ℹ️ В ядре Linux обнаружена уязвимость CVE-2026-31431 (Copy Fail), которая теоретически позволяет повысить привилегии до root.

📌 Что это значит на практике

Для большинства пользователей RISH риск невысокий, потому что:
— доступ по SSH у PHP-пользователей отключён
— сервер обычно используется одним владельцем
— нет сторонних пользователей с доступом в систему

👉 То есть для эксплуатации уязвимости нужен уже полученный доступ к системе (например, через серьёзную ошибку в сайте).

---

🛠 Рекомендуемое действие

Пока обновления ядра ещё не доступны, можно применить временное ограничение:

grubby --update-kernel=ALL --args="initcall_blacklist=algif_aead_init"

reboot

---

🔍 Проверка

Команда ниже покажет уязвима ваша система или нет:

python3 -c 'import socket; s=socket.socket(38,5,0); s.bind(("aead","authencesn(hmac(sha256),cbc(aes))")); print("vulnerable"); s.close()' 2>/dev/null || echo "Not vulnerable / blocked"

---

✅ Основное решение

Достаточно установить обновления ядра, когда они появятся:

dnf update kernel\*

---

💬 Итог

Ситуация требует внимания, но не повода для паники.
Если сервер используется только вами и настроен стандартно через RISH — риск минимальный.

Мы сообщим дополнительно, когда обновления с исправлением ядра станут доступны.

🚀 CVE-2026-31431 — исправление уже доступно в AlmaLinux

К вопросу о том, почему я выбираю AlmaLinux для установки RISH на своих серверах.

На момент публикации обновления для RHEL ещё не были доступны публично,
в то время как команда безопасности AlmaLinux оперативно подготовила и выпустила исправление своими силами.

Фикс сначала появился в тестовом канале (об этом сообщалось в официальном блоге AlmaLinux),
а уже сегодня ночью был выведен в основной репозиторий и доступен для установки на продакшн-серверах.

🔧 Что нужно сделать

Вначале нужно обновить ядро:

sudo dnf clean metadata && sudo dnf update 'kernel*'

Затем перезагрузить систему:

reboot

🔍 Как проверить

После перезагрузки выполните:

uname -r

Убедитесь, что версия ядра не ниже:

AlmaLinux 8 kernel-4.18.0-553.121.1.el8_10
AlmaLinux 9 kernel-5.14.0-611.49.2.el9_7
AlmaLinux 10 kernel-6.12.0-124.52.2.el10_1

🧠 Как читать номер версии ядра

Давайте разберём вывод команды:

uname -r

Команда выведет:

6.12.0-124.52.2.el10_1.x86_64


6.12.0 — версия самого Linux-ядра
124.52.2 — номер сборки и обновлений от дистрибутива (именно здесь приходят фиксы безопасности)
el10_1 — означает, что ядро собрано для AlmaLinux / RHEL 10.1
x86_64 — архитектура системы

Важно: ориентироваться нужно на полную версию ядра, а не только на 6.12.0, так как исправления уязвимостей (CVE) добавляются через обновления сборки, а не обязательно через повышение версии ядра.

Вышел RISH 2.6.1

Последние недели для Linux-серверов выдались очень напряжёнными: одна за другой начали появляться серьёзные уязвимости ядра Linux и nginx. Всё это снова показало, насколько важно регулярно обновлять сервер и при этом не ломать собственную конфигурацию.

Именно этому посвящён RISH 2.6.1.

Главное нововведение — новый механизм проверки и восстановления настроек сервера после обновлений Apache, PHP и ядра Linux.

Что появилось в новой версии:

• проверка и восстановление настроек RISH после обновлений;
• контроль прав папок /var/www и конфигурации Apache;
• проверка пользовательских PHP-FPM pool;
• контроль текущего и последнего установленного ядра Linux;
• возможность выбрать последнее ядро для следующей загрузки;
• автоматический перезапуск PHP-FPM после аварийного завершения;
• обновление PHP и Apache прямо из меню RISH;
• улучшения меню PHP-FPM и диагностики сервисов;
• более гибкие сценарии резервного копирования;
• улучшенная установка phpMyAdmin с поддержкой offline-сценариев;
• скрытие служебных HTTP-заголовков Apache и PHP.

