Đã khắc phục các lỗ hổng thực thi mã từ xa nghiêm trọng trong PHP (php2shell)

Vào ngày 21 tháng 10 năm 2026, dự án PHP đã phát hành các bản cập nhật bảo mật khẩn cấp cho hai lỗ hổng nghiêm trọng, được biết đến với tên gọi php2shell. Trong một số điều kiện nhất định, chúng cho phép kẻ tấn công chưa được xác thực thực thi mã trên các máy chủ chạy PHP, và thông tin về các lỗ hổng đã bị rò rỉ một ngày trước thông báo chính thức. Giao diện web UVS Manager chạy trên PHP 8.4 (nginx với PHP-FPM), vì vậy phiên bản 4.19.8 nâng cấp PHP lên bản 8.4.27 đã được khắc phục. Đây là mục đích chính của bản phát hành.

Hai CVE được khắc phục trong bản phát hành này

Mô tả và điểm CVSS được lấy từ thông báo chính thức của PHP. UniVirStor 4.19.7 và tất cả các phiên bản trước đó đều đi kèm các bản dựng PHP chưa có bản sửa lỗi này, vì vậy chúng tôi khuyến nghị tất cả khách hàng nâng cấp sớm nhất có thể.

Phạm vi của phiên bản 4.19.8

Bảo vệ tạm thời trước khi nâng cấp

Cho đến khi hoàn tất nâng cấp, chúng tôi khuyến nghị chỉ cho phép các mạng quản trị đáng tin cậy truy cập giao diện web UVS Manager, chẳng hạn bằng cách hạn chế địa chỉ nguồn với UFW Manager hoặc tường lửa hiện có của bạn. Điều này giúp giảm rủi ro nhưng không thay thế cho việc nâng cấp.

Hệ điều hành và Ceph được cập nhật cùng nhau

Thay vì chỉ cập nhật PHP, bản phát hành này tận dụng cơ hội để làm mới toàn bộ môi trường thời gian chạy.

Ceph được nâng cấp lên phiên bản 19.2.7

Vào ngày 12 tháng 10 năm 2026, dự án Ceph đã phát hành Squid 19.2.7, bản phát hành bảo trì thứ bảy trong dòng Squid. Bản cập nhật này khắc phục sự cố ứng dụng khách CephFS bị treo và bế tắc cùng nhiều vấn đề khác; dự án Ceph khuyến nghị tất cả các hệ thống triển khai nên cập nhật. Cả các cụm UniVirStor 4.19.8 mới triển khai và được nâng cấp đều chạy phiên bản này, đồng thời các site ngoại tuyến có thể hoàn tất quá trình nâng cấp bằng các image container đi kèm trong gói nâng cấp mà không cần truy cập Internet.

Hệ điều hành và các gói dịch vụ

Nhân hệ điều hành, nginx, Samba, đồng bộ hóa thời gian và các gói hệ thống khác nhận được những bản cập nhật bảo mật và bảo trì mới nhất.

Thời gian nâng cấp ngắn hơn

Khi bản nâng cấp bao gồm một nhân hệ điều hành mới, mỗi nút phải được khởi động lại lần lượt. Bắt đầu từ phiên bản 4.19.8, lần khởi động lại cuối cùng trong quá trình nâng cấp sử dụng cơ chế khởi động lại nóng kexec: kernel mới được tải trực tiếp, bỏ qua quá trình tự kiểm tra khi bật nguồn của BIOS/UEFI và quá trình khởi tạo RAID/HBA, giúp rút ngắn thời gian khởi động lại của mỗi nút cũng như thời gian các OSD của nút đó ngoại tuyến. Các nền tảng không thể sử dụng khởi động lại nhanh sẽ tự động chuyển sang khởi động lại thông thường và quá trình nâng cấp vẫn tiếp tục như bình thường.

Cách nâng cấp

Việc nâng cấp được thực hiện với sự hỗ trợ của Ambedded. Các nút được nâng cấp lần lượt từng nút một và các dịch vụ trên mỗi nút sẽ lần lượt khởi động lại trong thời gian ngắn. Chúng tôi khuyến nghị lên lịch nâng cấp trong thời gian bảo trì.

Mới: Quản lý ảnh chụp nhanh và lịch trình CephFS

Trang CephFS bổ sung tab Ảnh chụp nhanh & Lịch trình, cho phép thực hiện trực tiếp trong UVS Manager các thao tác quản lý ảnh chụp nhanh trước đây cần dùng lệnh Ceph.

Ảnh chụp nhanh thủ công

Chọn một thư mục hoặc ổ đĩa con trong cây thư mục để tạo, xem và xóa ảnh chụp nhanh; thời gian tạo của từng ảnh chụp nhanh cũng được hiển thị.

