resumen: Los sitios web con versiones de PHP antiguas pueden ser vulnerables e incluso comprometer todo el servidor Plesk. Asimismo, actualizar un sitio web antiguo para que ejecute una versión compatible de PHP puede ser costoso y requerir mucho tiempo.

Como solución a esta incidencia, Plesk ofrece la posibilidad de proteger sitios web que ejecuten versiones de PHP antiguas mediante paquetes PHP personalizados de TuxCare, una marca de CloudLinux. Estos paquetes PHP incluyen correcciones para incidencias de seguridad detectadas después de que haya finalizado el soporte de la comunidad para una versión de PHP específica.

En este tema, aprenderá a instalar paquetes PHP personalizados de TuxCare en su servidor Plesk, a proteger sitios web y a mantener actualizados los paquetes PHP personalizados.

Información general

Cada versión de PHP entra en una de estas tres categorías:

Soporte activo Estas versiones reciben soporte activo. Se publican actualizaciones periódicas con correcciones de errores e incidencias de seguridad.
Solo correcciones de seguridad Estas versiones solo reciben actualizaciones con correcciones para incidencias de seguridad críticas.
Final de la vida útil (o «EOL», por sus siglas en inglés) Estas versiones ya no reciben actualizaciones ni correcciones, ni siquiera para incidencias de seguridad críticas.

Los sitios web programados en PHP suelen crearse teniendo en cuenta una versión específica de PHP. Si se crean para utilizar otra versión de PHP, pueden no funcionar correctamente o incluso dejar de funcionar. Actualizar un sitio web de este tipo para que pueda funcionar sin problemas con una versión de PHP actualizada puede ser costoso y poco práctico.

Sin embargo, si se detecta una vulnerabilidad de seguridad en una versión de PHP al final de su vida útil, los sitios web que ejecuten esa versión de PHP estarán en situación de riesgo. Peor aún, dicha vulnerabilidad también podría afectar a todo el servidor Plesk. En tal caso, el propietario del sitio web vulnerable y su proveedor de hosting tienen varias opciones, ninguna de las cuales es buena:

  • Actualizar el sitio web, si el propietario del sitio tiene los medios para ello y si es posible.
  • Poner el sitio web offline.
  • Continuar alojando el sitio web y aceptar los riesgos.

Plesk y TuxCare ofrecen otra opción que permite que el sitio web permanezca online sin actualizaciones costosas ni los riesgos asociados a la ejecución de versiones de PHP al final de su vida útil:

  • TuxCare proporciona paquetes PHP personalizados con correcciones para las incidencias de seguridad que afectan a las versiones de PHP al final de su vida útil. El equipo de TuxCare se esfuerza mucho por desarrollar y probar parches para estas versiones de PHP de forma oportuna, con el fin de proporcionar parches para vulnerabilidades críticas y de alto riesgo (CVSS 7+) en un plazo de 14 días desde que se hacen públicas.
  • Plesk ofrece una extensión que facilita la instalación de estos paquetes y también la protección de los sitios web que ejecutan versiones de PHP al final de su vida útil cambiándolos a controladores PHP seguros de la misma versión.

TuxCare forma parte de la familia de marcas CloudLinux. CloudLinux es un proveedor de confianza que respalda productos y servicios como el SO CloudLinux y KernelCare, y lleva 15 años prestando servicios a proveedores de hosting.

Requisitos mínimos

Nota: Una sola licencia cubre cualquier número de sitios web y permite el acceso a los paquetes de todas las versiones de PHP con parches suministradas por TuxCare.

Desafíos y limitaciones

  • TuxCare Extended Lifecycle Support for PHP proporciona actualizaciones de seguridad para PHP 5.6 y versiones posteriores al final de su vida útil. Obtenga información sobre el estado de soporte actual de todas las versiones de PHP.
  • TuxCare Extended Lifecycle Support for PHP solo cubre las versiones de PHP proporcionadas por Plesk. No cubre las versiones de PHP instaladas desde el repositorio del proveedor del SO.

Instalación de versiones de PHP seguras

Antes de poder proteger sus sitios web, debe instalar los paquetes PHP de TuxCare para una o más versiones de PHP al final de su vida útil presentes en el servidor.

Puede instalar los paquetes para algunas versiones de PHP al final de su vida útil, pero no para otras. La instalación de los paquetes no afecta a los sitios web de ningún modo.

Nota: TuxCare Extended Lifecycle Support for PHP es una extensión de pago. Si su licencia expira, podrá seguir utilizando las versiones de PHP seguras que tenga instaladas, pero ya no tendrá acceso a actualizaciones futuras con correcciones de seguridad adicionales.

