Zwalidowany kontekst sesji WHM
CGI WHM zachowuje zwalidowany cp_security_token wymagany przez natywną sesję cPanel. Pozostają dotychczasowe kontrole żądań, taint mode i granice odpowiedzi same-origin.
Aktualizacje
Podpisane wydania, przypięte zaufanie i kontrolowane wycofanie
DH20.29 / 15.10.32 zachowuje zwalidowany kontekst sesji WHM, kompaktuje ograniczony stan LFD i naprawia prawa tylko publicznych modułów META cPanel. Poprawia błąd powłoki w naprawie resellerów wykryty na canary oraz porównuje równoważne polityki nftables mimo przestawienia niezależnych łańcuchów. DH20.28 zostało zastąpione; kontrole migracji i rollback pozostają zachowane.
DCSF
Aktualne wydanie i status bezpieczeństwa
DH20.29 / 15.10.32. Opublikowano: 2026-10-08T13:33:03Z. Dokumentację sprawdzono: 2026-10-08.
51 identyfikatorów P-01–P-51 oznacza 51 napraw w rejestrze projektu, a nie 51 numerów CVE. Statyczny Messenger jest obsługiwany; dawne samodzielne odblokowanie przez reCAPTCHA jest wyłączone.
CVE-2026-65638 / CVE-2026-67402: ocena dokładnego pakietu
Ocena dotyczy wyłącznie oryginalnego, sprawdzonego pakietu i jego szablonów. Nie jest oceną każdej instalacji ani deklaracją braku wszystkich podatności. Nie przypisujemy starszym wydaniom statusu bez odrębnej weryfikacji.
Changelog JSON | Security JSON | OpenVEX | llms.txt | llms-full.txt
DCSF
DH20.29: co nowego
Wydanie łączy poprawki kontekstu WHM, stanu LFD i instalatora z naprawą regresji znalezionej na canary. Zastępuje DH20.28; 51 pozycji rejestru bezpieczeństwa pozostaje oddzielną liczbą, bez doliczania testów jako podatności.
Ograniczone kompaktowanie stanu LFD
LFD kompaktuje csf.temppids w ramach istniejących limitów rozmiaru i liczby rekordów, używając LF_FLUSH do usuwania przeterminowanego stanu procesów. Nagromadzony stan tymczasowy nie blokuje zapisu nowych tożsamości procesów.
Uprawnienia tylko publicznych modułów META cPanel
Poprawka zgodności ustawia właściwe prawa wyłącznie publicznych modułów META cPanel. Nie rozszerza dostępu do prywatnej konfiguracji ani całego drzewa cPanel.
Poprawiona naprawa pliku resellerów
DH20.29 bezpiecznie uzupełnia brakujący końcowy LF w csf.resellers i poprawia błąd powłoki wykryty na canary. DH20.28 / 15.10.31 zostało zastąpione z powodu błędu tej ścieżki naprawy.
Porównanie równoważnych polityk nftables
Porównanie uwzględnia inną kolejność prezentacji niezależnych łańcuchów, zachowując kolejność reguł w każdym łańcuchu i pozostałe kontrole polityki. Samo przestawienie niezależnych łańcuchów nie powoduje już fałszywej rozbieżności.
77/77 testów Linux i zakończony canary
Kwalifikacja projektu zaliczyła wszystkie 77 plików testowych Linux. Aktualizacja canary autossltest2 zakończyła się z aktywnymi CSF/LFD i zachowaną konfiguracją. Oddzielnie sprawdzony host produkcyjny przeszedł tylko dry-run; nie oznacza to wykonanej aktualizacji produkcji.
Modele, dane i koszty API
Modele dostępne do wyboru w tym wydaniu: gpt-5-mini, gpt-5.4-mini, gpt-5.6-terra. Dostępność zależy od konta OpenAI API administratora.
Po włączeniu wybrane lokalne dane diagnostyczne bezpieczeństwa są wysyłane do OpenAI. Rozpoznane sekrety są maskowane, ale nie jest to gwarancja anonimowości. store=false nie gwarantuje Zero Data Retention; nadal obowiązują ustawienia konta API i zasady dostawcy. Opcjonalne użycie API jest rozliczane osobno od bezpłatnego DCSF. Wnioski wymagają oceny administratora i nie gwarantują wykrycia wszystkich problemów bezpieczeństwa.
