Naprawiono krytyczne luki umożliwiające zdalne wykonanie kodu PHP (php2shell)

21 października 2026 roku projekt PHP wydał pilne aktualizacje zabezpieczeń dotyczące dwóch krytycznych luk, znanych jako php2shell. W określonych warunkach umożliwiają nieuwierzytelnionemu atakującemu wykonanie kodu na serwerach korzystających z PHP, a informacje o lukach wyciekły dzień przed oficjalnym ogłoszeniem. Interfejs internetowy UVS Manager działa na PHP 8.4 (nginx z PHP-FPM), dlatego wersja 4.19.8 aktualizuje PHP do poprawionej wersji 8.4.27. To jest główny cel tego wydania.

Dwa CVE naprawione w tej wersji

Opisy i wyniki CVSS pochodzą z oficjalnego komunikatu PHP. Wersja UniVirStor 4.19.7 oraz wszystkie wcześniejsze wersje zawierają kompilacje PHP bez tej poprawki, dlatego zalecamy wszystkim klientom jak najszybszą aktualizację.

Zakres wersji 4.19.8

Tymczasowa ochrona przed aktualizacją

Do czasu zakończenia aktualizacji zalecamy zezwolenie na dostęp do interfejsu internetowego UVS Managera wyłącznie zaufanym sieciom zarządzającym, na przykład poprzez ograniczenie adresów źródłowych za pomocą UFW Managera lub istniejącej zapory sieciowej. Zmniejsza to ryzyko, ale nie zastępuje aktualizacji.

System operacyjny i Ceph zaktualizowane jednocześnie

Zamiast aktualizować wyłącznie PHP, to wydanie wykorzystuje okazję do odświeżenia całego środowiska uruchomieniowego.

Ceph zaktualizowany do wersji 19.2.7

12 października 2026 roku projekt Ceph wydał Squid 19.2.7, siódme wydanie konserwacyjne w serii Squid. Naprawia awarie i zakleszczenia klientów CephFS oraz inne problemy, a projekt Ceph zaleca aktualizację wszystkich wdrożeń. Zarówno nowo wdrożone, jak i zaktualizowane klastry UniVirStor 4.19.8 korzystają z tej wersji, a lokalizacje offline mogą ukończyć aktualizację za pomocą obrazów kontenerów dołączonych do pakietu aktualizacyjnego, bez dostępu do Internetu.

Pakiety systemu operacyjnego i usług

Jądro systemu operacyjnego, nginx, Samba, synchronizacja czasu i inne pakiety systemowe otrzymują najnowsze aktualizacje zabezpieczeń i konserwacyjne.

Krótszy czas aktualizacji

Gdy aktualizacja obejmuje nowe jądro systemu operacyjnego, każdy węzeł musi zostać kolejno uruchomiony ponownie. Począwszy od wersji 4.19.8, końcowy restart podczas aktualizacji wykorzystuje ciepły restart kexec: nowe jądro jest ładowane bezpośrednio, z pominięciem autotestu BIOS/UEFI podczas uruchamiania oraz inicjalizacji RAID/HBA, co skraca czas restartu każdego węzła i czas, przez który jego OSD są niedostępne. Platformy, które nie mogą użyć ciepłego ponownego uruchomienia, automatycznie przechodzą na zwykłe ponowne uruchomienie, a aktualizacja jest kontynuowana jak zwykle.

Jak przeprowadzić aktualizację

Aktualizacje są przeprowadzane przy wsparciu firmy Ambedded. Węzły są aktualizowane pojedynczo, a usługi na każdym węźle są kolejno na krótko uruchamiane ponownie. Zalecamy zaplanowanie aktualizacji w oknie serwisowym.

Nowość: zarządzanie migawkami i harmonogramami CephFS

Na stronie CephFS dodano kartę Migawki i harmonogramy, dzięki czemu zarządzanie migawkami, które wcześniej wymagało użycia poleceń Ceph, można teraz wykonywać bezpośrednio w UVS Manager.

Migawki ręczne

Wybierz katalog lub podwolumin w drzewie katalogów, aby tworzyć, wyświetlać i usuwać migawki oraz sprawdzać czas utworzenia każdej z nich.