Теперь после обновления сервера RISH помогает быстро проверить конфигурацию и вернуть стандартные настройки проекта, если они были изменены пакетами системы.

Подробно о новой версии:
https://rish.su/blog/vypusk-rish-2-6-1-obnovlenie

Релиз RISH 2.6.2 (по просьбам трудящихся)

В общем, прислушавшись к советам с мест, было принято решение выпустить еще один релиз.

Теперь RISH умеет делать бекапы не только сайтов и папок, но и отдельно баз данных. Если вам нужно как можно чаще сохранять базу данных (например, в интернет-магазине) – это для вас!

Статья по адресу https://rish.su/blog/vypusk-rish-2-6-1-obnovlenie обновлена исходя из этих сведений.

Так же обновлен раздел о бекапах – https://rish.su/rukovodstvo/bekapy

Файл заглушка

Я не думал, что кого-то взволнует заглушка, которую лепит RISH для недобавленных на сервер хостов, но если вам нужно ее поменять – вперед! Файл в папке templates в вашем распоряжении – меняйте его по своему вкусу. Имя файла – apache-noindex.html в папке templates.

Только не трогайте дефолтный файл с именем default-apache-noindex.html в той же папке – это на случай, если надо вернуться к первоначальному состоянию.

После того как смените файл – не забудьте выполнить проверку и исправление RISH.

Что еще поменялось?

Ну там разные неоднозначности и косяки, а так же более ясное объяснение в чем разница режимов local и production.

Не забываем ставить лайки – на них держится разработка.

Вышел RISH 2.6.3

Всё началось со странного поведения на свежем сервере: RISH устанавливал для /var/www права 751, но после системных операций каталог неожиданно возвращался к 755.

Расследование показало, что причина не в PHP и не в MariaDB. В новых обновлениях AlmaLinux 10 пакет Apache httpd-filesystem стал обслуживать /var/www через механизм tmpfiles.d и восстанавливать стандартные права Apache.

Для RISH это важно: права 751 на /var/www являются частью изоляции сайтов по системным пользователям.

В RISH 2.6.3 мы добавили автоматическую совместимость с новым поведением Apache:

сохраняются требуемые права /var/www = 751;
настройка применяется автоматически при обновлении RISH;
повторный сброс прав после системных операций предотвращён;
файлы сайтов и базы данных не затрагиваются.
Пользователям достаточно обновить RISH стандартным способом через меню обновления.

Подробнее о расследовании и исправлении:
https://rish.su/blog/vypusk-rish-2-6-3

Вышел RISH 2.6.5

В этом выпуске RISH заметно расширяет поддержку CMS.

Теперь из меню Midnight Commander можно устанавливать Joomla, WordPress и OpenCart. RISH сам готовит файлы сайта, работает с базой данных и запускает установку через командную строку там, где это возможно.

Для Joomla добавлено не только создание нового сайта, но и обновление через CLI: можно проверить доступные обновления и запустить их прямо из меню RISH.

Что ещё появилось в 2.6.5:

• установка Joomla, WordPress и OpenCart из меню MC
• обновление Joomla через командную строку
• список всех сайтов сервера с быстрым переходом
• поддержка мыши в меню RISH
• расширенный выбор MariaDB: 11.8 и 12.3

RISH постепенно становится не просто установщиком сервера, а удобной рабочей средой для управления сайтами и CMS.

Подробнее в статье:
https://rish.su/blog/vypusk-rish-2-6-5

Помним, что разработка RISH держится на ваших лайках!

Прошу обратить ваше внимание!

Поскольку теперь RISH поддерживает управлению мышью, стало невозможным копировать текст на экране простым выделением, если активно меню RISH.

Чтобы скопировать текст, нужно поступать так же, как при копировании из окна MC – нужно на Windows зажать Shift и сделать выделение, а на Mac – зажать Option и сделать выделение. После этого выделенный текст попадет в буфер обмена. Больше ничего нажимать не надо.

Хочу обратить ваше внимание, что такое поведение целиком зависит от вашего терминала. И например на некоторых терминалах Mac такое выделение вообще невозможно (например - tabby - из-за этого мы отказались от его использования). Лучше пользуйтесь iTerm2.