Zachowane wcześniejsze poprawki instalacji i zgodności
- Przywrócone natywne osadzenie w WHM Jupiter. DH20.27 naprawiło regresję cPanel, w której samodzielny dokument HTML DCSF zastępował stronę WHM. Interfejs jest renderowany przez csf.tmpl i natywny master_templates/master.tmpl, z zachowaniem nawigacji panelu i responsywnego układu.
- CGI w taint mode i ograniczony helper szablonu. Główny CGI zachowuje perl -T, walidację żądań i odpowiedzi same-origin. Stały helper root:root 0700 używa prywatnego Perla cPanel i Cpanel::Template::process_template przez listową postać IPC::Open2. Czyści zmienne sterujące interpreterem, ustala PATH, nie przyjmuje argumentów ścieżki ani szablonu i ogranicza stdin do 32 MiB.
- nginx rozstrzyga o adresie klienta. W zweryfikowanej topologii cPanel EA-Nginx ustawienie SERVER="auto" wybiera nginx na publicznych portach 80/443. Jego ustrukturyzowany log wejściowy dostarcza rzeczywistego IP klienta. WebGuard nie ufa dowolnym wartościom X-Forwarded-For ani nie wyznacza klientów ze zwykłego logu backendu Apache.
- Apache wskazuje obciążenie, nie klienta do blokady. Apache nasłuchuje na prywatnych portach 81/444. Jego server-status i opcjonalny log o roli backend dostarczają tylko sygnału przeciążenia. Lokalny adres nginx 127.0.0.1 nie staje się kandydatem do blokady. Nie zakładamy takiej samej granicy zaufania dla nieobsługiwanych lub niezweryfikowanych układów proxy.
- Jedno zaufane drzewo bibliotek podczas diagnostyki. Diagnostyczne uruchomienie rozpakowanego, podpisanego pakietu obok starszego cPanel CSF zachowuje pierwszeństwo jego własnych bibliotek. Próba dodania /usr/local/csf/lib przez stary moduł ponownie ustawia wybrane źródło na początku, a bibliotekę instalacji pozostawia tylko jako fallback. Normalne uruchomienie zainstalowanej wersji nie zmienia się.
- Natywna kopia przed migracją. Gdy iptables-save nie potrafi wyeksportować rozpoznanej niezgodnej tabeli iptables-nft, migracja cpanel-csf zapisuje pełny nft list ruleset i diagnostykę eksporterów z sumami SHA-256. Kontynuuje dopiero po potwierdzeniu bezczynności równoległego backendu legacy i zabezpieczeniu dokładnego pakietu RPM do wycofania zmiany.
- Ograniczona przebudowa przez zaufane CSF. Bootstrap przebudowuje wyłącznie niezgodne standardowe tabele filter, nat, mangle, raw i security rodzin ip oraz ip6, używając już zainstalowanego, zaufanego csf -r. Pozostałe natywne tabele nie są wybierane do normalizacji.
- Porównanie polityki i automatyczny rollback. Kanoniczne polityki IPv4/IPv6 są porównywane przed przebudową i po niej. Brak tabeli, różnica semantyczna, przerwanie lub późniejszy błąd instalacji uruchamia przywracanie. Testy objęły wszystkie dziesięć standardowych tabel, w tym wymuszoną rozbieżność z odtworzeniem pierwotnej polityki i konfiguracji.
- Opcjonalny AI System Scan. AI System Scan dodaje szybki i pogłębiony przegląd do interfejsu administracyjnego DCSF. Funkcja jest domyślnie wyłączona i wymaga podania przez administratora własnego klucza OpenAI API oraz wyboru modelu.
- Ograniczony zakres dowodów i chroniony klucz. Pojedynczy skan w tle zbiera ograniczony zestaw lokalnych danych bezpieczeństwa, z limitami odczytów, procesów, rozmiaru danych i czasu wykonania. Klucz API jest w osobnym pliku dostępnym tylko dla roota i nigdy nie wraca do interfejsu.
- Wnioski powiązane z przekazanymi dowodami. Żądania OpenAI Responses API używają store=false, bez narzędzi i ze ścisłym formatem odpowiedzi. Wnioski oraz zalecenia muszą wskazywać prawidłowe identyfikatory dowodów z wysłanego zestawu. Raport doradza, ale nie wykonuje automatycznie napraw.