Harmonogramy migawek i reguły przechowywania

Twórz cykliczne harmonogramy migawek dla katalogu (na przykład godzinowe, dzienne, tygodniowe lub miesięczne) oraz edytuj je, usuwaj lub wstrzymuj. Dzięki regułom przechowywania system automatycznie usuwa migawki, które nie mieszczą się w zasadach, na przykład zachowując 24 ostatnie migawki godzinowe i 7 ostatnich migawek dziennych.

Ile miejsca zajmują migawki

Migawki CephFS korzystają z mechanizmu copy-on-write: utworzenie migawki nie powoduje kopiowania danych. Dodatkowe miejsce zajmują stare dane, które zostały zmodyfikowane lub usunięte po wykonaniu migawki, ale nadal muszą być przechowywane przez migawkę, a surowe wykorzystanie dysku odpowiada tej ilości pomnożonej przez liczbę replik w puli danych lub narzut kodowania korekcyjnego. Planuj zasady przechowywania, uwzględniając tempo zmian danych.

NFS: Anonimowy UID/GID ustawiany dla każdego klastra NFS

Wcześniej anonimowy UID/GID NFS (anonimowy identyfikator) był globalnym ustawieniem współdzielonym przez wszystkie klastry NFS. W wersji 4.19.8 jest on ustawiany dla każdego klastra NFS osobno: można go określić podczas tworzenia klastra NFS, a później wyświetlać lub zmieniać podczas edycji klastra. Wyświetlane wartości to wartości faktycznie obowiązujące w Ceph. Zmiana dotyczy tylko tego klastra i nie wpływa na pozostałe.

Pozwala to oddzielić klientów o różnych poziomach zaufania, na przykład mapując klaster obsługujący wewnętrzne stacje robocze na użytkowników domeny, a klaster przeznaczony dla hostów zewnętrznych lub laboratoryjnych na konto bez uprawnień. Naprawia również problem występujący we wcześniejszych wersjach, w których zmiana lub wyczyszczenie anonimowego identyfikatora klastra, który już go posiadał, zgłaszało powodzenie, ale pozostawiało rzeczywiste ustawienie bez zmian. Po aktualizacji z wcześniejszej wersji każdy klaster zachowuje ustawienia faktycznie obowiązujące w Ceph; sprawdź anonimowy UID/GID na ekranie edycji każdego klastra, aby potwierdzić, że są zgodne z oczekiwaniami.

Poprawki NFSv3

Gdy kilka klastrów NFS ma włączoną obsługę NFSv3, każdy z nich korzysta teraz z własnej konfiguracji bez wpływu na pozostałe, a dodanie hosta do usługi NFS z włączoną obsługą NFSv3 nie powoduje już uszkodzenia jej ustawień NFSv3.

Czas systemowy: wiele źródeł NTP

UVS Manager wcześniej obsługiwał pojedynczy serwer NTP. Wersja 4.19.8 obsługuje wiele zewnętrznych serwerów NTP i pozwala wybrać, czy węzły Ceph MON mają zapewniać wewnętrzną synchronizację czasu dla klastra; źródeł wewnętrznych i zewnętrznych można używać jednocześnie. Wiele niezależnych źródeł czasu pozwala systemowi wzajemnie je weryfikować i wykluczać wadliwy zegar, co ma szczególne znaczenie w przypadku systemu rozproszonego, takiego jak Ceph, który zależy od spójnego czasu we wszystkich węzłach. Ustawienie strefy czasowej jest teraz również dostępne na liście z funkcją wyszukiwania.

Monitorowanie, raporty i powiadomienia

Stan usług SMB i NFS na pulpicie

Stan usług pamięci masowej na pulpicie obejmuje teraz SMB i NFS, pokazując na pierwszy rzut oka liczbę i stan tych usług.

Dokładniejsze wykorzystanie pamięci

Wykorzystanie pamięci na pulpicie jest teraz obliczane na podstawie dostępnej pamięci zgłaszanej przez jądro systemu Linux, dzięki czemu możliwa do odzyskania pamięć podręczna plików nie jest już liczona jako używana. Zapobiega to stale wysokim odczytom, które można by pomylić z brakiem pamięci.