Так что будьте внимательнее и пусть это для вас не будет сюрпризом.

Вышел RISH 2.6.6 (клонирование)

Главная тема релиза — полностью переписанный с нуля процесс клонирования сайтов.
Но это не просто новая версия отдельной функции. Внутри RISH появился новый core-слой клонирования, который готовит проект к будущим миграторам серверов.

В релизе:
• новый фундамент для клонирования сайтов
• подготовка к будущим миграторам серверов
• постепенная уборка /root/rish и перенос скриптов в /root/rish/scripts
• более логичное меню Midnight Commander
• CMS и phpMyAdmin теперь ближе друг к другу
• исправлена настройка прав с учетом special bits
• улучшена проверка загрузки нового ядра через GRUB
• добавлены часовые пояса Москвы, Астаны и Киева

Инструкцию по новому клонированию подготовим отдельно.

А пока можно прочитать, что изменилось и зачем это было сделано:
https://rish.su/blog/reliz-v-2-6-6

И ставьте лайки — написание RISH держится только на них!

Новый раздел руководства по RISH:
Клонирование сайтов в RISH

Разобрали, как переносить сайт:
• с рабочего сервера на локальный RISH-сервер для разработки
• с одного рабочего сервера на другой
• с файлами, базой данных, Joomla, SSL и проверкой после переноса

Отдельно объяснили, что клонирование запускается на сервере-приемнике, как добавить сервер-источник по SSH, что происходит с правами файлов, как работает перенос без промежуточного архива и что проверить после клонирования.

Мы постепенно пишем руководство для RISH и стараемся покрыть все аспекты его использования.

Читать по ссылке:
https://rish.su/rukovodstvo/klonirovanie-sajtov

Вышел RISH 2.6.7 — «базы данных»

Главное изменение релиза: в RISH появилось центральное место для управления базами данных MariaDB.

Раньше работа с базами была разложена по разным сценариям: где-то база создавалась по имени папки сайта, где-то удалялась отдельно, а во многих местах RISH просто предполагал, что имя базы совпадает с именем домена.

Теперь появился отдельный раздел «Базы данных» в меню MC.

Что сделали в 2.6.7:

• добавили единый сценарий управления базами данных;
• сделали список пользовательских баз MariaDB;
• добавили просмотр версии MariaDB прямо в меню;
• показываем размер базы, число таблиц, объем данных и индексов;
• показываем кодировку и collation базы;
• показываем пользователей, у которых есть доступ к базе;
• создание базы теперь идет через общий сценарий;
• новые базы создаются с utf8mb4 и utf8mb4_unicode_ci;
• заложили основу для сайтов, у которых имя базы не совпадает с именем домена;
• добавили связь сайта с базой через /root/rish/site_databases;
• старые разрозненные пункты создания и удаления баз заменены единым меню.

Отдельно улучшили архивирование с исключениями.

Теперь RISH нормализует введенные пути, убирает лишние пробелы, ./ и оконечные слеши. Это делает сценарий более очевидным и защищает от неприятных ситуаций, когда из-за неверного шаблона исключения архивируется не то, что ожидалось.

Перед запуском архивации RISH показывает предпросмотр: какие папки будут исключены, какой предполагаемый размер получится и сколько свободного места есть на диске.

Еще в релизе улучшили установку MariaDB: utf8mb4 теперь задается как серверная настройка по умолчанию, а после установки RISH проверяет результат настройки.

Подробнее в статье на сайте:
https://rish.su/blog/reliz-rish-2-6-7-bazy-dannykh

Создание RISH стимулируется только вашими лайками. Не стесняйтесь их ставить — это правда помогает проекту двигаться дальше.

Вышел RISH 2.6.9 — «Команды CLI Joomla»

Главная тема релиза — удобный доступ к Joomla CLI прямо из интерфейса RISH.

Теперь можно быстрее администрировать Joomla-сайты:
• посмотреть пользователей сайта;
• создать нового администратора;
• сбросить пароль;
• удалить пользователя;
• управлять группами;
• выполнить произвольную CLI-команду Joomla.

Особенно удобно, когда вам передали сайт на доработку, вы развернули его локально, а доступов в админку нет. Теперь можно создать свою учетную запись администратора прямо из RISH и сразу войти в панель управления.

