Virtualizor 3.3.0 Patch 7: ce este confirmat și ce verifici pe server

Virtualizor 3.3.0 Patch 7 este indicat în API-ul oficial de actualizare, pe fluxul latest, la verificarea din 27 octombrie 2026. Această informație confirmă versiunea anunțată de acel flux. Totuși, nu am identificat note publice dedicate care să descrie modificările proprii Patch 7. Pentru administratori, este esențial să distingem între disponibilitatea unei versiuni și lista vulnerabilităților pe care producătorul declară explicit că le tratează.

Ce confirmă sursa oficială despre Patch 7

Răspunsul serviciului oficial de actualizare conține câmpurile version cu valoarea 3.3.0 și patch cu valoarea 7. Acesta este temeiul confirmării versiunii, nu o verificare a instalării pe un anumit server. Disponibilitatea pentru nodul tău trebuie controlată în panoul administrativ, în funcție de canalul configurat și de condițiile actualizării.

Textul descriptiv returnat de API la verificare nu oferă o secțiune cu modificări specifice Patch 7. Prin urmare, nu putem afirma că această revizie remediază un CVE nou sau toate problemele anterioare doar pe baza numărului de versiune. Pentru asemenea detalii, urmărește notele producătorului sau cere confirmare suportului Virtualizor.

Patch 5: actualizarea EMPS pentru PHP2Shell

În anunțul din 21 octombrie 2026 pentru Virtualizor 3.3.0 Patch 5, producătorul documentează actualizarea EMPS la versiunea 5.6. Conform acelui anunț, compilarea include adaptările remedierilor pentru PHP 7.4 aferente CVE-2026-109618 și CVE-2026-109619, asociate PHP2Shell.

Aceste remedieri sunt documentate pentru Patch 5; nu trebuie prezentate drept noutăți confirmate ale Patch 7. Verifică separat panoul și componentele EMPS instalate. O versiune PHP cu remedieri integrate de furnizor poate păstra numărul ramurii vechi, astfel încât simpla apariție a textului PHP 7.4 nu stabilește singură starea de securitate.

Patch 6: mitigarea pentru CVE-2026-115560

La 24 octombrie 2026, Virtualizor a documentat pentru Patch 6 dezactivarea implicită a monitorizării progresului încărcărilor prin următoarea setare:

session.upload_progress.enabled = 0

Anunțul se referă la CVE-2026-115560. PHP descrie un scenariu condiționat de o combinație neobișnuită între configurarea serializării sesiunii și modificarea ei în cod înainte de pornirea sesiunii, cu monitorizarea încărcărilor activă. Nu este corect să prezentăm orice aplicație PHP drept exploatabilă prin acest traseu.

Dezactivarea funcției este o mitigare prin configurație, distinctă de actualizarea codului PHP pentru PHP2Shell. Existența Patch 7 în API nu demonstrează, prin ea însăși, că această vulnerabilitate a primit o remediere nouă în cod.

Cum pregătești actualizarea nodurilor

Înainte de intervenție, inventariază serverul principal, nodurile și versiunile afișate. Confirmă accesul administrativ de recuperare, copiile necesare și o fereastră potrivită pentru verificări. Pentru un ansamblu cu mai multe noduri, nu presupune că actualizarea unuia confirmă automat actualizarea tuturor.

1. Accesează panoul administrativ și verifică secțiunea Configuration → Updates.
2. Confirmă canalul folosit și versiunea oferită efectiv nodului.
3. Urmează procedura producătorului și verifică rezultatul operațiunii.
4. Controlează componentele EMPS și setările de securitate relevante.
5. Repetă verificarea pentru fiecare nod și înregistrează rezultatele.

Nu presupune că actualizarea panoului necesită automat repornirea tuturor mașinilor virtuale. Stabilește impactul după componentele modificate și instrucțiunile producătorului. În același timp, nu confunda absența unui restart al VPS-urilor cu dovada că toate procesele panoului folosesc configurația nouă.

Verificări locale pentru mediul PHP al panoului

Virtualizor folosește componente EMPS, care trebuie diferențiate de PHP-ul instalat pentru alte aplicații. Pe un nod cu aceste căi, următoarele comenzi oferă informații despre executabilul EMPS și configurația sa din linia de comandă:

/usr/local/emps/bin/php -v
/usr/local/emps/bin/php --ini
/usr/local/emps/bin/php -r 'echo "upload_progress="; var_export(ini_get("session.upload_progress.enabled")); echo PHP_EOL;'

Un rezultat gol sau echivalent cu dezactivarea trebuie interpretat în contextul configurației încărcate. Aceste comenzi verifică interfața CLI, nu certifică automat setările serviciului web. Confirmă și configurația efectivă a proceselor care răspund panoului, inclusiv eventualele suprascrieri și aplicarea modificărilor.

Nu publica o pagină phpinfo() pe internet pentru această verificare. Păstrează detaliile administrative în canale private și cere suportului producătorului validarea configurației dacă nu poți identifica mediul activ.

Actualizarea și verificarea unei compromiteri sunt operațiuni distincte

Virtualizor a publicat anterior un raport despre incidentul de deturnare BGP și distribuirea unui pachet malițios către anumite instalări. Raportul recomandă verificări pentru operatori și menționează ca indicator cunoscut serviciul java-jre-update, inclusiv fișierul /etc/systemd/system/java-jre-update.service.

Dacă identifici acel indicator sau alte semne suspecte, păstrează dovezile și contactează suportul înainte de eliminarea fișierelor. Absența unui singur indicator nu demonstrează că nodul este curat. Revizuiește accesul administrativ, cheile API și modificările neautorizate în cadrul unei investigații adecvate. Instalarea unei versiuni noi nu elimină automat persistența unui atacator.

Ce trebuie să știe administratorii și clienții VPS

Actualizarea Virtualizor privește infrastructura de administrare. Sistemul de operare și aplicațiile din interiorul fiecărui VPS au propriul ciclu de actualizare. Un client nu trebuie să interpreteze actualizarea panoului drept confirmare că site-ul, baza de date sau pachetele din VPS au fost actualizate.

Pentru infrastructura administrată prin XSERVERE, clarifică responsabilitățile privind nodul, panoul și sistemul din VPS. Când ceri o verificare, indică versiunea, nodul și componenta vizată. Nu sunt suficiente formulări generale precum „este totul protejat”; o evidență utilă arată ce versiune și ce setări au fost controlate efectiv.