Zakres czasu i strefa czasowa raportu

Raport klastra oblicza pełne dni w strefie czasowej klastra (od 00:00 w dniu rozpoczęcia do 24:00 w dniu zakończenia) oraz wyraźnie pokazuje godzinę rozpoczęcia, godzinę zakończenia i strefę czasową. Daty raportów tworzonych ręcznie są teraz zgodne z datami zaplanowanych wiadomości e-mail z raportami. Zaplanowane wiadomości e-mail z raportami zawierają również wersję raportu w formacie PDF, a szerokie tabele w pliku PDF są teraz wyświetlane w całości, zamiast być obcinane.

Serwery SMTP bez uwierzytelniania

Nazwa użytkownika i hasło SMTP w ustawieniach powiadomień są teraz opcjonalne, dzięki czemu można używać wewnętrznego przekaźnika poczty, który nie wymaga uwierzytelniania. Teraz wymagany jest co najmniej jeden odbiorca.

Poprawki

Montowanie CephFS ze starszych jąder Linuksa

W wersji 4.19.7 użytkownicy CephX utworzeni za pomocą interfejsu zawsze otrzymywali klucze aes256k, dlatego klienci korzystający z jądra starszego niż Linux 7.0 nie mogli zamontować zasobu za pomocą polecenia wygenerowanego przez funkcję JAK ZAMONTOWAĆ. W wersji 4.19.8 opcja JAK MONTOWAĆ pozwala wybrać AES-128 lub AES-256 podczas tworzenia domyślnego użytkownika: AES-128 działa z jądrami Linuksa starszymi niż 7.0, a AES-256 jest przeznaczony dla klientów obsługujących nowy typ klucza, więc nie ma już potrzeby tworzenia kompatybilnego użytkownika za pomocą poleceń. Ponadto strona uwierzytelniania CephX wyświetla teraz błąd zwrócony przez Ceph, gdy tworzenie, edytowanie lub usuwanie użytkownika zakończy się niepowodzeniem, zamiast informować o sukcesie.

MŚP

Zamykanie sesji i otwartych plików na stronie STATUS SMB zaczyna teraz obowiązywać, działa w przypadku połączeń utrzymywanych przez inne węzły i wyświetla błąd, jeśli operacja się nie powiedzie. Dodanie udziału SMB nie nadpisuje już uprawnień katalogu głównego grupy podwoluminów. Obsługa uprawnień jest teraz taka sama podczas dodawania i edytowania udziałów, a podczas edytowania udziału można wybrać użytkownika domenowego i grupę domenową jako właściciela. Po ustawieniu wirtualnego adresu IP LVS usługa klastra SMB nie uruchamia się już wielokrotnie ponownie ani nie zrywa połączeń, a usunięcie wirtualnego adresu IP LVS powoduje teraz usunięcie adresu ze wszystkich węzłów.

Zapora sieciowa Menedżera UFW

Importowanie reguł akceptuje teraz reguły, których źródłem lub miejscem docelowym jest sieć (CIDR), dzięki czemu pliki wyeksportowane przez UVS można ponownie zaimportować bez zmian, a nieudany import wyświetla teraz błąd zamiast zgłaszać powodzenie. Reguła, której miejscem docelowym jest sieć, nie traci już tej sieci podczas edycji ani eksportowania, co wcześniej rozszerzało ją na dowolny adres.

Magazyn obiektów S3 (RGW)

Podczas dodawania umiejscowienia strefy i przełączania opcji Puli indeksów Bucket z „Użyj istniejącej puli” z powrotem na „Utwórz” nowa pula indeksów jest teraz prawidłowo tworzona z wybraną regułą CRUSH. Nowa akcja Resetuj punkt końcowy ponownie synchronizuje punkty końcowe strefy i grupy stref z UVS Manager po zmianie usług RGW w innym miejscu, na przykład w panelu Ceph.

Dzienniki systemowe

Dzienniki interfejsu zarządzania są teraz codziennie kompresowane, co zapobiega nieograniczonemu rozrostowi katalogu dzienników i zapełnieniu dysku systemowego.

Najczęściej Zadawane Pytania

▾What are the main updates in UniVirStor 4.19.8?

▾Is my system affected by php2shell?

▾Will services be interrupted during the upgrade?

▾Can Linux kernels older than 7.0 now mount CephFS?

▾How much space do CephFS snapshots use?