Обновление PHP в cPanel, Plesk и ISPmanager после PHP2Shell

Коротко

Панели управления ставят собственные сборки PHP, и обычный apt upgrade их не затрагивает. В cPanel обновление выполняется через EasyApache 4, в Plesk — через установщик компонентов, в ISPmanager — через раздел PHP. После обновления обязателен перезапуск обработчиков.

cPanel и WHM

Сборки PHP в cPanel живут отдельно от системных пакетов, в каталоге /opt/cpanel. Обновление:

/usr/local/cpanel/scripts/upcp --force
/scripts/restartsrv_httpd
/scripts/restartsrv_cpanel_php_fpm

Проверить версии всех установленных сборок:

ls /opt/cpanel | grep ea-php
rpm -q --changelog ea-php83-php-cli | grep -m1 CVE-2026-109618

Если какой-то сайт работает на версии PHP, которая больше не поддерживается (7.4, 8.0, 8.1), обновления для неё не будет: сайт нужно переводить на поддерживаемую ветку.

Plesk

Plesk обновляет PHP через свой установщик:

plesk installer update
plesk bin php_handler --list
plesk bin service --restart-all

Список обработчиков покажет все версии PHP и их состояние. Обновить нужно каждую, которая используется сайтами.

ISPmanager

В панели обновление делается в разделе «Настройки сервера → PHP»: там видны все установленные версии и доступные обновления. Из командной строки:

ispmgr-ctl php list
dnf update 'php*' || apt install --only-upgrade 'php*'
systemctl restart 'php*-fpm'

Общее правило для панелей

На сервере с панелью почти всегда установлено несколько версий PHP — по одной на разные сайты. Уязвимость закрывается только в той версии, которую вы обновили. Пройдите по списку версий и убедитесь, что обновлены все используемые.

for v in /opt/cpanel/ea-php*/root/usr/bin/php; do echo -n "$v: "; $v -v | head -1; done

Что проверить после обновления

Сайты открываются, ошибок 500 нет.
В журнале изменений пакета каждой используемой версии есть номера CVE.
Процессы PHP-FPM перезапущены: ps -eo lstart,cmd | grep php-fpm | head покажет время старта.

Частые вопросы

Обновит ли панель PHP сама?

cPanel и Plesk умеют ставить обновления безопасности автоматически, если это включено в настройках. Проверьте, что автообновление включено и что оно отработало — дата последнего запуска видна в интерфейсе.

Сломает ли обновление сайты клиентов?

Обновление внутри той же ветки (например, 8.3.x) совместимо по коду. Риск возникает при переходе между ветками — его планируйте отдельно.

Что делать с сайтами на PHP 7.4?

Для неподдерживаемых веток исправлений нет и не будет. Единственный способ закрыть уязвимость — перевести сайт на 8.2 или новее.