- Istniejące katalogi prywatnego stanu AI. Instalator sprawdza właściciela, grupę i uprawnienia prywatnych katalogów stanu AI bez wymagania jednej referencji katalogu. Istniejące podkatalogi na systemach plików ext nie powodują już błędnej odmowy instalacji; niebezpieczny właściciel lub prawa nadal ją zatrzymują.
- Zachowane rygorystyczne kontrole migracji. Sam kod wyjścia 0 eksportera nie dowodzi kompletności. Migracja jest odrzucana przy nieznanej diagnostyce lub aktywnej równoległej polityce legacy. Kopia pomijająca aktywną standardową tabelę nftables albo zmiana polityki kanonicznej uruchamia rollback.
- Oddzielny budżet kontekstu procfs. Kontrole kontekstowej tożsamości mają osobny, ograniczony budżet skanowania procfs. Przy wielu procesach nie powstają już fałszywe alarmy excessive usage spowodowane kolizją tych budżetów; zwykłe limity procesu, UID i całego skanowania nie są osłabiane.
- Aktywne LFD po aktualizacji produkcyjnej. Po udanej aktualizacji profilu produkcyjnego (TESTING=0) instalator restartuje LFD i sprawdza wynik, w tym aktywność usługi na systemd. Nowy kod demona działa od razu; instalacje z TESTING=1 nie są uruchamiane.
- Ograniczone ponawianie rejestracji. Rejestracja instalacji korzysta z API HTTPS bez rozszerzenia pliku oraz ograniczonych prób retry i backoff. Chwilowy błąd można ponowić bez nieograniczonego oczekiwania; podpis tożsamości i kontrola adresu źródłowego pozostają wymagane.
- Instalacja świadoma stanu SELinux. Instalator sprawdza stan SELinux przed użyciem chcon. Wyłączony SELinux nie powoduje już mylących ostrzeżeń o etykietowaniu, a aktywne środowiska zachowują obsługę kontekstów.
- Natywna obsługa systemd. Host działający wyłącznie na systemd nie zgłasza braku starych plików startowych SysV ani nie próbuje zmieniać właściciela nieistniejących plików. Starszy init pozostaje obsługiwany.
- Trafna kontrola Apache i ModSecurity. Nieaktywny Apache i domyślne ścieżki logów ModSecurity mają status informacyjny. Na systemd rozstrzyga rzeczywisty stan usługi: prywatny /opt/zimbra/common/bin/httpd nie jest mylony z systemowym Apache. Starszy init zachowuje kontrolę procesu.
- Sprawdzony transport poczty Zimbra. Kanoniczny symlink sendmail Zimbry jest rozpoznawany przez kontrolę zaufanej ścieżki. Ta celowana poprawka zgodności nie nadaje zaufania dowolnym symlinkom.
Kwalifikacja wydania Linux: 77/77. Kontrole publicznego bootstrapu: 85/85.
DCSF
DH20.29 domyka zależność JSON::PP bez osłabiania zaufania
Pakiet 15.10.32 dodaje JSON::PP do preflightu instalatora i kontroli runtime os.pl, zachowując rozdział systemowego Perla, prywatnego środowiska cPanel oraz jawnego fallbacku CPAN.
Najpierw pakiety systemowe
Poza cPanel DCSF naprawia zamkniętą listę modułów przez dokładne możliwości RPM lub mapowanie pakietów Debiana. DNF i YUM zachowują weryfikację GPG, a APT odrzuca repozytoria nieuwierzytelnione i niezabezpieczone.
Pomiar postępu i ponowna kontrola
Instalator inwentaryzuje wymagane moduły przed preflightem i po naprawie. Próby są ograniczone, muszą wykazać postęp, a powodzenie wymaga ponownego importu całej zamkniętej listy.
CPAN wyłącznie po jawnej zgodzie
Systemowy fallback CPAN jest domyślnie wyłączony. Operator musi podać --allow-cpan-fallback; używany jest stały mirror MetaCPAN przez HTTPS, zamknięte nazwy modułów i zweryfikowane katalogi robocze.
Prywatny Perl cPanel
Na cPanel DCSF zawsze sprawdza /usr/local/cpanel/3rdparty/bin/perl, wyznacza pasujący wersjonowany cpanm i uruchamia go jawnie przez ten sam prywatny interpreter, bez mieszania bibliotek z /usr/bin/perl.