Еще одна полезная штука: после выполнения CLI-команды RISH показывает готовую shell-команду, которую можно взять за основу для cron или автоматизации.

Подробнее в статье:
https://rish.su/blog/reliz-rish-2-6-9-komandy-cli-joomla

Нас часто спрашивают: почему RISH не поддерживает Ubuntu?

Ubuntu популярна, про нее много инструкций, ее часто ставят на VPS. Но RISH строится вокруг другой идеи: минимум лишнего, максимум предсказуемости.

Мы не хотим ставить дополнительные слои там, где можно обойтись без них. Не хотим плодить фоновые механизмы, новые точки отказа и лишние векторы атаки. Сервер должен быть понятным, предсказуемым и управляемым.

В новой статье разобрали, почему Ubuntu плохо ложится на философию RISH:
• зависимость от экосистемы Ondřej Surý для актуального PHP
• история с политической геоблокировкой российских IP на packages.sury.org
• Snap как лишний слой
• Netplan и cloud-init
• автоматические и поэтапные обновления
• Ubuntu Pro/ESM и продуктовый контур Canonical

Мы не говорим, что на Ubuntu нельзя поднять веб-сервер. Можно. Но RISH нужен скучный, надежный, предсказуемый и безопасный фундамент.

Поэтому сейчас RISH строится на RHEL-family.

Читать статью:
https://rish.su/rukovodstvo/pochemu-my-ne-stroim-rish-na-ubuntu

Написали руководство по авторизации на сервере по SSH-ключам.

Это статья для тех, кто хочет понять без лишней теории:
что такое публичный и приватный ключ,
что хранится на вашем компьютере,
что кладется на сервер,
зачем нужен файл ~/.ssh/config,
как создать ключ,
как добавить его на сервер,
и почему для файлов лучше использовать SFTP вместо FTP.

Главная мысль простая: приватный ключ остается у вас, публичный ключ добавляется на сервер. После этого сервер может пускать вас без парольного входа.

В RISH мы сознательно ведем пользователя к работе по ключам, потому что парольный вход на сервер быстро становится мишенью для автоматических попыток подбора.

Статья:
https://rish.su/rukovodstvo/avtorizatsiya-na-servere-po-klyucham-ssh

CVE-2026-49975: риск повышенной нагрузки на Apache

В AlmaLinux 9 и AlmaLinux 10 есть уязвимость CVE-2026-49975, связанная с обработкой HTTP/2 в Apache, а именно с модулем mod_http2.

При специально подготовленной атаке она может создавать повышенную нагрузку на веб-сервер. Это может привести к замедлению работы сайтов или временному отказу в обслуживании.

На серверах RISH используется Apache, поэтому рекомендуем обновить модуль mod_http2 и перезапустить службу Apache:

dnf update -y mod_http2
systemctl restart httpd

systemctl restart httpd — это не перезагрузка сервера. Команда перезапускает только Apache. Полный reboot системы для этой уязвимости не требуется.

🌐 Вышел RISH 2.7.3 — релиз DNS

Версии 2.7.0–2.7.2 стали техническими: во время тестирования новой подсистемы мы находили и устраняли замечания. Итоговая версия для установки — RISH 2.7.3.

Главное обновление — управление DNS непосредственно из RISH:
• подключение провайдеров Selectel и ClouDNS;
• создание проектов и DNS-зон Selectel;
• просмотр, создание и редактирование DNS-записей;
• перенос зоны между провайдерами через экспорт и импорт;
• установка текущего IPv4-адреса сервера для выбранной A-записи;
• проверка публикации записей через системный DNS, Google и Quad9;
• удобный просмотр и копирование длинных TXT- и DKIM-записей.
•
DNS включается отдельно — функция появится в меню только у тех, кому она действительно нужна. При этом RISH не превращает сервер в DNS-хостинг: зоны продолжает обслуживать выбранный провайдер, а RISH становится единым интерфейсом управления.

Также теперь при обновлении Apache проверяется наличие новой версии mod_http2. Это особенно важно в связи с уязвимостью CVE-2026-49975.

