Устранены критические уязвимости удалённого выполнения кода в PHP (php2shell)

21 октября 2026 года проект PHP выпустил срочные обновления безопасности для двух критических уязвимостей, известных как php2shell. При определённых условиях они позволяют неаутентифицированному злоумышленнику выполнять код на серверах под управлением PHP, а информация об уязвимостях просочилась за день до официального объявления. Веб-интерфейс UVS Manager работает на PHP 8.4 (nginx с PHP-FPM), поэтому в версии 4.19.8 PHP обновлён до исправленной версии 8.4.27. Это основная цель выпуска.

Два CVE, исправленные в этом выпуске

Описания и оценки CVSS взяты из официального объявления PHP. В UniVirStor 4.19.7 и всех более ранних версиях поставляются сборки PHP без этого исправления, поэтому мы рекомендуем всем клиентам как можно скорее выполнить обновление.

Что включает версия 4.19.8

Временная защита до обновления

До завершения обновления мы рекомендуем разрешить доступ к веб-интерфейсу UVS Manager только доверенным сетям управления, например ограничив исходные адреса с помощью UFW Manager или существующего межсетевого экрана. Это снижает риск, но не заменяет обновление.

Операционная система и Ceph обновлены одновременно

Вместо отдельного обновления PHP этот выпуск использует возможность обновить всю среду выполнения.

Ceph обновлён до версии 19.2.7

12 октября 2026 года проект Ceph выпустил Squid 19.2.7 — седьмой выпуск с исправлениями в серии Squid. Это исправляет сбои и взаимные блокировки клиентов CephFS, а также другие проблемы. Проект Ceph рекомендует обновить все развертывания. Эта версия работает как в недавно развернутых, так и в обновлённых кластерах UniVirStor 4.19.8, а автономные площадки могут выполнить обновление с помощью образов контейнеров, включённых в пакет обновления, без доступа к интернету.

Операционная система и пакеты служб

Ядро операционной системы, nginx, Samba, синхронизация времени и другие системные пакеты получают последние обновления безопасности и обслуживания.

Меньшее время обновления

Если обновление включает новое ядро операционной системы, каждый узел необходимо перезагрузить по очереди. Начиная с версии 4.19.8, при финальной перезагрузке в процессе обновления используется тёплая перезагрузка kexec: новое ядро загружается напрямую, минуя самотестирование при включении питания BIOS/UEFI и инициализацию RAID/HBA, что сокращает время перезагрузки каждого узла и период недоступности его OSD. Платформы, которые не поддерживают тёплую перезагрузку, автоматически переходят к обычной перезагрузке, после чего обновление продолжается в штатном режиме.

Как выполнить обновление

Обновления выполняются с помощью поддержки Ambedded. Узлы обновляются по одному, а службы на каждом узле по очереди ненадолго перезапускаются. Рекомендуется запланировать обновление на период технического обслуживания.

Новое: управление снимками и расписаниями CephFS

На странице CephFS появилась вкладка «Снимки и расписания», поэтому управление снимками, для которого ранее требовалось использовать команды Ceph, теперь можно выполнять непосредственно в UVS Manager.

Ручные снимки

Выберите каталог или подтом в дереве каталогов, чтобы создавать, просматривать и удалять снимки. Для каждого снимка отображается время создания.

Расписания создания снимков и правила хранения

Создавайте регулярные расписания создания снимков для каталога (например, ежечасно, ежедневно, еженедельно или ежемесячно), а также редактируйте, удаляйте или приостанавливайте их. С помощью правил хранения система автоматически удаляет снимки, которые не соответствуют политике, например сохраняя последние 24 ежечасных и 7 ежедневных снимков.

Сколько места занимают снимки

Снимки CephFS создаются по принципу копирования при записи: создание снимка не копирует данные. Дополнительное пространство занимают старые данные, изменённые или удалённые после создания снимка, но которые снимок всё ещё должен хранить; необработанное использование диска равно этому объёму, умноженному на коэффициент репликации пула данных или на накладные расходы при использовании кодирования с устранением стирания. Планируйте правила хранения с учётом скорости изменения данных.

NFS: анонимные UID/GID, заданные для каждого кластера NFS

Ранее анонимные UID/GID NFS (анонимный идентификатор) были глобальной настройкой, общей для всех кластеров NFS. В версии 4.19.8 они задаются отдельно для каждого кластера NFS: их можно указать при создании кластера NFS, а позднее просмотреть или изменить при редактировании кластера; отображаемые значения — это значения, фактически используемые в Ceph. Изменение применяется только к этому кластеру и не влияет на остальные.

Это позволяет разделять клиентов с разными уровнями доверия, например сопоставлять кластер, обслуживающий внутренние рабочие станции, с пользователями домена, а кластер для внешних узлов или узлов лаборатории — с непривилегированной учетной записью. Также исправлена проблема в предыдущих версиях: при изменении или удалении анонимного идентификатора кластера, у которого он уже был, отображалось сообщение об успешном выполнении, но фактическая настройка не изменялась. После обновления с более ранней версии каждый кластер сохраняет фактически применяемые в Ceph настройки; проверьте анонимные UID/GID на экране редактирования каждого кластера, чтобы убедиться, что они соответствуют ожидаемым значениям.