Wymagane JSON::PP
Runtime OLSPanel wymaga JSON::PP. RPM wybiera podpisaną możliwość perl(JSON::PP), Debian pakiet libjson-pp-perl, cPanel używa prywatnego cpanm, a systemowy CPAN nadal wymaga jawnego --allow-cpan-fallback.
Canary PASS: Wcześniejszy publiczny test canary --dryrun uwierzytelnił sprawdzane wtedy wydanie, wybrał właściwy instalator i pozostawił każdy zwykły plik bezpośrednio w /etc/csf bez zmian.
DCSF
DH20.29 utrzymuje działania OLSPanel w widocznym obszarze
Pakiet 15.10.32 ogranicza iframe do 640–1200 pikseli, przewija go wewnętrznie i wraca na górę po nawigacji. Maskowany modal, Watch System Logs, Search for IP i Firewall Allow pozostają widoczne, a zaufana polityka i rzeczywisty test backendu są zachowane.
Wykrywanie bez fałszywego wymagania
Katalog modules jest opcjonalny. Detektor przyjmuje wyłącznie wspierane katalogi kanoniczne i bezpieczną deklarację /etc/olspanel/base_dir należącą do roota.
Preflight chronionej konfiguracji
Przed zapisem adapter tylko odczytuje metadane /etc/csf, /etc/csf/csf.conf i /etc/csf/csf.cloudflare. Tryb --dryrun wykonuje tę samą kontrolę bez zmiany plików.
Odrzucenie aliasów i dokładna diagnoza
Symlinki, pliki inne niż zwykłe, własność inną niż root, zapis grupy lub świata oraz chronione pliki z więcej niż jednym hardlinkiem są odrzucane przed instalacją ze wskazaniem dokładnej ścieżki.
Finalizacja bez zmiany treści
Po instalacji /etc/csf otrzymuje root:root 0700, a csf.conf i csf.cloudflare root:root 0600 z dokładnie jednym hardlinkiem. Istniejąca treść obu plików pozostaje identyczna bajtowo.
Uwierzytelniony brakujący plik
Jeżeli csf.cloudflare nie istnieje, może pochodzić wyłącznie ze zweryfikowanego, podpisanego pakietu; istniejący plik nie jest zastępowany.
Brak fałszywego sukcesu
Instalator ogólny kończy pracę błędem, gdy rekurencyjny chmod lub chown nie powiedzie się, zamiast kontynuować do komunikatu PASS.
Kontrolowane utworzenie modules
Brakujący katalog powstaje dopiero podczas rzeczywistej instalacji jako root:root 0755. DCSF zapisuje prywatną informację, że sam go utworzył.
Ostrożne odinstalowanie
Uninstall usuwa katalog nadrzędny wyłącznie wtedy, gdy utworzył go DCSF i katalog nadal jest pusty. Obce lub niepuste dane pozostają nietknięte.
Runtime JSON::PP
Preflight i kontrola os.pl wymagają JSON::PP. Naprawa korzysta z podpisanej możliwości RPM perl(JSON::PP), pakietu Debian libjson-pp-perl, prywatnego cpanm cPanel lub jawnie włączonego fallbacku systemowego CPAN.
Izolowana kompilacja backendu
Po instalacji ogólnej, lecz przed publikacją lub restartem integracji panelu, adapter wykonuje izolowany test backendu perl -T -c. Błąd zatrzymuje integrację OLSPanel.
Właściwe zasoby panelu
OLSPanel podaje obrazy z uwierzytelnionego drzewa /usr/local/csf/lib/webmin/csf/images, w którym podpisany pakiet umieszcza między innymi ikonę csf.svg.
Jawna zaufana polityka
Backend ładuje /usr/local/csf/lib/ConfigServer/panel-action-policy.json z require_trusted => 1 zamiast używać domyślnej ścieżki CyberPanelu. Cały łańcuch nadrzędny i plik muszą być kontrolowane przez roota i niezapisywalne dla innych.
Test rzeczywistej ramki backendu
Instalator wysyła ograniczone żądanie binarne tylko do odczytu przez rzeczywisty backend w taint mode. Odpowiedź nie może przekroczyć 16 MiB i musi zawierać marker interfejsu DCSF, zanim integracja zostanie opublikowana lub zrestartowana. Po aktualizacji extmail.uck.katowice.pl pełna ścieżka Django do backendu Perla zwróciła HTTP 200.
