu ook overeen met die van geplande rapport-e-mails. Geplande rapport-e-mails bevatten bovendien een pdf-versie van het rapport, en brede tabellen in de pdf worden nu volledig weergegeven in plaats van afgesneden te worden.

SMTP-servers zonder authenticatie

De SMTP-gebruikersnaam en het wachtwoord in de meldingsinstellingen zijn nu optioneel, zodat een interne mailrelay die geen authenticatie vereist, kan worden gebruikt. Er is nu ten minste één ontvanger vereist.

Oplossingen

CephFS-koppeling vanuit oudere Linux-kernels

In 4.19.7 ontvingen CephX-gebruikers die via de interface werden aangemaakt altijd aes256k-sleutels, waardoor kernelclients ouder dan Linux 7.0 niet konden koppelen met de opdracht die door HOE TE KOPPELEN werd gegenereerd. In 4.19.8 kunt u met HOE TE KOPPELEN kiezen voor AES-128 of AES-256 bij het aanmaken van de standaardgebruiker: AES-128 werkt met Linux-kernels ouder dan 7.0 en AES-256 is bedoeld voor clients die het nieuwe sleuteltype ondersteunen. Het is dus niet langer nodig om met opdrachten een compatibele gebruiker aan te maken. Daarnaast toont de CephX Auth-pagina nu de foutmelding die door Ceph wordt geretourneerd wanneer het aanmaken, bewerken of verwijderen van een gebruiker mislukt, in plaats van succes te melden.

MKB

Het sluiten van sessies en geopende bestanden op de SMB-STATUS-pagina wordt nu direct toegepast, werkt voor verbindingen die door andere nodes worden beheerd en geeft een foutmelding weer als de bewerking mislukt. Het toevoegen van een SMB-share overschrijft niet langer de machtigingen van de hoofdmap van de subvolumegroep. De machtigingsverwerking is nu hetzelfde voor het toevoegen en bewerken van shares, en bij het bewerken van een share kan een domeingebruiker en -groep als eigenaar worden geselecteerd. Nadat een LVS VIP is ingesteld, wordt de SMB-clusterservice niet langer herhaaldelijk opnieuw gestart en worden verbindingen niet meer verbroken. Als de LVS VIP wordt verwijderd, wordt het adres nu van elk knooppunt verwijderd.

UFW Manager-firewall

Het importeren van regels accepteert nu regels waarvan de bron of bestemming een netwerk (CIDR) is, zodat bestanden die door UVS zijn geëxporteerd ongewijzigd opnieuw kunnen worden geïmporteerd. Bij een mislukte import wordt nu een fout weergegeven in plaats van dat de import als geslaagd wordt gemeld. Een regel waarvan de bestemming een netwerk is, verliest dat netwerk ook niet meer bij het bewerken of exporteren, waardoor de bestemming voorheen werd verruimd naar elk adres.

S3-objectopslag (RGW)

Bij het toevoegen van een zoneplaatsing en het terugschakelen van de optie Indexpool van “Bestaande pool gebruiken” naar “Maken”, wordt er nu correct een nieuwe indexpool aangemaakt met de geselecteerde CRUSH-regel. Met de nieuwe actie Eindpunt resetten worden de eindpunten van de zone en zonegroep opnieuw gesynchroniseerd vanuit UVS Manager nadat RGW-services elders zijn gewijzigd, bijvoorbeeld in het Ceph-dashboard.

Systeemlogboeken

Logboeken van de beheerinterface worden nu dagelijks gecomprimeerd, zodat de logboekmap niet onbeperkt groeit en de systeemschijf vol raakt.

Veelgestelde Vragen

▾What are the main updates in UniVirStor 4.19.8?

▾Is my system affected by php2shell?

▾Will services be interrupted during the upgrade?

▾Can Linux kernels older than 7.0 now mount CephFS?

▾How much space do CephFS snapshots use?