Що ми робимо · Дані та web: Оновлення PHP та патчі безпеки для всього парку
PHP, що вийшов з підтримки, ніколи не отримає виправлення для наступної експлуатованої вразливості. Ми переводимо застосунки на підтримуваний PHP, не ламаючи їх, а коли з’являється критична вада, ми доставляємо виправлення на кожен сервер під нашим керуванням того самого дня, по одному хосту, з готовим відкатом на кожному кроці.
Що це
Дві послуги, що поділяють одну дисципліну:
- Планові оновлення: перенесення застосунку зі старої гілки PHP на підтримувану, включно з комерційним програмним забезпеченням, захищеним енкодерами, на звичайному Linux, Plesk і cPanel із CloudLinux.
- Екстрене патчування: коли розкривається критична вразливість PHP, тимчасовий захист перед вашим застосунком протягом години, а потім виправлений PHP, розгорнутий по всьому парку, щойно він існує.
Як ми це будуємо
Поруч, а не поверх. Нова версія PHP встановлюється поряд зі старою. Cutover є єдиною оборотною зміною сокета або пулу FastCGI, а стара версія далі працює як шлях відкату, доки не мине чистий період обкатки.
Доказ перед стрибком. Перед великим оновленням ми перевіряємо компіляцію кожного PHP-файлу застосунку під цільовою версією, відстежуємо, які файли реальний трафік справді завантажує (включно зі шляхами для авторизованих користувачів), і перевіряємо закодовані файли, читаючи їхні заголовки, а не довіряючи банеру сумісності від вендора. Проблеми спливають на нашому стенді, а не на вашій сторінці оформлення замовлення.
Спершу тимчасовий захист. Коли розкривається критична вразливість, ми не чекаємо на пакети. Ми вимикаємо уражену функцію в конфігурації там, де це можливо, і розгортаємо правило балансувальника, яке відхиляє тригерний ввід у тілах запитів, рядках запиту та cookie.
Власні збірки, коли дзеркала відстають. Якщо репозиторії дистрибутива повільніші за загрозу, ми збираємо виправлений PHP самі з upstream-джерел, з тегом, завдяки якому офіційний пакет замінить його автоматично, коли з’явиться.
Того самого дня, з вашого відома. Екстрені патчі виходять того самого дня, коли існує виправлення. Вас інформують на кожному кроці, і якщо патч потребує простою вашої послуги, ми спершу погоджуємо його з вами. Планові оновлення підпорядковуються тому самому правилу: якщо зміна може торкнутися вашого трафіку, ми погоджуємо час із вами, перш ніж почати.
По одному хосту. Розгортання йде сервер за сервером, з перевіркою стану до й після кожного. На парках cPanel і Plesk таймер відстежує виправлені збірки вендора й розгортає їх із контролем стану на вибірці живих сайтів кожного сервера; будь-яка регресія зупиняє розгортання.
Від чого це вас захищає
- Робота на версії PHP, яка ніколи не отримає патч проти активно експлуатованої вади.
- Оновлення, що ламає сайт без швидкого шляху назад.
- Активно експлуатована вада, залишена відкритою після публікації виправлення.
- Закодоване комерційне програмне забезпечення, що відмовляється завантажуватися після оновлення.
- Кампанія патчування, що зупиняється на півдорозі, бо один сервер повівся не так і ніхто не помітив.
На практиці
Реагування того самого дня по всьому парку клієнтів. Коли критичну вразливість PHP виявляють в активній експлуатації, наш тимчасовий захист на edge і в конфігурації вмикається раніше за upstream-реліз, а наші виправлені збірки надходять протягом годин. Видавничі кластери з багатьох blade, хости застосунків на найновішій гілці PHP та окремі клієнтські сервери Plesk, cPanel і звичайного Linux патчуються по одному, з єдиним плавним перезапуском worker приблизно за секунду й без зміни часу некешованого рендерингу.
Оновлення, що доходять до шляхів авторизованих користувачів. На комерційних PHP-застосунках ми тестуємо не лише публічні сторінки, а й шляхи, доступні лише авторизованим користувачам та адміністраторам, бо саме там ховаються виведені з ужитку модулі та застарілі файли. Кожен крок оновлення можна скасувати однією зміною конфігурації.
Чому EuroVPS
- Реагування того самого дня на критичні вади PHP по всьому керованому парку, з вашого відома та з попереднім погодженням будь-якого простою.
- Ми збираємо з upstream-джерел, коли пакети запізнюються, і дозволяємо офіційним пакетам чисто перебрати естафету.
- Кожне оновлення має відкат в один крок, що зберігається до кінця обкатки.
- Plesk, cPanel із CloudLinux та звичайний Linux обслуговуються одним методом.
- Письмовий запис про кожен пропатчений сервер, із перевірками до й після.
Часті запитання
- Які версії PHP ви підтримуєте? Будь-яку гілку, якої потребує ваш застосунок під час міграції, з планом дійти до підтримуваної гілки. Ми не залишимо керований сервер на гілці, що вийшла з підтримки, не сказавши вам.
- Чи зламає оновлення наші плагіни або закодовані модулі? Ми з’ясовуємо це до cutover, перевіряючи компіляцію та відстежуючи реальний трафік. Усе несумісне перелічується з варіантами, перш ніж ми перемикаємо.
- Чи буде в нас простій під час патчування? На стеках із кількох вузлів ні: вузли патчуються по одному за балансувальником. На єдиному сервері перезапуск PHP-FPM займає близько секунди, і якщо якийсь простій потрібен, ми спершу погоджуємо його з вами.
- Як ми дізнаємося, що це зроблено? Ви отримуєте запис про те, що було змінено, коли, та перевірки стану до й після.
Хочете PHP, який актуальний і таким залишається? Поговоріть з інженером.
Ваш наступний партнер з інфраструктури
Погляньмо на вашу інфраструктуру.
Розкажіть, що ви запускаєте сьогодні і що потребує покращення. Інженер розгляне ваш запит і допоможе спланувати наступний крок.
+357 222 32280
Почнімо з вашої інфраструктури.
Трохи контексту допомагає нам почати правильну розмову.