Lịch trình ảnh chụp nhanh và quy tắc lưu giữ

Tạo lịch chụp nhanh định kỳ cho một thư mục (ví dụ: theo giờ, hàng ngày, hàng tuần hoặc hàng tháng), đồng thời chỉnh sửa, xóa hoặc tạm dừng các lịch này. Với các quy tắc lưu giữ, hệ thống sẽ tự động xóa những bản chụp nhanh nằm ngoài chính sách, chẳng hạn như giữ lại 24 bản chụp nhanh theo giờ gần nhất và 7 bản chụp nhanh hàng ngày.

Ảnh chụp nhanh sử dụng bao nhiêu dung lượng

Ảnh chụp nhanh CephFS sử dụng cơ chế sao chép khi ghi: việc tạo ảnh chụp nhanh không sao chép dữ liệu. Dung lượng bổ sung đến từ dữ liệu cũ đã bị sửa đổi hoặc xóa sau khi ảnh chụp nhanh được tạo nhưng vẫn phải được ảnh chụp nhanh lưu giữ; mức sử dụng đĩa thô là lượng dữ liệu đó nhân với số bản sao của nhóm dữ liệu hoặc phần chi phí bổ sung do mã hóa xóa. Hãy lập quy tắc lưu giữ dựa trên tốc độ thay đổi dữ liệu của bạn.

NFS: Thiết lập UID/GID ẩn danh cho mỗi cụm NFS

Trước đây, UID/GID ẩn danh NFS (ID ẩn danh) là một cài đặt toàn cục được chia sẻ bởi tất cả các cụm NFS. Trong phiên bản 4.19.8, cài đặt này được thiết lập riêng cho từng cụm NFS: bạn có thể chỉ định khi tạo cụm NFS và xem hoặc thay đổi sau đó khi chỉnh sửa cụm; các giá trị hiển thị là những giá trị thực sự đang có hiệu lực trong Ceph. Thay đổi chỉ áp dụng cho cụm đó và không ảnh hưởng đến các cụm khác.

Điều này cho phép bạn phân tách các máy khách có mức độ tin cậy khác nhau, chẳng hạn như ánh xạ một cụm phục vụ các máy trạm nội bộ tới người dùng miền, đồng thời ánh xạ một cụm dành cho các máy chủ bên ngoài hoặc trong phòng thí nghiệm tới một tài khoản không có đặc quyền. Bản cập nhật này cũng khắc phục sự cố trong các phiên bản trước, khi việc thay đổi hoặc xóa ID ẩn danh của một cụm đã có ID này được báo cáo là thành công nhưng cài đặt thực tế vẫn không thay đổi. Sau khi nâng cấp từ phiên bản trước, mỗi cụm vẫn giữ các cài đặt đang thực sự có hiệu lực trong Ceph; hãy kiểm tra UID/GID ẩn danh trên màn hình chỉnh sửa của từng cụm để xác nhận chúng đúng như mong đợi.

Các bản sửa lỗi NFSv3

Khi nhiều cụm NFS bật NFSv3, mỗi cụm giờ đây sử dụng cấu hình riêng mà không ảnh hưởng đến các cụm khác; việc thêm máy chủ vào một dịch vụ NFS đã bật NFSv3 cũng không còn làm hỏng các thiết lập NFSv3 của dịch vụ đó.

Thời gian hệ thống: Nhiều nguồn NTP

UVS Manager trước đây chỉ hỗ trợ một máy chủ NTP. 4.19.8 hỗ trợ nhiều máy chủ NTP bên ngoài và cho phép bạn chọn liệu các nút Ceph MON có cung cấp đồng bộ hóa thời gian nội bộ cho cụm hay không; có thể sử dụng đồng thời các nguồn nội bộ và bên ngoài. Nhiều nguồn thời gian độc lập cho phép hệ thống kiểm tra chéo và loại bỏ đồng hồ bị lỗi, điều này đặc biệt quan trọng đối với một hệ thống phân tán như Ceph, vốn phụ thuộc vào thời gian nhất quán giữa các nút. Cài đặt múi giờ giờ đây cũng là một danh sách có thể tìm kiếm.

Giám sát, Báo cáo và Thông báo

Trạng thái dịch vụ SMB và NFS trên Bảng điều khiển

Trạng thái Dịch vụ Lưu trữ trên Bảng điều khiển hiện đã bao gồm SMB và NFS, hiển thị số lượng và trạng thái của các dịch vụ này trong nháy mắt.