Исправления NFSv3

Когда несколько кластеров NFS включают NFSv3, каждый из них теперь использует собственную конфигурацию, не влияя на другие, а добавление хоста в службу NFS с включённым NFSv3 больше не нарушает её настройки NFSv3.

Системное время: несколько источников NTP

Ранее UVS Manager поддерживал только один NTP-сервер. В версии 4.19.8 поддерживается несколько внешних серверов NTP, а также можно выбрать, будут ли узлы Ceph MON обеспечивать внутреннюю синхронизацию времени для кластера; внутренние и внешние источники можно использовать одновременно. Несколько независимых источников времени позволяют системе сопоставлять их показания и исключать неисправные часы, что особенно важно для распределённой системы, такой как Ceph, которая зависит от согласованного времени на всех узлах. Настройка часового пояса теперь также представлена в виде списка с возможностью поиска.

Мониторинг, отчёты и уведомления

Состояние служб SMB и NFS на панели мониторинга

Теперь состояние службы хранения на панели мониторинга включает SMB и NFS, позволяя сразу увидеть количество и состояние этих служб.

Более точное использование памяти

Теперь использование памяти на панели мониторинга рассчитывается на основе объёма доступной памяти, сообщаемого ядром Linux, поэтому освобождаемый файловый кэш больше не учитывается как используемая память. Это предотвращает постоянно высокие показатели, которые можно было бы ошибочно принять за нехватку памяти.

Диапазон времени и часовой пояс отчёта

Отчёт по кластеру рассчитывает полные дни в часовом поясе кластера (с 00:00 даты начала до 24:00 даты окончания) и чётко отображает время начала, время окончания и часовой пояс, а даты ручных отчётов теперь совпадают с датами запланированных писем с отчётами. Запланированные письма с отчётами также содержат PDF-версию отчёта, а широкие таблицы в PDF теперь отображаются полностью, а не обрезаются.

SMTP-серверы без аутентификации

Имя пользователя и пароль SMTP в настройках уведомлений теперь необязательны, поэтому можно использовать внутренний почтовый ретранслятор, не требующий аутентификации. Теперь требуется указать хотя бы одного получателя.

Исправления

Монтирование CephFS из старых ядер Linux

В версии 4.19.7 пользователи CephX, созданные через интерфейс, всегда получали ключи aes256k, поэтому клиенты ядра старше Linux 7.0 не могли выполнить монтирование с помощью команды, сгенерированной в разделе «КАК ВЫПОЛНИТЬ МОНТИРОВАНИЕ». В версии 4.19.8 параметр HOW TO MOUNT позволяет выбрать AES-128 или AES-256 при создании пользователя по умолчанию: AES-128 работает с ядрами Linux старше версии 7.0, а AES-256 предназначен для клиентов, поддерживающих новый тип ключа, поэтому больше нет необходимости создавать совместимого пользователя с помощью команд. Кроме того, на странице аутентификации CephX теперь отображается ошибка, возвращаемая Ceph при сбое создания, редактирования или удаления пользователя, вместо сообщения об успешном выполнении операции.

Малый и средний бизнес

Закрытие сеансов и открытых файлов на странице SMB STATUS теперь вступает в силу, работает для подключений, удерживаемых другими узлами, и отображает ошибку в случае сбоя операции. При добавлении общего ресурса SMB разрешения корневого каталога группы подтомов больше не перезаписываются; теперь обработка разрешений одинакова для добавления и редактирования общих ресурсов, а при редактировании общего ресурса в качестве владельца можно выбрать пользователя и группу домена. После настройки виртуального IP-адреса LVS служба кластера SMB больше не перезапускается многократно и не разрывает соединения, а удаление виртуального IP-адреса LVS теперь удаляет этот адрес со всех узлов.

Брандмауэр UFW Manager

Импорт правил теперь принимает правила, в которых источником или назначением является сеть (CIDR), поэтому файлы, экспортированные UVS, можно импортировать обратно без изменений. При неудачном импорте теперь отображается ошибка вместо сообщения об успешном выполнении. Правило с сетевым назначением также больше не теряет эту сеть при редактировании или экспорте, что раньше расширяло его до любого адреса.

Объектное хранилище S3 (RGW)

При добавлении размещения зоны и переключении параметра «Пул индексов бакетов» с «Использовать существующий пул» обратно на «Создать» теперь корректно создаётся новый пул индексов с выбранным правилом CRUSH. Новое действие «Сбросить конечную точку» повторно синхронизирует конечные точки зоны и группы зон из UVS Manager после изменения служб RGW в другом месте, например в панели управления Ceph.

Системные журналы

Журналы интерфейса управления теперь ежедневно сжимаются, что предотвращает неограниченный рост каталога журналов и заполнение системного диска.

Часто задаваемые вопросы

▾What are the main updates in UniVirStor 4.19.8?

▾Is my system affected by php2shell?

▾Will services be interrupted during the upgrade?

▾Can Linux kernels older than 7.0 now mount CephFS?

▾How much space do CephFS snapshots use?