Подробности, инструкция по подключению Selectel и примеры работы:
https://rish.su/blog/reliz-rish-2-7-3-dns

Обновляйтесь и делитесь впечатлениями 🙂

Пропало место на сервере!

Наши братья по вере в RISH оказались в очень сложном положении. Кто-то украл пространство на их серверах!

Кто это сделал? Куда исчезли гигабайты? И как вернуть украденное?

Расследование показало, что место никуда не пропало. При автоматическом разбиении диска установщик AlmaLinux создаёт отдельный LVM-том для /home.

В результате на диске размером 64 ГБ корневая файловая система / получает около 37 ГБ, а ещё 18 ГБ оказываются внутри отдельного /home. Midnight Commander и команда df -h / показывают только размер корневой файловой системы — поэтому и кажется, что часть диска исчезла.

Мы не могли остаться в стороне и подготовили подробную статью, а также специальный скрипт, который:

— проверяет разметку диска и LVM;
— убеждается, что /home полностью пуст;
— создаёт резервные копии /etc/fstab и метаданных LVM;
— удаляет пустой отдельный том /home;
— передаёт освободившееся место корневой файловой системе /;
— проверяет новую конфигурацию перед перезагрузкой.

Если /home не пуст или разметка отличается от типовой, скрипт остановится и ничего менять не будет.

В статье подробно рассказываем, почему AlmaLinux так размечает диск, как вернуть место и как избежать этой ситуации при следующей установке:

https://rish.su/rukovodstvo/almalinux-vidit-ne-ves-disk-pochemu-i-kak-ispravit

Вышел RISH 2.8.0: изоляция PHP, защита CRON и SFTP

Этот релиз появился после разбора реального взлома.

Сайт был скомпрометирован через уязвимость в установленной версии шаблона на базе Helix.

После очистки мы проверили, как злоумышленник пытался закрепиться на сервере.

Он добавил вредоносные задания в пользовательский CRON и собственный публичный ключ в authorized_keys. Это позволило бы вернуть доступ даже после удаления заражённых файлов.

Аудит показал, что нужно точнее разделить полномочия PHP-процесса и системного пользователя.

Главный принцип RISH 2.8.0:

PHP должен обслуживать сайт, но не управлять способом входа на сервер и не создавать себе постоянные задания.

Что изменилось?

🔒 Изоляция PHP-FPM

Для PHP-FPM добавлены ограничения systemd. Процесс сайта больше не получает доступ к домашним каталогам, системным устройствам, общим временным файлам, параметрам и журналам ядра, модулям, cgroups и механизмам повышения привилегий.

Ограничения действуют и для программ, запускаемых из PHP.

🔐 Учётные данные под контролем root

Пароли системного пользователя, MariaDB и администратора сайта перенесены из /home/<user>/.pass.txt в /root/rish/credentials/<user>.

Заодно вместо старого неочевидного формата появился понятный файл с отдельными секциями и комментариями.

⏱ Защита CRON

Изменять пользовательские CRON-задания теперь может только root. Существующие задания продолжают работать, а администратор по-прежнему управляет ими через меню RISH.

Код сайта больше не сможет самостоятельно назначить себе повторный запуск.

🔑 Защита SFTP

Публичные ключи перенесены из домашнего каталога пользователя в /etc/ssh/authorized_keys/<user> и принадлежат root.

При обновлении RISH переносит найденные ключи, не добавляя одинаковые строки, и показывает их отпечатки для проверки.

SFTP-сессии теперь работают только по ключу, без терминала, forwarding, пользовательских SSH-сценариев и произвольных команд.

🧩 Обновления расширений Joomla

В аудите Joomla появилась проверка доступных обновлений компонентов, модулей, плагинов и шаблонов.

RISH использует штатную Joomla CLI-команду и показывает установленную и доступную версии. Обновления автоматически не устанавливаются.

✅ Проверка и откат

Миграция выполняется последовательно. Новые параметры PHP-FPM и SSH проверяются до окончательного применения, а при ошибке RISH восстанавливает предыдущую конфигурацию.

Команда rish check получила проверки новой модели безопасности.

Подробно о причинах и всех изменениях RISH 2.8.0:

https://rish.su/blog/rish-2-8-0-izolyatsiya-php-zashchita-cron-i-sftp