Mức sử dụng bộ nhớ chính xác hơn

Mức sử dụng bộ nhớ trên Bảng điều khiển hiện được tính toán dựa trên dung lượng bộ nhớ khả dụng do nhân Linux báo cáo, vì vậy bộ nhớ đệm tệp có thể thu hồi không còn được tính là đang sử dụng. Điều này tránh các chỉ số luôn ở mức cao, vốn có thể bị nhầm là thiếu bộ nhớ.

Phạm vi thời gian và múi giờ của báo cáo

Báo cáo cụm tính số ngày trọn vẹn theo múi giờ của cụm (00:00 vào ngày bắt đầu đến 24:00 vào ngày kết thúc) và hiển thị rõ thời gian bắt đầu, thời gian kết thúc cùng múi giờ. Ngày của các báo cáo thủ công hiện khớp với ngày của email báo cáo theo lịch. Email báo cáo theo lịch cũng bao gồm phiên bản PDF của báo cáo, đồng thời các bảng rộng trong PDF hiện được hiển thị đầy đủ thay vì bị cắt.

Máy chủ SMTP không cần xác thực

Tên người dùng và mật khẩu SMTP trong cài đặt thông báo hiện là tùy chọn, vì vậy có thể sử dụng máy chủ chuyển tiếp thư nội bộ không yêu cầu xác thực. Hiện yêu cầu phải có ít nhất một người nhận.

Bản sửa lỗi

Gắn kết CephFS từ các kernel Linux cũ hơn

Trong phiên bản 4.19.7, người dùng CephX được tạo từ giao diện luôn nhận khóa aes256k, vì vậy các máy khách kernel cũ hơn Linux 7.0 không thể gắn kết bằng lệnh do HOW TO MOUNT tạo ra. Trong phiên bản 4.19.8, HOW TO MOUNT cho phép bạn chọn AES-128 hoặc AES-256 khi tạo người dùng mặc định: AES-128 hoạt động với các kernel Linux cũ hơn phiên bản 7.0, còn AES-256 dành cho các máy khách hỗ trợ loại khóa mới, vì vậy không còn cần tạo người dùng tương thích bằng các lệnh nữa. Ngoài ra, trang Xác thực CephX hiện hiển thị lỗi do Ceph trả về khi tạo, chỉnh sửa hoặc xóa người dùng không thành công, thay vì báo cáo thành công.

SMB

Việc đóng các phiên và tệp đang mở trên trang SMB STATUS hiện đã có hiệu lực, hoạt động đối với các kết nối do các nút khác duy trì và hiển thị lỗi nếu thao tác không thành công. Việc thêm một thư mục chia sẻ SMB không còn ghi đè quyền của thư mục gốc nhóm subvolume; việc xử lý quyền hiện giống nhau khi thêm và chỉnh sửa thư mục chia sẻ, đồng thời có thể chọn người dùng và nhóm miền làm chủ sở hữu khi chỉnh sửa thư mục chia sẻ. Sau khi thiết lập VIP LVS, dịch vụ cụm SMB không còn liên tục khởi động lại và ngắt kết nối, đồng thời việc xóa VIP LVS giờ đây sẽ xóa địa chỉ khỏi mọi nút.

Tường lửa Trình quản lý UFW

Tính năng nhập quy tắc hiện chấp nhận các quy tắc có nguồn hoặc đích là mạng (CIDR), vì vậy các tệp được UVS xuất ra có thể được nhập lại mà không cần thay đổi. Khi nhập thất bại, hệ thống hiện hiển thị lỗi thay vì báo thành công. Quy tắc có đích là mạng cũng không còn bị mất thông tin mạng khi chỉnh sửa hoặc xuất, lỗi trước đây khiến phạm vi bị mở rộng thành mọi địa chỉ.

Lưu trữ đối tượng S3 (RGW)

Khi thêm một vị trí zone và chuyển tùy chọn Bucket Index Pool từ “Sử dụng pool hiện có” trở lại thành “Tạo”, một index pool mới hiện được tạo chính xác với quy tắc CRUSH đã chọn. Tác vụ Reset Endpoint mới sẽ đồng bộ lại các endpoint của zone và zonegroup từ UVS Manager sau khi các dịch vụ RGW đã được thay đổi ở nơi khác, chẳng hạn như trong Ceph Dashboard.

Nhật ký hệ thống

Nhật ký giao diện quản lý hiện được nén hằng ngày, ngăn thư mục nhật ký tăng trưởng không giới hạn và làm đầy ổ đĩa hệ thống.

Câu hỏi thường gặp

▾What are the main updates in UniVirStor 4.19.8?

▾Is my system affected by php2shell?

▾Will services be interrupted during the upgrade?

▾Can Linux kernels older than 7.0 now mount CephFS?

▾How much space do CephFS snapshots use?