Maskowane ponowne uwierzytelnienie
Chronione działania używają osobnego okna z ograniczonym polem type="password" zamiast window.prompt(). Escape, przycisk anulowania i kliknięcie tła bezpiecznie przerywają operację, a widoczne pole jest czyszczone natychmiast po przekazaniu danych do żądania.
Działające logi systemowe
Search System Logs i Watch System Logs przyjmują wyłącznie nocache o długości od jednej do dwudziestu cyfr. Stan postępu kończy się po każdej odpowiedzi, błąd pokazuje status HTTP, a produkcyjne testy wyszukiwania i podglądu zwróciły HTTP 200.
Widoczne odpowiedzi chronionych akcji
Przechwycona nawigacja jest deduplikowana, odraczana do następnego obrotu pętli zdarzeń i jawnie wysyłana do _self z widocznym postępem. Quick Allow i zapis konfiguracji zachowują pełną, niepustą odpowiedź zamiast pustej ramki.
Search for IP i Firewall Allow
Testy przez rzeczywisty backend Perla potwierdziły wyszukanie dodanego adresu, listę Firewall Allow oraz kontrolki Done i Return. Tymczasowy wpis testowy został usunięty, a końcowy skrót csf.allow wrócił dokładnie do wartości sprzed testu.
Ograniczony przewijany obszar akcji
Iframe działań pozostaje między 640 a 1200 pikseli, przewija długą treść wewnętrznie i wraca na górę po każdej nawigacji. Test produkcyjny utrzymał zewnętrzną stronę na wysokości 1000 pikseli i pozycji przewijania zero, dzięki czemu wyniki Search for IP, Firewall Allow, Watch System Logs i modal reautoryzacji pozostały widoczne.
Wydane
DH20.29 zostało opublikowane
DH20.29 odpowiada podpisanemu pakietowi 15.10.32: zwalidowany kontekst WHM, kompaktowanie csf.temppids, prawa tylko publicznych modułów META cPanel, poprawiona naprawa resellerów i porównanie równoważnych polityk nftables. Zaliczone 77 plików testowych Linux i udana aktualizacja canary autossltest2. DH20.28 zostało zastąpione. Zachowano opcjonalny AI System Scan, edytor wykluczeń LFD i publiczne zasoby pobierania.
Podpisany pakiet publiczny i instalator są dostępne.
DCSF
Tożsamość aktualnego wydania
Publiczny numer DataHouse pozostaje czytelny dla administratora, a techniczna wersja zachowuje zgodność z mechanizmem aktualizacji CSF/LFD.
| Wydanie publiczne | DH20.29 |
|---|---|
| Wersja techniczna | 15.10.32 |
| Poprawki bezpieczeństwa | 51 z 51 zweryfikowanych |
| Zależności Perla | JSON::PP przez perl(JSON::PP), libjson-pp-perl, prywatny cpanm cPanel lub jawny --allow-cpan-fallback |
| Polityka OLSPanel | /usr/local/csf/lib/ConfigServer/panel-action-policy.json ładowany jawnie z require_trusted => 1 |
| Backend OLSPanel | perl -T -c oraz rzeczywista ramka binarna tylko do odczytu, ograniczona do 16 MiB i markera interfejsu DCSF |
| Ponowne uwierzytelnienie OLSPanel | maskowane pole type="password", bez window.prompt(), z obsługą Escape, anulowania i natychmiastowym czyszczeniem pola |
| Logi systemowe OLSPanel | Search System Logs i Watch System Logs kończą postęp dla każdej odpowiedzi i dopuszczają wyłącznie nocache od 1 do 20 cyfr |
| Wyniki akcji OLSPanel | odroczona nawigacja _self zachowuje odpowiedzi Quick Allow, zapisu konfiguracji, Search for IP i Firewall Allow |
| Obszar akcji OLSPanel | iframe od 640 do 1200 pikseli, przewijanie wewnętrzne i powrót na górę po każdej nawigacji |
| Zasoby OLSPanel | /usr/local/csf/lib/webmin/csf/images z podpisaną ikoną csf.svg |
| OLSPanel | czysty układ, bezpieczny base_dir i preflight metadanych /etc/csf tylko do odczytu |
| Finalizacja konfiguracji | /etc/csf root:root 0700; csf.conf i csf.cloudflare root:root 0600; treść zachowana bajtowo |
| Odporność instalatora | symlinki i hardlinki odrzucane z dokładną ścieżką; błąd chmod lub chown zatrzymuje instalację |
| WebGuard | twarde limity replay i audytu, odizolowany kolektor OLS, domyślnie wyłączony |
| Kwalifikacja wydania | 77 z 77 bramek |
| Publiczny bootstrap | 85 z 85 testów |
| Kanał stabilny | update.dcsf.net/v1/stable/ |
DCSF
Konstrukcja kanału wydań
Klient aktualizacji oddziela sprawdzanie, pobieranie i zastosowanie, dzięki czemu operator może ocenić każdy etap.