Para instalar una versión de PHP segura:

  1. Acceso a Plesk.
  2. En el panel de navegación, haga clic en Extensiones y vaya a la pestaña «Mis extensiones».
  3. Busque la extensión «TuxCare Extended Lifecycle Support for PHP» y haga clic en Abrir.
  4. Para cada versión de PHP que desee proteger, haga clic en [Install] (Instalar).

image not configured

La instalación no debería llevar más de unos minutos. Una vez instalada una versión de PHP segura, se añadirá un controlador PHP seguro por cada controlador PHP «antiguo» de esa versión. Puede ver los nuevos controladores PHP en la página Herramientas y configuración > Configuración de PHP (en «Configuración general»).

image secured handlers

Nota: Tenga en cuenta que no basta con instalar una versión de PHP. Para proteger los sitios web, debe cambiarlos manualmente a versiones de PHP seguras.

Protección de sitios web

Una vez que se haya instalado una versión de PHP segura, podrá empezar a proteger los sitios web cambiándolos a las versiones «seguras» de los controladores PHP.

Nota: Las versiones de PHP seguras incluyen los mismos conjuntos de controladores (por ejemplo, «Aplicación FastCGI» o «Aplicación FPM dedicada») que las versiones «antiguas» (no seguras). Cambiar un sitio web a la versión segura del mismo controlador y versión de PHP no debería afectarlo de ningún modo, salvo en lo que respecta la eliminación de vulnerabilidades de seguridad).

Para proteger todos los sitios web que ejecutan una determinada versión de PHP al final de su vida útil:

  1. Acceso a Plesk.
  2. En el panel de navegación, haga clic en Extensiones y vaya a la pestaña «Mis extensiones».
  3. Busque la extensión «TuxCare Extended Lifecycle Support for PHP» y haga clic en Abrir.
  4. Busque la versión de PHP al final de su vida útil y haga clic en [Switch] (Cambiar).

image configured

Todos los sitios web que ejecuten esa versión de PHP cambiarán a la versión «segura» del mismo controlador y versión de PHP.

Para proteger un sitio web específico que ejecuta una versión de PHP al final de su vida útil:

  1. Acceso a Plesk.
  2. En el panel de navegación, haga clic en Sitios web y dominios.
  3. Busque el sitio web en cuestión y haga clic en PHP (en «Herramientas de desarrollo», en la pestaña «Panel de información»).
  4. Seleccione la versión de PHP «segura» en la lista desplegable y luego haga clic en Aceptar.

image php secured

El sitio web cambiará a la versión de PHP seleccionada manteniendo el mismo tipo de controlador.

Reversión a versiones de PHP no seguras

Si uno o más sitios web experimentan problemas después de haberlos protegido, siempre puede volver a las versiones de PHP «antiguas» (no seguras). Tenga en cuenta que esto podría poner en situación de riesgo los sitios web.

  • Para revertir un sitio web específico, cambie su controlador PHP al controlador «antiguo» de la misma versión de PHP.
  • Para revertir todos los sitios web que ejecutan una determinada versión de PHP al final de su vida útil, en la página de la extensión, haga clic en [Rollback] (Revertir).

image roll back

Reconfiguración de versiones de PHP seguras

Tras realizar cambios en la configuración global de PHP (por ejemplo, editar el archivo php.ini global, instalar nuevas extensiones PECL o PEAR, activar o desactivar extensiones de PHP, etc.), le recomendamos encarecidamente que reconfigure manualmente las versiones de PHP seguras. Esto garantiza que tanto la versión «segura» como la «antigua» (no segura) de PHP tengan la misma configuración y se comporten de la misma manera.

Para reconfigurar todas las versiones de PHP seguras:

  1. Acceso a Plesk.
  2. En el panel de navegación, haga clic en Extensiones y vaya a la pestaña «Mis extensiones».
  3. Busque la extensión «TuxCare Extended Lifecycle Support for PHP» y haga clic en Abrir.
  4. Para cada versión de PHP segura, haga clic en [Reconfigure] (Reconfigurar).

image reconfigure

Cada sitio web que ejecute una versión de PHP segura adoptará los cambios realizados en la configuración global de PHP.

Actualización de versiones de PHP seguras

Para mantener la seguridad de sus sitios web, los paquetes PHP de TuxCare deben mantenerse actualizados. Estos paquetes pueden actualizarse como cualquier otro paquete del sistema. Los nombres de los paquetes PHP de TuxCare empiezan por alt-php. Puede verlos en la interfaz de la herramienta Actualizaciones del sistema de Plesk.

image update tool

Los paquetes PHP de TuxCare pueden actualizarse de forma manual o automática. Para proteger sus sitios web que utilicen versiones de PHP al final de su vida útil, le recomendamos encarecidamente que actualice los paquetes PHP de TuxCare de forma automática. Puede hacerlo, por ejemplo, utilizando la herramienta Actualizaciones del sistema de Plesk.

Si opta por actualizar manualmente los paquetes PHP de TuxCare, deberá estar al tanto de las actualizaciones publicadas. Para ello, le recomendamos que visite la lista oficial de fuentes RSS en el sitio web de TuxCare y se suscriba a las fuentes correspondientes para los sistemas operativos de su interés.