🚀 Что еще нового в beta-релизе ispmanager?

В beta-релизе 6.153 появился обратный прокси. Теперь можно направить запросы с домена на внешний URL, Unix-сокет или в Docker-контейнер.

С помощью него вы можете:

🔹 проксировать запросы в Docker-контейнер, на Unix-сокет или внешний URL;
🔹 проксировать разные пути одного домена в разные цели;
🔹 управлять кэшированием ответов, таймаутами и заголовками, которые уходят на бэкенд.

Создать обратный прокси можно в разделе Сайты → Создать сайт → Обратный прокси.

Сейчас возможность доступна в 6.153 beta только для администраторов.

Тестируйте в своих проектах и делитесь впечатлениями 💙

Если бы ispmanager был рестораном, BitNinja оказался бы среди популярных позиций в меню 🧾

Сегодня в разделе «Защита сервера» рекомендуем попробовать:

🥷 BitNinja
Вариант для тех, кто хочет меньше разбираться с последствиями атак и больше заниматься проектами.

В составе:
- WAF-защита
- поиск вредоносных скриптов
- анализ подозрительной активности
- защита от спам-рассылок

В ispmanager BitNinja доступен как дополнительный модуль: подключается прямо из панели и работает вместе с вашей инфраструктурой.

А если вы используете сервер без ispmanager — BitNinja можно приобрести отдельно и установить на Linux-сервер.

Подробнее о возможностях BitNinja и сценариях использования — в статье

▶️ Подключить BitNinja

Любимый кейс админа 😄

🙄 Помните как интернет стоил, словно звонок по межгороду? Вот приметы того бородатого времени.

1. Flash-анимация
На flash держались мультики, игрушки и бесконечное «Загрузка… 87%» на сайтах. Но время Flash ушло: хакеры находили в нём кучу дыр, iPhone не поддерживал, а HTML5 позволил обходится стороннего плагина.

2. Звук модема и «Мам, не звони, я в интернете!» 
Модем занимал телефонную линию и пищал на всю квартиру. Пришли ADSL и оптика, и этот скрежет теперь остался только в мемах.

3. Интернет по карточкам из ларька
Стираешь монеткой защитный слой, вводишь код и сидишь свои 10 часов. Потом пришёл безлимит, и минуты считать перестали.

4. Диски
Их покупали на рынке, переписывали у друга, брали журнал «Хакер» ради диска. Потом появились флешки, быстрый интернет, файлообменники и  — дисковод из ноутбуков пропал.

В ispmanager множество обновлений, и без ложной скромности скажем — одно другого краше. Посмотрите сами.

🔹 AI-конструктор создаст сайт на WordPress по промту, уже с картинками и текстами. Попробуйте: один сайт можно сгенерировать бесплатно в Сайты → Создать сайт → AI-конструктор сайтов.

🔹 Интеграция Git: подключите ispmanager к вашему репозиторию и разворачивайте сайты.

🔹 Обратный прокси: перейдите в Сайты → Создать сайт → Обратный прокси — и настройте перенаправление запросов с домена без ручного погружения в config. 

🔹 Поддержка Laravel  – добавили в ispmanager автоматическую установку фреймворка.

🔹 Временные домены четвертого уровня, чтобы работать с сайтом, пока рабочий домен не куплен и DNS не настроен.

🔹 Модуль «Лимитирование в ispmanager» изолирует пользователей и ограничивает ресурсы. Не требует установки отдельной ОС и работает на AlmaLinux 9, 10.

🔹 Ubuntu 26 — как всегда, добавляем поддержку актуальных ОС.

Расскажите, какие из обновлений не терпится попробовать?

❗️ Критические уязвимости в PHP: что нужно знать и сделать

1. Что произошло

21 октября команда разработки PHP выпускает экстренное обновление безопасности. Оно закрывает две критические уязвимости в ядре PHP — CVE-2026-109618 и CVE-2026-109619, обе с оценкой 9.2 из 10 по шкале CVSS v4.0 («критический» уровень). Это уязвимости класса RCE: при успешной атаке злоумышленник может выполнить произвольный код на сервере. 
Обновление выходит в 17:00 по Москве (14:00 UTC). Ситуация острая: вместе с анонсом в сеть попал инструмент для эксплуатации.