Sprawdzenie
Pobranie podpisanych metadanych ze stałego źródła DCSF bez dziedziczenia przypadkowej konfiguracji proxy.
Weryfikacja
Kontrola podpisu manifestu, polityki wersji, nazwy paczki, skrótu i struktury archiwum.
Przygotowanie
Rozpakowanie w prywatnym miejscu i wykonanie testów wydania oraz zgodności przed aktywacją.
Zastosowanie
Aktywacja wyłącznie zaakceptowanego kandydata z zachowaniem kontrolowanej ścieżki powrotu.
DCSF
Interfejs operatora
Zainstalowany klient osobno sprawdza, pobiera i stosuje podpisane wydanie z przypiętego kanału.
dcsf-update check
dcsf-update download
dcsf-update applyMetadane kanału stabilnego · Metadane wydania 15.10.32. Plik release.json ma charakter informacyjny. Autentyczność pakietu potwierdzają podpisany manifest, przypięty klucz i sumy kontrolne.
DCSF
Historia zmian wydań
Liczba opisanych wydań: 12. To historia zweryfikowana na podstawie podpisanych manifestów, nie pełne archiwum projektu.
DH20.29 / 15.10.32 (aktualne)
- Zwalidowany kontekst sesji WHM. CGI WHM zachowuje zwalidowany cp_security_token wymagany przez natywną sesję cPanel. Pozostają dotychczasowe kontrole żądań, taint mode i granice odpowiedzi same-origin.
- Ograniczone kompaktowanie stanu LFD. LFD kompaktuje csf.temppids w ramach istniejących limitów rozmiaru i liczby rekordów, używając LF_FLUSH do usuwania przeterminowanego stanu procesów. Nagromadzony stan tymczasowy nie blokuje zapisu nowych tożsamości procesów.
- Uprawnienia tylko publicznych modułów META cPanel. Poprawka zgodności ustawia właściwe prawa wyłącznie publicznych modułów META cPanel. Nie rozszerza dostępu do prywatnej konfiguracji ani całego drzewa cPanel.
- Poprawiona naprawa pliku resellerów. DH20.29 bezpiecznie uzupełnia brakujący końcowy LF w csf.resellers i poprawia błąd powłoki wykryty na canary. DH20.28 / 15.10.31 zostało zastąpione z powodu błędu tej ścieżki naprawy.
- Porównanie równoważnych polityk nftables. Porównanie uwzględnia inną kolejność prezentacji niezależnych łańcuchów, zachowując kolejność reguł w każdym łańcuchu i pozostałe kontrole polityki. Samo przestawienie niezależnych łańcuchów nie powoduje już fałszywej rozbieżności.
- 77/77 testów Linux i zakończony canary. Kwalifikacja projektu zaliczyła wszystkie 77 plików testowych Linux. Aktualizacja canary autossltest2 zakończyła się z aktywnymi CSF/LFD i zachowaną konfiguracją. Oddzielnie sprawdzony host produkcyjny przeszedł tylko dry-run; nie oznacza to wykonanej aktualizacji produkcji.
DH20.28 / 15.10.31
- Zwalidowany kontekst sesji WHM. CGI WHM zachowuje zwalidowany cp_security_token wymagany przez natywną sesję cPanel. Pozostają dotychczasowe kontrole żądań, taint mode i granice odpowiedzi same-origin.
- Ograniczone kompaktowanie stanu LFD. LFD kompaktuje csf.temppids w ramach istniejących limitów rozmiaru i liczby rekordów, używając LF_FLUSH do usuwania przeterminowanego stanu procesów. Nagromadzony stan tymczasowy nie blokuje zapisu nowych tożsamości procesów.
- Uprawnienia tylko publicznych modułów META cPanel. Poprawka zgodności ustawia właściwe prawa wyłącznie publicznych modułów META cPanel. Nie rozszerza dostępu do prywatnej konfiguracji ani całego drzewa cPanel.
- Zastąpiona naprawa resellerów. DH20.28 wprowadziło uzupełnianie LF w csf.resellers, ale test canary ujawnił błąd powłoki w tej ścieżce. Należy użyć DH20.29 / 15.10.32, które zastępuje to wydanie.
DH20.27 / 15.10.30
- Przywrócone natywne osadzenie w WHM Jupiter. DH20.27 naprawiło regresję cPanel, w której samodzielny dokument HTML DCSF zastępował stronę WHM. Interfejs jest renderowany przez csf.tmpl i natywny master_templates/master.tmpl, z zachowaniem nawigacji panelu i responsywnego układu.
- CGI w taint mode i ograniczony helper szablonu. Główny CGI zachowuje perl -T, walidację żądań i odpowiedzi same-origin. Stały helper root:root 0700 używa prywatnego Perla cPanel i Cpanel::Template::process_template przez listową postać IPC::Open2. Czyści zmienne sterujące interpreterem, ustala PATH, nie przyjmuje argumentów ścieżki ani szablonu i ogranicza stdin do 32 MiB.
- Zweryfikowane wydanie bez zmiany polityki zapory. Kwalifikacja przeszła 1533 asercje w 77 plikach testowych Linux. Aktualizacje testowa i produkcyjna zachowały sprawdzane pliki konfiguracji operatora oraz znormalizowane polityki IPv4/IPv6; CSF/LFD pozostały aktywne i włączone. Uwierzytelnione WHM i Playwright sprawdzono przy szerokości 1440 na desktopie i 390 na mobile. WebGuard pozostaje domyślnie wyłączony.
DH20.26 / 15.10.29
- nginx rozstrzyga o adresie klienta. W zweryfikowanej topologii cPanel EA-Nginx ustawienie SERVER="auto" wybiera nginx na publicznych portach 80/443. Jego ustrukturyzowany log wejściowy dostarcza rzeczywistego IP klienta. WebGuard nie ufa dowolnym wartościom X-Forwarded-For ani nie wyznacza klientów ze zwykłego logu backendu Apache.
- Apache wskazuje obciążenie, nie klienta do blokady. Apache nasłuchuje na prywatnych portach 81/444. Jego server-status i opcjonalny log o roli backend dostarczają tylko sygnału przeciążenia. Lokalny adres nginx 127.0.0.1 nie staje się kandydatem do blokady. Nie zakładamy takiej samej granicy zaufania dla nieobsługiwanych lub niezweryfikowanych układów proxy.
- Jedno zaufane drzewo bibliotek podczas diagnostyki. Diagnostyczne uruchomienie rozpakowanego, podpisanego pakietu obok starszego cPanel CSF zachowuje pierwszeństwo jego własnych bibliotek. Próba dodania /usr/local/csf/lib przez stary moduł ponownie ustawia wybrane źródło na początku, a bibliotekę instalacji pozostawia tylko jako fallback. Normalne uruchomienie zainstalowanej wersji nie zmienia się.
DH20.25 / 15.10.28
- Zweryfikowana detekcja proxy cPanel EA-Nginx. WebGuard rozpoznaje ograniczony, kontrolowany przez roota układ cPanel EA-Nginx: nginx na publicznych portach 80/443 i Apache na prywatnych 81/444. Automatyczny wybór źródła żądań wskazuje log wejściowy nginx.
- Prywatny status Apache i sygnał tylko z backendu. Chroniony broker statusu Apache preferuje prywatny port Apache. server-status i opcjonalny log backendu dostarczają sygnału przeciążenia, nie tożsamości klienta; lokalny adres proxy nie może stać się kandydatem do blokady.
DH20.24 / 15.10.27
- Natywna kopia przed migracją. Gdy iptables-save nie potrafi wyeksportować rozpoznanej niezgodnej tabeli iptables-nft, migracja cpanel-csf zapisuje pełny nft list ruleset i diagnostykę eksporterów z sumami SHA-256. Kontynuuje dopiero po potwierdzeniu bezczynności równoległego backendu legacy i zabezpieczeniu dokładnego pakietu RPM do wycofania zmiany.