2. Чего касается

Уязвимость находится не в CMS или плагине, а в самом интерпретаторе PHP — значит, затрагивает любые сайты и приложения на PHP: WordPress, WooCommerce, Drupal, Bitrix, самописные проекты.
Официальные исправления выходят только для поддерживаемых веток — PHP 8.2, 8.3, 8.4 и 8.5. Патчи для неподдерживаемых версий, будут позже, при возможности их адаптировать. 

3. Что делать
Проверить, какая версия PHP используется на сайте — это видно в разделе настроек PHP в панели управления.
Обновить PHP до исправленной версии своей ветки (8.2–8.5), как только она станет доступна. Мы оперативно подготовим обновлённые сборки и сообщим отдельно об их готовности.
Если сайт работает на PHP 8.1 или более старой версии — запланировать переход на поддерживаемую ветку (минимум 8.2, рекомендуем 8.4). Это миграция, а не простое обновление пакета, поэтому стоит заранее проверить совместимость CMS и плагинов на тестовой копии.
4. Как минимизировать риск до обновления

1. Отключить потенциально уязвимую функцию (неофициальная мера)
Утёкшая информация связывает уязвимость с механизмом отслеживания прогресса загрузки. Отключается через session.upload_progress.enabled = Off и последующим перезапуском PHP.

2. Включить WAF — поможет ограниченно: 
WAF разбирает запросы иначе, чем PHP, поэтому часть атак пройдёт мимо. Это способ выиграть время до патча, а не закрыть дыру.

3. Убрать непропатчиваемое из открытого доступа
Приложения на EOL-версиях PHP, которые фикс не получат, лучше увести с публичного интернета — за VPN или WAF.

Альтернативные варианты защиты на сайте Oppenet


Пожалуйста, как можно скорее примите меры для защиты ваших серверов. Если вам нужна помощь, наша техподдержка готова ответить.

❗️ Критические уязвимости в PHP: обновления уже доступны

Что произошло

Команда разработки PHP выпустила экстренное обновление безопасности, которое закрывает две критические уязвимости в ядре PHP — CVE-2026-109618 и CVE-2026-109619 (оценка 9.2 из 10 по CVSS v4.0, класс RCE — удалённое выполнение кода). 

Мы оперативно подготовили и выложили обновленные сборки для PHP версий 7.4, 8.0, 8.1, 8.2, 8.3, 8.4 и 8.5. 

Рекомендуем обновиться как можно скорее: эксплойт для этих уязвимостей уже в публичном доступе.

Что делать

Обновить все пакеты системы: перейти в раздел «Конфигурация ПО», на панели инструментов нажать «Обновить» и отметить пункты «Обновить список доступного ПО» и «Обновить ПО». Либо воспользоваться пакетным менеджером ОС.

Для ручного обновления установленной версии PHP выполнить команду:

# для Debian-based систем
apt install isp-php83

# для RHEL-based систем
yum install isp-php83

где 83 — номер версии PHP (пакеты имеют вид isp-php<версия>).

После обновления PHP перезапустить службы, которые с ним работают. Для этого перейти в раздел «Все разделы» → «Управление сервером» → «Службы» и перезапустить:

веб-сервер Apache — httpd и httpd-isp* (для RHEL-систем), apache2 и apache2-isp (для Debian-систем);

службы PHP-FPM — php-fpm, php-fpm*, php<версия>-fpm.

Если сайт работает на PHP 7.3, 5.6 или старше

Для этих версий исправлений пока нет — они сняты с официальной поддержки и остаются уязвимыми. Мы работаем над адаптацией патчей для этих версий. А пока их нет, по возможности уведите сайты с публичного интернета за VPN или WAF.

❗️ В ispmanager выпустили сборки, исправляющие уязвимость в устаревших версиях PHP:

5.4.45-1794
5.5.38-1794
5.6.40-1786
7.0.33-1786
7.1.33-1786
7.2.34-1786
7.3.33-1786
7.4.33-1782
8.0.30-1782
8.1.34-1782

Ранее выпустили патчи к актуальным версиям:
8.2.35-1781
8.3.36-1781
8.4.27-1781
8.5.12-1781

Выпустили «нативные» PHP с поддержкой модуля лимитирования для Alma 9/10:
8.0.30-8.el9.alma.1.857351
8.3.36-1.el10.857351

Обновления доступны на всех версиях ispmanager на актуальных OC.

Как обновиться