- Ograniczona przebudowa przez zaufane CSF. Bootstrap przebudowuje wyłącznie niezgodne standardowe tabele filter, nat, mangle, raw i security rodzin ip oraz ip6, używając już zainstalowanego, zaufanego csf -r. Pozostałe natywne tabele nie są wybierane do normalizacji.
- Porównanie polityki i automatyczny rollback. Kanoniczne polityki IPv4/IPv6 są porównywane przed przebudową i po niej. Brak tabeli, różnica semantyczna, przerwanie lub późniejszy błąd instalacji uruchamia przywracanie. Testy objęły wszystkie dziesięć standardowych tabel, w tym wymuszoną rozbieżność z odtworzeniem pierwotnej polityki i konfiguracji.
DH20.23 / 15.10.26
- Istniejące katalogi prywatnego stanu AI. Instalator sprawdza właściciela, grupę i uprawnienia prywatnych katalogów stanu AI bez wymagania jednej referencji katalogu. Istniejące podkatalogi na systemach plików ext nie powodują już błędnej odmowy instalacji; niebezpieczny właściciel lub prawa nadal ją zatrzymują.
DH20.22 / 15.10.25
- Opcjonalny AI System Scan. AI System Scan dodaje szybki i pogłębiony przegląd do interfejsu administracyjnego DCSF. Funkcja jest domyślnie wyłączona i wymaga podania przez administratora własnego klucza OpenAI API oraz wyboru modelu.
- Ograniczony zakres dowodów i chroniony klucz. Pojedynczy skan w tle zbiera ograniczony zestaw lokalnych danych bezpieczeństwa, z limitami odczytów, procesów, rozmiaru danych i czasu wykonania. Klucz API jest w osobnym pliku dostępnym tylko dla roota i nigdy nie wraca do interfejsu.
- Wnioski powiązane z przekazanymi dowodami. Żądania OpenAI Responses API używają store=false, bez narzędzi i ze ścisłym formatem odpowiedzi. Wnioski oraz zalecenia muszą wskazywać prawidłowe identyfikatory dowodów z wysłanego zestawu. Raport doradza, ale nie wykonuje automatycznie napraw.
DH20.21 / 15.10.24
- Ostrzeżenia eksportera zatrzymują migrację. Bootstrap migracji odmawia kontynuacji, gdy iptables-save zwraca kod wyjścia 0, ale w diagnostyce zgłasza niezgodną tabelę nft. Sam poprawny kod zakończenia nie jest dowodem kompletnego eksportu firewalla.
- Odmowa przy mieszanym lub pominiętym stanie. Migracja jest odrzucana, gdy równocześnie istnieją reguły legacy i nft albo eksport pomija aktywną standardową tabelę nftables. Niepełna kopia nie może po cichu stać się podstawą przywracania stanu.
- Pełne dowody migracji objęte sumami kontrolnymi. Kopia migracyjna zapisuje pełny wynik nft list ruleset oraz diagnostykę eksporterów. Pliki te wchodzą do sum kontrolnych SHA-256 backupu, aby razem weryfikować zapisane reguły i dowody przebiegu eksportu.
DH20.20 / 15.10.23
- Aktywne LFD po aktualizacji produkcyjnej. Po udanej aktualizacji profilu produkcyjnego (TESTING=0) instalator restartuje LFD i sprawdza wynik, w tym aktywność usługi na systemd. Nowy kod demona działa od razu; instalacje z TESTING=1 nie są uruchamiane.
DH20.19 / 15.10.22
- Oddzielny budżet kontekstu procfs. Kontrole kontekstowej tożsamości mają osobny, ograniczony budżet skanowania procfs. Przy wielu procesach nie powstają już fałszywe alarmy excessive usage spowodowane kolizją tych budżetów; zwykłe limity procesu, UID i całego skanowania nie są osłabiane.
DH20.18 / 15.10.21
- Trafna detekcja Apache na systemd z Zimbrą. O kontroli logów Apache i ModSecurity rozstrzyga stan usługi systemd. Prywatny proces httpd Zimbry nie oznacza aktywnego systemowego Apache. Zachowano kontrolę procesu dla starszego init.